1/114
Geschillenkamer
Beslissing ten gronde 07/2024 van 16 januari 2024
Dossiernummer: DOS-2021-01224
Betreft: Klacht met betrekking tot de onrechtmatige verwerking en commercialisering
van persoonsgegevens door een makelaar in persoonsgegevens
De Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna, GBA), samengesteld uit de
heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Yves Poullet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klagers: [X], [...], hierna “de klagers”, vertegenwoordigd door [...], met maatschappelijke
zetel te [...], ingeschreven bij de Kruispuntbank van Ondernemingen onder het
nummer [...].
De verweerder: BLACK TIGER BELGIUM (voormalig BISNODE BELGIUM NV), met maatschappelijke
zetel te [...], ingeschreven bij de Kruispuntbank van Ondernemingen onder het
nummer [...], hierna “de verweerder”, vertegenwoordigd door meesters
DOCQUIR en CORNETTE, met kantoor te [...].
Beslissing ten gronde 07/2024 - 2/114
I. Feiten en procedure 3
II. Motivering 9
II.1. Bevoegdheid van de Belgische Gegevensbeschermingsautoriteit 9
II.2. Omschrijving van de omstreden verwerkingsactiviteiten door de verweerder 11
II.2.1. Verwerkingsverantwoordelijkheid 12
II.2.2. Gegevensverwerking 14
II.3. Rechtmatigheid van de verwerking (artikel 5.1.a) en 5.2, alsook artikel 6.1 AVG) 16
II.3.1. Standpunt van de Inspectiedienst 16
II.3.2. Standpunt van de partijen 16
II.3.3. Oordeel van de Geschillenkamer 28
II.4. Transparantie ten aanzien van de betrokkenen (artikel 12.1, artikel 13.1 en 13.2, artikel 14.1
en 14.2, artikel 5.2, artikel 24.1, en artikel 25.1 AVG) 57
II.4.1. Standpunt van de Inspectiedienst 57
II.4.2. Standpunt van de partijen 57
II.4.3. Oordeel van de Geschillenkamer 59
II.5. Behandeling van verzoeken van betrokkenen tot uitoefening van hun rechten (artikel 12.1
en 12.2, artikel 15.1, artikel 5.2, artikel 24.1, en artikel 25.1 AVG) 68
II.5.1. Standpunt van de Inspectiedienst 68
II.5.2. Standpunt van de partijen 68
II.5.3. Oordeel van de Geschillenkamer 71
II.6. Gebruik van cookies op de websites van de verweerder (artikel 4.11), artikel 5.1.a) en 5.2,
artikel 6.1.a), evenals artikel 7.1 en 7.3 AVG) 76
II.6.1. Standpunt van de Inspectiedienst 76
II.6.2. Standpunt van de verweerder 76
II.6.3. Oordeel van de Geschillenkamer 77
II.7. Verantwoordingsplicht van de verweerder (artikel 5.2, artikel 24.1, alsook artikel 25.1 en
25.2 AVG) 77
II.7.1. Standpunt van de Inspectiedienst 77
II.7.2. Standpunt van de verweerder 78
II.7.3. Oordeel van de Geschillenkamer 79
II.8. Register van verwerkingsactiviteiten (artikel 30.1, 30.2, en 30.3 AVG) 81
II.8.1. Standpunt van de Inspectiedienst 81
II.8.2. Standpunt van de verweerder 81
II.8.3. Oordeel van de Geschillenkamer 82
II.9. Betrokkenheid van de DPO (artikel 38.1 en artikel 39.1 AVG) 83
II.9.1. Standpunt van de Inspectiedienst 83
II.9.2. Standpunt van de verweerder 84
II.9.3. Oordeel van de Geschillenkamer 84
II.10. Bijkomende beschouwingen in verband met het inspectieverslag 85
III. Sancties en corrigerende maatregelen 87
III.1. Vastgestelde inbreuken 87
III.2. Maatregelen opgelegd door de Geschillenkamer 89
III.2.1. Corrigerende maatregelen om de verwerking in overeenstemming te brengen met de AVG 89
III.2.2. Administratieve boetes 91
III.3. Overige grieven 112
IV. Publicatie van de beslissing 112
Beslissing ten gronde 07/2024 - 3/114
I. Feiten en procedure
1. Het voorwerp van de klacht betreft de vermeende onrechtmatige verwerking en
commercialisering van persoonsgegevens van de klagers door de voormalige NV
BISNODE BELGIUM, thans gekend onder de naam “BLACK TIGER BELGIUM”1.
2. BISNODE BELGIUM is naar eigen zeggen een direct marketing en big data specialist die reeds
verschillende decennia actief is op de B2B markt in België. Tijdens meerdere jaren was deze
onderneming actief op het gebied van data broking (makelaar in persoonsgegevens), waarbij
BISNODE BELGIUM gegevens aankocht bij bronnen en deze gegevens verwerkte voor
rekening van zijn klanten, die zelf direct marketingactiviteiten uitvoerden, hetzij voor
bedrijven, hetzij voor particulieren en consumenten 2.
3. Op 23 oktober 2020 en op 27 november 2020 dienen de twee klagers, ieder afzonderlijk,
een verzoek in bij de verweerder, ter uitoefening van hun recht van inzage overeenkomstig
artikel 15 AVG.
4. Op 13 november 2020 en 23 december 2020 ontvangen zij elk een antwoord op hun
verzoek. Beide antwoorden worden per gewone post verzonden door de verweerder, en
bieden nader uitleg omtrent de verschillende bestanden waarin de persoonsgegevens van
de klagers al dan niet opgenomen zijn, alsook een samenvatting van de categorieën van
persoonsgegevens waarover de verweerder beschikt, de verwerkingsdoeleinden en de
rechtmatigheidsgrond (artikel 6.1.f) AVG). Verder verstrekt de verweerder een lijst “van de
(potentieel) betrokken sectoren” binnen dewelke bedrijven actief zijn die mogelijks
persoonsgegevens van de klagers kunnen ontvangen van de verweerder. De verweerder
verduidelijkt vervolgens dat de persoonsgegevens van de klagers gedurende 15 jaar vanaf
de laatste registratie in zijn database bewaard blijven, en vermeldt de bronnen van de
persoonsgegevens in het consumentenbestand [de onderneming Z8] resp. het
bedrijvenbestand (Belgisch Staatsblad en Kruispuntbank van Ondernemingen). Tevens
benadrukt de verweerder dat hij geen gebruik maakt van geautomatiseerde besluitvorming,
doch het zogenaamd “marketingpotentieel” van betrokkenen beoordeelt om voor elke
gebruiker een marketingsegmentatieprofiel op te stellen. De verweerder verklaart
eveneens dat hij, dan wel “één van zijn klanten”, de persoonsgegevens van de klagers “in
bepaalde gevallen” kan overbrengen naar landen buiten de EER. Tot slot herinnert de
verweerder de klagers aan de mogelijkheid om hun andere rechten uit te oefenen en meer
informatie hieromtrent te raadplegen op de website www.bisnodeenu.be alsmede van de
mogelijkheid om een klacht in te dienen bij de Gegevensbeschermingsautoriteit.
1
Zie randnr. 36 in deze beslissing.
2
Conclusies van verweerder d.d. 7 maart 2022, p. 2.
Beslissing ten gronde 07/2024 - 4/114
5. Op 28 januari 2021 dienen de klagers een gezamenlijke klacht in bij de
Gegevensbeschermingsautoriteit, tegen de verweerder. De klagers beklagen zich erover
dat deze als data broker een groot aantal van hun persoonsgegevens verwerkt doch zonder
hun medeweten, en dus in overtreding van artikel 13 dan wel 14 AVG, noch voorafgaande
toestemming. Volgens de klagers werden deze persoonsgegevens bij verschillende partijen
aangekocht, desgevallend verrijkt, en vervolgens doorverkocht aan derde partijen voor
commerciële doeleinden. De klagers werpen bovendien op dat sommige persoonsgegevens
meer dan 15 jaar oud zijn, en bijgevolg onjuist zijn. Daarnaast menen de klagers dat de
verweerder profilering toepast op hun persoonsgegevens alvorens deze profieldata door te
verkopen. Afsluitend stellen de klagers dat de verweerder artikel 12.3 AVG heeft
geschonden door de gevraagde informatie op papier te verstrekken terwijl de uitoefening
van hun rechten door betrokkenen noodzakelijkerwijs op elektronische wijze diende te
gebeuren.
6. Op 15 maart 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
7. Op 22 maart 2021 beslist de Geschillenkamer op grond van artikelen 63, 2° en 94, 1° WOG
een onderzoek te vragen aan de Inspectiedienst.
8. Op 24 maart 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
9. Op 31 maart 2021 wordt BISNODE BELGIUM overgenomen door [de moedermaatschappij Z1]3
en worden de voormalige bestuurders vervangen door nieuwe bestuurders4, waaronder [...]
die eveneens als voorzitster zetelt in de raad van bestuur van [de moedermaatschappij Z1]5.
10. Op 20 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit
dat de verweerder inbreuken heeft gepleegd op de volgende bepalingen van de AVG:
i. artikel 5.1.a) en 5.2, alsook artikel 6.1 AVG;
ii. artikel 12.1 en 12.2, artikel 15.1, artikel 5.2, artikel 24.1, en artikel 25.1 AVG;
3
[Z1], gevestigd te […], ingeschreven op de het Nationaal Handels- en Vennootschapsregister (Registre national du commerce
et des sociétés) van Frankrijk met SIREN nummer […]. Bij Algemene Vergadering d.d. […] juni 2023 werd de naam van de
vennootschap gewijzigd in “Z2”; het proces-verbaal van deze Algemene Vergadering werd op […] november 2023
geregistreerd bij de Rechtbank van Koophandel van Parijs (zie randnrs. 28 en 34 in deze beslissing).
4
B.S., 21 april 2021 – https://www.ejustice.just.fgov.be/[...].
5
Zie de Franse overheidswebsite L’Annuaire des Entreprises: https://annuaire-entreprises.data.gouv.fr/[...].
Beslissing ten gronde 07/2024 - 5/114
iii. artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1, en artikel
25.1 AVG.
Het verslag bevat tevens vaststellingen die verder gaan dan het voorwerp van de klacht. De
Inspectiedienst stelt meer bepaald vast dat de verweerder de volgende bepalingen van de
AVG heeft overtreden:
iv. artikel 4.11), artikel 5.1.a) en 5.2, artikel 6.1.a), evenals artikel 7.1 en 7.3 AVG;
v. artikel 5, artikel 24.1, alsook artikel 25.1 en 25.2 AVG;
vi. artikel 30.1, 30.2, en 30.3 AVG;
vii. artikel 38.1 en artikel 39.1 AVG.
De Inspectiedienst stelt tenslotte vast dat de verwerking van persoonsgegevens tot de
kernactiviteiten van de verweerder behoort, en dat deze systematisch en op grote schaal
persoonsgegevens verwerkt voor onder meer direct marketing doeleinden.
11. Op 15 juni 2021 wordt de naam van BISNODE BELGIUM gewijzigd naar BLACK TIGER BELGIUM6.
Het ondernemingsnummer […] blijft evenwel ongewijzigd.
12. Op 30 september 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en
artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. De betrokken
partijen worden per aangetekende zending in kennis gesteld van de bepalingen zoals
vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van
artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
13. Op 4 oktober 2021 en 8 oktober 2021 vraagt de verweerder resp. de klager een kopie van
het dossier (artikel 95, § 2, 3° WOG), dewelke hen werd overgemaakt op 8 oktober 2021.
Beide partijen aanvaarden de verdere uitwisselingen van stukken langs elektronische weg.
14. Op 13 oktober 2021 geeft de verweerder te kennen gebruik te willen maken van de
mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG, en vraagt hij om zich
in het Frans te kunnen uitdrukken, zowel in het kader van zijn conclusies als tijdens de
hoorzitting voor de Geschillenkamer, vermits de verweerder zijn zetel heeft in het tweetalig
gebied Brussel Hoofdstad, in het Frans geregistreerd is bij de Kruispuntbank van
Ondernemingen, zijn statuten in het Frans heeft, en deel uitmaakt van de Franse “BLACK
TIGER GROUP”7.
15. Op 3 november 2021 worden de partijen ingelicht van de schorsing van de eerder
gecommuniceerde conclusietermijnen, in afwachting van een besluit van de
Geschillenkamer inzake de taal van de procedure. De klager laat op 6 november 2021 weten
6
B.S., 30 juni 2021 – https://www.ejustice.just.fgov.be/[...].
7
Zie randnr. 36 in deze beslissing.
Beslissing ten gronde 07/2024 - 6/114
dat hij zich verzet tegen de wijziging van de proceduretaal naar het Frans, daar hij
onvoldoende het Frans beheerst, noch over de middelen beschikt om Franstalige stukken
te laten vertalen. Op 13 november 2021 meldt de klager dat hij zich door […] laat
vertegenwoordigen.
16. Op 29 november 2021 besluit de Geschillenkamer niet in te gaan op het verzoek van de
verweerder om de taal van de procedure te wijzigen naar het Frans, omwille van de volgende
redenen:
- De positie van de verweerder — De Geschillenkamer stelt vast dat de verweerder
als een groot bedrijf moet worden aangemerkt, met meer dan 100 voltijdse
werknemers in 2020. Tevens merkt de Geschillenkamer op basis van de stukken
van het dossier dat de verweerder zich zowel tot een Nederlandstalig als een
Franstalig doelpubliek richt.
- De positie van de klager — De Geschillenkamer stelt vast dat de klager rechtstreeks
belang heeft bij een beslissing van de Geschillenkamer, daar de klacht betrekking
heeft op het uitoefenen van diens rechten ten aanzien van hem betreffende
persoonsgegevens die door de verweerder verzameld en verwerkt worden.
- Misbruik van de optie tot bezwaar om de procedure te verzwaren — Gelet op de
tweetaligheid van de verweerder, zoals onder meer blijkt uit de antwoorden die de
klager in het Nederlands ontving alsmede de tweetalige website van de
verweerder, tevens gevestigd in het tweetalig gebied Brussel-Hoofdstad, oordeelt
de Geschillenkamer dat het verzoek van de verweerder om de proceduretaal te
wijzigen, de procedure voor de Geschillenkamer onnodig verzwaart.
- Andere specifieke omstandigheden in de zaak — De Geschillenkamer neemt akte
van het feit dat de verweerder zich gedurende het onderzoek door de
Inspectiedienst steeds in het Frans heeft uitgedrukt; de Geschillenkamer acht dit
argument echter onvoldoende om een wijziging van de proceduretaal te
rechtvaardigen, rekening houdende met de voorgaande elementen. Tot slot wenst
de Geschillenkamer te benadrukken dat zij evenmin inziet in welke mate de
overname van BISNODE BELGIUM door de Franse groep BLACK TIGER een wijziging kan
rechtvaardigen van de taal waarin de geschillenbeslechtingprocedure zal gevoerd
worden.
Gevolglijk dienen beide partijen hun verweermiddelen in het Nederlands neer te leggen. Het
staat de partijen evenwel vrij om eventuele bewijsstukken in hun oorspronkelijke taal over
te maken, zonder dat de GBA zal instaan voor de vertaling ervan.
Beslissing ten gronde 07/2024 - 7/114
Tevens worden de betrokken partijen per aangetekende zending in kennis gesteld van de
nieuwe termijnen om hun verweermiddelen in te dienen, overeenkomstig artikelen 98 en
99 WOG.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder
vastgelegd op 24 januari 2022, deze voor de conclusie van repliek van de klager op 14
februari 2022 en ten slotte deze voor de conclusie van dupliek van de verweerder op 7 maart
2022.
Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder
vastgelegd op 24 januari 2022.
17. Op 24 januari 2022 ontvangt de Geschillenkamer de conclusies van antwoord vanwege de
verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. De Geschillenkamer stelt hierbij vast dat de verweerder zich niet verder heeft verzet
tegen het gebruik van het Nederlands door de Geschillenkamer en zijn schriftelijke
opmerkingen in het Nederlands heeft opgesteld.
18. Op 15 februari 2022 ontvangt de Geschillenkamer de conclusies van repliek van de klager,
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht.
19. Op 7 maart 2022 ontvangt de Geschillenkamer de conclusies van dupliek van de verweerder
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht.
20. Op 3 augustus 2022 besluit de Geschillenkamer om op grond van artikel 56 AVG een
procedure op te starten ter identificatie van de leidende toezichthoudende autoriteit
evenals, desgevallend, andere betrokken toezichthoudende autoriteiten. De reden hiervoor
is de mogelijke overdracht van de gegevensverwerkingsverantwoordelijkheid in het kader
van de overname van BISNODE BELGIUM door BLACK TIGER op 31 maart 2021, alsmede de
verklaringen door de verweerder dat zijn dienstverlening werd toegelicht aan de Franse
toezichthoudende autoriteit (CNIL). Tevens bestaat de mogelijkheid dat betrokkenen in
andere Lidstaten wezenlijke gevolgen ondervinden van de omstreden verwerking van
persoonsgegevens door BISNODE BELGIUM, thans BLACK TIGER BELGIUM.
21. Op 6 oktober 2022 bevestigt de CNIL te onderzoeken in welke mate zij als leidende
toezichthoudende autoriteit optreedt, ingevolge de overname door BLACK TIGER. Op 19 en
27 oktober 2022 laten de Poolse respectievelijk de Italiaanse toezichthoudende autoriteiten
aan de GBA weten dat zij als betrokken autoriteit willen optreden.
22. Op 15 november 2022 bevestigt de CNIL aan de GBA dat BLACK TIGER contact met de CNIL
heeft opgenomen doch uitsluitend met betrekking tot de ontwikkeling van het “Data
Quality” platform, dat een specifieke module bevat die gewijd is aan de naleving van de AVG.
Beslissing ten gronde 07/2024 - 8/114
De CNIL verduidelijkt daarentegen dat zij nog niet kan bevestigen of er uitwisselingen
hebben plaatsgevonden tussen haar diensten en BLACK TIGER inzake het mogelijks
grensoverschrijdende karakter van de verwerkingen van BLACK TIGER. Wat haar
bevoegdheid voor de verwerkingen van de groep BLACK TIGER betreft, bevestigt de CNIL dat
zij probeert vast te stellen of de hoofdvestiging van de groep is gewijzigd in de periode na de
overname van de Belgische vennootschap door de Franse vennootschap. De CNIL sluit af
met de opmerking dat zij wacht op aanvullende elementen over dit punt.
23. Op 22 december 2022 stelt de CNIL de GBA in kennis van het feit dat zij op grond van de
door BLACK TIGER verstrekte informatie tot de conclusie is gekomen dat BLACK TIGER BELGIUM
zijn besluitvormingsorganen heeft behouden na de overname in maart 2021 van BISNODE
BELGIUM door [Z1], de Franse moedermaatschappij van de BLACK TIGER groep. De CNIL stelt
meer bepaald vast dat het uitvoerend orgaan van BLACK TIGER BELGIUM ondanks de
overname verantwoordelijk is gebleven voor het formele besluit om de Data Delivery
activiteiten als gegevensmakelaar stop te zetten. Derhalve, besluit de CNIL, is de Belgische
vestiging BLACK TIGER BELGIUM de hoofdvestiging voor de omstreden verwerking en blijft de
bevoegdheid van de GBA als leidende toezichthoudende autoriteit ongewijzigd.
24. Op 19 januari 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 22 februari 2023.
25. Op 22 februari 2023 worden de partijen gehoord door de Geschillenkamer.
26. Op 2 maart 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
27. Op 10 maart 2023 ontvangt de Geschillenkamer vanwege de verweerder enkele
opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in
haar beraad.
28. Op […] juni 2023 keurt de Algemene Vergadering van [de moedermaatschappij Z1] unaniem
het tiende besluit goed, waarbij de naam van de vennootschap wordt gewijzigd in “[de
moedermaatschappij Z2]”.
29. Op 7 augustus 2023 besluit de Geschillenkamer om de debatten te heropenen omtrent
specifieke punten die verband houden met de voorliggende zaak.
30. Op 8 augustus 2023 worden de betrokken toezichthoudende autoriteiten middels een
verzoek tot wederzijdse bijstand8 formeel ingelicht over de intrekking van de
samenwerkingsprocedure overeenkomstig artikel 60 AVG, gelet op het gebrek aan
8
Artikel 61.1 AVG — “De toezichthoudende autoriteiten verstrekken elkaar relevante informatie en wederzijdse bijstand om
deze verordening op een consequente manier ten uitvoer te leggen en toe te passen, en nemen maatregelen om doeltreffend
met elkaar samen te werken. De wederzijdse bijstand bestrijkt met name informatieverzoeken en toezichtsmaatregelen, zoals
verzoeken om voorafgaande toestemming en raadplegingen, inspecties en onderzoeken.”
Beslissing ten gronde 07/2024 - 9/114
vaststelling in de onderhavige zaak van een grensoverschrijdende gegevensverwerking in
de zin van artikel 4.23) AVG.
31. Op 6 september 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
klager.
32. Op 11 september 2023 ontvangt de Geschillenkamer de conclusie van repliek vanwege de
verweerder, dewelke zij beslist mee op te nemen in haar beraad.
33. Op 31 oktober 2023 heeft de Geschillenkamer aan de verweerder het voornemen om over
te gaan tot het opleggen van een administratieve geldboete alsmede het bedrag daarvan
kenbaar gemaakt, teneinde de verweerder de gelegenheid te geven zich te verdedigen,
voordat de sanctie effectief wordt opgelegd.
34. Op […] november 2023 registreert de griffier van de Rechtbank van Koophandel van Parijs
onder dossiernummer […] de akte van vennootschap houdende het proces-verbaal van de
Algemene Vergadering gehouden op […] juni 2023 evenals de statuten van [de
moedermaatschappij Z2], zoals bijgewerkt in navolging van de besluiten van de Algemene
Vergadering.
35. Op 24 november 2023 ontvangt de Geschillenkamer de reactie van de verweerder op het
voornemen tot het opleggen van corrigerende maatregelen en een administratieve
geldboete, alsmede op het bedrag daarvan. De Geschillenkamer neemt deze reactie in
overweging in het kader van haar beraadslaging.
II. Motivering
II.1. Bevoegdheid van de Belgische Gegevensbeschermingsautoriteit
36. Tussen 2007 en 2020 maakte BISNODE BELGIUM deel uit van [de onderneming Z3], hierna
‘[Z3]’), een internationale holding bestaande uit entiteiten in voornamelijk Noord- en Oost-
Europa. Op 8 oktober 2020 kondigde de Zweedse private equity-onderneming [Z4], tevens
meerderheidsaandeelhouder (70%) van BISNODE AB, de verkoop aan [de onderneming Z5]
van al zijn aandelen in de holding BISNODE AB, uitgezonderd de operationele activiteiten van
BISNODE BELGIUM.
37. De Geschillenkamer stelt vast dat BISNODE BELGIUM op 31 maart 2021 werd overgenomen
door het Franse bedrijf [Z1] — inmiddels [Z2]9 —, handelend onder de commerciële benaming
BLACK TIGER GROUP. Als gevolg van de overname werd de benaming BISNODE BELGIUM op 15
juni 2021 veranderd naar BLACK TIGER BELGIUM.
9
Zie randnrs. 28 en 34 in deze beslissing.
Beslissing ten gronde 07/2024 - 10/114
38. De Geschillenkamer oordeelt dat deze overname van BISNODE BELGIUM door de Franse groep
BLACK TIGER evenals de naamwijziging naar BLACK TIGER BELGIUM geen impact hebben op de
bevoegdheid van de GBA ten aanzien van de vermeende inbreuken op de AVG, omwille van
de hiernavolgende redenen.
39. Allereerst wijst de Geschillenkamer erop dat de oorspronkelijke klacht gericht was tegen
BISNODE BELGIUM NV, gevestigd in België, alsook dat de website https://bisnodeandyou.be,
thans niet meer raadpleegbaar, op 31 maart 2021 nog uitdrukkelijk BISNODE BELGIUM
vermeldde als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens 10.
40. Krachtens artikel 55 AVG heeft elke toezichthoudende autoriteit de bevoegdheid op het
grondgebied van haar Lid-Staat de taken uit te voeren en de bevoegdheden uit te oefenen
die haar overeenkomstig de AVG zijn opgedragen dan wel toegekend. Hieruit volgt dat de
Belgische gegevensbeschermingsautoriteit ten tijde van de klacht bevoegd was ten aanzien
van de verwerkingsactiviteiten verricht door BISNODE BELGIUM. Het feit dat BISNODE BELGIUM
tot 31 maart 2021 nog eigendom was van de Zweedse beursgenoteerde groep [Z4]11, kan
niet leiden tot de onbevoegdheid in hoofde van de GBA. De stelling van de verweerder dat
BISNODE BELGIUM slechts beschikte over “geringe bewegingsmarge om […] eigen strategieën
en beleid inzake persoonsgegevens te bepalen”12 overtuigt de Geschillenkamer ook niet.
Immers, na de overdracht van het moederbedrijf BISNODE AB aan [de onderneming Z5] in
oktober 2020, kon BISNODE BELGIUM niet langer geacht worden gebonden te zijn aan de
voormalige beleidskeuzes opgelegd door BISNODE AB.
41. Dat de verweerder ten tijde van het onderzoek werd overgenomen door een Franse groep,
leidt evenmin tot de conclusie dat de GBA niet bevoegd zou zijn voor de verwerkingen van
persoonsgegevens tot de voormelde datum van overname. In casu stelt de Geschillenkamer
vast dat de verwerkingsactiviteiten van de verweerder, met inbegrip van de verschillende
websites die door hem beheerd worden, gericht zijn tot een Belgisch doelpubliek en
10
Stuk 12 (“Schermafdrukken van de website https://bisnodeandyou.be/”) in de inventaris, p. 4.
11
In oktober 2020 kondigde [Z4], een Zweedse beursgenoteerde groep en tevens meerderheidsaandeelhouder (70%) van de
BISNODE groep (BISNODE AB SWEDEN), de verkoop van al zijn aandelen aan [de onderneming Z5], met uitzondering van de
operationele activiteiten in verband met BISNODE BELGIUM.
12
Conclusie in dupliek d.d. 7 maart 2022 van de verweerder, p. 2.
Beslissing ten gronde 07/2024 - 11/114
betrekking hebben op betrokkenen gevestigd in België. De verklaring van de verweerder dat
“Bisnode Belgium [voor en na de inwerkingtreding van de AVG] ervoor gezorgd [heeft] dat
[de onderneming] over een passende interne organisatie beschikte om te voldoen aan haar
verplichtingen ten aanzien van de personen waarvan ze de persoonsgegevens bezit”,
alsmede dat “de nieuwe koper op geen enkele wijze betrokkenen [sic] was bij het verloop van
deze gebeurtenissen [de vermeende inbreuken]” bevestigt eveneens de bevoegdheid van
de GBA.
42. Tot slot, en ten overvloede, stelt de Geschillenkamer vast dat de verweerder op geen enkel
ogenblik de bevoegdheid van de GBA om de klacht ten gronde te behandelen, in vraag heeft
gesteld. Integendeel zelfs, zowel tijdens als in navolging op de hoorzitting van 22 februari
2023 heeft de verweerder betwist dat er sprake zou zijn van een grensoverschrijdende
verwerking in de zin van artikel 4.23) AVG, met als gevolg dat de toepassing van
artikel 60 AVG volgens de verweerder niet aan de orde is. De loutere omstandigheid dat de
website van BLACK TIGER BELGIUM melding maakt van een vestiging in Polen kan volgens de
verweerder geenszins als dusdanig volstaan om het bestaan van een grensoverschrijdende
verwerking aannemelijk te maken. De GBA heeft in verband met deze bovenstaande
omstandigheden de samenwerkingsprocedure op grond van artikel 60 AVG beëindigd 13.
43. De Geschillenkamer zal hierna de gegevensverwerkingsactiviteiten verricht door de
verweerder samenvatten, alvorens elk van de vaststellingen opgenomen in het verslag van
de Inspectiedienst te beoordelen in het licht van de daaromtrent door de partijen
aangevoerde middelen.
II.2. Omschrijving van de omstreden verwerkingsactiviteiten door de verweerder
44. Op basis van de voorgelegde stukken14 begrijpt de Geschillenkamer dat de verweerder ten
tijde van de klachten drie verschillende databanken met persoonsgegevens in zijn beheer
had:
i. het consumentenbestand Consu-Matrix (hierna, “CMX”), dat persoonsgegevens
van consumenten bevat die de verweerder bij diverse externe bronnen (“source
partners”) heeft verzameld. Deze bronnen stellen hun eigen klantendatabanken ter
beschikking aan BISNODE BELGIUM voor commercialisatie met het oog op direct
marketing doeleinden. CMX is een B2C informatiedatabank die bestemd is voor
13
Zie randnr. 30 in deze beslissing.
14
Stuk 1 (“DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) voorgelegd aan de Inspectiedienst, p. 4; Stuk 8 (“Bisnode
Belgium GDPR Governance B2C de 2019”) voorgelegd aan de Inspectiedienst; Stuk 9 (Bisnode Belgium GDPR Governance
B2B de 2019) voorgelegd aan de Inspectiedienst.
Beslissing ten gronde 07/2024 - 12/114
marketing, analyse, profilering, statistieken, verificatie en controledoeleinden
(gegevenskwaliteit), alsmede voor referentie- en “overige” doeleinden15.
ii. het ondernemingenbestand Spectron, dat bedrijfs- en contactgegevens bevat van
Belgische bedrijven die de verweerder verkregen heeft via
publieke/overheidsbronnen (Kruispuntbank van Ondernemingen, Nationale Bank
van België) alsook via commerciële gegevensbronnen. Spectron is een B2B
informatiedatabank die bestemd is voor marketingprofilering, analyse,
kredietdoeleinden, statistieken, verificatie en controledoeleinden
(gegevenskwaliteit), alsook voor referentie- en “overige” doeleinden16.
iii. het direct marketingbestand Permesso, dat persoonsgegevens bevat van
“Permesso leden” die de verweerder via een online marketing platform heeft
verzameld. Persoonsgegevens opgenomen in Permesso zijn bestemd voor
marketing en direct marketing doeleinden (marketing, analyse, profilering en
statistieken)17.
45. In tegenstelling tot Permesso, dat persoonsgegevens bevat die rechtstreeks bij de
betrokkenen verzameld zijn voor direct marketing doeleinden, op basis van de toestemming
van de betrokkenen (artikel 6.1.a) AVG), worden CMX en Spectron uitsluitend aangevuld met
persoonsgegevens die onrechtstreeks verzameld werden, op grond van het
gerechtvaardigd belang van de verweerder en diens klanten (artikel 6.1.f) AVG).
II.2.1. Verwerkingsverantwoordelijkheid
46. Een verwerkingsverantwoordelijke wordt gedefinieerd als “een natuurlijke persoon of
rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of
samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens
vaststelt” (artikel 4.7) AVG). Het betreft een autonoom begrip, eigen aan de regelgeving
inzake gegevensbescherming, dat moet worden beoordeeld aan de hand van de criteria die
daarin zijn vastgesteld: de vaststelling van de doeleinden van de betrokken
gegevensverwerking en van de middelen voor die verwerking.
15
Vrije vertaling van: “purposes of marketing, analysis, profiling, statistics, verification and control (Data Quality), directory
(reference purposes) and other” in Stuk 1 (“DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) voorgelegd aan de
Inspectiedienst.
16
Vrije vertaling van: “purposes of analysis, credit purposes, marketing profiling, statistics, verification and control (Data Quality),
directory (reference purposes) and other” in Stuk 1 (“DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) voorgelegd
aan de Inspectiedienst.
17
Vrije vertaling van: “marketing/direct marketing purposes (marketing, analysis, profiling and statistics)” in Stuk 1 (“DPIA
Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) voorgelegd aan de Inspectiedienst.
Beslissing ten gronde 07/2024 - 13/114
47. De voormelde databanken werden opgezet en beheerd door BISNODE BELGIUM, zoals
onweerlegbaar aangetoond door de interne documentatie voorgelegd aan de GBA tijdens
het onderzoek (eigen onderlijning en filtering)18:
48. Gelet op de informatie voorhanden, acht de Geschillenkamer het te dezen afdoende
bewezen dat de BISNODE BELGIUM ten tijde van de klachten als verwerkingsverantwoordelijke
ageerde voor de voornoemde verwerkingsactiviteiten.
49. Tot en met maart 2021 bood BISNODE BELGIUM aan zijn klanten op de Belgische B2B markt
twee afzonderlijke activiteiten aan: enerzijds een “Data Quality” dienst, die erin bestaat de
kwaliteit of de relevantie van gegevens van klanten te verbeteren, en anderzijds een “Data
Delivery” (gegevenslevering) dienst, die erin bestaat gegevens te verstrekken aan klanten
die deze nog niet bezitten en die hen in staat stellen direct marketingcampagnes uit te
voeren. Zowel Spectron als CMX werden door de verweerder verwerkt voor Data Quality
(DQ) en voor Data Delivery (DD) doeleinden19. Concreet werden de gegevens van CMX aan
klanten van de verweerder verkocht voor verrijkingsdoeleinden, dan wel verhuurd voor
direct marketingdoeleinden (voornamelijk per post)20. Het Spectron
ondernemingenbestand werd eveneens gecommercialiseerd aan klanten van de
verweerder, die de gegevens uit dit bestand konden gebruiken voor eigen, direct
marketingdoeleinden21.
18
Stuk 1 ("DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) en Stuk 30 (“Bisnode Belgium - Copy of Record of
Processing”), overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek.
19
Stuk 30 (“Bisnode Belgium – Copy of Record of Processing”) voorgelegd aan de Inspectiedienst.
20
Conclusie in dupliek d.d. 7 maart 2022 van de verweerder, p. 3.
21
Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 1: “Bisnode compiles data from different sources: […] (ii) via public sources such as, for example, the Crossroads
Bank for Enterprises. […] The purpose of such processing operation for Bisnode is to enhance and increase its proprietary B2B
database Spectron, in order to deliver better services. Those services may include […] delivery of data sets for direct marketing
purposes on the basis of specific criteria (segmentation) covering off line and digital channels, including social media”.
Beslissing ten gronde 07/2024 - 14/114
50. Ingevolge de overname door BLACK TIGER GROUP op 31 maart 2021, heeft de vernieuwde
nieuwe raad van bestuur van BLACK TIGER BELGIUM op 25 juni 2021 ervoor gekozen om alle
activiteiten in verband met de Data Delivery dienstverlening stop te zetten. Tevens werd
besloten om het CMX consumentenbestand op 30 juli 2021 te vernietigen22, evenals het
Permesso direct marketingbestand 23. Tot die datum werden de gegevens uit CMX
— waaronder dus ook de persoonsgegevens van de klagers — verkocht, verhuurd of ter
beschikking gesteld aan ondernemingen met het oog op het gebruik ervan voor direct
marketingdoeleinden, en met name voor het verzenden van reclameboodschappen alsook
voor validatie-, identificatie- en analysedoeleinden. Alle klanten van de verweerder
ontvingen bovendien een communicatie waarin hen werd meegedeeld dat BLACK TIGER
BELGIUM voornemens was de activiteit “B2C Data Delivery” stop te zetten. Hoewel bestaande
contracten met afnemers van deze dienstverlening werden beëindigd, konden de klanten
van de verweerder die vóór of op 30 juli 2021 nog gegevens hadden ontvangen,
overeenkomstig de contractuele bepalingen de reeds aangeleverde persoonsgegevens nog
tot en met 30 oktober 2021 gebruiken24.
51. De Data Delivery dienstverlening voor de professionele markt (“B2B Data Delivery”), die
betrekking had op het Spectron ondernemingenbestand, werd met ingang van 1 december
2021 door BLACK TIGER BELGIUM overgedragen aan [de onderneming Z6]25. Klanten van de
verweerder die tot 30 november 2021 gegevens hadden ontvangen, kregen evenwel
contractueel het recht om deze gegevens nog drie maanden te gebruiken, tot eind februari
202226. Ook deze beslissing getuigt van de verantwoordelijkheid van BLACK TIGER BELGIUM
ten aanzien van de overgedragen verwerkingsactiviteiten.
II.2.2. Gegevensverwerking
52. Artikel 4.2) van de AVG definieert een verwerking van persoonsgegevens als
“een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een
geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals
het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen,
raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere
wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van
gegevens”.
22
Ibidem.
23
Conclusie in dupliek d.d. 7 maart 2022 van de verweerder, p. 3.
24
Ibidem.
25
Ibidem.
26
Ibidem.
Beslissing ten gronde 07/2024 - 15/114
53. Uitgaande van deze definitie en aan de hand van de documentatie aangeleverd in het kader
van het onderzoek alsmede de conclusiefase, onderscheidt de Geschillenkamer vier
verschillende verwerkingsactiviteiten verricht door de verweerder, en met name:
A. De verwerking van consumentendata in de CMX databank in het kader van de “B2C
Data Delivery” dienstverlening, waarbij de verweerder op grond van artikel 6.1.f)
AVG persoonsgegevens van consumenten verzamelt en verrijkt, met het oog op
het commercieel aanleveren van de persoonsgegevens aan diens klanten, die deze
persoonsgegevens voor directmarketingdoeleinden gebruiken, en met name voor
het verzenden van reclameboodschappen, alsook voor validatie, identificatie en
analysedoeleinden;
B. de verwerking van consumentendata in de CMX databank in het kader van de “B2C
Data Quality” dienstverlening, waarbij de verweerder op grond van artikel 6.1.f) AVG
persoonsgegevens van consumenten verzamelt, verrijkt en consolideert om, tegen
betaling, een betrouwbaarheidsscore toe te kennen aan persoonsgegevens van
consumenten reeds in het bezit van de klanten van BLACK TIGER BELGIUM, zodat deze
de kwaliteit van hun gegevens kunnen verbeteren door ze te formatteren, te
standaardiseren, te corrigeren en/of intern kunnen koppelen (matching);
C. de verwerking van ondernemingsdata in de Spectron databank in het kader van de
“B2B Data Delivery” dienstverlening, waarbij de verweerder op grond van artikel
6.1.f) AVG persoonsgegevens van natuurlijke personen verbonden aan
ondernemingen verzamelt en verrijkt met het oog op het commercieel aanleveren
van de persoonsgegevens aan diens klanten, die deze persoonsgegevens
gebruiken voor het verzenden van reclameboodschappen 27 en voor
segmentatiedoeleinden (validatie, identificatie en analyse van profielen);
D. de verwerking van ondernemingsdata in de Spectron databank in het kader van de
“B2B Data Quality” dienstverlening, waarbij de verweerder op grond van artikel
6.1.f) AVG persoonsgegevens van natuurlijke personen verbonden aan
ondernemingen verzamelt, verrijkt en consolideert om, tegen betaling, een
betrouwbaarheidsscore toe te kennen aan persoonsgegevens reeds in het bezit
van door klanten van BLACK TIGER BELGIUM, zodat deze de kwaliteit van hun
gegevens kunnen verbeteren door ze te formatteren, te standaardiseren, te
corrigeren en/of intern kunnen koppelen (matching).
54. Vermits BISNODE BELGIUM in de voorliggende zaak voor elk van deze verwerkingsactiviteiten
zowel de middelen als de doeleinden bepaald heeft, dient BLACK TIGER BELGIUM in zijn
hoedanigheid als juridische opvolger van BISNODE BELGIUM als
27
Stuk 12 (“Schermafdrukken van de website https://bisnodeandyou.be/”) in de inventaris, p. 38.
Beslissing ten gronde 07/2024 - 16/114
verwerkingsverantwoordelijke te worden aangemerkt. In het licht van de voorgaande
elementen zal de Geschillenkamer vervolgens de vaststellingen door de Inspectiedienst in
het onderzoeksverslag evenals de stukken aangeleverd door de partijen en hun
verweermiddelen stapsgewijs beoordelen.
II.3. Rechtmatigheid van de verwerking (artikel 5.1.a) en 5.2, alsook artikel 6.1 AVG)
II.3.1. Standpunt van de Inspectiedienst
55. Volgens de Inspectiedienst doet de verweerder onterecht een beroep op zijn
gerechtvaardigde belangen voor de verwerking van de persoonsgegevens van de klagers in
het kader van zijn commerciële activiteiten, en overtreedt hij dientengevolge
artikel 6.1 AVG.
56. De Inspectiedienst stelt in het bijzonder vast dat de verweerder diverse persoonsgegevens
(waaronder algemene persoonlijke informatie, contactgegevens, professionele gegevens
en familiale gegevens) die deels bij de betrokkenen zelf en deels via andere bronnen
— zogenaamde “partners” van de verweerder — zijn verkregen, op grote schaal verwerkt. Dit
impliceert volgens de Inspectiedienst dat betrokkenen niet redelijkerwijs kunnen
verwachten dat hun persoonsgegevens zonder hun toestemming, systematisch en tegen
betaling door de verweerder ter beschikking worden gesteld aan diens klanten voor
marketingcampagnes, dan wel worden verwerkt in het kader van de vrijheid om te
ondernemen van de verweerder. Bijgevolg kan er niet voldaan worden aan de derde
voorwaarde van artikel 6.1.f) AVG, de zogenaamde afwegingstoets tussen de belangen van
de verweerder, enerzijds, en de fundamentele vrijheden en grondrechten van de
betrokkenen, anderzijds28.
57. De verweerder toont volgens de Inspectiedienst bovendien niet aan dat zijn belangen
doorwegen op die van betrokkenen, waardoor hij tevens artikel 5.1.a) en 5.2 AVG overtreedt.
II.3.2. Standpunt van de partijen
II.3.2.1. Beroep op een gerechtvaardigd belang (6.1.f) AVG) als grondslag voor de
verwerking van persoonsgegevens en belangenafweging door BLACK TIGER
BELGIUM
58. De klagers stellen zich in hoofdorde op het standpunt dat de verwerking van hun
persoonsgegevens door de verweerder voor commerciële doeleinden op onrechtmatige
wijze plaatsvindt, vermits de klagers hier niet van op de hoogte werden gesteld en overigens
28
Zie Titel II.3.3.3 infra in deze beslissing.
Beslissing ten gronde 07/2024 - 17/114
nooit hun toestemming hebben gegeven. De klager poneert met andere woorden dat de
verweerder geen beroep kan doen op een gerechtvaardigd belang voor het verzamelen
alsmede de daaropvolgende commercialisering van zijn persoonsgegevens.
59. De verweerder stelt daarentegen dat het hem wel toegestaan is om op grond van zijn
gerechtvaardigd belang, evenals dat van zijn klanten en partners, persoonsgegevens van de
klagers alsook van andere betrokkenen te verwerken. Volgens de verweerder zou de
Inspectiedienst niet met alle elementen rekening hebben gehouden, die de verweerder
nochtans had aangevoerd om zijn rechtmatig belang en de evenredigheid van de verwerking
aan te tonen. De verweerder zou tijdens het onderzoek de Inspectiedienst specifiek hebben
gewezen op de relevante passages van de verschillende LIA-verslagen29 die betrekking
hadden op de identificatie van de gegevens in kwestie, maar ook op de rechtmatigheids-,
noodzakelijkheids- en evenredigheidstoets. De vaststelling van de Inspectiedienst dat de
verweerder geen rekening hield met de drie voornoemde cumulatieve voorwaarden zou
bijgevolg kennelijk onjuist zijn.
60. De verweerder beklaagt zich er eveneens over dat de Inspectiedienst geen enkele poging
heeft ondernomen om de precieze feitelijke omstandigheden van het geval vast te stellen.
61. Rechtmatigheidstoets — Allereerst voert de verweerder aan dat direct marketing als
zodanig een rechtmatig doeleinde vormt, zoals bepaald in overweging 47 AVG en herhaald
in de aanbeveling 01/2020 van de GBA 30. De verweerder werpt tevens op dat zijn
gerechtvaardigd belang erin bestaat de voortzetting van zijn dienstverlening inzake big data
expertise, die hij sedert jaren aanbiedt aan zijn klanten, te verzekeren op grond van zijn
fundamentele vrijheid op onderneming zoals bepaald in artikel II.3 van het Wetboek van
economisch recht en artikel 16 van het EU-Handvest van de grondrechten31. De
inachtneming van de vrijheid van onderneming bij de beoordeling van de belangenafweging
door de Geschillenkamer zou dienvolgens onontbeerlijk zijn. Derhalve voldoen de
verwerkingsactiviteiten van de verweerder in de context van zijn activiteit van Data Delivery
aan de doel- of rechtmatigheidstoets.
62. Daarnaast zou de Data Quality dienstverlening de gerechtvaardigde belangen dienen van
klanten van BLACK TIGER BELGIUM, met name om effectieve marketingcampagnes te kunnen
voeren en om — zoals de AVG voorschrijft — databanken bij te houden die uitsluitend juiste
en actuele gegevens bevatten, aldus de verweerder. Ook de Data Quality dienstverlening
zou dus aan de rechtmatigheidstoets voldoen.
29
Legitimate Interest Assessment-verslagen; zie randnrs. 95 en 130 in deze beslissing.
30
GBA — Aanbeveling nr. 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden, https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-01-2020.pdf.
31
Artikel 16 Handvest van de grondrechten van de Europese Unie — “De vrijheid van ondernemerschap wordt erkend
overeenkomstig het recht van de Unie en de nationale wetgevingen en praktijken.”
Beslissing ten gronde 07/2024 - 18/114
63. Noodzakelijkheidstoets — Ten tweede kan de noodzaak om gegevens te verwerken ten
behoeve van de beoogde direct marketingactiviteiten volgens de verweerder evenmin
betwist worden, vermits het verzenden van post niet opdringerig is, bij geen enkele wet
verboden is, en direct marketing per post niet onderworpen is aan een specifieke regeling
die de voorafgaande toestemming van de ontvangers vereist (in tegenstelling tot direct
marketing per e-mail). Bijgevolg, stelt de verweerder, voldoen de verwerkingsactiviteiten
van BLACK TIGER BELGIUM in de context van zijn activiteit van Data Delivery eveneens aan de
noodzakelijkheidstoets. Volgens de verweerder zou het verslag van de Inspectiedienst
overigens niet afdoende verklaren waarom er sprake zou zijn van een gebrek aan
evenredigheid, daar de activiteit van de verweerder juist erin bestaat om op grote schaal
gegevens van uiteenlopende aard te verzamelen. Het zou integendeel “volkomen normaal
en legitiem” zijn dat de verweerder “verschillende gegevens verzamelt om de familiale of
socio-professionele situatie van een persoon te karakteriseren”, “aangezien de verweerder
al vele jaren beroepsmatig actief is in de sector”. De verweerder benadrukt dat de
grootschalige verwerking van persoonsgegeven kadert binnen zijn expertise in big data, en
er volgens hem geen argument zou kunnen worden ontleend aan het feit dat gegevens uit
diverse bronnen verzameld worden, noch aan de grootschaligheid van de verwerking, om
BLACK TIGER BELGIUM in abstracto te veroordelen.
64. Afwegingstoets — Ten derde houdt de verweerder voor dat hij, in tegenstelling tot wat de
Inspectiedienst beweert, terdege en met de nodige nauwgezetheid een belangenafweging
heeft gevoerd tussen zijn belangen en de rechten en vrijheden van de betrokkenen, met
inachtneming van de aard van de verwerking, de gevolgen daarvan voor de betrokkenen, en
het belang van de onderneming. De verweerder verwijst in het bijzonder naar de
gedocumenteerde belangenafwegingen32 — welke volgens de verweerder enkel van
toepassing zijn op direct marketingcampagnes per post — die overgemaakt werden aan de
Inspectiedienst en waarbij rekening werd gehouden met:
▪ het economisch belang van de verweerder en zijn klanten;
▪ de fundamentele vrijheid van ondernemerschap van de verweerder;
▪ de negatieve en positieve gevolgen van de verwerking, waarbij het volgens de
verweerder niet nodig is om elk negatief gevolg voor de betrokkene te vermijden,
maar het veeleer de bedoeling is om een onevenredige impact voor deze
betrokkenen te voorkomen;
▪ de “eerder onschuldige” aard van de gegevens;
32
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
Beslissing ten gronde 07/2024 - 19/114
▪ het hergebruik en de verdere verwerking van publiek beschikbare
persoonsgegevens afkomstig uit o.a. de KBO en de NBB;
▪ “het recht van bezwaar van de betrokkenen/opt-out”; en
▪ het openbaar maken van transparante informatie op o.a. de website van de
verweerder en die van zijn gegevensbronnen, alsmede de verplichte vermelding
van BISNODE BELGIUM in de reclameboodschappen die de klanten richten aan hun
doelpubliek.
65. De verweerder poneert dat hij, deze belangenafwegingen indachtig, tot de conclusie kwam
dat de negatieve gevolgen voor betrokkenen al bij al niet opwegen ten aanzien van de
positieve gevolgen voor de verweerder en diens klanten, gelet op de vrijheid van
ondernemerschap, evenals de positieve gevolgen voor de betrokkenen zelf, die ingevolge
de verwerking van hun persoonsgegevens niet langer irrelevante reclame ontvangen.
66. Dienvolgens kunnen de door de verweerder ingeroepen gerechtvaardigde belangen
volgens de verweerder een passende grondslag vormen voor de verwerking van
persoonsgegevens van betrokkenen, vermits de verweerder een reeks maatregelen in acht
heeft genomen om in het kader van de evenredigheidstoets te allen tijde het evenwicht te
waarborgen tussen de relevante belangen, alsmede om dit te kunnen aantonen
overeenkomstig de verantwoordingsplicht rustend op de verweerder. Dienaangaande
verwijst de verweerder in het bijzonder naar de volgende, reeds door hem doorgevoerde
maatregelen33:
▪ een uitgebreide due diligence van de gegevensbronnen op vlak van
gegevensbescherming, met inbegrip van grondige analyses van licenties van
openbare bronnen betreffende het hergebruik van de openbare gegevens;
▪ de verplichting voor gegevensbronnen om betrokkenen te informeren over de
overdracht van hun gegevens aan de verweerder, opdat de verweerder of andere
bedrijven gepersonaliseerde aanbiedingen kunnen bezorgen aan de betrokkenen;
▪ de verplichte vermelding van “BISNODE BELGIUM” in de reclameboodschap en het
herzieningsrecht van de verweerder betreffende de reclameboodschap, in
combinatie met het voeren van campagnes via de media om de zichtbaarheid van
de verweerder te verhogen bij betrokkenen;
▪ de naleving van het beginsel van minimale gegevensverwerking alsmede het feit
dat “gegevensverrijking enkel wordt toegepast op gegevens die al in het bezit zijn
van de klanten van Bisnode Belgium”34;
33
Conclusie van antwoord d.d. 24 januari 2022 van de verweerder, p. 7.
34
Conclusie van antwoord d.d. 24 januari 2022 van de verweerder, p. 7 in fine.
Beslissing ten gronde 07/2024 - 20/114
▪ de effectieve mogelijkheid van betrokkenen om hun rechten onder de AVG uit te
oefenen; en
▪ het nemen van passende technische en organisatorische maatregelen.
67. Redelijke verwachtingen van betrokkenen — Subsidiair poneert de verweerder dat er bij de
beoordeling van het gerechtvaardigde belang van de verwerkingsverantwoordelijke niet
noodzakelijk rekening moet worden gehouden met de redelijke verwachtingen van de
betrokkene. Zodus zou de vaststelling door de Inspectiedienst dat betrokkenen niet
verwachten dat de gegevens “zonder hun toestemming” en “tegen betaling” verwerkt
worden, irrelevant zijn, omdat het criterium van redelijke verwachtingen vermeld in
overweging 47 van de AVG35 volgens de verweerder enkel betrekking zou hebben op de
hypothese van een verdere verwerking van persoonsgegevens in de zin van artikel 6.4
AVG36. Door de redelijke verwachtingen van betrokkenen ten tijde van de verzameling
systematisch in aanmerking te nemen, zou de rechtmatigheid van de verwerking immers
volledig steunen — aldus de verweerder — op het subjectieve standpunt van de
betrokkenen op een bepaald tijdstip, waardoor de andere criteria voor de beoordeling van
de evenredigheid van de verwerking gereduceerd zouden worden tot overbodige
beschouwingen. Een dergelijke redenering zou meer bepaald “bijna noodzakelijkerwijs tot de
conclusie [leiden] dat BLACK TIGER BELGIUM geen hoger legitiem belang heeft, aangezien de
betrokkenen per definitie niet of slechts met moeite kunnen verwachten dat hun gegevens
zullen worden onderworpen aan een technische verwerking zoals die welke door de
verweerder wordt uitgevoerd (en die bovendien deel uitmaakt van zijn geheime knowhow)”37,
zodat de facto elke activiteit van Data Delivery in ruime zin onmogelijk wordt. De verweerder
voert aan dat het criterium van de redelijke verwachtingen bijgevolg niet als enige criterium
kan worden gehanteerd ter beoordeling van de evenredigheid.
Daarbovenop dient ook rekening te worden gehouden met (i) de mate van transparantie van
de gegevensverwerking; (ii) de inspanningen van de verweerder om de betrokkenen te
informeren; en (iii) het aansporen van de gegevensbronnen en de klanten van de verweerder
om “een actieve bijdrage te leveren aan de betrokkenen”38. Verder stelt de verweerder dat
de keuze van een gerechtvaardigd belang als grondslag voor de verwerking van
persoonsgegevens “per definitie” een zekere aantasting van de grondrechten en
fundamentele vrijheden van betrokkenen inhoudt, doch niet leidt tot een beperking van de
verplichtingen van een verwerkingsverantwoordelijke vanwege de AVG39. Betrokkenen
35
Overweging 47 AVG — “[…] In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een
gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de
persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden […]”.
36
Conclusie in dupliek d.d. 7 maart 2022 van de verweerder, p. 15.
37
Conclusie in dupliek d.d. 7 maart 2022 van de verweerder, p. 16.
38
Conclusie van antwoord d.d. 24 januari 2022 van de verweerder, p. 8.
39
Conclusie van antwoord d.d. 24 januari 2022 van de verweerder, p. 9.
Beslissing ten gronde 07/2024 - 21/114
kunnen immers steeds hun recht van bezwaar uitoefenen, dankzij de transparante
informatie op de website van de verweerder evenals de verplichte vermelding van BISNODE
BELGIUM in de reclameboodschappen die zijn klanten uitsturen naar betrokkenen.
68. Indien de Geschillenkamer evenwel de argumenten aangedragen door de verweerder zou
verwerpen, dan verzoekt de verweerder om de behandeling van de zaak te schorsen en een
prejudiciële vraag te stellen aan het Hof van Justitie van de Europese Unie, omtrent de
uitlegging van artikel 6 AVG en van de vrijheid van ondernemerschap krachtens het
Handvest van de grondrechten van de Europese Unie. Volgens de verweerder is de
Geschillenkamer namelijk:
“een ‘rechterlijke instantie van een lidstaat’ […] in de zin van artikel 267 van het Verdrag
betreffende de werking van de Europese Unie, in de betekenis die het Hof van Justitie aan dit
autonome begrip van het recht van de Unie heeft gegeven. Het is ingesteld bij de wet van 3
december 2017, heeft een permanent karakter, is zeker onafhankelijk of moet dat althans zijn
volgens zowel het EU-recht als het Belgische recht, en het vaardigt bindende rechterlijke
beslissingen uit aan het einde van een procedure op tegenspraak die voldoet aan
rechtsregels die met name zijn vastgelegd in een duidelijke scheiding tussen de
onderzoeksfunctie enerzijds, en de oordeelfunctie anderzijds. Als zodanig heeft zij het recht
het Hof van Justitie van de Europese Unie te verzoeken om een prejudiciële beslissing over
de uitlegging en de geldigheid van de verdragen en van de handelingen van de instellingen,
organen en instanties van de Unie”.
69. In zijn conclusies van antwoord benadrukt de verweerder tot slot dat de volgende elementen
onontbeerlijk zijn om de rol van de verweerder naar behoren te kunnen beoordelen:
i. BLACK TIGER BELGIUM is een big data-specialist, d.w.z. een technisch expert in de
verwerking van enorme hoeveelheden gegevens.
ii. De inmiddels stopgezette activiteiten op het gebied van Data Delivery, omvatten
i. het aankopen van gegevens uit verschillende bronnen;
ii. het verwerken van deze gegevens om geschikte data sets te genereren; en
iii. het leveren van deze data sets aan professionele klanten die deze
gebruiken om hun eigen gegevens te verrijken of om te trachten nieuwe
klanten te bereiken, door voor hun eigen rekening, direct
marketingcampagnes uit te voeren.
iii. Vermits de persoonsgegevens door de partnerbronnen van BLACK TIGER BELGIUM
verzameld worden, hetzij rechtstreeks bij de betrokkenen of bij derden, komt het in
eerste instantie aan deze bronnen toe om de rechtmatigheid van de aanvankelijke
verwerking te garanderen en de betrokkenen informatie te verstrekken over de
verwerking, de doeleinden, enz.
Beslissing ten gronde 07/2024 - 22/114
iv. Aangezien BLACK TIGER BELGIUM hoofdzakelijk technische verwerkingen uitvoerde
teneinde datasets samen te stellen die aan de behoeften van zijn professionele
klanten voldeden, houdt de verweerder voor dat hij in deze context fungeerde als
verwerker en diens klanten als verwerkingsverantwoordelijken. Derhalve bleef de
rol van de verweerder als verwerkingsverantwoordelijke strikt beperkt tot de
aggregatie van gegevens, zijnde de technische verwerking binnen het kader van
zijn know-how die in zijn CMX-databank voor direct marketingdoeleinden werd
bijgehouden ten behoeve van zijn klanten.
v. Het zijn vervolgens de professionele klanten van de verweerder die, nadat zij de
datasets hadden ontvangen die precies met hun verzoeken overeenkwamen,
eigenhandig de direct marketingcommunicaties verstuurden naar betrokkenen.
Vermits de verweerder nooit een prospectiecampagne per post heeft gevoerd
voor zijn eigen behoeften ten aanzien van consumenten, zijn de klanten van de
verweerder, de enigen die verantwoordelijk zijn met betrekking tot de verwerking
van persoonsgegevens in het kader van de verzonden direct
marketingcommunicaties, nu zij hier de initiatiefnemers van zijn, voor hun eigen
behoeften.
vi. De activiteiten op het gebied van Data Delivery hadden bijna uitsluitend betrekking
op het kanaal post, in tegenstelling tot e-mails, mobiele telefoonnummers, of
andere digitale kanalen. Deze activiteiten, uitvoerig beschreven in de
antwoordbrief aan de Inspectiedienst van 27 april 2021, werden overigens
beheerst door duidelijke contractuele afspraken met zowel de bronnen als de
professionele klanten van de verweerder.
II.3.2.2. Verderzetting van de Data Delivery dienst na de overname van BISNODE
BELGIUM door BLACK TIGER
70. De klager verwijst in zijn conclusies naar de webpagina van de verweerder 40 waarop d.d. 14
februari 2022 nog steeds melding werd gedaan van de doeleinden voor de verwerking van
persoonsgegevens, met name: (a) Data Delivery, (b) Data Quality en (c) Intern gebruik41.
40
https://avg.blacktigerbelgium.tech/uw-professionele-gegevens/waarom-professioneel/.
41
De Geschillenkamer benadrukt dat de klachten geen betrekking hebben op het intern gebruik en dat er bovendien geen
onderzoek werd verricht naar het intern gebruik, met als gevolg dat de Geschillenkamer haar beoordeling zal beperken tot de
eerste twee verwerkingen.
Beslissing ten gronde 07/2024 - 23/114
71. De klager meent in het bijzonder dat de verweerder in februari 2022 de volgende uitleg
aanvoert met betrekking tot zijn Data Delivery dienstverlening:
“In het kader van onze Data Delivery activiteiten, commercialiseren wij uw persoonsgegevens
voor prospectie en direct marketing doeleinden, om de door onze klanten ter beschikking
gestelde databases te verrijken, om marketing profielen op te stellen en/of om
marktonderzoek uit te voeren.” 42
De klager poneert met andere woorden dat de verweerder zich, in tegenspraak met zijn
conclusies, anno 2022 nog steeds bezighield met direct marketingactiviteiten in het kader
van diens Data Delivery activiteiten — inbegrepen het opmaken van profielen van
betrokkenen — op basis van gegevens uit openbare bronnen zoals de Kruispuntbank van
Ondernemingen, terwijl dergelijke gegevens in beginsel louter bedoeld zijn om derden de
mogelijkheid te bieden bedrijfsgegevens na te kijken. Ook ten aanzien van de verwerking
van persoonsgegevens van consumenten zou de verweerder hebben aangegeven dat deze
door hem verwerkt worden, en in een aantal gevallen tevens aan diens klanten worden
verstrekt.
72. In zijn syntheseconclusie verduidelijkt de verweerder dat de omstreden mededeling op de
website louter het gevolg is van de overgangstermijnen bepaald in de overeenkomsten met
afnemers van de B2B Data Delivery dienstverlening, die tot 30 november 2021 gegevens uit
Spectron hadden ontvangen. Niettegenstaande de overdracht van de dienstverlening aan
[de onderneming Z6] op 1 december 202143, hadden deze klanten namelijk het recht om de
aangeleverde gegevens nog drie maanden te gebruiken, tot eind februari 2022. Om die
reden heeft de verweerder dus op zijn website informatie bijgehouden over de categorieën
van verzamelde gegevens, de doeleinden van de verwerking en de rechten van de
betrokkenen. De verweerder stelt dat dit overigens uitdrukkelijk wordt vermeld op de
webpagina https://avg.blacktigerbelgium.tech/uw-professionele-gegevens/, die voorafgaat
aan de webpagina waarop de beschrijving staat van de door de klager geciteerde
42
Conclusies van repliek van de klager d.d. 15 februari 2022, p. 2.
43
Zie randnr. 51 in deze beslissing.
Beslissing ten gronde 07/2024 - 24/114
verwerkingsdoeleinden. Kortom, de klager zou volgens de verweerder verkeerdelijk
poneren dat BLACK TIGER BELGIUM in 2022 nog steeds persoonsgegevens zou doorverkopen
aan diens klanten.
II.3.2.3. Verwerking van overheidsdata uit de KBO voor direct marketing
doeleinden, door BLACK TIGER BELGIUM
73. De klager stelt dat de contactgegevens van de entiteiten die geregistreerd zijn bij de
Kruispuntbank van Ondernemingen zowel via de “public search” webpagina als via
zogenaamde “KBO Webdiensten” of hergebruikbestanden beschikbaar worden gesteld.
Hoewel het wettelijk mogelijk is om een data licentie aan te kopen bij de KBO voor
hergebruik van bedrijfsgegevens, is het volgens de klager onduidelijk of de verweerder wel
beschikt over het nodige KBO-jaarabonnement om deze gegevens te mogen gebruiken.
Los van deze licentie voor hergebruik stelt de klager dat het volgens de Belgische wet op de
KBO niettemin uitdrukkelijk verboden is om KBO-data te gebruiken voor direct marketing,
met als gevolg dat het gebruik van KBO-data voor direct marketingdoeleinden door BLACK
TIGER BELGIUM op zijn minst een schending van de wet inhoudt.
De klager werpt op dat het ter beschikking stellen van KBO-data via de “public search”-
functionaliteit in overeenstemming is met artikel III.31 van het Wetboek van economisch
recht44 en overeenkomstig artikel 1 van het koninklijk besluit van 28 maart 2014 tot
uitvoering van artikel III.31 van het Wetboek van economisch recht 45, inzonderheid de
44
Wetboek van Economisch recht, B.S., 29 maart 2013, artikel III.31 — “Alle natuurlijke personen, rechtspersonen of entiteiten
hebben toegang, via het internet, tot gegevens bedoeld in het artikel III.29, § 1, ingeschreven in de Kruispuntbank van
Ondernemingen. Er wordt minstens voorzien in een vrij toegankelijke website waarop deze gegevens in een leesbaar formaat
terug te vinden zijn […]”.
45
Koninklijk besluit tot uitvoering van artikel III.31 van het Wetboek van economisch recht inzonderheid de bepaling van de
gegevens van de Kruispuntbank van Ondernemingen die via internet toegankelijk zijn evenals de voorwaarden voor het
raadplegen ervan, B.S., 28 april 2014, artikel 1 — “§ 1. De volgende gegevens van de Kruispuntbank van Ondernemingen zijn via
het Internet toegankelijk:
1° het ondernemingsnummer en het (de) vestigingseenheidsnummer(s);
2° de benamingen van de geregistreerde entiteit en/of van haar vestigingseenheden;
3° de adressen van de geregistreerde entiteit en/of van haar vestigingseenheden;
4° de rechtsvorm;
5° de rechtstoestand;
6° de economische activiteiten van de geregistreerde entiteit en van haar vestigingseenheden;
7° de hoedanigheden volgens welke de geregistreerde entiteit ingeschreven is in de Kruispuntbank van Ondernemingen;
8° […];
9° de naam en voornaam van de oprichters en van de personen die in de geregistreerde entiteit een functie uitoefenen
die onderworpen is aan bekendmaking;
10° de verwijzing naar de website van de geregistreerde entiteit, haar telefoon- en faxnummer alsook haar e-mailadres; […]
§ 2. De naam en het adres van de woonplaats van de natuurlijke persoon worden niet getoond bij de toegang tot de in paragraaf
1 vermelde gegevens, tenzij:
a) ofwel deze naam overeenkomt met de benaming van de geregistreerde entiteit of van haar vestigingseenheid;
b) ofwel het adres van de woonplaats overeenkomt met het adres van haar vestigingseenheid.
§ 3. Enkel de actieve gegevens, beoogd in paragraaf 1, worden vermeld.
§ 4. De gegevens die een begindatum hebben in de toekomst of die werden stopgezet, worden niet vermeld.
Beslissing ten gronde 07/2024 - 25/114
bepaling van de gegevens van de KBO die via internet toegankelijk zijn evenals de
voorwaarden voor het raadplegen ervan.
Met betrekking tot het verstrekken van contactgegevens in het kader van webdiensten of
hergebruikbestanden, meent de klager dat de KBO een aantal gegevens ter beschikking
stelt via het volledige bestand voor hergebruik van gegevens. Tussen deze gegevens zitten
onder meer informatie betreffende de entiteit en natuurlijk persoon alsook de namen en
voornamen van de personen die, binnen rechtspersonen, functies uitoefenen of de
ondernemersvaardigheden bewijzen.
74. De klager voegt hieraan toe dat men als verantwoordelijke voor een bedrijf ook zogenaamde
“declaratieve” bijkomende contactgegevens kan meedelen. Het verstrekken van dergelijke
contactgegevens in het kader van de webdiensten dan wel hergebruikbestanden van de
KBO dient in beginsel te geschieden overeenkomstig artikel III.33 van het Wetboek van
Economisch recht46 en het koninklijk besluit over het hergebruik van openbare gegevens
van de Kruispuntbank van Ondernemingen47, dat uitdrukkelijk verbiedt om openbare
gegevens uit het KBO voor direct marketingdoeleinden te gebruiken en/of te
herverspreiden:
“Artikel 2 — § 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen
overeenkomstig de nadere regels en de voorwaarden van dit besluit, door de beheersdienst
doorgegeven worden aan derden met het oog op hergebruik. Derden mogen evenwel geen
persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden.
§ 2. De beheersdienst mag noch het identificatienummer in het Rijksregister noch het
identificatienummer in de Kruispuntbank van de Sociale Zekerheid aan derden doorgeven.
§ 3. De bijzondere voorwaarden voor het hergebruik worden vastgesteld in een
licentieovereenkomst tussen de licentienemer en de Belgische Staat.”
Dit verbod zou volgens de klager ook opgenomen zijn in de privacyverklaringen alsook de
licentieovereenkomsten van de Kruispuntbank van Ondernemingen:
“2.2 De licentienemer mag de persoonsgegevens niet gebruiken voor direct-marketing
doeleinden, in overeenstemming met artikel 2 van het koninklijk besluit van 18 juli 2008
In afwijking van het eerste lid, gezien het gaat om een stopgezette geregistreerde entiteit, worden de gegevens, beoogd in
paragraaf 1, vermeld die actief waren op het ogenblik van de stopzetting van de geregistreerde entiteit”.
46
Wetboek van Economisch recht, B.S., 29 maart 2013, artikel III.33 — “Zonder afbreuk te doen aan de bepalingen van de
artikelen III.29 en III.30, stelt de Koning, na advies van het Toezichtcomité, de gegevens van de Kruispuntban van
Ondernemingen vat die het voorwerp kunnen uitmaken van een commercieel of niet-commercieel hergebruik alsook de
modaliteiten inzake hun terbeschikkingstelling. Enkel de beheersdienst mag deze basisgegevens aan ondernemingen
verstrekken”.
47
Koninklijk besluit van 18 juli 2008 betreffende het commercieel hergebruik van publieke gegevens van de Kruispuntbank
van Ondernemingen, B.S., 29 oktober 2008.
Beslissing ten gronde 07/2024 - 26/114
betreffende het hergebruik van publieke gegevens van de Kruispuntbank van
Ondernemingen.”
75. In zijn conclusies van dupliek verklaart de verweerder dat hij een datalicentie heeft
afgesloten met de KBO en zich ook houdt aan de gebruiksvoorwaarden van deze licentie.
Het staat volgens de verweerder dus vast dat hij KBO-gegevens niet gebruikt voor direct
marketingdoeleinden, doch uitsluitend voor Data Quality doeleinden verwerkt. De
verweerder benadrukt overigens dat “direct marketing” nergens als nagestreefde
commercieel doeleinde vermeld wordt in de licentieovereenkomst afgesloten tussen BLACK
TIGER BELGIUM en de FOD Economie.
76. Ofschoon hij in zijn eerste verweermiddelen uitdrukkelijk zou verklaard hebben dat de
bedrijfs- en contactgegevens van Belgische bedrijven in het referentiebestand “Spectron”
— welke onrechtstreeks verkregen zijn via zowel publieke/overheidsbronnen (KBO, NBB) als
via commerciële gegevensbronnen — eveneens voor direct marketingdoeleinden gebruikt
werden, stelt de verweerder tijdens de hoorzitting d.d. 22 februari 2023 evenwel dat “het
niettemin duidelijk is dat BLACK TIGER BELGIUM geen gegevens afkomstig uit het KBO voor
direct marketingdoeleinden verwerkt”.
77. In zijn schriftelijke bemerkingen omtrent het proces-verbaal van de hoorzitting d.d. 22
februari 2023 benadrukt de verweerder daarbovenop dat BLACK TIGER BELGIUM zelf nooit de
verzender van promotionele berichten is geweest, noch de ontwerper van de inhoud van
dergelijke berichten. Het zijn namelijk steeds de klanten van de verweerder die
verantwoordelijk zijn voor het selecteren van adressen en het versturen van
reclameboodschappen naar deze adressen.
Hoe dan ook staat dit volgens de verweerder niet in de weg dat zijn klanten diezelfde
gegevens zelf kunnen verwerken voor direct marketing doeleinden, met dien verstande dat
zij deze verwerkingen dan uitvoeren met behulp van gegevens die reeds in hun bezit zijn, en
dus geenszins werden aangeleverd door BLACK TIGER BELGIUM.
Tot slot voert de verweerder aan dat de enige in het geding zijnde verwerkingen de
promotiecampagnes per post betreffen, met uitsluiting van alle digitale of andere
communicatiemiddelen.
II.3.2.4. Massale verwerking van persoonsgegevens van minderjarigen zonder
toestemming
78. De klager stelt op basis van de antwoorden op de verzoeken tot inzage vast dat de
verweerder persoonsgegevens van minderjarigen verwerkt, in casu de minderjarige
kinderen van de klagers. Deze gegevens zouden verkregen zijn via [de onderneming Z7],
alsmede andere commerciële bedrijven zoals [de onderneming Z8] en [de onderneming Z9].
Beslissing ten gronde 07/2024 - 27/114
De klager verwijst wat dit betreft naar het vermeende aandeel van 21,10% van de Belgische
bevolking waarvan [de onderneming Z6] persoonsgegevens verwerkt, om te concluderen
dat de verweerder een nog veel groter volume van data verwerkt, onder meer dankzij de
data die de verweerder aankoopt van bijkomende leveranciers.
79. In zijn conclusies van dupliek daarentegen, wijst de verweerder erop dat hij slechts over
beperkte gegevens (geboortedatum en geslacht van het kind, in relatie tot de in het
bronbestand geïdentificeerde ouder) van minderjarigen beschikt. Deze gegevens worden
uitsluitend gebruikt voor segmentatiedoeleinden. In geen geval heeft de verweerder
gegevens van minderjarigen verstrekt aan zijn klanten, waarmee deze rechtstreeks aan
minderjarigen reclame zouden kunnen zenden.
II.3.2.5. Bewaartermijnen van toepassing op de verzamelde persoonsgegevens
80. Tijdens de hoorzitting d.d. 22 februari 2023 betreurt de klager de uitzonderlijk lange
bewaartermijnen van 15 jaar na de laatste registratie in de databanken van de verweerder.
De klager stelt dat indien data op eender welke manier wederom geregistreerd worden in de
databanken van de verweerder, een nieuw termijn van 15 jaar aanvangt. Dit zou overigens
blijken uit de informatie die de klagers in het antwoord van de verweerder ontvingen, waarin
gegevens opgenomen zijn die meer dan 15 jaar oud zijn, onder andere gegevens van hun
kinderen en een aantal “verouderde mail adressen die al terug gaan naar midden jaren ‘90”.
81. Op de vraag van de Geschillenkamer tijdens de hoorzitting d.d. 22 februari 2023, omtrent
welke maatregelen getroffen werden om de kwaliteit te beoordelen en te waarborgen van
persoonsgegevens die 15 jaar oud zijn, repliceert de verweerder louter bevestigend dat de
persoonsgegevens in beginsel voor een periode van 15 jaar bewaard blijven. Wanneer de
klager vervolgens opwerpt dat de huidige privacyverklaring evenwel een bewaartermijn van
3 of 10 jaar vermeldt, afhankelijk van de categorie van betrokkene, antwoordt de verweerder
dat de huidige privacyverklaring niet aan de orde is vermits de klacht evenals het
onderzoeksverslag, die beide het voorwerp uitmaken van de onderhavige procedure voor
de Geschillenkamer, betrekking hebben op de periode vóór juni 2021.
82. Daarnaast benadrukt de verweerder in het kader van de heropening van de debatten 48 dat
de oude privacyverklaring “thans volledig teniet gedaan en vervangen” werd. Verder stelt de
verweerder dat de privacyverklaring op de website 49 bestemd is voor het brede publiek, in
tegenstelling tot de privacyverklaring die van toepassing is op betrokkenen die direct
marketingcommunicaties hebben ontvangen, waarop de verweerder bij naam vermeld
48
Conclusies van de verweerder (“Aanvullende Conclusie Black Tiger (1002387.1)”) overgemaakt aan de Geschillenkamer op
11 september 2023.
49
https://www.blacktigerbelqium.tech/privacy-policv.
Beslissing ten gronde 07/2024 - 28/114
wordt50. Dit onderscheid, dat volgens de verweerder geen betrekking heeft op de aard van
de persoonsgegevens, wordt overigens uitdrukkelijk benadrukt op de eerste pagina van de
aangepaste algemene privacyverklaring — dewelke niettemin ontoereikend zou zijn voor de
voorliggende zaak, aldus de verweerder.
II.3.2.6. Verrijken van persoonsgegevens met persoonlijke impact
83. De klager poneert dat de verweerder persoonlijke profielen verrijkt aan de hand van
statistische data afkomstig van het Nationaal Instituut voor Statistiek, alsook dat de
gevolgen van deze verrijking aanzienlijk en direct voelbaar zijn voor betrokkenen. De klager
verwijst in het bijzonder naar een specifieke onderneming die de kredietwaardigheid van
haar klanten zou bepalen op basis van profielgegevens evenals data aangeleverd door de
verweerder. Uit het antwoord van de verweerder op de verzoeken tot inzage zou tevens
blijken dat de profielen van de klagers als “Sociale klasse: elite klasse” geclassificeerd
worden51.
84. In zijn conclusies van dupliek betwist de verweerder deze bewering van de klager, die niet
gestaafd wordt door de stukken in het dossier.
85. Tijdens de hoorzitting voor de Geschillenkamer d.d. 22 februari 2023 wordt aan de
verweerder de vraag gesteld in welke mate zijn Data Quality dienstverlening — waarbij de
klanten van de verweerder eigen klantenbestanden delen met de verweerder voor
kwaliteitscontrole, i.e. teneinde na te gaan of de persoonsgegevens voldoende
vertrouwenswaardig zijn — tevens (een vorm van) dataverrijking inhoudt. De verweerder
antwoordt dat hij bij ontvangst van klantendata over een specifieke betrokkene uitsluitend
zal nagaan of er ondertussen relevanter data gekend zijn over diezelfde betrokkene — bij
wijze van voorbeeld, een e-mailadres dat recenter in gebruik werd genomen — alvorens een
score toe te kennen met betrekking tot de aangeleverde data en deze score mee te delen
aan de klant. Er worden volgens de verweerder dus geen nieuwe persoonsgegevens
overgemaakt aan de klanten in het kader van de Data Quality dienstverlening.
II.3.3. Oordeel van de Geschillenkamer
86. Voorafgaand aan haar beoordeling ten gronde over de rechtmatigheid van de verwerking
van de persoonsgegevens van de klager door de verweerder, wenst de Geschillenkamer te
benadrukken dat zij, in tegenstelling tot wat de verweerder aandraagt in zijn reactie d.d. 24
50
Beschikbaar op de website https://avg.blacktigerbelgium.tech.
51
Stuk 2 (“Reactie op het verzoek om toegang van 13 november 2020 van Bisnode Belgium”), p. 3 en Stuk 3 (“Reactie op het
verzoek om toegang van 23 december 2020 van Bisnode Belgium”), p. 2, zoals overgemaakt aan de Geschillenkamer in het
kader van de conclusies van antwoord.
Beslissing ten gronde 07/2024 - 29/114
november 2023 op het sanctieformulier52, geenszins “een onbegrijpelijke verwarring” zou
creëren “tussen de activiteiten van Data Delivery en Data Quality”. Tevens betwist de
Geschillenkamer de stelling van de verweerder dat er geen tegensprekelijk debat werd
geopend wat betreft de Data Quality dienstverlening. Geen van beide middelen overtuigen,
om de hierna volgende redenen.
Ten eerste hebben de grieven van de klagers betrekking op de verwerking van hun
persoonsgegevens door de verweerder, zonder dat de klagers hierbij uitdrukkelijk een
onderscheid maken tussen de verschillende dienstverleningen die de verweerder aanbiedt.
Dit is ook logisch; van betrokkenen kan immers niet verlangd worden dat zij de commerciële
benamingen die een verwerkingsverantwoordelijke geeft aan de verwerkingsactiviteiten
die hij uitvoert, uitdrukkelijk dienen te vermelden in hun klacht bij de GBA. Daarbij komt ook
nog dat de verweerder in zijn antwoorden op beide verzoeken tot inzage geen enkel
onderscheid maakt naargelang de dienstverlening waarvoor de persoonsgegevens van de
klager resp. de klaagster verwerkt werden. Specifiek voor de klager onderscheidt de
verweerder daarentegen tussen het consumentenbestand, enerzijds, en het
bedrijvenbestand, anderzijds.
Ten tweede wordt in het onderzoeksverslag uitdrukkelijk verwezen naar het antwoord d.d.
21 april 2021 van de functionaris voor gegevensbescherming (hierna, DPO) van de
verweerder op de vragen van de Inspectiedienst, waarin evenmin een onderscheid wordt
gemaakt tussen de Data Quality en Data Delivery dienstverleningen. Uit dat antwoord blijkt
heel duidelijk dat de verweerder beide diensten gezamenlijk als “commerciële activiteiten”
omschrijft:
“14. Zoals aangegeven in de brieven in antwoord op de verzoeken van de klagers om recht op
toegang, heeft Bisnode België hun gegevens verwerkt in het kader van haar commerciële
activiteiten op basis van artikel 6 1 f) van de AVG” (vrije vertaling)53.
Ten derde werden er tijdens de hoorzitting d.d. 22 februari 2023 vragen gesteld aan de
verweerder die uitdrukkelijk verband hielden met de Data Quality dienstverlening. De
verweerder heeft tijdens de hoorzitting echter nooit bezwaar getekend tegen het stellen
van deze vragen, die hij overigens beantwoord heeft. Tevens stond het de verweerder vrij
om in zijn reactie op het proces-verbaal van de hoorzitting de vermeende “verwarring”
tussen beide dienstverleningen aan te kaarten en te betwisten, wat hij wederom niet heeft
gedaan.
Tot slot kan de verweerder bezwaarlijk ontkennen dat hij reeds in zijn eerste
verweermiddelen d.d. 24 januari 2022 ambtshalve beide dienstverleningen heeft toegelicht
52
Reactie van de verweerder op het sanctieformulier d.d. 31 oktober 2023, p. 2, punt (i), en p. 3 ,punt (iii).
53
“14. Comme indiqué dans les lettres en réponse aux demandes de droit d’accès des plaignants, Bisnode Belgium a traité
leurs données dans le cadre de ses activités commerciales sur base de l’article 6 1 f) du RGPD”.
Beslissing ten gronde 07/2024 - 30/114
en hierbij heeft verwezen naar de gedocumenteerde belangenafwegingen voor de
verschillende databanken54, waarin overigens geen wezenlijk onderscheid wordt gemaakt
naargelang de Data Quality of Data Delivery dienstverleningen55. Het staat met andere
woorden vast dat de verweerder zich zowel tijdens het onderzoek als in het kader van de
schriftelijke debatten voor de Geschillenkamer heeft kunnen verweren ten aanzien van de
Data Quality alsook de Data Delivery dienstverlening, hetgeen afdoende wordt aangetoond
door de stukken overgemaakt in het kader van de conclusies van antwoord.
87. Volgens artikel 5.1.a) AVG moeten persoonsgegevens op een ten aanzien van de
betrokkenen rechtmatige, behoorlijke en transparante wijze worden verwerkt. Voorts
bepaalt artikel 6.1 AVG dat de verwerking van persoonsgegevens slechts rechtmatig is
indien en voor zover deze rust op een geldige rechtsgrond. De
verwerkingsverantwoordelijke moet ten slotte kunnen aantonen dat de verwerking
rechtmatig is, gelet op de verantwoordingsplicht die krachtens artikel 5.2 juncto artikel 24.1
AVG op hem rust.
88. Op basis van de aangeleverde stukken stelt de Geschillenkamer vast dat de verweerder zich
op artikel 6.1.f) AVG (gerechtvaardigd belang) beroept voor de verzameling en de verwerking
van persoonsgegevens in CMX en Spectron, terwijl de toestemming van betrokkenen als
verwerkingsgrondslag geldt voor de gegevensverwerking in het kader van Permesso.
In het kader van de onderhavige zaak begrijpt de Geschillenkamer evenwel dat de
persoonsgegevens van de klagers niet in Permesso verwerkt werden 56. Derhalve zal de
Geschillenkamer haar beoordeling te dezen beperken tot de gegevensverwerkingen die
betrekking hebben op de CMX en Spectron databanken.
89. De verweerder bevestigt in zijn conclusies dat hij een beroep doet op artikel 6.1.f) AVG voor
de verzameling van persoonsgegevens van betrokkenen uit publieke en private bronnen,
alsmede voor de opname en verrijking van diezelfde persoonsgegevens in verschillende
interne databanken, alvorens deze persoonsgegevens te commercialiseren aan zijn klanten
in het kader van zowel Data Delivery als Data Quality diensten57, voor direct
marketingdoeleinden58. Dit wordt verder gestaafd door de antwoorden van de verweerder
aan beide klagers, ingevolge hun verzoeken tot inzage:
54
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
55
Zie randnrs. 64 e.v. in deze beslissing.
56
Stuk 2 (“Reactie op het verzoek om toegang van 13 november 2020 van Bisnode Belgium”), zoals overgemaakt aan de
Geschillenkamer in het kader van de conclusies van antwoord.
57
Conclusies van antwoord van de verweerder d.d. 24 januari 2022, p. 11; Conclusies van dupliek van de verweerder d.d. 7 maart
2022, p. 21
58
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
Beslissing ten gronde 07/2024 - 31/114
“Uw gegevens worden door ons verwerkt op basis van volgende rechtsgrond, met name het
nastreven van ons gerechtvaardigd belang (art. 6.1.f van de Algemene Verordening
Gegevensbescherming) in het kader van onze commerciële activiteiten.”59
“Zoals beschreven in het Privacybeleid, beschikbaar op www.bisnodeenu.be, verwerken wij
uw persoonsgegevens in overeenstemming met de AVG. Deze gegevensverwerking is
enerzijds noodzakelijk om het gerechtvaardigd belang van Bisnode Belgium te behartigen,
anderzijds om het gerechtvaardigd belang van andere te behartigen. (artikel 6.1.f AVG).”60
90. Aangezien het dus vaststaat dat de verweerder persoonsgegevens van de klagers
uitsluitend verwerkte op grond van artikel 6.1.f) AVG, zal de Geschillenkamer zich niet buigen
over de verwerking van persoonsgegevens door de verweerder op basis van de
toestemming van betrokkenen61.
91. Overeenkomstig artikel 6.1.f) AVG en de rechtspraak van het Hof van Justitie van de
Europese Unie (hierna “HvJEU”) in zijn arrest “Rīgas”62, dient aan drie cumulatieve
voorwaarden voldaan te zijn opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan
beroepen op deze rechtmatigheidsgrond 63, te weten:
“[…] in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de
verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in
de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de
behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de
fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon
niet prevaleren”
92. Teneinde zich conform artikel 6.1.f) AVG te kunnen beroepen op gerechtvaardigd belangen,
dient een verwerkingsverantwoordelijke dus aan te tonen dat:
i. de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen
worden erkend (de “doeltoets”);
ii. de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen
(de “noodzakelijkheidstoets”); en
iii. de afweging van deze belangen ten opzichte van de belangen, fundamentele
vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
59
Antwoord van de verweerder aan de klaagster, d.d. 13 november 2020.
60
Antwoord van de verweerder aan de klager, d.d. 23 december 2020.
61
I.e., in het kader van de website www.permesso.be en in de databank Permesso.
62
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme” (ECLI:EU:C:2017:336), randnr. 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari
bloc M5A-ScaraA (ECLI:EU:C:2019:1064), randnr. 40.
63
Zie ook Beslissing ten gronde 71/2020 van 30 oktober 2020, randnrs. 68-73 (beschikbaar op de website van de GBA).
Beslissing ten gronde 07/2024 - 32/114
De Geschillenkamer zal in de volgende secties de omstreden gegevensverwerkingen64 aan
de drie voornoemde voorwaarden toetsen.
II.3.3.1. Doeltoets
93. De Geschillenkamer herinnert eraan dat de belangenafweging geen rol speelt indien het
belang van de verwerkingsverantwoordelijke ongerechtvaardigd is, vermits de eerste
drempel voor het gebruik van artikel 6.1.f) AVG in dergelijke omstandigheden niet is
bereikt65. Het belang dat wordt nagestreefd door een verwerkingsverantwoordelijke of
derde partij moet overigens onderscheiden worden van de doelstellingen die middels een
bepaalde verwerking worden nagestreefd66. In de context van gegevensbescherming is het
“doeleinde” immers de specifieke reden waarom de gegevens worden verwerkt: de
doelstelling of de bedoeling van de gegevensverwerking. Het “belang” is daarentegen een
ruimer begrip en ziet op de waarde voor de verwerkingsverantwoordelijke of het voordeel
dat de verwerkingsverantwoordelijke, of de maatschappij, bij de verwerking kan hebben 67.
94. Aangezien het haar niet betaamt om in abstracto te oordelen over de praktijk van
dataverhandeling noch over de bredere zogenaamde data brokerage of data intermediaries
industrie, zal de Geschillenkamer haar oordeel in de onderhavige zaak in concreto vellen, op
grond van de verschillende documenten die de partijen zowel tijdens het onderzoek als in
het kader van de verweermiddelen hebben overhandigd, waaruit een gedetailleerde analyse
blijkt van de verschillende aandachtspunten die verband houden met de activiteiten de
verweerder als gegevensmakelaar.
95. Wat de eerste voorwaarde betreft om een beroep te doen op artikel 6.1.f) AVG, verklaart de
verweerder in de neergelegde rechtmatige belangenafwegingen (legitimate interest
assessment, hierna ‘LIA’) dat de verwerkingsactiviteiten die gepaard gaan met CMX68 resp.
Spectron69 de volgende doelen nastreven:
“[…] het verbeteren en vergroten van zijn eigen consumentendatabase Consu-Matrix [resp.
B2B database Spectron], om betere diensten te kunnen leveren. Deze diensten kunnen
bestaan uit (i) gegevensanalyse, (ii) verrijking, validatie of andere "Data Quality"-diensten die
erop gericht zijn de kwaliteit van de gegevens van de klanten van Bisnode te verbeteren, en
64
Zie randnr. 52 in deze beslissing.
65
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), p. 30.
66
Ibidem, p. 29.
67
Ibidem, p. 29: "Een bedrijf kan er bijvoorbeeld belang bij hebben de gezondheid en veiligheid van zijn werknemers bij een
kerncentrale te verzekeren. In verband hiermee kan het bedrijf de tenuitvoerlegging als doeleinde hebben van specifieke
procedures voor toegangscontrole die de verwerking rechtvaardigt van bepaalde gespecificeerde persoonsgegevens om de
gezondheid en veiligheid van werknemers te helpen verzekeren”.
68
Stuk 2, zoals overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek; Stuk 5, zoals
overgemaakt aan de Geschillenkamer in het kader van de conclusies van antwoord.
69
Stuk 3, zoals overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek; Stuk 6, zoals
overgemaakt aan de Geschillenkamer in het kader van de conclusies van antwoord.
Beslissing ten gronde 07/2024 - 33/114
(iii) levering van gegevensreeksen voor direct marketingdoeleinden op basis van specifieke
criteria (segmentering) die offline en digitale kanalen, waaronder sociale media, bestrijken. ”70
96. In het bijzonder zou de verweerder middels de verwerkingen van persoonsgegevens
opgenomen in de CMX databank evenals de Spectron databank dus de volgende specifieke
doelstellingen nastreven71:
i. de commercialisering en optimalisering van de activiteiten van BLACK TIGER
BELGIUM als gegevensmakelaar;
ii. de verbetering van de kwaliteit van de gegevens in de databanken van klanten, in
het bijzonder door deze gegevens te valideren, corrigeren en aan te vullen aan de
hand van de persoonsgegevens waarover BLACK TIGER BELGIUM reeds beschikt;
iii. de groepering van persoonsgegevens die een bedrijf over een bepaalde persoon
bezit; en
iv. de analyse van gegevens en het opstellen van marktsegmentatieprofielen om de
voorkeuren van betrokkenen af te leiden, zodat (i) klantbedrijven hen geschikte
producten/diensten kunnen aanbieden die overeenkomen met hun professionele
en persoonlijke situatie en met de producten/diensten die zij al bezitten, en
(ii) sociale netwerken of andere media de advertenties op webpagina’s van
klantbedrijven kunnen aanpassen aan de belangstelling die betrokkenen hebben
getoond.
De Geschillenkamer merkt op, mede gelet op de door de verweerder gebruikte bewoording,
dat de nagestreefde doelstellingen zowel voor de Data Delivery als de Data Quality
dienstverlening gelden, ongeacht of de verwerkte persoonsgegevens zich in de CMX
databank (B2C) bevinden dan wel in de Spectron databank (B2B).
97. De “gerechtvaardigde” aard van een nagestreefd belang kan doorgaans worden
verondersteld voor zover er aan de drie volgende voorwaarden is voldaan:
i. Het nagestreefde belang moet vooreerst rechtmatig zijn, oftewel aanvaardbaar
onder de EU-wetgeving of de wetgeving van een lidstaat 72. Zodus geldt als
70
Oorspronkelijke tekst: “[…] to enhance and increase its proprietary consumer database Consu-Matrix [/ B2B database
Spectron], in order to deliver better services. Those services may include (i) data analyse, (ii) enrichment, validation or other
"Data Quality" services aimed at improving the quality of the data held by Bisnode's customers, and (iii) delivery of data sets for
direct marketing purposes on the basis of specific criteria (segmentation) covering offline and digital channels, including social
media”.
71
Stuk 2, zoals overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek; Stuk 5, zoals
overgemaakt aan de Geschillenkamer in het kader van de conclusies van antwoord (CMX); Stuk 3, zoals overgemaakt door de
verweerder aan de Inspectiedienst in het kader van het onderzoek; Stuk 6, zoals overgemaakt aan de Geschillenkamer in het
kader van de conclusies van antwoord (Spectron).
72
De Geschillenkamer is er zich van bewust dat de vraag of elk belang een gerechtvaardigd belang zijn, mits dat belang niet in
strijd is met de wet, en dan met name de vraag of dit ook geldt voor een zuiver commercieel belang, aan het Hof van Justitie is
voorgelegd in zaak C-621/22, Koninklijke Nederlandse Lawn Tennisbond. Het hier gestelde geeft de huidige stand van het
recht weer.
Beslissing ten gronde 07/2024 - 34/114
algemene regel dat belangen die erkend door dan wel herleid kunnen worden tot
een wetgevende maatregel of een rechtsbeginsel, een rechtmatig belang kunnen
vormen. Vanzelfsprekend mag het nagestreefde belang dus niet in strijd zijn met
de wet, inclusief wettelijke beperkingen met betrekking tot de betreffende
persoonsgegevens.
ii. Het nagestreefde belang dient tevens op een voldoende duidelijke en nauwkeurige
manier te worden vastgesteld: de omtrek van het nagestreefde rechtmatige belang
moet duidelijk worden omschreven opdat dit belang naar behoren kan worden
afgewogen tegen de belangen of fundamentele rechten en vrijheden van de
betrokkenen.
iii. Tenslotte moet het gerechtvaardigd belang bestaande en effectief zijn ten tijde
van de gegevensverwerking (en dus niet fictief of louter hypothetisch73).
98. In de voorliggende zaak is de Geschillenkamer van oordeel dat de voor de B2C Data Delivery
resp. de B2C Data Quality dienstverleningen aangevoerde belangen, te weten:
i. het belang voor de verweerder om zijn databanken te verrijken en te
commercialiseren in het kader van zijn vrijheid van onderneming; en
ii. het belang van de klanten van de verweerder om de meest actuele
persoonsgegevens te verkrijgen teneinde hun eigen databanken te verrijken of hun
juistheid te bevestigen in het licht van het beginsel van juistheid 74, met als oogmerk
het voeren van doeltreffende direct marketingcampagnes;
duidelijk vastgelegd, afgebakend, reëel en actueel zijn, met als gevolg dat de nagestreefde
belangen legitiem zijn.
99. Aangaande de specifieke grieven van de klager dat de verweerder KBO-gegevens (in
Spectron) ook voor direct marketingdoeleinden zou aanwenden, stelt de Geschillenkamer
evenwel vast dat de desbetreffende weerleggingen van de verweerder75 niet
overeenkomen met de door hem aangeleverde documentatie, noch met de
schermafdrukken van zijn website : 76
73
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), randnr. 44.
74
Krachtens overweging 39 en artikel 5.1.d) AVG.
75
Zie randnrs 75 t.e.m. 77 in deze beslissing.
76
Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 12 (“Schermafdrukken van de website https://bisnodeandyou.be/”) in de inventaris.
Beslissing ten gronde 07/2024 - 35/114
100. De Geschillenkamer merkt tevens op dat de voorwaarden in Bijlage 2 bij de
licentieovereenkomst voor het gebruik van gegevens uit de KBO voor commerciële
doeleinden77, niet enkel het eigen gebruik voor direct marketing verbieden, maar ook het
herverspreiden van deze gegevens voor direct marketing doeleinden verbieden:
Voorlopig besluit — Voor zover de verweerder in het kader van zijn B2B Data Delivery
dienstverlening en B2B Data Quality dienstverlening dus effectief gegevens uit de KBO zou
verwerken voor direct marketing-gerelateerde doeleinden, zoals overigens beschreven in
de belangenafweging voor de Spectron databank 78, oordeelt de Geschillenkamer dat BLACK
77
Stuk 19 ("KBO licentieovereenkomst Bisnode (790517.1)”) neergelegd bij de conclusies van dupliek van de verweerder, p. 16.
78
Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 1.
Beslissing ten gronde 07/2024 - 36/114
TIGER BELGIUM zich onmogelijk kan beroepen op artikel 6.1.f) AVG voor deze verwerkingen
vermits er niet voldaan is aan de rechtmatigheidsvoorwaarde.
II.3.3.2. Noodzakelijkheidstoets
101. Naast het bestaan van een gerechtvaardigd belang, moet de verwerkingsverantwoordelijke
ook de noodzakelijkheid van de verwerking voor dat belang aantonen alvorens een beroep
te kunnen doen op artikel 6.1.f) AVG. Het Hof van Justitie heeft dienaangaande benadrukt
dat de voorwaarde inzake de noodzakelijkheid van de verwerking voor het beoogd belang in
samenhang met het beginsel van minimale gegevensverwerking, zoals vastgelegd in artikel
5.1.c) AVG79, moet worden onderzocht.
De noodzakelijkheidsvereiste is immers van belang om te garanderen dat de
gegevensverwerking op basis van gerechtvaardigd belang niet leidt tot een te ruime
interpretatie van het criterium inzake de noodzaak om gegevens te verwerken.
Persoonsgegevens moeten derhalve steeds toereikend zijn, ter zake dienend en beperkt tot
wat noodzakelijk is voor de behartiging van de belangen waarvoor zij worden verwerkt.
Concreet dient de verweerder ervoor te zorgen dat er geen minder ingrijpende middelen in
termen van impact op de persoonlijke levenssfeer van de betrokkenen voorhanden zijn om
dit belang te bereiken, dan de beoogde verwerking uit te voeren 80. Bij deze beoordeling moet
ook rekening worden gehouden met het beginsel van opslagbeperking onder artikel 5.1.e)
AVG.
102. Teneinde te kunnen beoordelen of de verwerking de noodzakelijkheidstoets doorstaat, acht
de Geschillenkamer het wederom van belang om naast de ingediende verweermiddelen ook
de documentatie aangeleverd tijdens het onderzoek en in het kader van de conclusies in
aanmerking te nemen. De verweerder licht namelijk de noodzaak van de omstreden
verwerking toe, door drie vragen te beantwoorden in het kader van de beoordeling van de
belangen die hij inzake CMX resp. Spectron aandraagt als zijnde gerechtvaardigd81:
i. Waarom is de verwerkingsactiviteit belangrijk voor de verwerkingsverantwoordelijke?
ii. Waarom is de verwerkingsactiviteit belangrijk voor andere partijen aan wie de gegevens
desgevallend kunnen worden verstrekt?
iii. Kan de doelstelling op een andere manier worden verwezenlijkt? 82
79
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), randnr. 48.
80
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), p. 35.
81
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
82
(1) “Why is the processing activity important to the Controller?”; (2) “Why is the processing activity important to other parties
the data may be disclosed to, if applicable?”; (3) “Is there another way of achieving the objective?”.
Beslissing ten gronde 07/2024 - 37/114
103. De Geschillenkamer stelt op basis van de aangeleverde documentatie vooreerst vast dat er
geen wezenlijk verschil bestaat tussen de beoordeling inzake de verwerkingen die
betrekking hebben op persoonsgegevens opgenomen in de CMX databank (B2C) en de
beoordeling van de verwerkingen van persoonsgegevens opgenomen in de Spectron
databank (B2B). De hierna volgende uiteenzetting geldt bijgevolg voor beide databanken.
104. Als antwoord op de eerste vraag verwijst de verweerder naar het voordeel dat hij zelf uit de
verwerking van persoonsgegevens haalt, en in het bijzonder naar de noodzaak van de
verwerking voor de voortzetting van zijn economische activiteiten 83. Dit standpunt geldt
zowel voor de Data Delivery als voor de Data Quality dienstverlening84.
105. Voor wat betreft de behartiging van de belangen van derden (tweede vraag), maakt de
verweerder daarentegen wel een onderscheid naargelang de dienstverlening.
i. B2C/B2B Data Delivery dienstverlening — De verweerder wijst op het voordeel
voor diens klanten om prospects te kunnen bereiken, consumenten- of
ondernemersdoelgroepen te selecteren via verschillende kanalen (post, telefoon,
sociale media, ...) en zodoende hun omzet te verhogen. De verwerking zou met
andere woorden noodzakelijk zijn voor de verrijking van de databanken van de
klanten van BLACK TIGER BELGIUM met aanvullende contactgegevens van
consumenten en ondernemers, opdat deze klanten via nieuwe
communicatiekanalen contact zouden kunnen opnemen met hun eigen prospects
en consumenten voor direct marketingdoeleinden. Daarnaast zouden de klanten
van BLACK TIGER BELGIUM aan de hand van de aangevulde attributen hun eigen
klantendatabanken beter kunnen analyseren en segmenteren op basis van
verrijkte profileringsgegevens, wederom met het oog op het verzenden van direct
marketingcommunicaties.
ii. B2C/B2B Data Quality dienstverlening — De verwerking van persoonsgegevens
opgenomen in het CMX bestand alsmede de Spectron databank beoogt de
kwaliteit van de databanken van de klanten van BLACK TIGER BELGIUM te verbeteren,
waardoor dubbele invoeren op individueel of huishoudelijk niveau in de databanken
van de klanten samengevoegd kunnen worden en retourverzendingen vanwege
verkeerde consumentenadressen vermeden kunnen worden85.
106. Wat de derde vraag betreft, poneert de verweerder summier dat andere methodes om de
belangen te verwezenlijken minder zekerheid zouden bieden en er niet zouden toe bijdragen
83
“The benefit of the processing for Bisnode Belgium is the continuation of its economic activities”.
84
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 4; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord
van de verweerder, p. 4.
85
“The benefit of the processing for the Bisnode clients is multiple: […] To improve the quality of their database: Avoid postal
returns because of bad addresses […] Be able to group a same person/household that is several times in the database”.
Beslissing ten gronde 07/2024 - 38/114
de relatie tussen de klanten van BLACK TIGER BELGIUM en de betrokkenen te verdiepen.
Dienvolgens bestaan er volgens de verweerder geen minder intrusieve doch even effectieve
maatregelen om bestaande klantenrelaties te verdiepen en meer verkoop te genereren dan
direct marketing. Dit standpunt geldt eveneens voor zowel de Data Delivery dienstverlening
als voor de Data Quality dienstverlening86.
Minimale gegevensverwerking — 5.1.c) AVG
107. Teneinde de noodzakelijkheid van deze verwerkingsactiviteiten voor de beoogde belangen
te kunnen beoordelen, neemt de Geschillenkamer ook de verwerkte persoonsgegevens in
aanmerking. Steunend op de schermafdrukken van het privacy beleid op de website, de
gezamenlijke gegevensbeschermingseffectbeoordeling (GEB) voor de drie databanken, het
register van verwerkingsactiviteiten alsook het antwoord van de DPO van BISNODE BELGIUM
op de vragen van de Inspectiedienst en de gedetailleerde antwoorden die de klagers van de
verweerder — toen nog BISNODE BELGIUM — ontvingen, stelt de Geschillenkamer vast87 dat
BLACK TIGER BELGIUM de volgende categorieën van persoonsgegevens verwerkt(e) in zijn
databanken:
i. Schermafdrukken van het privacy beleid d.d. 31 maart 202188 (CMX, B2C) — Naam,
voornaam, geslacht, taal, leeftijd (of geboortedatum of vermoedelijke
leeftijdsgroep), adres, vaste telefoon, mobiele telefoon, e-mailadres, datum van
laatste contactopname van de gegevensbron met de betrokkene, statistische
gegevens op wijk of gemeenteniveau (gemiddelde inkomen in de wijk waar mensen
wonen, percentage eigenaars/huurders, tuinen, werkloosheidspercentage…),
observatiegegevens (oppervlakte van gronden, aanwezigheid van zonnepanelen…),
afgeleide gegevens, marketingprofielen.
ii. Schermafdrukken van het privacy beleid d.d. 31 maart 202189 (Spectron, B2B)
- Bedrijfsgegevens — Naam van het bedrijf, ondernemings- en btw-nummer,
contactpunten, RSZ-nummer, activiteitensector volgens NACE, paritair comité,
omvang van het bedrijf, aantal tewerkgestelde werknemers, oprichtingsdatum,
gegevens van en aantal vestigingen/bijkantoren/franchisehouders,
webpagina’s, financiële informatie (incl. eventuele solvabiliteit en faillissement).
86
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 5; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord
van de verweerder, p. 5.
87
Overeenkomstig een “zorgvuldige feitenvinding”, zoals benadrukt door het Marktenhof in zijn tussenarrest 2022/AR/292 van
7 september 2022, p 36 en 39.
88
Stuk 12 (Schermafdrukken website Bisnode Belgium genomen door de Inspectiedienst op 31 maart 2021) in de inventaris,
p. 45-48.
89
Stuk 12 (Schermafdrukken website Bisnode Belgium genomen door de Inspectiedienst op 31 maart 2021) in de inventaris,
p. 31-33.
Beslissing ten gronde 07/2024 - 39/114
- Individuele gegevens — Naam, voornaam, geslacht, taal, contactpunten
professioneel en soms privaat adres, professioneel vast en/of mobiel
telefoonnummer, professioneel e-mailadres, geboortedatum, functie of titel
(incl. datum van aanstelling), afgeleide gegevens, marketingprofielen, datum
waarop de informatie werd meegedeeld aan BISNODE BELGIUM of waarop
veranderingen zijn aangebracht.
iii. Gezamenlijke GEB (CMX, B2C)90 — Contactgegevens, persoonsgegevens over
minderjarigen (ouder dan 16 jaar), consumentenbelangen, gezinstypologie,
leefstijlgegevens, identificatiegegevens, persoonlijke kenmerken.
iv. Gezamenlijke GEB (Spectron, B2B)91 — Contactgegevens, incassogegevens,
elektronische identificatiegegevens, financiële gegevens, identificatiegegevens,
lidmaatschappen, andere gegevens, persoonlijke kenmerken, beroepsopleiding-
en training.
v. Register van verwerkingsactiviteiten (CMX, B2C) 92
— Contactgegevens,
geboortedatum, leeftijd, socio-demografische en leefstijlgegevens,
gezinstypologie, aanwezigheid van kinderen, buurtgegevens . 93
vi. Register van verwerkingsactiviteiten (Spectron, B2B)94 — Contactgegevens,
bedrijfsgegevens (KBO-nummer, aantal werknemers, omzet, NACE, ...), financiële
gegevens95.
vii. Brief aan de GBA (CMX, B2C)96 — Algemene persoonlijke informatie (naam,
voornaam, geslacht, taal en leeftijd of geboortedatum of vermoedelijke leeftijd),
contactgegevens (postadres, vast telefoonnummer, mobiel telefoonnummer en e-
mailadres), typologieën zoals gezin (jong koppel, alleenstaand met of zonder
kinderen), huisvesting (eengezins- of meergezinswoning), statistische gegevens op
buurt- en/of gemeenteniveau (gemiddeld inkomen, percentage
eigenaren/huurders, percentage tuinen, werkloosheidspercentage, enz.), en
algemene fysieke informatie op buurtniveau (gemiddelde perceelsgrootte of de
aanwezigheid van zonnepanelen, enz.).
90
Stuk 1 (“DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) voorgelegd aan de Inspectiedienst.
91
Ibidem.
92
Stuk 30 (“Piece 30 - Bisnode Belgium - Copy of Record of Processing”) voorgelegd aan de Inspectiedienst.
93
“Contact Data, Date of Birth, Age, Socio-demo and Lifestyle data, Family typology, Presence of children, Neighbourhood
data”.
94
Stuk 30 (Bisnode Belgium - Copy of Record of Processing) overgemaakt aan de Inspectiedienst.
95
“Contact Data, Firmographics (CBE number, number of employees, turnover, NACE, ...), Financial data”.
96
Bijlage (“Réponse Inspection APD 27042021”) bij Stuk 18 in de inventaris.
Beslissing ten gronde 07/2024 - 40/114
viii. Brief aan de GBA (Spectron, B2B)97 — Naam, voornaam, geslacht, taal, zakelijk
adres, zakelijk telefoonnummer (vast en/of mobiel), zakelijk e-mailadres,
geboortedatum, functie of titel binnen het bedrijf, datum van aanstelling of
inwerkingtreding.
ix. Antwoorden op de inzageverzoeken98 — Naam, voornaam, adres, geslacht, taal,
geboortedatum, e-mailadres, kind (incl. geboortedatum en geslacht), familie-
typologie, statistische gegevens op buurtniveau (urbanisatie, sociale klasse,
percentage hoger onderwijs, percentage werklozen, percentage tuinen,
percentage eigenaars).
108. De verwerkte persoonsgegevens omvatten ten tijde van de klachten dus verscheidene
categorieën, die de Geschillenkamer hieronder per databank uiteenzet:
CMX (B2C) Spectron (B2B)
Identificatiegegevens Identificatiegegevens
Naam, voornaam Naam, voornaam
Contactgegevens Contactgegevens
Adres, vaste en/of mobiele telefoonnummer, e- Zakelijk adres, zakelijk vaste en/of mobiele
mailadres telefoonnummer, zakelijk e-mailadres
Persoonsgegevens over minderjarigen (> 16 jaar) Elektronische identificatiegegevens
Geboortedatum en geslacht Niet nader gedefinieerd
Persoonlijke kenmerken Persoonlijke kenmerken
Geslacht, taal, leeftijd (of geboortedatum of Geslacht, taal, geboortedatum, functie of
vermoedelijke leeftijdsgroep) titel (incl. datum van aanstelling)
Consumentenbelangen Financiële specificaties
Niet nader gedefinieerd Solvabiliteit, faillissement
Leefstijlgegevens Beroepsopleiding en training
Niet nader gedefinieerd Niet nader gedefinieerd
Gezinssamenstelling Incasso-gegevens
Gezinstypologie (alleenstaand met of zonder Niet nader gedefinieerd
kinderen, jong koppel, enz.), geboortedatum en
geslacht van kind(eren)
Huisvesting Lidmaatschappen
Eengezins- of meergezinswoning Niet nader gedefinieerd
Statistische gegevens op wijk of Overige gegevens
gemeenteniveau Niet nader gedefinieerd
Gemiddelde inkomen in de wijk, percentage
eigenaars/huurders, tuinen, sociale klasse,
percentage hoger onderwijs,
werkloosheidspercentage
Observatiegegevens (op buurtniveau) Afgeleide gegevens
Gemiddelde perceelsgrootte, aanwezigheid van Niet nader gedefinieerd
zonnepanelen
97
Bijlage (“Réponse Inspection APD 27042021”) bij Stuk 18 in de inventaris.
98
Stuk 2 (“Reactie op het verzoek om toegang van 13 november 2020 van Bisnode Belgium”) en Stuk 3 (“Reactie op het
verzoek om toegang van 23 december 2020 van Bisnode Belgium”) neergelegd bij de conclusies van antwoord van de
verweerder.
Beslissing ten gronde 07/2024 - 41/114
Afgeleide gegevens Marketingprofielen
Niet nader gedefinieerd Niet nader gedefinieerd
Marketingprofielen
Niet nader gedefinieerd
109. Hoewel de Geschillenkamer hier verder in de onderhavige beslissing op zal terugkomen99,
rijst vooralsnog de vraag in hoeverre al deze persoonsgegevens stelselmatig even
noodzakelijk zijn voor de behartiging van de voorgenomen belangen.
In het kader van de Data Delivery dienstverlening100 wordt de naleving van het
juistheidsbeginsel krachtens overweging 39 en artikel 5.1.d) AVG namelijk door de
verweerder aangedragen als belang van de verwerking. Volgens dat beginsel moet een
verwerkingsverantwoordelijke — in casu de verweerder resp. zijn klanten — alle nodige
maatregelen nemen opdat de persoonsgegevens die onnauwkeurig zijn, gelet op de
doeleinden waarvoor zij verwerkt worden, onverwijld verwijderd dan wel gerectificeerd
worden101. Wat dit betreft is de Geschillenkamer van mening dat het beginsel van juistheid 102
een engere toepassing kent dan de kwaliteit van de informatie103, die naast de
nauwkeurigheid en juistheid ook de volledigheid van de informatie omvat 104. De
Geschillenkamer oordeelt met andere woorden dat de naleving van het juistheidsbeginsel in
geen geval het onbeperkt verzamelen van persoonsgegevens, met als voornaamste doel
een zo volledig en nauwkeurig mogelijk profiel van de betrokkene op te stellen, zou kunnen
rechtvaardigen105. De noodzaak van de verzameling en verrijking van de persoonsgegevens
opgenomen in de CMX en Spectron databanken, voor de naleving van het juistheidsbeginsel
in het kader van de Data Delivery dienstverlening, is dus niet aangetoond.
110. In ondergeschikte orde merkt de Geschillenkamer overigens op dat een “bovenmatige”
nauwkeurigheid van de persoonsgegevens — in het licht van de nagestreefde doeleinden
99
Zie randnrs. 150 e.v. onder Titel II.4 in deze beslissing.
100
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 2; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord
van de verweerder, p. 2: “[…] reference is made to the legitimate interest of Bisnode's customers […] to comply with the accurate
[sic] principle of the GDPR that sets forth that data controllers must make efforts to maintain accurate personal data of their
data subjects”.
101
EDPB — Richtsnoeren 4/2019 inzake artikel 25 - Gegevensbescherming door ontwerp en door standaardinstellingen (v2.0,
20 oktober 2020), p. 26.
102
In het Frans “exactitude”; in het Engels “accuracy”; in het Duits “Richtigkeit”.
103
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
voor de toepassing van Verordening (EU) 2016/679 (WP251, 6 februari 2018), p. 14. Zie ook D. DIMITROVA, “The Rise of the
Personal Data Quality Principle. Is it Legal and Does it Have an Impact on the Right to Rectification?”, EJLT, 2021, p. 5-6.
104
Zie artikel 7.2 van de Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met
het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van
straffen, en betreffende het vrije verkeer van die gegevens; en artikel 74 van de Verordening 2018/1725 van 23 oktober 2018
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de
instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, waarin verwezen wordt naar
de noodzaak om de kwaliteit van persoonsgegevens te controleren naar hun juistheid, volledigheid en actualiteit.
105
GBA — Aanbeveling 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden, randnr. 111. Zie ook A. J. BIEGA & M. FINCK, “Reviving Purpose Limitation and Data Minimisation in Data-
Driven Systems”, Technology and Regulation, 2021, p. 56.
Beslissing ten gronde 07/2024 - 42/114
evenals de context van de verwerking106 — in bepaalde situaties ook ten nadele van de
betrokkenen kan spelen, in het bijzonder wanneer betrokkenen op een onbehoorlijke en
ontransparante wijze geprofileerd dan wel gesegmenteerd worden op basis van hun
(onrechtstreeks verzamelde) persoonsgegevens 107.
Het recht op de bescherming van persoonsgegevens uit artikel 8 van het
Grondrechtenhandvest veronderstelt immers dat betrokkenen naast het recht op de
informatie opgenomen in artikel 13 en 14 AVG eveneens een zekere controle moeten
hebben over “hoe nauwkeurig” hun persoonsgegevens verzameld worden. De
Geschillenkamer verwijst hierbij ook naar de aanhef van het Verdrag tot bescherming van
personen met betrekking tot de verwerking van persoonsgegevens (Verdrag 108) 108 die
spreekt over “personal autonomy based on a person’s right to control of his or her personal
data and the processing of such data”109, hetgeen zich onder meer vertaalt in de informatie-
en transparantieplicht ten aanzien van de betrokkenen, evenals in de rechten die de AVG
aan hen toekent110.
111. Ten aanzien van de B2C Data Quality dienstverlening maakt de verweerder evenmin
aannemelijk in welke mate de leefstijlgegevens, de afgeleide gegevens 111 of de statistische
gegevens op wijk of gemeenteniveau noodzakelijk waren om te kunnen waarborgen dat
klanten van BLACK TIGER BELGIUM geen dubbele invoeren zouden hebben in hun eigen
databanken, of om retourzendingen te voorkomen.
112. Ten aanzien van de B2B Data Quality dienstverlening, bewijst de verweerder evenmin dat de
verwerking van de financiële specificaties, lidmaatschappen en de beroepsopleiding in de
Spectron databank noodzakelijk is voor het verwezenlijken van niet marketing-gerelateerde
belangen — gelet op het verbod om KBO-data voor marketing doeleinden te verwerken112 —
zoals het voorkomen van retourzendingen of dubbele invoeren.
Opslagbeperking — 5.1.e) AVG
113. Naast het beginsel van minimale gegevensverwerking dient de
verwerkingsverantwoordelijke in het kader van de noodzakelijkheidstoets eveneens het
beginsel van opslagbeperking vervat in artikel 5.1.e) AVG in acht te nemen. Hieromtrent stelt
106
HvJEU, 20 december 2017, C-434/16, Peter Nowak t. Data Protection Commissioner (ECLI:EU:C:2017:994), randnr. 53.
107
Zie o.m. J. CHEN, “The Dangers of Accuracy: Exploring the Other Side of the Data Quality Principle”, EDPL, 1-2018, p. 36–52;
G. GONZALEZ FUSTER, “Inaccuracy as a privacy-enhancing tool”, Ethics and Information Technology, Springer, 2010, p. 87-88.
108
Council of Europe – Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, 28
januari 1981.
109
Vrij vertaald als "persoonlijke autonomie gebaseerd op het recht van een persoon op controle over zijn of haar persoonlijke
gegevens en de verwerking van dergelijke gegevens”.
110
J. CHEN, “The Dangers of Accuracy: Exploring the Other Side of the Data Quality Principle”, EDPL, 1/2018, p. 43.
111
“Other variables” in Stuk 5 en Stuk 6 neergelegd bij de conclusies van antwoord van de verweerder, p. 5.
112
Zie randnr. 74 in deze beslissing.
Beslissing ten gronde 07/2024 - 43/114
de Geschillenkamer vast dat de verweerder op geen enkel ogenblik verduidelijkt heeft, noch
toen hem de vraag werd gesteld tijdens de hoorzitting d.d. 22 februari 2023, noch in het
kader van de heropening van de debatten, waarom de persoonsgegevens gedurende 15 jaar
vanaf de laatste registratie in de databanken bewaard worden 113 en hoe een dergelijke
bewaartermijn — overigens een essentieel element om in overweging te nemen in het kader
van de belangenafweging114 — daadwerkelijk bijdraagt tot de doelstelling om zo nauwkeurig
en actueel mogelijke persoonsgegevens te verwerken.
De Geschillenkamer stelt eveneens vast dat de rechtvaardiging voor deze aanzienlijke
bewaarperiode van 15 jaar vanaf de laatste opname in de databank al in de gezamenlijke GEB
voor CMX, Permesso en Spectron werd aangemerkt als zijnde “voor verbetering vatbaar”
(“improvable”) en een termijn die “verdere rechtvaardiging” behoeft (“Add justification for 15
years owned data retention”)115. Voorts is het onduidelijk in welke mate er naast de meest
recente thuisadressen, e.g., ook een historiek van de voorgaande domicilies van
betrokkenen werd bijgehouden en, desgevallend, wat de noodzaak hiervan zou zijn, de
beoogde doelstellingen indachtig.
114. In zijn reactie op het sanctieformulier d.d. 31 oktober 2023 voert de verweerder aan dat de
stelling dat de onrechtmatige verwerkingen minstens gedurende 15 jaar hebben
plaatsgevonden, onjuist zou zijn. Volgens de verweerder zouden de betwiste activiteiten
bijgevolg hoogstens drie jaar hebben plaatsgevonden, en met name tussen de
inwerkingtreding van de AVG en de indiening van de klacht.
Dit betreffende herinnert de Geschillenkamer eraan dat het beginsel van opslagbeperking
reeds onder de vorige richtlijn 95/46116 bestond en er in casu onweerlegbaar sprake is van
een verwerking die na 25 mei 2018 werd voortgezet. Het argument van de verweerder dat
de omstreden activiteiten slechts voor de beperkte periode tussen de inwerkingtreding van
de AVG en de datum van de klacht plaatsvonden, snijdt dus geen hout.
115. Voorlopig besluit — De voorgaande elementen brengen de Geschillenkamer tot de
conclusie dat de door de klagers aangeklaagde verwerkingen van hun persoonsgegevens in
de databanken Spectron en CMX, voor de Data Delivery resp. de Data Quality
dienstverlening, niet aan de noodzakelijkheidstoets voldeden resp. voldoen. De
Geschillenkamer acht de argumentatie van de verweerder omtrent de noodzakelijkheid van
de verwerkingen immers weinig overtuigend.
113
Stuk 17 (“Bisnode Belgium Retention Policy”) neergelegd bij de conclusies van antwoord van de verweerder.
114
Zie Titel II.3.3.3 Afwegingstoets in deze beslissing.
115
Stuk 1 ("DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) overgemaakt aan de Inspectiedienst, p. 6 en p. 15 in fine.
116
Artikel 6.1.e) van de Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer
van die gegevens (PB L 281 van 23 november 1995).
Beslissing ten gronde 07/2024 - 44/114
Vooreerst spreekt het voor zich dat de verwerking van persoonsgegevens niet kan worden
gerechtvaardigd door zich eenvoudigweg te beroepen op de noodzaak van deze verwerking
om economische activiteiten voort te zetten117. Een dergelijke cirkelredenering aanvaarden
zou overigens de relevantie en het nut van de beoordeling aangenomen door het Hof in zijn
arrest Rīgas118 onvermijdelijk in het gedrang brengen, aangezien de noodzakelijkheidstoets
precies beoogt te bepalen en aan te tonen in welke mate de verzamelde gegevens in
concreto noodzakelijk zijn om de nagestreefde belangen te verwezenlijken. De
Geschillenkamer is aldus van mening dat de door de verweerder uitgevoerde analyse op dit
punt niet aan de voorwaarden voldoet van een degelijke noodzakelijkheidstoets.
Ten tweede kan de naleving van het juistheidsbeginsel krachtens artikel 5.1.d) AVG, dat door
de verweerder wordt aangedragen in verband met van de verwerking van
persoonsgegevens afkomstig uit CMX en Spectron voor de Data Delivery dienstverlening,
zoals reeds gesteld119 in geen geval als belang worden aangewend om databanken aan te
vullen met ontbrekende persoonsgegevens.
Ten derde is de Geschillenkamer niet overtuigd — en de documentatie die de verweerder
voorlegt maakt ook geenszins aannemelijk — dat er geen alternatieve, minder ingrijpende
maatregelen bestaan om het beoogde belang, zijnde de naleving van het juistheidsbeginsel
door de klanten van de verweerder 120, te kunnen verwezenlijken. De Geschillenkamer acht
het namelijk onvoldoende bewezen dat de klanten van de verweerder geen andere
maatregelen konden nemen om de ontbrekende persoonsgegevens te bekomen, e.g. door
deze gegevens rechtstreeks bij de betrokkenen te verzamelen — dewelke zodoende
inspraak hadden kunnen hebben omtrent de ‘mate van accuraatheid’ van hun
persoonsgegevens. Om de voorgaande redenen besluit de Geschillenkamer dat de
verweerder geen beroep kon doen op artikel 6.1.f) AVG voor de gegevensverwerkingen in
de context van de B2C en B2B Data Delivery dienstverlening.
116. Aangaande de B2C Data Quality dienstverlening acht de Geschillenkamer het evenmin
aannemelijk dat alle geconsolideerde persoonsgegevens in beide databanken strikt
noodzakelijk zouden zijn om de kwaliteit en betrouwbaarheid van de persoonsgegevens
reeds in het bezit van de klanten van BLACK TIGER BELGIUM te beoordelen, in het licht van het
juistheidsbeginsel onder artikel 5.1.d) AVG. De klanten van de verweerder — die in
tegenstelling tot deze laatste weldegelijk in contact (zullen) komen met de betrokkenen en
bovendien reeds beschikken over (een deel van) hun persoonsgegevens — kunnen immers
117
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, p. 4; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord
van de verweerder, p. 4.
118
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme” (ECLI:EU:C:2017:336), randnr. 30.
119
Zie randnrs. 109 en 110 in deze beslissing.
120
Zie randnr. 109 in deze beslissing.
Beslissing ten gronde 07/2024 - 45/114
rechtstreeks bij de betrokkene navragen in hoeverre hun persoonsgegevens nog steeds
actueel zijn, dan wel gewijzigd of aangevuld moeten worden. Tevens acht de
Geschillenkamer de bewaarperiode van 15 jaar disproportioneel ten aanzien van de beoogde
belangen.
117. Wat de B2B Data Quality dienstverlening betreft, oordeelt de Geschillenkamer dat het
beginsel van noodzakelijkheid slechts kan worden nageleefd, op voorwaarde dat de
bewaarperiode van 15 jaar wordt ingekort, alsook dat de dienstverlening zich beperkt tot het
toekennen van een betrouwbaarheidsscore en de Data Quality dienstverlening niet wordt
aangewend om op een onrechtstreekse wijze data over te dragen aan derden teneinde de
kwaliteit van de gegevens te verhogen. Bijgevolg voldoet de huidige B2B Data Quality
dienstverlening niet aan de noodzakelijkheidstoets.
II.3.3.3. Afwegingstoets
118. Om te kunnen steunen op artikel 6.1.f) van de AVG dient de verwerkingsverantwoordelijke
ten slotte een overweging van de belangen te maken, en aan te tonen, dat zijn eigen
belangen — dan wel die van derden — zwaarder doorwegen ten opzichte van de belangen of
fundamentele rechten en vrijheden van de betrokkenen.
119. De Geschillenkamer herinnert eraan dat de afwegingstoets niet doelt op het voorkomen van
elk effect op de belangen en rechten van de betrokkenen, maar op het voorkomen van
onevenredige gevolgen alsmede de beoordeling van het onderlinge gewicht van deze
belangen121. De grondrechten en vrijheden van de betrokkenen waarvan sprake in artikel
6.1.f) AVG omvatten namelijk niet enkel het recht op gegevensbescherming en privacy, maar
ook andere grondrechten, zoals het recht op vrijheid en veiligheid, de vrijheid van
meningsuiting en informatie, de vrijheid van gedachte, geweten en godsdienst, de vrijheid
van vergadering en vereniging, het verbod op discriminatie, het eigendomsrecht of het recht
op lichamelijke en geestelijke integriteit, die hetzij direct of indirect door de verwerking
kunnen worden aangetast122.
Ook de bewoording van artikel 6.1.f) AVG veronderstelt dat er naast de fundamentele
rechten van betrokkenen eveneens andere belangen in aanmerking genomen worden, zoals
sociale, financiële of persoonlijke belangen. Kortom, van een verwerkingsverantwoordelijke
wordt verwacht dat hij alle relevante belangen in beschouwing neemt die door de
gegevensverwerking beïnvloed kunnen worden, met inbegrip van — maar niet beperkt tot —
121
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), p. 49.
122
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), pp. 35-37.
Beslissing ten gronde 07/2024 - 46/114
juridische belangen, financiële belangen, sociale belangen of persoonlijke belangen van de
betrokkenen.
120. Eenmaal deze belangen geïdentificeerd zijn, moet vervolgens worden nagegaan welke
gevolgen de beoogde gegevensverwerking teweeg zou kunnen brengen voor deze
belangen. Zo stelt de EDPB123:
“32. […] De verwijzing naar abstracte situaties of het vergelijken van soortgelijke gevallen is
niet voldoende. De verwerkingsverantwoordelijke moet de risico’s van inbreuk op de rechten
van de betrokkenen beoordelen; bepalend hierbij is de vraag hoe ingrijpend de inbreuk op de
rechten en vrijheden van personen is.
33. De ingrijpendheid kan onder meer worden bepaald aan de hand van het soort informatie
dat wordt verzameld (inhoud van de informatie), de reikwijdte ervan (informatiedichtheid,
ruimtelijk en geografisch bereik), het aantal betrokkenen, hetzij in absolute aantallen, hetzij als
percentage van de betrokken populatie, de concrete situatie, de feitelijke belangen van de
groep betrokkenen en de beschikbare alternatieve middelen, alsook op basis van de aard en
de reikwijdte van de gegevensbeoordeling [door de verwerkingsverantwoordelijke].”
Aard van de verwerkte persoonsgegevens
121. Volgens de EDPB moet de verwerkingsverantwoordelijke rekening houden met de
categorieën van persoonsgegevens die betrokkenen doorgaans als meer privaat
beschouwen of eerder van meer openbare aard 124. In de onderhavige zaak staat vast 125 dat
de verweerder gegevens verwerkt die verband houden met de gezinssamenstelling van
betrokkenen, evenals hun private e-mailadres of private mobiele telefoonnummer, welke
gegevens zijn die zelden publiekelijk beschikbaar worden gesteld door de betrokkenen. Ook
de exacte geboortedatum en de sociale klasse behoren volgens de Geschillenkamer tot
informatiecategorieën die doorgaans als meer privé beschouwd worden door de
betrokkenen dan gegevens van openbare aard zoals hun professionele hoedanigheid.
122. Tevens is de Geschillenkamer van mening dat de stelling ingenomen door de verweerder
over het niet verwerken van bijzondere categorieën van persoonsgegevens, enig
nuancering behoeft in het licht van de rechtspraak van het Hof van Justitie. In zijn arrest
C‑184/20 richtte het Hof zich namelijk op bepaalde gegevens die, ofschoon zij niet intrinsiek
“gevoelig” zijn in de zin van artikel 9 AVG, potentieel gevoelige informatie kunnen onthullen,
zoals de seksuele geaardheid van betrokkenen. Zo oordeelde het Hof dat “de begrippen
‘bijzondere categorieën van persoonsgegevens’ en ‘gevoelige gegevens’ ruim dienen te
123
EDPB – Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur (v2.0, 29
januari 2020), randnrs. 32-33.
124
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), pp. 46-47.
125
Zie randnr. 108 in deze beslissing.
Beslissing ten gronde 07/2024 - 47/114
worden uitgelegd”, met als gevolg dat de verwerking van “persoonsgegevens die indirect
gevoelige informatie over een natuurlijke persoon kunnen onthullen” evenzeer “een
verwerking van bijzondere categorieën van persoonsgegevens in de zin van die bepalingen
vormt”126.
123. Bij gebrek aan specifieke elementen ter beschikking van de Geschillenkamer aangaande de
wijze waarop betrokkenen die tot eenzelfde huishouden behoren, concreet worden
gekenmerkt en aan elkaar gekoppeld in de databanken van de verweerder, en gezien de
afwezigheid van een specifieke vaststelling door de Inspectiedienst hieromtrent, besluit de
Geschillenkamer evenwel om de verwerking van bijzondere categorieën van
persoonsgegevens niet mee te wegen in het kader van de afwegingstoets en geen
overtreding van artikel 9 AVG door de verweerder te weerhouden in de onderhavige zaak.
124. Ten slotte, en niettegenstaande de verweerder zelf erkent dat hij de persoonsgegevens van
minderjarigen die tot hetzelfde huishouden als de klagers horen voor
segmentatiedoeleinden verwerkt heeft127, stelt de Geschillenkamer vooreerst vast dat de
betrokken gegevens zich beperken tot het geslacht en de geboortedatum van het kind. De
Geschillenkamer beschikt bovendien niet over aanwijzingen dat de verweerder de
persoonsgegevens van deze minderjarigen effectief heeft overgedragen aan zijn klanten.
Context van de gegevensverwerking
125. Naast de aard van de persoonsgegevens moet de verwerkingsverantwoordelijke eveneens
oog hebben voor de hoeveelheid verwerkte persoonsgegevens, het al dan niet combineren
van deze persoonsgegevens met andere gegevensbestanden, de mate van
toegankelijkheid en/of openbaarheid van de gegevens na verwerking, de status van de
verwerkingsverantwoordelijke (e.g., zijn marktpositie, zijn relatie met de betrokkenen) en de
status van de betrokkenen (e.g., indien het om kwetsbare personen gaat)128.
126. In zijn verweermiddelen verklaart de verweerder dat hij als gegevensmakelaar nagenoeg
geen rechtstreekse relatie onderhoudt met de betrokkenen, maar zijn expertise in big data
ter beschikking stelt van zijn klanten129. De Geschillenkamer meent dat deze specifieke
context, waarbij de verweerder niet rechtstreeks in aanraking komt met de betrokkenen, er
onvermijdelijk toe bijdraagt dat de verwerkingsactiviteiten die hij uitvoert gekenmerkt
worden door een beperktere transparantie ten aanzien van de betrokkenen,
niettegenstaande de diverse initiatieven en maatregelen hiertoe genomen door de
126
HvJEU, 1 augustus 2022, C-184/20, OT t. Vyriausioji tarnybinės etikos komisija (ECLI:EU:C:2022:601), randnrs. 125-128.
127
Zie randnr. 79 in deze beslissing.
128
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), p. 47-49.
129
Conclusies van dupliek van de verweerder d.d. 7 maart 2022, p. 15
Beslissing ten gronde 07/2024 - 48/114
verweerder. Uit het voorgaande volgt dan ook dat de betrokkenen de facto genoodzaakt zijn
om op eigen initiatief de privacyverklaring op de website van de verweerder te raadplegen
— dan wel zorgvuldig bij te houden welke ondernemingen aan wie zij in de afgelopen 15 jaar
hun persoonsgegevens hebben verstrekt, aangegeven hebben deze persoonsgegevens
over te dragen aan BISNODE BELGIUM — teneinde de omvang te kunnen bevatten van de
persoonsgegevens die de verweerder over hen verwerkt. Daarenboven houden de
grootschalige130 verwerkingsactiviteiten van de verweerder, in zijn hoedanigheid als
gegevensmakelaar, inherent in dat persoonsgegevens gecombineerd worden met andere
gegevensbestanden. Dit wordt overigens geenszins weerlegd door de verweerder.
127. Gelet op deze elementen oordeelt de Geschillenkamer dat de context van de verwerking in
wezen nadeliger is voor de betrokkenen, wier persoonsgegevens op ontransparante wijze
verwerkt worden, in vergelijking met het voordeel dat de verweerder en diens klanten uit de
verwerking halen. De belangen van de betrokkenen wegen met andere woorden zwaarder
door in de belangenafweging.
Impact van de verwerking voor de betrokkenen
128. Daarnevens moet de verwerkingsverantwoordelijke bijzondere aandacht besteden aan de
gevolgen — zowel positief als negatief — voor de betrokkenen, waaronder mogelijke
toekomstige beslissingen of handelingen van derden; situaties waarin de verwerking zou
kunnen leiden tot de uitsluiting of discriminatie van personen of laster; of, in bredere zin,
situaties waarin een risico bestaat op het beschadigen van de reputatie, het
onderhandelingsvermogen of de autonomie van de betrokkenen131. Belangrijk wederom is
dat deze beoordeling betrekking heeft op de verschillende wijzen waarop betrokkenen een
positief of negatief impact kunnen ondervinden vanwege de verwerking van hun
persoonsgegevens.
129. Tijdens de hoorzitting d.d. 22 februari 2023 verwijst de klager naar de beoordeling van zijn
kredietwaardigheid door een bedrijf, op basis van data aangeleverd door de verweerder,
zonder dat de klager hier vooraf van werd ingelicht 132. In het antwoord op een verzoek tot
inzage gericht aan dat bedrijf, die de klager bij zijn conclusies van repliek voegt, valt duidelijk
te zien dat de informatie waarmee het bedrijf zijn kredietwaardigheid bepaald heeft,
afkomstig is van de verweerder133. Bepaalde auteurs hebben reeds gewaarschuwd voor de
risico’s met betrekking tot onzichtbare discriminatie op grond van profileringsgegevens
130
De verweerder betwist deze kwalificatie van de omvang van de gegevensverwerkingen niet, in zijn conclusies van dupliek.
131
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), pp. 45-46.
132
Zie randnr. 83 in deze beslissing.
133
“Kredietwaardigheid (gebaseerd op de straat waar u woont – bron = bisnode” in de bijlage bij de Conclusies van repliek van
de klager, overgemaakt aan de Geschillenkamer op 15 februari 2022.
Beslissing ten gronde 07/2024 - 49/114
zoals het inkomen van betrokkenen, maar ook voor het algemene controleverlies die
betrokkenen ondervinden ten aanzien van hun persoonsgegevens 134. Hiermee staat voor de
Geschillenkamer vast dat de ontransparante verwerking van persoonsgegevens van
betrokkenen door de verweerder aanzienlijke gevolgen kan hebben voor de betrokkenen
die bepaalde diensten zouden willen afnemen bij klanten van de verweerder.
130. In de zogenaamde “Legitimate Interest Assessments” (LIAs) voor beide databanken
omschrijft de verweerder de gevolgen van de verwerkingen voor betrokkenen als volgt.
Door klanten van de verweerder de mogelijkheid te bieden direct marketingprofielen op te
stellen die anders moeilijk of onmogelijk aan te maken zouden zijn, wordt vooreerst de
privacy van de betrokkenen aangetast, hetgeen ergernis, irritatie of stress kan veroorzaken
bij hen (“perceived or real lack of transparency and illegitimacy of processing”135). Daarbij
komt nog dat de verweerder erkent dat betrokkenen slechts een beperkte dan wel geen
controle meer hebben over de verwerking van hun persoonsgegevens, alsook dat het
omzeilen van de bronnen die hun persoonsgegevens overmaken aan de verweerder
mogelijks aanzienlijke aanpassingen aan hun levensstijl vereisen. In diezelfde lijn aanvaardt
de verweerder dat de betrokkenen feitelijk de mogelijkheid wordt ontzegd om de
verwerking van hun persoonsgegevens door de verweerder te weigeren; in plaats daarvan
moeten zij zelf de inspanning doen om hun recht van bezwaar uit te oefenen bij de
verweerder (opt-out)136.
131. Voorts stelt de Geschillenkamer vast dat de door de verweerder geïdentificeerde nadelige
gevolgen voor de betrokkenen evenwel geen rekening houden met de voormelde risico’s op
discriminatie door de klanten van de verweerder, op grond van de aangeleverde
persoonsgegevens. De Geschillenkamer verwijst in het bijzonder naar de contractuele
bepalingen met de klanten van de verweerder, waarin hen enkel wordt verboden om de
verstrekte persoonsgegevens ten behoeve van een derde te gebruiken137. Voor het overige
is het de klanten van de verweerder dus toegestaan om de persoonsgegevens voor eigen,
direct marketing gerelateerde doeleinden te gebruiken, die trouwens niet nader
gedefinieerd worden in de overeenkomst.
134
H. RUSCHMEIER, “Data Brokers and European Digital Legislation”, EDPL, 2023-1, p. 30 e.v.; S. MISHRA, “The dark industry of
data brokers: need for regulation?”, International Journal of Law and Information Technology, Volume 29, Issue 4, 2021, p. 395–
410; G. GONZÁLEZ FUSTER, “Inaccuracy as a privacy-enhancing tool”, Ethics Inf Technol, 2010, p. 91 e.v.
135
In het Nederlands, “waargenomen of werkelijk gebrek aan transparantie en onwettigheid van de verwerking” (vrije vertaling),
in Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
136
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder, punt 3 onder titel “2.3 The Balancing Test”; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”)
neergelegd bij de conclusies van antwoord van de verweerder, punt 3 onder titel “2.3 The Balancing Test”.
137
Stuk 12 (“Piece 12 - Template contra- client Multi - voir articles 3.2 et 4.1”) zoals overgemaakt door de verweerder aan de
Inspectiedienst in het kader van het onderzoek: “3.1. La licence d’utilisation est accordée par Bisnode Belgium pour une
utilisation propre au Client, pour une action de type « marketing direct » et donc à l'exclusion de toutes prestations, directes ou
indirectes pour des tiers (comme par exemple, toute forme de vente, de commercialisation, de cession, directe ou indirecte, à
titre onéreux ou gratuit, de licence à des tiers ou toute autre utilisation par des tiers)”.
Beslissing ten gronde 07/2024 - 50/114
132. Hieromtrent acht de Geschillenkamer het opmerkelijk dat de verweerder zijn klanten
contractueel verbiedt om in de berichtgeving aan de betrokkenen (on)rechtstreeks te
verwijzen naar de selectiecriteria die werden toegepast, en dat de verweerder daarenboven
toeziet op de inhoud van de berichtgeving van zijn klanten, die hij voorafgaand dient goed te
keuren138. Concreet betekent dit dus dat de verweerder de transparantie van diens klanten
ten opzichte van de betrokkenen uitdrukkelijk en derhalve bewust heeft belemmerd. In het
kader van de heropening van de debatten bevestigt de verweerder summier dat er
“met betrekking tot professionele klanten […] een licentieovereenkomst [werd] gesloten voor
het gebruik van B2C-gegevens, waarin inderdaad verschillende verplichtingen op de klanten
werden opgelegd, teneinde de commerciële belangen van verweerster te vrijwaren. Aldus
bepaalde de template overeenkomst o.a. dat de selectiecriteria niet aan de consumenten
mocht worden meegedeeld”.
De Geschillenkamer oordeelt dat deze inperking van de informatieverstrekking indruist
tegen de fundamentele rechten van de betrokkenen die hierdoor, indien zij meer informatie
wensen te bekomen over de precieze omstandigheden waarin hun persoonsgegevens
verwerkt werden, genoopt zijn om hun recht van inzage uit te oefenen jegens de verzender
van de direct marketingberichten dan wel bij de verweerder.
133. Samenvattend is de Geschillenkamer van oordeel dat de gevolgen van de
gegevensverwerkingen voor de betrokkenen onvoldoende in aanmerking werden genomen
door de verweerder in het kader van de afwegingstoets, vermits de analyse door de
verweerder zich beperkt heeft tot de ontvangst van direct marketing reclame per post
alsook de uitoefening van hun rechten (onder meer hun recht van bezwaar) en zodoende
geen rekening heeft gehouden met de nochtans gekende risico’s omtrent verborgen of
indirecte discriminatie van de klagers op basis van hun profileringgegevens, met inbegrip
van hun kredietwaardigheid. De Geschillenkamer dient te dezen te concluderen dat de
belangen van de verweerder en diens klanten niet opwegen in de belangenafweging, ten
aanzien van de belangen van de betrokkenen.
Redelijke verwachtingen van de betrokkenen
134. Om na te gaan of aan de derde voorwaarde (afwegingstoets) is voldaan, dient naast de
impact van de beoogde gegevensverwerking ten slotte ook rekening te worden gehouden
met de redelijke verwachtingen van de betrokkenen, overeenkomstig overweging 47 AVG.
De verwerkingsverantwoordelijke moet meer bepaald nagaan in welke mate de
138
Stuk 12 (“Piece 12 - Template contra- client Multi - voir articles 3.2 et 4.1”) zoals overgemaakt door de verweerder aan de
Inspectiedienst in het kader van het onderzoek: “3.3. Il est interdit au Client de se référer aux critères de sélections utilisés dans
sa communication commerciale aux consommateurs, directement ou indirectement. Avant chaque campagne, Bisnode
Belgium doit recevoir, à bref délai, un exemplaire, par langue, du message commercial qui sera adressé au consommateur (à la
fois sur l'enveloppe, la lettre, les pièces jointes et le script téléphonique). Dans le cadre de la campagne déterminée, que le
message soumis à et approuvé par Bisnode Belgium peut être diffuser [sic].”.
Beslissing ten gronde 07/2024 - 51/114
betrokkenen op het tijdstip en in het kader van de verzameling van persoonsgegevens
redelijkerwijs mogen verwachten dat een gegevensverwerking met het voorgenomen doel
kan plaatsvinden.
135. Gegevensmakelaars verzamelen en aggregeren talrijke datapunten, teneinde omvangrijke
en gedetailleerde numerieke profielen van individuele betrokkenen samen te stellen. Nadien
bieden zij deze profielgegevens aan klanten aan (Data Delivery) of, zoals voor de verweerder
sinds de beëindiging van de Data Delivery diensten, om de kwaliteit te beoordelen en te
bevestigen van gegevens reeds in het bezit van deze klanten (Data Quality). In het merendeel
van de gevallen gebeurt dit zonder de voorafgaande toestemming van de betrokkenen
— zoals in de voorliggende zaak — dan wel zonder dat zij volledig op de hoogte worden
gesteld van de omvang van deze verwerkingen.
136. De Inspectiedienst, hierbij verwijzend naar eerdere rechtspraak van het Hof van Justitie 139
en naar richtlijnen aangenomen door de EDPB 140, stelt in hoofdlijnen vast dat de verweerder
diverse persoonsgegevens, die deels bij de betrokkenen zelf en deels via andere bronnen
worden verkregen, op grote schaal en buiten de redelijke verwachtingen van de
betrokkenen verwerkt. In diens verweermiddelen betwist de verweerder dat steeds
rekening moet worden gehouden met de redelijke verwachtingen van de gebruikers om de
verschillende in het spel zijnde belangen af te wegen. Verwijzend naar de rechtsleer poneert
de verweerder integendeel dat “het redelijkerwijsverwachtingscriterium alleen betrekking
heeft op verdere verwerking in de zin van artikel 6(4) AVG”141 en derhalve niet noodzakelijk
relevant is met betrekking tot de belangenafweging in het kader van artikel 6.1.f) AVG.
137. De Geschillenkamer oordeelt dat het door de verweerder opgeworpen argument, en met
name dat de redelijke verwachtingen van betrokkenen niet in aanmerking kunnen genomen
worden bij de beoordeling van het gerechtvaardigd belang van BLACK TIGER BELGIUM, niet
overtuigt. De Geschillenkamer verwijst dienaangaande vooreerst naar het antwoord van de
DPO van BISNODE BELGIUM d.d. 27 april 2021, waarin de verweerder uitdrukkelijk verklaart de
redelijke verwachtingen van de betrokkenen in aanmerking te nemen (vrije vertaling en
eigen onderlijning) 142:
139
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), randnrs. 56-
58.
140
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014); EDPB – Richtsnoeren 3/2019
inzake de verwerking van persoonsgegevens door middel van videoapparatuur (v2.0, 29 januari 2020), p. 10 e.v.
141
D. DE BOT, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context, Kluwer, 2020,
p. 448-449, nr. 1094 e.v.
142
“Bisnode Belgium s’assure également de prendre en compte les attentes raisonnables des personnes concernées en
exigeant de ses clients qu’ils lui fournissent systématiquement le projet de texte des mailings qu’ils envisagent d’adresser. Ceci
de manière à ce que nous puissions nous assurer que ceux-ci sont conforme à nos règles de déontologie internes, règles qui
sont toutes entières axée sur le respect des attentes raisonnables des personnes concernées. Toujours dans le but de tenir
compte des attentes raisonnables des personnes concernées, Bisnode Belgium veille également à être mentionnée dans la
politique de confidentialité de ses partenaires sources de données.”
Beslissing ten gronde 07/2024 - 52/114
“Bisnode Belgium ziet er ook op toe dat er rekening wordt gehouden met de redelijke
verwachtingen van de betrokken personen door haar klanten te vragen om ons systematisch
de ontwerptekst van de mailings die zij willen versturen te bezorgen. Zo kunnen wij ons ervan
vergewissen dat deze in overeenstemming zijn met onze interne gedragsregels, die alle
gericht zijn op het respecteren van de redelijke verwachtingen van de betrokkenen. Om
rekening te houden met de redelijke verwachtingen van de betrokkenen, zorgt Bisnode
Belgium er ook voor dat dit vermeld wordt in het privacybeleid van haar
gegevensbronpartners.”
138. Voorts herinnert de Geschillenkamer eraan dat artikel 5.1.a) AVG — dat bepaalt dat
persoonsgegevens verwerkt moeten worden op een wijze die rechtmatig, behoorlijk en
transparant is ten aanzien van de betrokkene — in samenhang moet worden gelezen met
overweging 39 AVG, die bepaalt dat het voor betrokkenen transparant dient te zijn “dat hen
betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins
verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt”.
Dit kernbeginsel van de AVG houdt dus in dat elke verwerking van persoonsgegevens,
ongeacht de rechtmatigheidsgrond aangevoerd door de verwerkingsverantwoordelijke, het
transparantiebeginsel moet naleven.
139. Dit gezegd zijnde acht de Geschillenkamer het van belang om vooralsnog het onderscheid
te benadrukken tussen de informatie die betrokkenen ontvangen inzake de verwerking, en
de redelijke verwachtingen die betrokkenen al dan niet aannemen ten aanzien van een
welbepaalde gegevensverwerking. Zoals reeds gesteld143, hebben de betrokkenen geen
rechtstreekse relatie met de verweerder, met als gevolg dat zij zich ook niet redelijk kunnen
verwachten aan de onrechtstreekse verzameling van hun persoonsgegevens door BISNODE
BELGIUM en vervolgens BLACK TIGER BELGIUM. Uit de beleidsdocumenten en
modelovereenkomsten die de verweerder aan de Inspectiedienst overhandigd heeft, valt
nergens af te leiden dat de gegevensbronnen144 proactief en op individuele wijze de
betrokkenen moeten inlichten over de effectieve overdracht van de persoonsgegevens
waarover zij beschikken aan de verweerder. De verweerder kan met andere woorden op
geen enkele wijze waarborgen dat betrokkenen, die het privacy beleid van de gegevensbron
niet meer zouden raadplegen ná een dergelijke aanpassing van het privacybeleid van de
gegevensbronnen teneinde BISNODE BELGIUM bij naam te vermelden onder de mogelijke
gegevensontvangers, metterdaad in kennis worden gesteld van de verzameling en
daaropvolgende verwerking van hun persoonsgegevens door de verweerder. Een dergelijke
leemte in het transparantiebeleid van de verweerder houdt derhalve in dat een niet te
verwaarlozen aantal betrokkenen, wier persoonsgegevens in de databanken van de
verweerder werden verwerkt voor de Data Delivery dienstverlening, pas na ontvangst van
143
Zie randnr. 126 in deze beslissing.
144
Zijnde de partners van de verweerder, die hem persoonsgegevens aanleveren.
Beslissing ten gronde 07/2024 - 53/114
de eerste direct marketing communicaties door een klant van de verweerder in kennis
konden gesteld worden van de verwerking van hun persoonsgegevens door de verweerder.
Vanwege de aard van de Data Quality dienstverlening, waarbij er volgens de verweerder
geen persoonsgegevens worden overgedragen aan de klanten van de verweerder, worden
de betrokkenen daarentegen mogelijks nooit in kennis gesteld van de verwerking en
commercialisering van hun persoonsgegevens door de verweerder 145.
140. De Geschillenkamer besluit bijgevolg dat de dienstverleningen die de verweerder aan zijn
klanten aanbiedt allesbehalve binnen de redelijke verwachtingen van betrokkenen kaderen,
des te meer omdat deze redelijke verwachtingen specifiek betrekking moeten hebben op
de verwerking door de verweerder. Het argument dat betrokkenen zich eraan kunnen
verwachten dat hun persoonsgegevens vroeg of laat door een derde partij verzameld en
uitgewisseld zullen worden, omdat dit in 2019 in een nationale mediacampagne werd
aangekondigd146, is dienaangaande verre van overtuigend.
141. In ondergeschikte orde merkt de Geschillenkamer wederom147 op dat er, uitgezonderd het
standpunt van de verweerder dat “B2B betrokkenen” redelijkerwijs verwachten dat hun
persoonsgegevens in een professionele context door derden verwerkt worden148, geen
wezenlijk onderscheid bestaat tussen de twee beoordelingen omtrent de Spectron
databank (B2B) resp. de CMX databank (B2C). Dit alleen al getuigt volgens de
Geschillenkamer afdoende van een gebrek aan degelijke inachtneming van álle relevante
omstandigheden van de gegevensverwerking, alsook van de gevolgen hiervan voor B2C
betrokkenen, in het kader van de uitgevoerde belangenafwegingen. De Geschillenkamer
oordeelt derhalve dat de analyse gevoerd door de verweerder in ieder geval niet aan de
voorwaarden voldoet van een degelijke afwegingstoets.
142. Indien het na afloop van de belangenafweging onduidelijk is wiens belang prevaleert, dan is
het voor de verwerkingsverantwoordelijke uiteraard mogelijk om aanvullende waarborgen
te nemen teneinde de ongewenste gevolgen van de verwerking voor de betrokkenen te
mitigeren149. Dergelijke waarborgen omvatten volgens de Geschillenkamer
noodzakelijkerwijs een proactieve informatie naar de individuele betrokkenen toe over hoe
145
I.e., behoudens de beperkte informatie die desgevallend is meegedeeld toen de persoonsgegevens door de bronnen
werden doorgegeven aan de verweerder, waarvan de Geschillenkamer reeds heeft geoordeeld dat die onvoldoende
waarborgen biedt in het licht van de transparantieplicht.
146
Stuk 14 (“Copie d'extraits de la campagne de presse de juillet 2019”) zoals overgemaakt door de verweerder aan de
Inspectiedienst in het kader van het onderzoek.
147
Zie randnr. 102 in deze beslissing.
148
Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder: “It is likely or, at least, reasonable to assume that in a B2B context, data subjects are aware that personal data is
being collected and commercialized (= reasonable expectations of the data subject). Indeed, it is even possible that the data
subjects may even use the services of Bisnode themselves. At any rate, data brokerage is a common activity in a professional
setting and the various official database ensure a large, public propagation of professional data, including personal data.
Therefore, impact should be given a lesser weight in relation to the Spectron database” (eigen onderlijning).
149
Groep Gegevensbescherming Artikel 29 – Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de
gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG (WP217, 9 april 2014), p. 21.
Beslissing ten gronde 07/2024 - 54/114
hun persoonsgegevens worden verwerkt, alsook een eenvoudig en toegankelijk
mechanisme waarmee betrokkenen de gelegenheid wordt geboden om zich te kunnen
verzetten (opt-out) tegen de verwerking van hun persoonsgegevens door de verweerder, en
mogelijks ook om hun recht op gegevenswissing uit te oefenen.
143. Afsluitend oordeelt de Geschillenkamer dat het niet tot haar bevoegdheden behoort,
vermits de Geschillenkamer een (niet autonoom) geschillenbeslechtingsorgaan van een
administratieve overheid is150, om op grond van artikel 267 VWEU 151 prejudiciële vragen te
stellen aan het HvJEU. Immers, teneinde de uniforme toepassing van het Unierecht te
waarborgen, voorziet deze bepaling in een instrument van rechterlijke samenwerking tussen
het HvJEU en de nationale rechterlijke instanties, waarbij een zogenaamde prejudiciële
vraag kan uitgaan van een rechterlijke instantie die uitspraak doet in het kader van een
procedure die tot een gerechtelijke beslissing leidt152. Bij de beoordeling of een verwijzend
orgaan een “rechterlijke instantie” is in de zin van artikel 267 VWEU, houdt het HvJEU
rekening met de wettelijke grondslag van het orgaan dat een verzoek heeft ingediend, het
permanente karakter en de verplichte rechtsmacht ervan, het feit dat het orgaan uitspraak
doet na een procedure op tegenspraak, de toepassing door het orgaan van rechtsregels en
de onafhankelijkheid van dat orgaan153. De Geschillenkamer oordeelt evenwel dat de AVG
een duidelijk onderscheid maakt tussen de toezichthoudende autoriteiten en de
gerechtelijke instanties154. Waar artikel 267 VWEU middels de prejudiciële procedure voor
het HvJEU beoogt een uniforme uitleg te verkrijgen in de rechterlijke fase, voorziet de AVG
in het coherentiemechanisme, waarbij de Geschillenkamer in het bijzonder wijst op de
procedure voorzien in artikel 64.2155 daarvan, met oog op een gelijkaardig doel doch voor de
toezichthoudende autoriteiten onder de AVG. In ieder geval acht de Geschillenkamer zich
150
Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2023/AR/184 van 8 maart 2023, p. 12; Hof van Beroep Brussel
(sectie Marktenhof), X t. GBA, Arrest 2022/AR/292 van 7 september 2022, p. 36; Hof van Beroep Brussel (sectie Marktenhof),
X t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 24; Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2020/AR/329
van 2 september 2020, p. 13.
151
Artikel 267 Verdrag betreffende de werking van de Europese Unie — “Het Hof van Justitie van de Europese Unie is bevoegd,
bij wijze van prejudiciële beslissing, een uitspraak te doen (a) over de uitlegging van de Verdragen, (b) over de geldigheid en de
uitlegging van de handelingen van de instellingen, de organen of de instanties van de Unie.
Indien een vraag te dien aanzien wordt opgeworpen voor een rechterlijke instantie van een der lidstaten, kan deze instantie,
indien zij een beslissing op dit punt noodzakelijk acht voor het wijzen van haar vonnis, het Hof verzoeken over deze vraag een
uitspraak te doen.
Indien een vraag te dien aanzien wordt opgeworpen in een zaak aanhangig bij een nationale rechterlijke instantie waarvan de
beslissingen volgens het nationale recht niet vatbaar zijn voor hoger beroep, is deze instantie gehouden zich tot het Hof te
wenden.” (eigen onderlijning).
152
K. LENAERTS en P. VAN NUFFEL, Europees Recht, Antwerpen-Cambridge, Intersentia, 2011, randnrs 836-837.
153
HvJEU, 31 mei 2005, C-53/03, Syfait (ECLI:EU:C:2005:333), randnr. 29; HvJEU, 30 juni 1966, C-61/65, Vaassen-Göbbels
(EU:C:1966:39); HvJEU, 10 december 2009, C-205/08, Umweltanwalt von Kärnten (EU:C:2009:767), randnr. 35. Zie ook K.
LENAERTS, I. MASELIS & K. GUTMAN, EU Procedural Law, Oxford University press, 2015, p. 53.
154
Zie o.a. artikelen 78.3 AVG (recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende
autoriteit) en 79.2 AVG (recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke
of een verwerker).
155
Artikel 64.2 AVG — “2. Een toezichthoudende autoriteit, de voorzitter van het Comité of de Commissie kunnen elk verzoeken
dat aangelegenheden van algemene strekking of met rechtsgevolgen in meer dan één lidstaat worden onderzocht door het
Comité teneinde advies te verkrijgen, met name wanneer een bevoegde toezichthoudende autoriteit haar verplichtingen tot
wederzijdse bijstand overeenkomstig artikel 61, of tot gezamenlijke werkzaamheden overeenkomstig artikel 62, niet nakomt.”
Beslissing ten gronde 07/2024 - 55/114
geenszins verplicht om te dezen een prejudiciële vraag te stellen aan het HvJEU 156, daar de
beslissingen van de Geschillenkamer van de GBA voor beroep vatbaar zijn voor het
Marktenhof, en aangezien de onderhavige zaak geen betrekking heeft op de geldigheid van
een handeling van een instelling, orgaan of instantie van de Europese Unie 157.
II.3.3.4. Besluit
144. Gelet op de voorgaande elementen, concludeert de Geschillenkamer tot de vaststelling van
een inbreuk op artikel 5.1.a), 5.2 en artikel 6.1 AVG, daar de verweerder niet naar behoren
heeft aangetoond dat zijn belangen alsook die van zijn klanten rechtmatig zijn resp. dat de
verwerkingen noodzakelijk zijn voor de verwezenlijking van de nagestreefde belangen, en
dat deze belangen zouden opwegen tegen de belangen en fundamentele rechten van de
betrokkenen. In het bijzonder oordeelt de Geschillenkamer:
▪ dat de verwerking van ondernemingsdata, voor zover dit persoonsgegevens
betreft, in de Spectron databank in het kader van de “B2B” Data Delivery
dienstverlening, waarbij de verweerder persoonsgegevens van natuurlijke
personen afkomstig uit de KBO verzamelt en verrijkt, met het oog op het
commercieel aanleveren van de persoonsgegevens aan diens klanten voor
direct marketing-gerelateerde doeleinden, uitdrukkelijk bij wet is verboden en
bijgevolg niet kan steunen op de grondslag voorzien in artikel 6.1.f) AVG;
▪ dat de verwerking van consumentendata verzameld in de CMX databank in het
kader van de “B2C” Data Delivery dienstverlening, waarbij de verweerder
persoonsgegevens van consumenten verzamelde en verrijkt heeft met het oog
op het commercieel aanleveren van de persoonsgegevens aan diens klanten,
niet kon steunen op de grondslag voorzien in artikel 6.1.f) AVG wegens het
gebrek aan noodzaak en de onevenredige gevolgen voor de betrokkenen. De
commerciële voordelen die de verweerder en diens klanten uit de verwerking
haalden, wegen niet op ten opzichte van het fundamenteel recht van de
betrokkenen op de eerbiediging van hun privésfeer, gelet op de aard van de
persoonsgegevens, de duur van de verwerking, en de geringe
informatieverstrekking aan de betrokkenen. Tot slot maakt de verweerder
onvoldoende aannemelijk dat een dergelijke verwerking binnen de redelijke
verwachtingen van de betrokkenen kon vallen.
▪ dat de verwerking van consumentendata verzameld in de CMX databank in het
kader van de “B2C” Data Quality dienstverlening, waarbij de verweerder
156
Artikel 267, lid 2, VWEU.
157
F. SPITALERI, “Chapitre VI. La faculté et l’obligation de renvoi préjudiciel” in F. FERRARO & C. IANNONE, Le renvoi préjudiciel,
Bruxelles, Bruylant, 2023, p. 183.
Beslissing ten gronde 07/2024 - 56/114
persoonsgegevens van consumenten verzamelde, verrijkte en consolideerde
om, tegen betaling, een betrouwbaarheidsscore toe te kennen aan
persoonsgegevens van consumenten reeds in het bezit van de klanten van de
verweerder, zodat deze de kwaliteit van hun gegevens konden verbeteren door
ze te formatteren, te standaardiseren, te corrigeren en/of intern konden
koppelen (matching), niet kon steunen op de grondslag voorzien in artikel 6.1.f)
AVG. Er is niet aangetoond dat de verwerking noodzakelijk was voor de
naleving door de klanten van de verweerder van het beginsel van juistheid
conform artikel 5.1.d) AVG. De Geschillenkamer acht het onvoldoende bewezen
dat de klanten van BLACK TIGER BELGIUM uitsluitend middels de Data Quality
dienstverlening hun belang om aan het voornoemd beginsel te voldoen, konden
bewerkstelligen of, kortom, dat de omstreden verwerking inderdaad
noodzakelijk was om de volledigheid en juistheid van de persoonsgegevens
reeds in het bezit van de klanten van de verweerder te verzekeren. De
verweerder bewijst ten slotte onvoldoende dat een dergelijke verwerking
binnen de redelijke verwachtingen van de betrokkenen kon vallen.
▪ dat de verwerking van ondernemingsdata in de Spectron databank in het
kader van de “B2B” Data Quality dienstverlening, waarbij de verweerder
persoonsgegevens van natuurlijke personen verbonden aan ondernemingen
verzamelt, verrijkt en consolideert om, tegen betaling, een
betrouwbaarheidsscore toe te kennen aan persoonsgegevens reeds in het
bezit van door klanten van de verweerder, zodat deze de kwaliteit van hun
gegevens kunnen verbeteren door ze te formatteren, te standaardiseren, te
corrigeren en/of intern kunnen koppelen (matching), niet kan steunen op de
grondslag voorzien in artikel 6.1.f) AVG. Persoonsgegevens afkomstig uit de
KBO mogen immers niet gebruikt of verspreid worden voor aan direct-
marketing gerelateerde doeleinden. Daarnaast acht de Geschillenkamer het
onvoldoende aangetoond dat de verwerking van persoonsgegevens in
Spectron noodzakelijk is om de volledigheid en juistheid van de
persoonsgegevens reeds in het bezit van de klanten van de verweerder te
verzekeren, alsook om de niet direct marketing gerelateerde belangen te
verwezenlijken. Afsluitend oordeelt de Geschillenkamer dat de betrokkenen
zich niet redelijk kunnen verwachten, mede omwille van het ontbreken van
proactieve informatieverstrekking, aan de verwerking van alle in de Spectron
databank opgenomen categorieën van persoonsgegevens.
Beslissing ten gronde 07/2024 - 57/114
II.4. Transparantie ten aanzien van de betrokkenen (artikel 12.1, artikel 13.1 en 13.2,
artikel 14.1 en 14.2, artikel 5.2, artikel 24.1, en artikel 25.1 AVG)
II.4.1. Standpunt van de Inspectiedienst
145. De Inspectiedienst heeft in het kader van zijn onderzoek twee websites van de verweerder
geanalyseerd en vastgesteld dat de link naar de privacyverklaring op de eerste website 158
de bezoekers doorverwijst naar de tweede website159, waar dezen de privacyverklaring
kunnen raadplegen. De Inspectiedienst stelt evenwel vast dat de informatie die de
verweerder ter beschikking stelt op de tweede website niet transparant noch gemakkelijk
toegankelijk is voor de betrokkenen, daar de informatie over de verwerking over
verschillende webpagina’s is verspreid, en bovendien onjuiste informatie bevat.
146. Verder stelt de Inspectiedienst vast dat de informatie die de verweerder verschaft
onvolledig is, aangezien niet alle volgens artikelen 13 en 14 van de AVG verplicht te
vermelden informatie effectief wordt meegedeeld. Er wordt in het bijzonder nergens
verwezen naar het recht van betrokkenen om een gegeven toestemming in te trekken, en
evenmin naar het recht van betrokkenen om een klacht in te dienen bij de GBA. Voorts
worden de contactgegevens van de DPO van de verweerder niet vermeld op de website,
hoewel de DPO over een persoonlijk e-mailadres beschikt.
II.4.2. Standpunt van de partijen
147. De klager stelt dat BLACK TIGER BELGIUM zijn persoonsgegevens op een niet transparante
wijze verwerkt, aangezien hij niet in kennis werd gesteld van het feit dat de verweerder zijn
persoonsgegevens had verzameld en voor eigen doelstellingen verwerkt. De klager poneert
dat hij de omvang van deze verwerking pas vernam in het kader van de uitoefening van zijn
recht op inzage in zijn persoonsgegevens. Ten aanzien van de wijze waarop de verweerder
uitvoering heeft gegeven aan zijn verplichting tot informatieverstrekking aan betrokkenen,
werpt de klager meer bepaald op dat hij gedurende de afgelopen 17 jaar en evenmin na de
inwerkingtreding van de AVG op geen enkel ogenblik gecontacteerd werd door de
verweerder of zijn verwerkers, dan wel door gezamenlijke verwerkingsverantwoordelijken
die persoonsgegevens van de klagers zouden hebben ontvangen, met een duidelijke
toelichting omtrent welke persoonsgegevens zij precies verwerken. Zodoende heeft de
verweerder, evenals elke andere ontvanger van de kwestieuze persoonsgegevens, volgens
de klager systematisch nagelaten om betrokkenen in overeenstemming met artikelen 13 en
14 AVG te informeren over de verwerking van hun persoonsgegevens. Dienaangaande stelt
de klager dat de verweerder onmogelijk een beroep kan doen op de uitzondering voorzien
158
https://www.permesso.be/nl/privacybeleid.
159
https://bisnodeandyou.be.
Beslissing ten gronde 07/2024 - 58/114
in artikel 14.5.b) AVG, aangezien hij beschikt over de nodige gegevens om contact op te
nemen met de betrokkenen teneinde te kunnen voldoen aan zijn informatieplicht. Tijdens de
hoorzitting d.d. 22 februari 2023 benadrukt de klager eveneens dat de verweerder
verschillende privacyverklaringen hanteert, waardoor het voor betrokkenen moeilijk is om
te achterhalen welke regels van toepassing zijn op de verwerking van hun
persoonsgegevens.
148. De verweerder betwist de vaststelling dat het voor betrokkenen niet gemakkelijk zou zijn
om concrete informatie over de gegevensverwerking te vinden, en stelt dat hij bewust koos
voor een gelaagde aanpak van zijn privacyverklaring, in functie van de hoedanigheid van de
betrokkene (consument/professional), teneinde niet te werken met een te omvangrijke en
om die redenen onbegrijpelijke informatie. Volgens de verweerder laat deze werkwijze de
betrokkenen toe om rechtstreeks te navigeren naar het onderdeel van de verklaring dat zij
willen lezen. Aangaande het argument van de Inspectiedienst dat “een betrokkene niet
redelijkerwijze kan verwachten dat zijn gegevens worden gecommercialiseerd louter door
het bestaan van een samenwerkingsovereenkomst met bepaalde publieke of commerciële
bronnen” werpt de verweerder op dat hij de nodige maatregelen heeft getroffen om te
verzekeren dat betrokkenen op de hoogte zijn van de uitgevoerde verwerkingen. De
verweerder verwijst tevens naar de privacyverklaring van de KBO, “waarin expliciet wordt
meegedeeld dat de persoonsgegevens worden verwerkt om het hergebruik van de
gegevens, al dan niet voor commerciële doeleinden, mogelijk te maken”.
149. Tijdens de hoorzitting d.d. 22 februari 2023 vraagt de Geschillenkamer wat de
verantwoordelijkheid van de verweerder is, indien de bronnen dan wel de partners nalaten
om de betrokkenen informatie mede te delen over de verwerking van hun
persoonsgegevens door BLACK TIGER BELGIUM. Volgens de verweerder betreft dit vooreerst
een contractuele aangelegenheid tussen de verweerder en zijn bronnen resp. klanten,
hoewel de verweerder steeds nagaat of de standaardbewoording effectief is opgenomen in
de privacyverklaring van de bronnen resp. klanten van de verweerder. Ook voorafgaand aan
het versturen van commerciële berichten via de post door de klanten van de verweerder,
heeft de verweerder een inzagerecht in het ontwerp van communicatie evenals het recht
om, desgevallend, de aanpassing van de communicatie te verzoeken. Voor het overige stelt
de verweerder bedenkingen te hebben inzake het geschikte niveau van controle dat de
Geschillenkamer van de verweerder zou verwachten ten aanzien van diens partners en
klanten, en meer bepaald of de verweerder bij elke partner en klant regelmatig moet nagaan
of de privacyverklaring de standaardbewoording bevat. Tot slot meent de verweerder zich
bewust te zijn van bepaalde tekortkomingen in zijn privacyverklaring, ofschoon deze
tekortkomingen inmiddels verholpen zijn in de nieuwe privacyverklaring 160. Het feit dat de
160
https://www.blacktigerbelgium.tech/privacy-policy/.
Beslissing ten gronde 07/2024 - 59/114
verweerder geen melding maakt van het recht voor betrokkenen om hun toestemming in te
trekken, zou bovendien irrelevant zijn, daar de verweerder enkel een beroep doet op zijn
gerechtvaardigde belangen voor de omstreden gegevensverwerkingen.
II.4.3. Oordeel van de Geschillenkamer
150. Wat de rechtmatigheid van de omstreden verwerking betreft, staat vast dat de redelijke
verwachtingen van de betrokkenen wel relevant zijn — in tegenstelling tot wat de
verweerder aanvoert in zijn verweer — om te beoordelen in welke mate er sprake kan zijn
van een rechtmatige gegevensverwerking die gegrond zou zijn op de gerechtvaardigde
belangen van de verweerder dan wel van diens klanten161. Die redelijke verwachtingen zijn
eveneens in overweging te nemen voor het bepalen van het tijdstip waarop de informatie
over de verwerking aan de betrokkenen wordt meegedeeld 162, gelet op het algemene
uitgangspunt dat betrokkenen niet verrast zouden mogen zijn door het doel van de
verwerking van hun persoonsgegevens 163. De Geschillenkamer heeft in eerdere
beslissingen meermaals benadrukt dat transparantie van cruciaal belang is om betrokkenen
controle te geven over hun persoonsgegevens en om een effectieve bescherming van
persoonsgegevens te waarborgen164. De transparantieverplichting in de AVG vereist
namelijk dat alle informatie of communicatie inzake de gegevensverwerking van
betrokkenen makkelijk toegankelijk en begrijpelijk moet zijn165, maar ook tijdig moet worden
verstrekt aan de betrokkenen166.
151. In de voorliggende zaak staat allereerst vast dat de door de verweerder verwerkte
persoonsgegevens niet rechtstreeks bij de klagers verzameld werden. Bijgevolg is enkel
artikel 14 AVG van toepassing167, waarvan de eerste twee leden de informatie vastleggen
die aan de betrokkenen moet worden verstrekt:
a. de identiteit en de contactgegevens van BLACK TIGER BELGIUM en, in
voorkomend geval, van diens vertegenwoordiger;
b. in voorkomend geval, de contactgegevens van de DPO;
c. de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd;
d. de rechtsgrond voor de persoonsgegevensverwerking;
161
Zie randnrs. 134 e.v. in deze beslissing.
162
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, rev. 01, 11 april 2018), randnr. 28.
163
Ibidem, randnr. 45 in fine.
164
Zie o.a. Beslissing 04/2021, randnr. 167; Beslissing 47/2022, randnr. 127 e.v.; Beslissing 84/2022, randnr. 76.
165
Overweging 39 AVG.
166
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, rev. 01, 11 april 2018), randnr. 48.
167
Ibidem, randnr. 26 in fine.
Beslissing ten gronde 07/2024 - 60/114
e. de betrokken categorieën van persoonsgegevens;
f. in voorkomend geval, de ontvangers of categorieën van ontvangers van de
persoonsgegevens;
g. in voorkomend geval, dat BLACK TIGER BELGIUM het voornemen heeft de
persoonsgegevens door te geven aan een ontvanger in een derde land of aan
een internationale organisatie; of er al dan niet een adequaatheidsbesluit van
de Commissie bestaat dan wel of BLACK TIGER BELGIUM passende of geschikte
waarborgen heeft genomen in het geval van de in artikel 46, artikel 47 of
artikel 49.1.2° AVG bedoelde doorgiften, alsook hoe de betrokkenen een kopie
hiervan kunnen verkrijgen of waar deze waarborgen kunnen worden
geraadpleegd;
h. de periode gedurende welke de persoonsgegevens zullen worden
opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
i. de gerechtvaardigde belangen van de BLACK TIGER BELGIUM of van een derde,
indien de verwerking gegrond is op artikel 6.1.f) AVG;
j. dat de betrokkenen het recht hebben BLACK TIGER BELGIUM te verzoeken om
inzage van en rectificatie of wissing van persoonsgegevens of om beperking
van de hen betreffende verwerking, alsmede het recht tegen verwerking van
bezwaar te maken en het recht op gegevensoverdraagbaarheid;
k. wanneer de verwerking steunt op artikel 6.1.a) AVG of artikel 9.2.a) AVG, het
gegeven dat de betrokkenen het recht hebben hun toestemming te allen tijde
in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de
verwerking op basis van de toestemming vóór de intrekking daarvan;
l. dat de betrokkenen het recht hebben klacht in te dienen bij een
toezichthoudende autoriteit;
m. de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval,
of zij afkomstig zijn van openbare bronnen;
n. het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in
artikel 22.1 en 22.4 AVG bedoelde profilering, en — minstens in die gevallen —
nuttige informatie over de onderliggende logica, alsmede het belang en de
verwachte gevolgen van die verwerking voor de betrokkenen.
152. Krachtens artikel 14.3 AVG, welke meer specifiek slaat op de modaliteiten van de
informatieverstrekking en als dusdanig een inherente aanvulling vormt op de
kernverplichtingen die uit de twee voorafgaande leden van artikel 14 AVG voortvloeien,
moet de voormelde informatie binnen bepaalde termijnen worden medegedeeld aan de
Beslissing ten gronde 07/2024 - 61/114
betrokkenen. Algemeen geldt de regel dat de verwerkingsverantwoordelijke de
betrokkenen binnen een redelijke termijn doch uiterlijk binnen één maand na de verkrijging
van hun persoonsgegevens dient te informeren over de verwerking, naargelang de concrete
omstandigheden hiervan (14.3.a) AVG). Volgens de richtsnoeren inzake transparantie onder
de AVG168 kan deze termijn evenwel ingekort worden voor zover de verzamelde
persoonsgegevens bestemd zijn voor een contactopname met de betrokkenen, in welk
geval de informatie op het moment van de eerste contactopname met de betrokkene moet
worden verstrekt (14.3.b) AVG). Tot slot kan de termijn van één maand eveneens ingekort
worden indien de persoonsgegevens worden medegedeeld aan een ontvanger in de zin van
artikel 4.9) AVG. In dergelijke omstandigheden moeten de betrokkenen geïnformeerd
worden uiterlijk op het tijdstip waarop hun persoonsgegevens verstrekt worden (14.3.c)
AVG).
153. In zijn verweermiddelen poneert BLACK TIGER BELGIUM dat de betrokkenen ingelicht werden
aan de hand van de verplichte vermeldingen van de naam van de verweerder in de
reclameboodschappen die zijn klanten richtten aan de betrokkenen169. Concreet betekent
dit dat de betrokkenen in de meeste gevallen voor de eerste maal pas middels de — vaak
ongewenste — reclameboodschappen in kennis werden gesteld van het bestaan van de
verweerder, alsook van het feit dat de verweerder wellicht hun persoonsgegevens ooit
verzameld heeft en verwerkt. De Geschillenkamer veronderstelt dat een dergelijke aanpak
beoogt te voldoen aan het tijdstip voorzien onder 14.3.b) AVG, zijnde om de betrokkenen te
informeren op het moment van de effectieve contactopname met de betrokkene, zonder
dat hierbij noodzakelijk rekening wordt gehouden met de tijdsperiode tussen de
aanvankelijke gegevensverzameling en de eerste contactopname. In de richtsnoeren inzake
transparantie onder de AVG wordt niettemin uitdrukkelijk gesteld dat de periode van één
maand voorzien onder artikel 14.3.a) AVG een maximumtermijn betreft170, die niet kan
worden verlengd doch enkel kan worden ingeperkt naargelang de doeleinden van de
verwerking.
154. De Geschillenkamer is zich er terdege van bewust dat de gegevensbronnen van verweerder
overeenkomstig artikel 14.3.c) AVG een informatieplicht hebben, met name wanneer zij de
persoonsgegevens in hun bezit aanleveren aan BLACK TIGER BELGIUM. De Geschillenkamer
benadrukt evenwel dat het in beginsel aan de verwerkingsverantwoordelijke die de
gegevens overdraagt — en dus niet aan de ontvangers, in casu de klanten van de
verweerder — toebehoort om onder artikel 14.3.c) AVG de informatie zoals voorzien onder
artikel 14.1 en 14.2 AVG aan de betrokkenen te verstrekken. Concreet dienen alle
168
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, rev. 01, 11 april 2018), overgenomen door de EDPB.
169
Zie randnrs. 64, 66 en 137 in deze beslissing.
170
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, rev. 01, 11 april 2018), randnr. 28.
Beslissing ten gronde 07/2024 - 62/114
opeenvolgende verwerkingsverantwoordelijken — i.e., de partners van de verweerder die
hem persoonsgegevens aanleveren, de verweerder zelf, resp. de klanten aan wie de
verweerder desgevallend persoonsgegevens overdraagt — dus afzonderlijk de
betrokkenen in te lichten voor wat betreft de gegevensverwerkingen die zij zelf uitvoeren.
155. Bovendien volgt uit een lezing a contrario van artikel 14.5.b) AVG171 dat de
informatieverstrekking overeenkomstig artikel 14.1 en 14.2 AVG logischerwijze proactief
dient te gebeuren, in tegenstelling tot de eerder passieve informatieverstrekking waarin
artikel 14.5.b) AVG als uitzondering voorziet. De onrechtstreekse verzameling van
persoonsgegevens bij de betrokkenen veronderstelt immers niet dat de
informatieverstrekking aan de betrokkenen eveneens enkel op onrechtstreekse wijze dient
te geschieden. Integendeel zelfs, uit de rechtspraak van het Hof van Justitie alsmede uit de
bepalingen van de AVG172, vloeit voort dat het uitsluitend aan de
verwerkingsverantwoordelijke die de middelen en doeleinden van de verwerking bepaalt,
toekomt om de betrokkenen op een loyale en transparante wijze te informeren. De
Geschillenkamer concludeert bijgevolg dat het te dezen in eerste instantie aan de
verweerder toekomt om de betrokkenen proactief te informeren over de verwerking van
hun persoonsgegevens door BLACK TIGER BELGIUM, in overeenstemming met artikel 14 AVG.
156. Het feit dat de partners van de verweerder, die in het kader van hun overeenkomst de door
hen verzamelde persoonsgegevens tegen betaling overmaken aan de verweerder, zelf
informatie verstrekken aan de betrokkenen, doet aan het voorgaande geen afbreuk. De
Geschillenkamer is immers niet overtuigd door de organisatorische maatregelen die de
verweerder getroffen heeft om “onrechtstreeks” aan zijn transparantieplicht te voldoen,
waarbij de gegevensbronnen namelijk verplicht worden om in hun privacyverklaring
uitdrukkelijk te verwijzen naar de persoonsgegevensverwerking uitgevoerd door de
verweerder. De Geschillenkamer verwijst in dat opzicht naar de template voor de
overeenkomsten met gegevensbronnen173 waarin het volgende wordt bepaald (eigen
onderlijning) 174:
171
Zie randnr. 157 hieronder.
172
Overweging 60 — “Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de
hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De
verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de
betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden
en de context waarin de persoonsgegevens worden verwerkt. […]”; Artikel 14 AVG — “1. Wanneer persoonsgegevens niet van
de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: […]” (de
Geschillenkamer onderlijnt). Zie ook HvJEU, 1 oktober 2015, C-201/14, Smaranda Bara e.a. t. Președintele Casei Naționale de
Asigurări de Sănătate (ECLI:EU:C:2015:638), randnr. 31.
173
Stuk 10 (“Piece 10 – Template contrats source – voir article 5”) zoals overgemaakt door de verweerder aan de
Inspectiedienst in het kader van het onderzoek, p. 4.
174
“Vos données à caractère personnel peuvent être transmises à des partenaires extérieurs, qui peuvent les utiliser pour vous
envoyer des informations commerciales ou des offres promotionnelles ou pour les commercialiser à ces fins. Nous ne
transmettons ces données qu'à des partenaires externes qui garantissent le traitement correct de ces données, entre autres
Bisnode Belgium SA (Allée de la Recherche 65, 1070 Anderlecht). Toutefois, [X] ne sera en aucun cas responsable de
Beslissing ten gronde 07/2024 - 63/114
“Uw Persoonsgegevens kunnen doorgegeven worden aan externe partners, die deze kunnen
gebruiken om u commerciële informatie of promotionele aanbiedingen te sturen of voor deze
doeleinden te commercialiseren. Wij geven dergelijke gegevens enkel door aan externe
partners die de correcte verwerking van deze gegevens verzekeren, waaronder Bisnode
Belgium NV (Researchdreef 65, 1070 Anderlecht). [X] is echter in geen enkel geval
aansprakelijk voor het gebruik van deze gegevens door externe partners.
Uw persoonsgegevens kunnen door Bisnode Belgium gebruikt of gecommercialiseerd
worden om u gepersonalideerde [sic] aanbiedingen te kunnen bezorgen (eventueel
gebaseerd op uw marketing profiel), voor het uitvoeren van marktonderzoek of om gegevens
reeds aanwezig in de database van andere bedrijven te valideren, corrigeren of aan elkaar te
koppelen (voor meer info over de verwerking van persoonsgegevens door Bisnode Belgium
consulteer www.bisnodeenu.be)”.
De Geschillenkamer oordeelt dat een dergelijke verwoording (“kunnen gebruikt worden”),
onvoldoende zekerheid biedt aan de betrokkenen over de aard en de omvang van de
verwerking van hun persoonsgegevens door de verweerder. Dienvolgens kan hier geen
sprake zijn van een transparante en eerlijke informatieverstrekking aan de betrokkenen
door de gegevensbronnen.
157. De volgende vraag die zich stelt, is in welke mate de verweerder een beroep kan doen op de
uitzondering op de informatieplicht, zoals voorzien in diezelfde bepaling. Artikel 14.5 AVG
bepaalt dat de plicht om informatie te verstrekken aan de betrokkenen niet van toepassing
is wanneer en voor zover175:
a) de betrokkenen reeds over de informatie beschikken;
b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel
inspanning zou vergen, of voor zover de informatieverstrekking de
verwezenlijking van de doeleinden van de beoogde verwerking onmogelijk dreigt
te maken of ernstig in het gedrang dreigt te brengen. In dergelijke gevallen neemt
de verwerkingsverantwoordelijke passende maatregelen om de rechten, de
vrijheden en de gerechtvaardigde belangen van de betrokkenen te beschermen,
waaronder het openbaar maken van de informatie;
c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij
Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing
l'utilisation de ces données par des partenaires externes. Vos données à caractère personnel peuvent être utilisées ou
commercialisées par Bisnode Belgium afin de vous proposer des offres personnalisées (éventuellement en fonction de votre
profil marketing), d'effectuer des études de marché ou de valider, corriger ou relier des données déjà présentes dans les bases
de données d'autres entreprises (pour plus d'informations sur le traitement des données personnelles par Bisnode Belgium,
consultez www.bisnodetvous.be.”
175
Zie ook Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU)
2016/679 (WP260, 11 april 2018), randnrs. 58 e.v.
Beslissing ten gronde 07/2024 - 64/114
is en dat recht voorziet in passende maatregelen om de gerechtvaardigde
belangen van de betrokkene te beschermen; of
d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een
beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een
statutaire geheimhoudingsplicht.
158. De Geschillenkamer stelt vast dat de uitzonderingen [c] en [d] niet van toepassing zijn op de
verwerkingen door de verweerder. Aan uitzondering [a] wordt evenmin voldaan vermits de
privacyverklaring op de website onvolledig is 176 en de standaardparagrafen in de
privacyverklaringen van de gegevensbronnen generiek verwoord zijn177. Wat de
uitzondering [b] betreft, verwijst de Geschillenkamer naar de categorieën van door de
verweerder verwerkte persoonsgegevens alsook naar de beoogde doelstellingen, die reeds
hierboven werden toegelicht178. Het valt namelijk niet te ontkennen dat de verweerder
minstens in het bezit is van de contactgegevens van betrokkenen, vermits dergelijke
gegevens evenals de “identificatiegegevens” een gemeenschappelijk ‘attribuut’ vormen
voor de drie databanken179, en het bedrijfsmodel van BLACK TIGER BELGIUM uitgerekend
bestaat uit het verzamelen, aggregeren en vervolgens ter beschikking stellen van
zogenaamde “contact points” waarmee de klanten van de verweerder vervolgens onder
meer hun marketing- en communicatiestrategieën kunnen verbeteren. Zodus acht de
Geschillenkamer het afdoende bewezen dat het verstrekken van de informatie voorzien
onder artikel 14 AVG aan betrokkenen van wie de verweerder de persoonsgegevens
verzamelt en verwerkt, niet onmogelijk is.
159. Voorts valt niet in te zien, en de verweerder maakt ook geenszins aannemelijk, in welke mate
de naleving van het transparantiebeginsel ten aanzien van betrokkenen de beoogde
doelstellingen ernstig in het gedrang zou brengen. De enige verwijzing naar de nodige
inspanningen die de verweerder zou hebben genomen en opwerpt in zijn verweermiddelen,
wordt bovendien niet verder gestaafd door de neergelegde stukken. Op de vraag of
betrokkenen individueel een privacyverklaring zouden ontvangen, antwoordt de
verweerder in beide overgemaakte LIAs180 alleszins beknopt dat een individuele
informatieverstrekking “een onevenredige inspanning zou vergen”:
176
Zie randnr. 107 en 108 in deze beslissing.
177
Zie randnr. 156 in deze beslissing.
178
Zie randnrs. 107 en 108 in deze beslissing.
179
CMX; Permesso en Spectron.
180
Stuk 5 (“Legitimate Interest Assessment Consu-Matrix 27082020”) neergelegd bij de conclusies van antwoord van de
verweerder; Stuk 6 (“Legitimate Interest Assessment Spectron 27082020”) neergelegd bij de conclusies van antwoord van
de verweerder.
Beslissing ten gronde 07/2024 - 65/114
Dit standpunt kan echter niet worden aanvaard in het licht van artikel 14 AVG. De
onmogelijkheid of onevenredige inspanning moet namelijk rechtstreeks verband houden
met het feit dat de persoonsgegevens niet van de betrokkenen zijn verkregen. Daarnaast
dient een verwerkingsverantwoordelijke die gebruik wil maken van de uitzondering van
artikel 14.5.b) AVG op basis van het argument dat verstrekking van de informatie
onevenredig veel inspanning zou vergen, de inspanning die het zou vergen om de informatie
aan de betrokkene te verstrekken af te wegen tegen het effect op en de gevolgen voor de
betrokkene wanneer die de informatie niet ontvangt181.
160. De Geschillenkamer benadrukt hierbij dat artikel 14.5 AVG een uitzondering vormt op het
recht van betrokkenen en in die zin restrictief moet worden uitgelegd. Het staat in casu vast
dat BLACK TIGER BELGIUM over contactgegevens van de betrokkenen moet beschikken om
de voorgenomen doelstellingen van de verschillende databanken te kunnen verwezenlijken.
De Geschillenkamer benadrukt voorts dat de verweerder niet noodzakelijkerwijs over de
contactgegevens van alle betrokkenen dient te beschikken alvorens hen gezamenlijk en
éénmalig in te lichten; van zodra BLACK TIGER BELGIUM over een postadres of een e-mail
beschikt, is het bedrijf in beginsel in staat — en derhalve verplicht — om de specifieke
betrokkenen rechtstreeks te informeren over de verzameling en verwerking van hun
persoonsgegevens, in lijn met artikel 14 AVG.
161. Dienaangaande verwijst de Geschillenkamer naar de beslissing van de Poolse
gegevensbeschermingsautoriteit (Urząd Ochrony Danych Osobowych, hierna ‘UODO’), die
op 25 maart 2019 een boete heeft opgelegd aan BISNODE POLAND wegens het nalaten om de
betrokkenen van wie het bedrijf contactgegevens had, rechtstreeks te informeren over de
verwerking van hun persoonsgegevens 182. De Geschillenkamer oordeelt dat de verweerder
in de onderhavige zaak deze beslissing uit 2019 in aanmerking had kunnen nemen in zijn
analyse d.d. 27 augustus 2020 omtrent de informatieplicht ten aanzien van de betrokkenen
in België, ofschoon hij dit klaarblijkelijk niet heeft gedaan. Wat hier ook van zij, de
Geschillenkamer stelt dat het 5 jaar na de inwerkingtreding van de AVG onaanvaardbaar is
181
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, 11 april 2018), randnrs. 62 en 64.
182
Urząd Ochrony Danych Osobowych – Besluit ZSPR.421.3.2018 van 15 maart 2019, raadpleegbaar op de website van de
Poolse Gegevensbeschermingsautoriteit (UODO): https://uodo.gov.pl/decyzje/ZSPR.421.3.2018#. Ondanks het beroep
achteraf ingesteld door BISNODE POLAND, bleef de beslissing van de UODO overeind, maar werd de administratieve boete van
220.000 EUR verlaagd.
Beslissing ten gronde 07/2024 - 66/114
om de betrokkenen van wie de contactgegevens reeds gekend zijn, en zeker wanneer het
om elektronische contactgegevens gaat, niet rechtstreeks in te lichten over de verwerking
van hun persoonsgegevens.
162. Ofschoon de Geschillenkamer erkent dat de verweerder inspanningen heeft geleverd om bij
gebrek aan rechtstreekse, individuele informatieverstrekking de informatie minstens
openbaar te maken op zijn website183, oordeelt de Geschillenkamer dat dit verzuim om de
betrokkenen tijdig en individueel te informeren een schending oplevert van de verplichting
om krachtens artikelen 12 en 14 AVG transparante — en dienvolgens volledige — informatie
te verschaffen aan de betrokkenen over de verwerking van hun persoonsgegevens, in het
bijzonder wanneer de persoonsgegevens zoals te dezen onrechtstreeks verzameld worden.
In een dergelijke omstandigheid staat vast dat er van betrokkenen niet kan worden
verwacht dat zij de website van verweerder al dan niet regelmatig raadplegen.
163. Daarnaast heeft de Geschillenkamer reeds vastgesteld184 dat de categorieën
“marketingprofielen”, “consumentenbelangen” en “gezinssamenstelling” niet vermeld
werden in de privacy verklaring d.d. 31 maart 2021 bestemd voor consumenten185, noch in
de toelichting op de huidige website van BLACK TIGER BELGIUM186. Het feit dat de verweerder
in zijn verweermiddelen d.d. 11 september 2023, neergelegd in het kader van de beperkte
heropening van de debatten, verduidelijkt dat de privacyverklaring op de website van BLACK
TIGER BELGIUM uitsluitend aangeeft welke persoonsgegevens in de context van zijn huidige
activiteiten verwerkt worden, staat niet in de weg dat de privacyverklaring voor
consumenten ten tijde van het onderzoek niet volledig was — hetgeen de verweerder
overigens onderkent in zijn conclusies van dupliek d.d. 7 maart 2022 — en bijgevolg in
overtreding van artikel 14 AVG was.
164. In zijn reactie op het sanctieformulier poneert de verweerder dat de verplichting om
betrokkenen individueel en proactief te informeren, niet uitgebreid besproken werd in de
schriftelijke conclusies en er op dit punt geen tegensprekelijk debat is geopend door de
Geschillenkamer187. Tevens betwist de verweerder de bewering dat hij opzettelijk geen
volledige en voldoende gedetailleerde informatie aan betrokkenen zou verstrekken.
165. Dienaangaande merkt de Geschillenkamer vooreerst op dat de wijze waarop de
betrokkenen worden geïnformeerd door de verweerder dan wel door de gegevensbronnen
over de verwerking van hun persoonsgegevens, weldegelijk besproken werd in zowel de
schriftelijke conclusies als tijdens de hoorzitting d.d. 22 februari 2023. In het
183
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, 11 april 2018), randnrs. 64.
184
Zie randnrs. 107 t.e.m. 109 in deze beslissing.
185
Stuk 12 (“012 Schermafdrukken website Bisnode Belgium”) in de inventaris, pp. 45-48.
186
https://avg.blacktigerbelgium.tech/uw-consumentengegevens/wat-consument/, geraadpleegd op 4 augustus 2023.
187
Reactie van de verweerder op het sanctieformulier d.d. 31 oktober 2023, p. 1.
Beslissing ten gronde 07/2024 - 67/114
onderzoeksverslag wordt de verweerder er afdoende op gewezen dat de
transparantieplicht zowel ingeval van rechtstreekse als bij onrechtstreekse
gegevensverzameling geldt.
Daarnevens benadrukt de Geschillenkamer dat de transparantieplicht uit de AVG
voortvloeit, reeds gold onder de richtlijn 95/46, en als dusdanig geen verdere duiding
behoeft vanwege de Geschillenkamer. Bovendien verwijst de klager in zijn klacht alsook in
zijn schriftelijke verweermiddelen naar het feit dat de verwerking van zijn
persoonsgegevens plaatsvond “zonder [zijn] medeweten”, “zonder contact” (vanwege de
verweerder), en dat hij “op geen enkele manier van her bericht heeft gekregen, of notificatie
volgens Art 13 en 14 van GDPR, wanneer ze [z]ijn data verzameld hebben”188.
Middels de conclusiebrief d.d. 29 november 2021 werd de verweerder eveneens in kennis
gesteld van de mogelijke inbreuk op artikel 14 AVG, waarvan de leden 1 t.e.m. 4 gezamenlijk
moeten gelezen en nageleefd worden, evenals artikel 5.2 juncto 24.1 AVG, “met betrekking
tot de verplichting voor de verwerkingsverantwoordelijke om de betrokkenen beknopte
doch volledige, transparante en begrijpelijke informatie te bezorgen over de
persoonsgegevens die verwerkt worden, alsmede de vereiste voor de verweerder om de
naleving met deze verplichtingen te waarborgen en te kunnen aantonen”. In het kader van de
schriftelijke procedure voor de Geschillenkamer stond het de verweerder dus vrij om zich te
verweren ten aanzien van de grieven van de klager alsmede het door de Inspectiedienst
vastgestelde gebrek aan bewijs dat de verweerder zijn verplichtingen onder artikel 14 AVG
op passende wijze had nageleefd.
Ook tijdens de hoorzitting, nadat de klager zijn ongenoegen uitte omtrent “de verzameling
van talrijke persoonsgegevens zonder dat hij hiervan in kennis werd gesteld”189, kreeg de
verweerder de gelegenheid om zijn standpunt omtrent de verplichting die op BISNODE
BELGIUM en vervolgens BLACK TIGER BELGIUM rustte, conform het voorschrift van
artikel 14 AVG, toe te lichten. De Geschillenkamer merkt evenwel op dat de verweerder toen
louter antwoordde dat “de bronnen alsmede de klanten van BLACK TIGER BELGIUM
contractueel verplicht worden om de betrokkenen te informeren over de overdracht van hun
persoonsgegevens aan resp. de mededeling ervan door BLACK TIGER BELGIUM”.
Ten slotte kreeg de verweerder nog een laatste gelegenheid om zijn standpunt te kennen te
geven aan de Geschillenkamer, als reactie op het sanctieformulier d.d. 31 oktober 2023.
Gelet op voorgaande elementen oordeelt de Geschillenkamer dat de verweerder
weldegelijk verschillende malen de gelegenheid heeft gekregen om zich te verweren tegen
de aantijging dat hij de betrokkenen niet op passende wijze — i.e., op een volledig
transparante en proactieve manier, gelet op de context van de verwerking — heeft
188
Klachtformulier zoals ingediend door de klager op 28 januari 2021.
189
Proces-verbaal van de hoorzitting d.d. 23 februari 2023, p. 13.
Beslissing ten gronde 07/2024 - 68/114
geïnformeerd, in overeenstemming met artikel 14 AVG. Het argument dat de verweerder
aandraagt in zijn reactie op het sanctieformulier is dus kennelijk ongegrond.
166. Gelet op het gebrek aan een volledige privacyverklaring190 alsmede de bewuste — zoals uit
de aan de Geschillenkamer overgemaakte belangenafwegingen afdoende blijkt191 — keuze
van de verweerder om de betrokkenen niet rechtstreeks te informeren over de verwerking
van hun persoonsgegevens door BLACK TIGER BELGIUM, ondanks het feit dat de verweerder
over de contactgegevens beschikt van het merendeel van de betrokkenen, oordeelt de
Geschillenkamer dat de verweerder minstens ten aanzien van de betrokkenen wier
contactgegevens gekend waren, wegens ernstige nalatigheid artikel 14 AVG heeft
geschonden.
II.5. Behandeling van verzoeken van betrokkenen tot uitoefening van hun rechten
(artikel 12.1 en 12.2, artikel 15.1, artikel 5.2, artikel 24.1, en artikel 25.1 AVG)
II.5.1. Standpunt van de Inspectiedienst
167. Volgens de Inspectiedienst toont de verweerder niet aan dat hij — in de context van de
behandeling van hun verzoek tot inzage — de klagers effectief en transparant heeft ingelicht
over alle beschikbare informatie over de bron van hun persoonsgegevens overeenkomstig
artikel 15.1.g) AVG. De klagers werden immers niet geïnformeerd over hoe de verweerder
hun persoonsgegevens van de vermelde bronnen heeft verkregen, en wanneer. Daarnaast
stelt de Inspectiedienst vast dat de verstrekte informatie te vaag is en te veel gebaseerd op
een algemeen typeantwoord, met als gevolg dat de klagers geen voldoende antwoord op
maat hebben ontvangen. Tenslotte toont de verweerder volgens de Inspectiedienst niet aan
dat hij in zijn brief aan beide klagers het recht op gegevenswissing en het recht van bezwaar
effectief en transparant heeft vermeld; de Inspectiedienst stelt namelijk vast dat het
bestaan van deze rechten aan slechts één van de klagers werd meegedeeld.
II.5.2. Standpunt van de partijen
168. De klager stelt dat BLACK TIGER BELGIUM artikel 12.3 AVG heeft geschonden door de
elektronisch opgevraagde informatie op papier te verstrekken. De klager voert aan dat de
verweerder zijn verplichting onder artikel 12.3 AVG niet heeft nageleefd, aangezien de
antwoorden op de verzoeken tot inzage via papieren post werden overgemaakt aan de
betrokkenen, niettegenstaande het feit dat de verweerder vereist dat betrokkenen hun
190
Zie randnr. 163 in deze beslissing.
191
Zie schermafdruk bij randnr. 159 in deze beslissing: “Is a fair processing notice provided to the individual, if so, how? Are they
sufficiently clear and up front regarding the purposes of the processing? We don’t inform each and every data subject
personally as this would involve a disproportionate effort. However, our sources must explicitly mention the possible use of
data by Bisnode in their privacy notices, we are mentioned in every mail […]” (eigen onderlijning).
Beslissing ten gronde 07/2024 - 69/114
aanvragen tot toegang tot hun persoonsgegevens via de website van de verweerder
indienen, met andere woorden op een elektronische wijze, waarbij betrokkenen bovendien
hun e-mail adressen opgeven. Aangaande de vermelding van de bronnen van zijn
persoonsgegevens, stelt de klager tijdens de hoorzitting — hierbij verwijzend naar het
antwoord op zijn verzoek tot inzage — dat de verweerder melding maakt van statistische en
buurtgegevens over de klager, die evenwel onmogelijk afkomstig kunnen zijn uit de bronnen
die de verweerder opsomt in zijn antwoord. Tijdens de hoorzitting laat de klager overigens
weten dat hij doelbewust niet om de wissing van zijn persoonsgegevens heeft gevraagd, om
te vermijden dat deze verwijderd zouden worden voorafgaand aan een beslissing van de
Geschillenkamer. Daarenboven meent de klager dat hij niet in staat was om eenvoudig te
repliceren op het antwoord van de verweerder aangezien de informatie hem per post werd
verstrekt, in plaats van elektronisch. De klager verwijst eveneens naar de recente
rechtspraak van het Hof van Justitie 192, waarin werd vastgelegd dat
verwerkingsverantwoordelijken genoodzaakt zijn om betrokkenen te informeren over de
precieze identiteit van de ontvangers van hun persoonsgegevens, terwijl de verweerder
louter de categorieën van persoonsgegevens zou vermeld hebben in zijn antwoord op de
verzoeken tot inzage ingediend door de klagers. Gedurende de hoorzitting verwijst de klager
overigens naar het ontbreken van contactgegevens van de DPO in het antwoord op zijn
verzoek van inzage, en ergert hij zich eraan dat hij op eigen initiatief de voormelde
contactgegevens moest opzoeken op de website.
169. Met betrekking tot de verzoeken om informatie ingediend door de klagers, verklaart de
verweerder dat hij bij brieven van zijn DPO op 13 november 2020 resp. 23 december 2020
informatie heeft verstrekt “over de verwerking van hun persoonsgegevens: de bestanden
waarin zij zijn opgenomen en de doeleinden van de verwerking, alsmede de rechtsgrondslag
voor de verwerking, het bestaan van een recht van bezwaar, de categorieën van verwerkte
gegevens en de informatie die over de klagers wordt bijgehouden, de ontvangers van de
gegevens, de periode gedurende welke zij worden bewaard, de bron van de gegevens,
enzovoort”. De verweerder betwist dat de antwoorden die hij verstrekt heeft aan beide
klagers als een zogenaamd “algemeen typeantwoord” beschouwd kunnen worden, vermits
de verweerder beide klagers afzonderlijk heeft geïnformeerd over (i) de specifieke bron van
hun gegevens, (ii) het feit dat deze gegevens door de klagers zelf aan de bron werden
verstrekt in hun hoedanigheid van klant, en (iii) de vraag of de samenwerking met
desbetreffende bronnen nog steeds actief is. Het gebruik van een standaardbrief getuigt
volgens de verweerder bovendien van de goede interne organisatie van de verweerder om
op verzoeken van betrokkenen te reageren.
192
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3).
Beslissing ten gronde 07/2024 - 70/114
Daarnaast weerlegt de verweerder de vaststelling door de Inspectiedienst dat één van de
klagers niet ingelicht werd van het bestaan van diens recht op gegevenswissing en op
verzet. De verweerder verwijst naar de brief gericht aan klaagster, waarvan het tweede punt
expliciet de twee voornoemde rechten vermeldt.
Als reactie op de grief van de klagers omtrent het versturen van het antwoord per post,
verduidelijkt de verweerder dat hij geen legitimatiebewijs eist van betrokkenen, uitgerekend
om de uitoefening van de rechten van betrokkenen te bevorderen. Teneinde het risico van
ongeoorloofde openbaarmaking van gegevens in geval van identiteitsdiefstal te vermijden,
heeft de verweerder dus geopteerd voor een versturing per post, naar het bij hem gekende
adres van de betrokkene.
Omtrent de naleving van zijn informatieplicht ten aanzien van de betrokkenen, verwijst de
verweerder tijdens de hoorzitting naar de standaardbewoording die de bronnen van BLACK
TIGER BELGIUM in hun privacyverklaring dienen toe te voegen, en waarmee de betrokkenen
ingelicht worden van de verzameling van hun persoonsgegevens door de verweerder.
Tevens stelt de verweerder dat betrokkenen gedetailleerde informatie over de bronnen van
hun persoonsgegevens kunnen verkrijgen in het kader van een verzoek tot inzage. Hierdoor
ziet de verweerder zich niet verplicht om de precieze identiteiten van alle bronnen te
vermelden in de privacyverklaring, aangezien daar mogelijks tientallen bronnen in
opgesomd kunnen worden terwijl de persoonsgegevens van een individuele betrokkene
slechts van een beperkt aantal van de opgesomde bronnen afkomstig zijn.
Ten aanzien van de vermelding, in het antwoord op een verzoek tot inzage, van de
categorieën in plaats van de concrete ontvangers aan wie persoonsgegevens van de klagers
effectief werden overgemaakt, poneert de verweerder dat deze aanpak destijds na intern
overleg en met inachtneming van de toenmalige rechtspraak werd aangenomen. Volgens
de verweerder kan hem dus niet verweten worden geen rekening te hebben gehouden met
latere rechtspraak van het Hof van Justitie.
Daarnaast benadrukt de verweerder dat de verzoeken tot inzage van de klagers uitvoerig
beantwoord werden, en de klagers daaropvolgend geen bijkomend verzoek hebben
ingediend, teneinde onder meer aanvullende informatie te bekomen over de precieze
bronnen van de persoonsgegevens, de concrete ontvangers van zijn persoonsgegevens,
dan wel mogelijks onjuiste informatie te laten verbeteren. Tot slot herinnert de verweerder
eraan dat de klagers nooit om de verwijdering van hun persoonsgegevens hebben gevraagd.
Beslissing ten gronde 07/2024 - 71/114
II.5.3. Oordeel van de Geschillenkamer
Antwoorden per post
170. De Geschillenkamer stelt op basis van de neergelegde stukken vast dat beide klagers een
antwoord per post ontvingen, hoewel hun oorspronkelijke inzageverzoeken elektronisch
werden verstuurd. De verweerder betwist dit niet, noch in het kader van de schriftelijke
verweermiddelen noch tijdens de hoorzitting.
171. Artikel 12.3 AVG bepaalt nochtans uitdrukkelijk:
“3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval
binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22
informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit
van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee
maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen
één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer
de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk
elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.”
172. Artikel 15, lid 3 in fine AVG stelt dat wanneer de betrokkene zijn verzoek elektronisch indient,
en niet om een andere regeling verzoekt, de informatie in een gangbare elektronische vorm
dient te worden verstrekt, waarbij de gangbaarheid dient bepaald te worden vanuit het
standpunt van de betrokkene en niet van de verwerkingsverantwoordelijke 193. Derhalve acht
de Geschillenkamer de inbreuk op artikel 12.3 AVG voldoende bewezen.
Niettegenstaande het onderzoeksverslag enkel overtredingen van artikel 12.1 en 12.2 AVG
vaststelt, moet artikel 12 AVG in zijn geheel worden gelezen en nageleefd, met inbegrip van
artikel 12.3 AVG. De wijze waarop een verwerkingsverantwoordelijke een verzoek inwilligt,
kadert immers steeds binnen de algemene plicht om de uitoefening van hun rechten door
de betrokkenen te faciliteren zoals voorzien in artikel 12.2 AVG, evenals binnen de
complementaire plicht in artikel 12.1 AVG om de communicatie bedoeld in artikel 15 tot en
met 22 AVG “indien dit passend is” met elektronische middelen te verstrekken. Mutatis
mutandis geldt het voorgaande eveneens voor artikel 15.3 AVG, dat in samenlezing met de
andere leden van artikel 15 AVG moet worden nageleefd.
Tot slot benadrukt de Geschillenkamer dat de verweerder in het kader van de procedure ten
gronde weldegelijk de gelegenheid heeft gekregen en gebruikt om zich hieromtrent te
verweren, zoals duidelijk blijkt uit de conclusies in dupliek van de verweerder resp. zijn
reactie op het sanctieformulier:
193
EDPB – Guidelines 01/2022 on Data Subject Rights – Right of Access (v2.0, 28 March 2023), randnrs. 32, 134 en 148 e.v.
Beslissing ten gronde 07/2024 - 72/114
“Om de uitoefening van de rechten van betrokkenen te bevorderen, eist Black Tiger Belgium
van betrokken personen geen legitimatiebewijs. Bijgevolg stuurt zij haar antwoorden per post
naar het bij haar bekende adres van de betrokkene, waardoor het risico van ongeoorloofde
openbaarmaking van gegevens in geval van identiteitsdiefstal wordt vermeden.” 194
“Voor wat betreft de antwoorden die per post werden opgestuurd aan de betrokkenen, heeft
Black Tiger Belgium al uiteengezet dat dit noodzakelijk was om ervoor te zorgen dat er geen
sprake was van een ongeoorloofde openbaarmaking van persoonsgegevens, wat getuigt van
een hoge mate van zorgvuldigheid.”195
173. Ofschoon niet kan worden uitgesloten dat een verzending per post meer zekerheid zou
bieden dan een elektronische verzending ingeval er geen legitimatiebewijs wordt gevraagd,
is de Geschillenkamer van mening dat er naast gewone e-mails ook andere, meer beveiligde
communicatiekanalen bestaan om de gevraagde informatie alsnog elektronisch te
bezorgen, in overeenstemming met artikel 12.3 AVG. Daarnevens biedt een verzending per
post volgens de Geschillenkamer niet noodzakelijk meer waarborgen dat de verzonden
informatie uiteindelijk bij de ‘juiste’ betrokkene belandt, aangezien de verweerder niet kan
uitsluiten dat de betrokkene in de tussentijd verhuisd is. In meer algemene zin oordeelt de
Geschillenkamer dat de verweerder niet zorgvuldig handelt door geen legitimatiebewijs te
vragen dan wel de identiteit van verzoekers voorafgaand te controleren.
De Geschillenkamer stelt dienaangaande vast dat de verweerder de (elektronische)
contactgegevens van de betrokkenen reeds vereist196 opdat zij hun rechten kunnen
uitoefenen op de webpagina van de verweerder. Behoudens het telefoonnummer zijn alle
velden verplicht in te vullen. Bijgevolg oordeelt de Geschillenkamer dat de verweerder over
voldoende informatie beschikt teneinde na te gaan of het e-mailadres overeenkomt met de
contactgegevens van de betrokkene die reeds zijn opgenomen in de databank(en) van de
verweerder, voorafgaand aan de verdere behandeling van het verzoek. Bij twijfelgevallen
zou de verweerder desnoods contact kunnen opnemen met de betrokkene via de reeds
gekende contactgegevens in de databanken, om hem/haar bevestiging te vragen of het
inzageverzoek legitiem is.
Door bewust de antwoorden op verzoeken van betrokkenen per post te verstrekken, maakt
de verweerder het overigens moeilijker voor hen om, indien wenselijk geacht, in navolging
op het eerste antwoord een bijkomend verzoek in te dienen. De voormalige en huidige
websites laten namelijk niet toe om bij wijze van voorbeeld het eerste antwoord als bijlage
te voegen bij een nieuw verzoek ingediend via het online contactformulier. Het voorgaande
194
Conclusies van dupliek van de verweerder, overgemaakt aan de Geschillenkamer op 7 maart 2022, p. 25-26
195
Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023, p. 2, (iii).
196
Voornaam, achternaam, telefoonnummer, e-mail, straatnaam, nummer, postcode en stad van de betrokkene:
https://avg.blacktigerbelgium.tech/uw-rechten/. Zie ook Stuk 12 (Schermafdrukken website Bisnode Belgium genomen door
de Inspectiedienst op 31 maart 2021) in de inventaris.
Beslissing ten gronde 07/2024 - 73/114
werd overigens tijdens de hoorzitting d.d. 22 februari 2023 uitdrukkelijk door de klager
opgeworpen197 en de verweerder heeft tijdens diezelfde hoorzitting alsmede in het kader
van zijn reactie op het proces-verbaal de gelegenheid gekregen om zich hiertegen te
verweren.
174. Kortom, de door de verweerder aangevoerde redenen voor het versturen van antwoorden
op verzoeken tot inzage via de gewone post zijn niet alleen weinig overtuigend voor de
Geschillenkamer, maar bovendien ook in strijd met artikel 12.1 evenals 12.3 AVG juncto 15.3
AVG. Daarnaast handelt de verweerder niet in lijn met zijn verplichting om de uitoefening van
hun rechten door de betrokkenen te faciliteren, overeenkomstig artikel 12.2 AVG.
Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder artikelen 12.1 en
12.2 AVG alsmede 12.3 juncto 15.3 AVG heeft geschonden, door de antwoorden op de
verzoeken tot inzage van de klagers niet elektronisch doch enkel per post te versturen,
waardoor de klagers onnodig werden belemmerd in de uitoefening van hun rechten.
Bronnen van de persoonsgegevens
175. Met betrekking tot het niet vermelden van de precieze bronnen van de persoonsgegevens
van de klager, stelt de Geschillenkamer vast dat de verweerder enkel melding maakt van het
bedrijf TELE TICKET SERVICE als gegevensbron voor het consumentenbestand (CMX)198.
Tijdens de hoorzitting en in zijn verweermiddelen geeft de verweerder echter geen uitleg
voor het ontbreken van informatie over de bron van de “statistische gegevens op buurt
niveau”.
176. Volgens artikel 15.1 AVG heeft de betrokkene het recht om van de
verwerkingsverantwoordelijke het uitsluitsel te krijgen over het al dan niet verwerken van
hem betreffende persoonsgegevens. Indien dat laatste het geval is, heeft de betrokkene het
recht om inzage te verkrijgen van die persoonsgegevens en van informatie die in artikel
15.1.a) tot en met 15.1.h) wordt vermeld, zoals het doeleinde van de verwerking van de
gegevens evenals de bronnen en de eventuele ontvangers van de gegevens. Het doel van
het recht tot inzage is de betrokkene in staat te stellen om te begrijpen hoe zijn
persoonsgegevens worden verwerkt en wat de gevolgen daarvan zijn alsook de juistheid
van de verwerkte gegevens te controleren zonder dat hij zijn voornemen hoeft te
rechtvaardigen199.
197
Proces-verbaal van de hoorzitting d.d. 23 februari 2023, p. 5.
198
“De bron van uw gegevens is Tele Ticket Service die ons adressen van haar klanten had geleverd. Ondertussen is deze
samenwerking met Tele Ticket Service stopgezet.” in Stuk 2 (“Reactie op het verzoek om toegang van 13 november 2020 van
Bisnode Belgium”) neergelegd bij de conclusies van antwoord van de verweerder.
199
Zie Beslissing ten gronde 57/2023 van 16 mei 2023, randnr. 44 (beschikbaar op de website van de GBA).
Beslissing ten gronde 07/2024 - 74/114
Aangezien het niet aannemelijk is dat TELE TICKET SERVICE residentiële data verstrekt (heeft)
aan de verweerder en de verweerder geen verklaring heeft gegeven met betrekking tot de
oorsprong van de “statistische gegevens op buurt niveau”, hoewel de voormelde gegevens
allicht afkomstig zijn van het Nationaal Instituut voor Statistiek200, acht de Geschillenkamer
het voldoende bewezen dat de verweerder niet alle relevante gegevensbronnen vermeld
heeft in zijn antwoord aan de klager.
Gelet op het voorgaande besluit de Geschillenkamer bijgevolg dat de verweerder een
inbreuk heeft begaan op artikel 15.1.g) AVG, door niet alle beschikbare informatie over de
bronnen van de persoonsgegevens van de klager meteen mede te delen.
Contactgegevens van de DPO
177. Wat betreft het gebrek aan contactgegevens van de DPO in het antwoord evenals het
vermeende gebrek aan vermelding van de rechten van verzet en gegevenswissing, oordeelt
de Geschillenkamer dat de grief van de klager en de vaststelling door de Inspectiedienst niet
gegrond resp. niet gestaafd is door de voorliggende stukken. Artikel 15 AVG vereist immers
geenszins dat de contactgegevens van de DPO vermeld worden in het antwoord op een
verzoek tot inzage, en het staat vast dat de voormelde rechten effectief opgesomd zijn in
het antwoord op het verzoek van de klagers. Bovendien stelt de Geschillenkamer vast dat
de contactgegevens van de DPO degelijk vermeld worden bovenaan het contactformulier
op de website van de verweerder, zoals uit de schermafdrukken door de Inspectiedienst
blijkt. De AVG vereist overigens niet dat verwerkingsverantwoordelijke een e-mailadres van
de DPO deelt met de betrokkenen. De mededeling van een postadres in combinatie met een
contactformulier om verzoeken op een gestructureerde wijze te behandelen, volstaat
zolang de uitoefening van hun rechten door de betrokkenen hierdoor niet belemmerd wordt.
Derhalve stelt de Geschillenkamer vast dat de verweerder op dit punt de AVG niet heeft
geschonden.
Ontvangers van de persoonsgegevens
178. Ten opzichte van de precieze identificatie van de ontvangers aan wie de verweerder de
persoonsgegevens van de klager heeft overhandigd, wijst de klager op het arrest
Österreichische Post van het Hof van Justitie. In deze zaak oordeelde het Hof dat
verwerkingsverantwoordelijken verplicht zijn om op verzoek van betrokkenen de feitelijke
identiteit te verstrekken van de ontvangers aan wie persoonsgegevens zijn of zullen worden
verstrekt. Enkel wanneer het (nog) niet mogelijk is deze ontvangers te identificeren, is het
200
Zie randnr. 83 in deze beslissing.
Beslissing ten gronde 07/2024 - 75/114
de verwerkingsverantwoordelijke toegestaan om de medegedeelde informatie te beperken
tot de betreffende categorieën van ontvangers 201.
179. In casu constateert de Geschillenkamer dat de verweerder ten tijde van de behandeling van
de verzoeken van de klagers zijn antwoord heeft ingeperkt tot de categorieën van
ontvangers. Niettegenstaande de inzageverzoeken die aan de onderhavige procedure ten
grondslag liggen, voorafgaan aan de uitspraak van het Hof van Justitie, oordeelt de
Geschillenkamer dat de verweerder verplicht was de precieze identiteit van de ontvangers
vanaf het eerste verzoek tot inzage mede te delen aan de klagers. In zijn arrest oordeelt het
HvJEU immers dat het recht van inzage van betrokkenen onontbeerlijk is om hen in staat te
stellen om gebruik te maken van andere rechten verleend door de AVG 202. Deze uitleg blijkt
ook uit de richtsnoeren inzake het recht van inzage van de EDPB203, alsook in de
richtsnoeren inzake transparantie, die in 2017 door de Groep Gegevensbescherming Artikel
29 werden goedgekeurd en herzien op 11 april 2018 204, zijnde ruime tijd voordat de
verweerder de inzageverzoeken ontving.
Het staat dan ook vast dat het recht op inzage waarin artikel 15 AVG voorziet, in
tegenstelling tot het recht op informatie krachtens artikelen 13 en 14 AVG, weldegelijk
vereist dat de verwerkingsverantwoordelijke specifieke informatie verstrekt over de
verwerkte persoonsgegevens, met een voldoende mate van nauwkeurigheid om de
betrokkene in staat te stellen een “informationele zelfbeschikking” te verwerven205 en om,
in voorkomend geval, de overeenstemming van de praktijk met de AVG te beoordelen. Het
voldoende transparante en nauwkeurige karakter van de informatie die in het kader van een
recht op toegang wordt meegedeeld, draagt er ook toe bij dat betrokkenen hun rechten uit
hoofde van de AVG gemakkelijker kunnen uitoefenen overeenkomstig artikel 12.2 AVG.
Door specifiek aan te geven wie de ontvangers zijn van de persoonsgegevens die op hen
betrekking hebben, kunnen betrokkenen hun rechten vervolgens rechtstreeks bij deze
ontvangers uitoefenen.
In tegenstelling tot wat de verweerder aandraagt in zijn reactie op het proces-verbaal van de
hoorzitting, is er dus geen sprake van een terugwerkende kracht van het arrest van 12 januari
2023 van het HvJEU, vermits dat arrest louter duiding geeft bij een verplichting die
rechtstreeks voortvloeit uit artikel 15.1.c) AVG, dat van tevoren al van toepassing was.
201
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), randnrs. 39, 43 en 48.
202
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), randnr. 38.
203
EDPB – Guidelines 01/2022 on Data Subject Rights – Right of Access (v2.0, 28 March 2023), randnrs. 116-117.
204
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679
(WP260, rev. 01, 11 april 2018), pp. 43-44: “De (namen van de) feitelijke ontvangers van de persoonsgegevens, of categorieën
persoonsgegevens, moeten worden verstrekt. In overeenstemming met het behoorlijkheidsbeginsel moeten
verwerkingsverantwoordelijken informatie over de ontvangers verstrekken die voor de betrokkenen het meest betekenisvol
is. In de praktijk zullen dit doorgaans met name genoemde ontvangers zijn, zodat betrokkenen precies weten wie hun
persoonsgegevens heeft.”.
205
Zie Beslissing ten gronde 15/2021 van 9 februari 2021, randnr. 165 (beschikbaar op de website van de GBA).
Beslissing ten gronde 07/2024 - 76/114
Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk heeft
begaan op artikel 15.1.c) AVG, door niet alle beschikbare informatie over de specifieke
ontvangers van de persoonsgegevens van de klagers mee te delen.
II.6. Gebruik van cookies op de websites van de verweerder (artikel 4.11), artikel
5.1.a) en 5.2, artikel 6.1.a), evenals artikel 7.1 en 7.3 AVG)
II.6.1. Standpunt van de Inspectiedienst
180. De Inspectiedienst heeft vastgesteld dat de informatie die de verweerder over het gebruik
van cookies aan websitebezoekers verstrekt, in het cookievenster onderaan op de
startpagina van de website https://bisnodeandyou.be, enkel beschikbaar is in het Engels.
Bovendien worden de twee keuzemogelijkheden op de startpagina van de website niet op
een gelijkwaardige manier voorgesteld, en verdwijnt het cookievenster na het klikken op de
taalknop rechts bovenaan de startpagina van de website. Tot slot verschaft de verweerder
geen uitleg aan websitebezoekers over hoe zij hun gegeven toestemming kunnen intrekken.
181. Met betrekking tot de website https://www.permesso.be stelt de Inspectiedienst vast dat de
informatie over het gebruik van cookies zowel in het Nederlands als in het Frans beschikbaar
is, en duidelijk maakt dat er naast essentiële cookies ook andere cookies geplaatst worden.
Daarnaast worden de twee keuzemogelijkheden op de startpagina van de website niet op
een gelijkwaardige manier voorgesteld, en verdwijnt de Nederlandstalige versie van het
cookievenster na het klikken op de taalknop. Tot slot verschaft de verweerder geen uitleg
aan websitebezoekers over hoe zij hun gegeven toestemming vervolgens kunnen intrekken.
182. Op basis van voorgaande vaststellingen concludeert de Inspectiedienst dat de verweerder
geen rechtsgeldige toestemming in de zin van artikel 4.11) AVG bekomt, en bijgevolg ook
niet kan aantonen dat betrokkenen een geldige toestemming hebben gegeven voor de
plaatsing van cookies op hun toestellen.
II.6.2. Standpunt van de verweerder
183. De verweerder erkent dat er bepaalde tekortkomingen waren in zijn vroegere cookiebeleid,
maar benadrukt dat er na de publicatie van de richtsnoeren op de website van de GBA, in
2020, werd besloten om een analyse te verrichten van de bestaande cookiepraktijk van de
verweerder teneinde tekortkomingen te identificeren en te remediëren. Wegens de
verschillende overnames is dit echter op de achtergrond geraakt, aldus de verweerder, en
werd uiteindelijk door BLACK TIGER BELGIUM beslist om uitsluitend nog gebruik te maken van
strikt noodzakelijke cookies.
Beslissing ten gronde 07/2024 - 77/114
II.6.3. Oordeel van de Geschillenkamer
184. De Geschillenkamer is louter op basis van de schermafdrukken van
https://bisnodeandyou.be/ resp. https://www.permesso.be/ niet in staat om tot de
vaststelling te komen van een inbreuk op de regelgeving inzake de plaatsing van cookies.
Immers, met betrekking tot de eerste website valt enkel af te leiden dat de website een
toestemmingscookie plaatst (“OptanonConsent”), gekoppeld aan het domein
bisnodeandyou.be, met een vervaltermijn van één jaar. Derhalve kan de Geschillenkamer
niet besluiten dat deze cookie een niet-noodzakelijke functie ondersteunt. Ten aanzien van
de tweede website valt evenmin af te leiden dat de verweerder niet-noodzakelijke cookies
zou plaatsen zonder de voorafgaande toestemming van de betrokkenen. De enige cookies
die de Inspectiedienst namelijk heeft vastgesteld, zijn naast de reeds vermelde
Optanonconsent ook twee sessiecookies (PHPSESSID en wml_browser_redirect_test). Dit
zijn beide functionele cookies, gekoppeld aan de website permesso.be. Daarnevens stelt de
GK na eigen onderzoek vast dat de website https://bisnodeandyou.be/ niet langer
toegankelijk is, en de website https://www.permesso.be/ minstens sedert 25 juli 2021 niet
langer in gebruik is.
Bijgevolg besluit de Geschillenkamer om de vaststellingen van de Inspectiedienst die
verband houden met de plaatsing van cookies op de twee voormelde websites van de
verweerder, niet te weerhouden.
II.7. Verantwoordingsplicht van de verweerder (artikel 5.2, artikel 24.1, alsook
artikel 25.1 en 25.2 AVG)
II.7.1. Standpunt van de Inspectiedienst
185. De verweerder verwijst in zijn antwoord op de vragen van de Inspectiedienst naar diverse
initiatieven en documenten inzake gegevensbescherming. De Inspectiedienst benadrukt
evenwel dat de verweerder onder meer een inbreuk heeft begaan op artikel 5.2, artikel 24.1
en artikel 25.1 AVG, alsook met betrekking tot bepaalde artikelen van de AVG over de
rechten van de betrokkene. De niet ingevulde en niet ondertekende modelovereenkomsten
waar de verweerder in zijn antwoorden naar verwijst206, tonen volgens de Inspectiedienst
overigens niet aan dat die templates effectief en systematisch worden gebruikt. Daarnaast
blijkt uit de door de verweerder bezorgde documenten207 niet dat deze effectief zijn
goedgekeurd door het hoogste leidinggevende niveau van de verweerder, noch dat de
206
Stukken 10 t.e.m. 12 overgemaakt door de verweerder aan de Inspectiedienst.
207
Stukken 1 t.e.m. 38 overgemaakt door de verweerder aan de Inspectiedienst.
Beslissing ten gronde 07/2024 - 78/114
naleving van de daarin vermelde regels en richtlijnen effectief wordt gecontroleerd en dat
inbreuken effectief worden gesanctioneerd.
II.7.2. Standpunt van de verweerder
186. De verweerder betoogt dat de vaststellingen door de Inspectiedienst met betrekking tot de
documenten inzake de bescherming van persoonsgegevens ongegrond zijn. De verweerder
voert aan dat hij tijdens het onderzoek door de Inspectiedienst steeds volledige, precieze,
gedetailleerde en volkomen transparante informatie heeft verstrekt op alle gestelde vragen,
en werpt op dat de vastgestelde tekortkomingen in ieder geval gering en zonder gevolg
lijken te zijn. Verder betreurt de verweerder dat er in het inspectieverslag op geen enkele
wijze rekening werd gehouden met de meer globale implementatie van de AVG door de
verweerder om te voldoen aan zijn verplichtingen krachtens de verordening. Het feit dat hij
over modelovereenkomsten en standaarddocumenten beschikt, toont volgens de
verweerder net aan dat hij een redelijk niveau van interne compliance en paraatheid heeft
geïmplementeerd in geval van de uitoefening van hun rechten door betrokkenen, dan wel
van een onderzoek of een controle door de GBA. De verweerder stelt overigens dat hij
geenszins “verplicht [is] te bewijzen dat deze templates daadwerkelijk worden gebruikt,
temeer daar de Inspectiedienst geen concrete gevallen noemt waarin zij niet zijn gebruikt en
de verweerder tevens aantoont dat hij wel degelijk standaardantwoorden gebruikt om te
reageren op verzoeken om toegang van betrokkenen”.
187. De verweerder weerlegt vervolgens de vaststellingen van de Inspectiedienst inzake het
effectief en systematisch in gebruik nemen van modelovereenkomsten, de goedkeuring
van beleidsdocumenten door het hoogste leidinggevende niveau, alsook het gebrek aan
bewijs van de uitvoering van de voorziene controle- en sanctiemaatregelen in geval van
inbreuken op de interne procedures. De verweerder stelt dat er namelijk geen enkele
wettelijke verplichting bestaat om een verslag op te stellen voor elke vergadering van de
raad van bestuur, waarin de precieze beslissingen worden vastgesteld. Tevens verwijst hij
naar de tegenstrijdige verklaringen van de Inspectiedienst, die enerzijds aanklaagt dat er
gebruik wordt gemaakt van standaardbrieven, en anderzijds de verweerder verwijt geen
gebruik te maken van de voorgelegde standaarddocumenten. De verweerder meent dat hij
evenmin verplicht is te bewijzen dat de overgemaakte templates daadwerkelijk gebruikt
worden, temeer omdat de Inspectiedienst geen concrete gevallen noemt waarin de
templates niet gebruikt zouden zijn.
188. Verder verwijst de verweerder naar het feit dat BLACK TIGER BELGIUM op geen enkele wijze
betrokken was bij het verloop van de gebeurtenissen die de klagers aanklagen, en zich
bovendien zeer snel bij de GBA heeft gemeld om zijn standpunt kenbaar te maken.
Daarenboven benadrukt de verweerder nogmaals dat de CMX databank inmiddels
Beslissing ten gronde 07/2024 - 79/114
verwijderd is en de activiteiten van Data Delivery drie maanden na de overname door
BLACK TIGER zijn beëindigd, en vraagt dan ook aan de Geschillenkamer om zorgvuldig een
passende sanctie te kiezen. Kortom, de verweerder verzoekt de Geschillenkamer voor recht
te verklaren dat er geen sanctie noodzakelijk is, aangezien de verweerder de litigieuze
verwerkingen op eigen initiatief en definitief heeft beëindigd. De verweerder verduidelijkt
dat BLACK TIGER BELGIUM sinds het stopzetten van de Data Delivery activiteiten uitsluitend
nog als verwerker optreedt in de context van de Data Quality dienstverlening aan klanten.
Dit weerhoudt BLACK TIGER BELGIUM echter niet om passende technische en
organisatorische maatregelen te nemen en de nodige documentatie bij te houden, zoals
overigens aan de Inspectiedienst overgemaakt tijdens het onderzoek. Daarnaast verwijst de
verweerder naar het schrijven van de CEO van BLACK TIGER BELGIUM gericht aan de GBA,
waarin de gewijzigde strategie alsmede de beslissing om over te schakelen naar een zuivere
Data Quality dienstverlening werd toegelicht, doch onbeantwoord bleef door de
Inspectiedienst.
II.7.3. Oordeel van de Geschillenkamer
189. De Geschillenkamer oordeelt dat er niet aan getwijfeld kan worden dat BLACK TIGER BELGIUM
verantwoordelijk moet worden gesteld voor de verwerkingsactiviteiten die plaatsvonden
vóór de overname van BISNODE BELGIUM door BLACK TIGER GROUP en de daaropvolgende
naamswijziging. Deze verantwoordelijkheid, die losstaat van de betrokkenheid van het
‘nieuw’ bedrijf bij de omstreden verwerkingsactiviteit, vloeit namelijk rechtstreeks voort uit
de overgang van BISNODE BELGIUM naar BLACK TIGER BELGIUM, waarbij de
beslissingsbevoegdheid over de middelen en doeleinden van de verwerkingen van
persoonsgegevens zonder meer werd overgenomen. Het tegengestelde aannemen zou een
vacuüm impliceren met betrekking tot de verantwoordelijkheid over overgedragen
persoonsgegevens, ten koste van de bescherming van de fundamentele rechten en
vrijheden van de betrokkenen, uitgerekend wanneer de ‘overnemer’ de
verwerkingsactiviteiten gedurende een bepaalde periode na de overname voortzet.
Daarbovenop benadrukt de Geschillenkamer dat de ondernemingsnummers van BISNODE
BELGIUM resp. BLACK TIGER BELGIUM identiek zijn.
190. Artikel 5.2 en artikel 24 AVG leggen algemene verantwoordingsplichten en
nalevingsvereisten op aan verwerkingsverantwoordelijken. Artikel 5.2 AVG stelt de
verwerkingsverantwoordelijke aansprakelijk voor de naleving van de algemene beginselen
inzake hun verwerking van persoonsgegevens. Krachtens artikel 24 AVG dienen
verwerkingsverantwoordelijken in het bijzonder, rekening houdend met de aard, de omvang,
de context en het doel van de verwerking, passende technische en organisatorische
Beslissing ten gronde 07/2024 - 80/114
maatregelen te treffen om het recht op gegevensbescherming te waarborgen en te kunnen
aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd.
191. In de onderhavige zaak heeft de Geschillenkamer inmiddels geoordeeld dat de verweerder
niet kon aantonen dat de omstreden gegevensverwerkingen de bepalingen van de AVG op
passende wijze naleven. De Geschillenkamer heeft vastgesteld dat de verweerder onterecht
een beroep doet op artikel 6.1.f) AVG als grondslag voor de CMX en Spectron databanken
waarin ook de persoonsgegevens van de klagers verwerkt zijn. De verweerder heeft hierbij
geen degelijke afweging uitgevoerd tussen zijn eigen belangen en die van zijn klanten,
enerzijds, en de belangen alsook de fundamentele rechten en vrijheden van de betrokkenen,
anderzijds208. Voorts schuift de verweerder op onwettige wijze zijn informatieplicht ten
aanzien van de betrokkenen door naar de gegevensbronnen evenals naar zijn klanten,
waardoor de betrokkenen niet dan wel laattijdig ingelicht worden van de verwerking van hun
persoonsgegevens in het kader van de commerciële dienstverlening aangeboden door de
verweerder209. Ten aanzien van de behandeling van verzoeken door betrokkenen is de
Geschillenkamer eveneens tot het besluit gekomen dat de verkozen handelswijze, en met
name het verzenden van de antwoorden op verzoeken tot inzage per post, ofschoon de
verzoeken elektronisch kunnen worden ingediend, niet overeenstemt met de voorschriften
van artikel 15 AVG210. Daarnaast stelt de Geschillenkamer vast dat een aantal aangeleverde
beleidsdocumenten niet werden aangepast sinds hun laatste wijziging in 2018, ofschoon
een reeks punten een actieve opvolging van de verwerkingsverantwoordelijke vereisten. De
Geschillenkamer verwijst in het bijzonder naar de vastgelegde opslagperiode van 15 jaar,
waarvoor de verwerkingsverantwoordelijke aangaf dat hij nog een rechtvaardiging diende
te documenteren211. Deze vaststelling wordt overigens gestaafd door de vermelding “See
Data Retention Policy (under review)” in het register van verwerkingsactiviteiten
overgemaakt aan de Inspectiedienst door de verweerder 212.
Dienvolgens acht de Geschillenkamer de inbreuk op artikel 5, artikel 24.1, evenals artikel
25.1 en 25.2 AVG bewezen, voor wat betreft het niet kunnen waarborgen en evenmin
aantonen dat de verwerking plaatsvindt in overeenstemming met de beginselen inzake
gegevensbescherming neergelegd in artikel 5.1 AVG en met eerbiediging voor de
fundamentele rechten en vrijheden van de betrokkenen, zoals onder meer vastgelegd in
artikel 12, 14 en 15 AVG.
208
Zie randnrs. 134 t.e.m. 141 in deze beslissing.
209
Zie randnrs. 151 t.e.m. 162 in deze beslissing.
210
Zie randnrs. 170 t.e.m. 173 in deze beslissing.
211
Stuk 1 (“DPIA Bisnode 23 mai 2018 - Consu -Spectron-Permesso”) zoals overgemaakt door de verweerder aan de
Inspectiedienst in het kader van het onderzoek, p. 15 in fine.
212
Vrij vertaald: “Zie Beleid inzake gegevensopslag (wordt momenteel herzien)” in Stuk 30 (“Bisnode Belgium - Copy of Record
of Processing”) zoals overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek.
Beslissing ten gronde 07/2024 - 81/114
192. De Geschillenkamer beslist daarentegen om de overige vaststellingen van de
Inspectiedienst aangaande het overhandigen van niet ingevulde en niet ondertekende
modelovereenkomsten, evenals het gebrek aan controle en sanctiemaatregelen in een
aantal documenten, alsmede een formele goedkeuring door het hoogste leidinggevende
niveau van de verweerder, niet in overweging te nemen. De Inspectiedienst maakt
onvoldoende aannemelijk dat de verweerder dienaangaande daadwerkelijk een inbreuk
heeft gepleegd op de bepalingen van de AVG die verband houden met de
verantwoordingsplicht van de verwerkingsverantwoordelijke. Ten slotte kaderen deze
vaststellingen niet binnen de scope van de aanvankelijke klacht.
II.8. Register van verwerkingsactiviteiten (artikel 30.1, 30.2, en 30.3 AVG)
II.8.1. Standpunt van de Inspectiedienst
193. De verweerder beschouwt zichzelf als verwerker voor verschillende verwerkingsactiviteiten
opgenomen in zijn register van verwerkingsactiviteiten. De Inspectiedienst stelt evenwel
vast dat dit register niet aan de minimumvereisten voldoet, vermits de beschrijving van de
categorieën van betrokkenen en van de categorieën van persoonsgegevens onvolledig is,
de bewaartermijnen van de persoonsgegevens niet vermeld worden, een algemene
beschrijving van de technische en organisatorische beveiligingsmaatregelen (“TOMs”)
ontbreekt, en tot slot de naam en contactgegevens van iedere
verwerkingsverantwoordelijke voor rekening waarvan de verweerder als verwerker handelt
niet vermeld staan in het register.
II.8.2. Standpunt van de verweerder
194. De verweerder stelt dat artikel 30.1.c) AVG hem geenszins verplicht om de betrokkenen in
geïdentificeerde vorm te noemen in zijn register van verwerkingsactiviteiten. Volgens de
verweerder volstaat het om de betrokkenen te benoemen als consumenten (consumers),
klanten (clients), werknemers (staff), enz. Bovendien verplicht artikel 30.1.c) AVG louter om
een beschrijving te geven van de categorieën van verwerkte persoonsgegevens. De
verweerder meent hieraan te voldoen door onder meer de volgende categorieën op te lijsten
in het gegevensregister: identificatiegegevens (contact data), sociaal demografische en
levensstijl gegevens (socio-demo and lifestyle data) en gezinstypologie (family typology). De
verweerder betwist eveneens dat hij artikel 30 AVG zou overtreden hebben, omwille van het
louter verwijzen naar interne beleidsdocumenten waarin de beoogde bewaartermijnen
alsmede een beschrijving van de technische en organisatorische maatregelen opgenomen
zijn. De verweerder meent dat het register van verwerkingsactiviteiten voornamelijk
bestemd is voor intern gebruik als een ondersteuningsdocument, en overeen moet
Beslissing ten gronde 07/2024 - 82/114
stemmen met de operationele realiteit van de verwerkingsverantwoordelijke. Tot slot werpt
de verweerder op dat zijn activiteiten als verwerker in het intern register van
verwerkingsactiviteiten opgenomen zijn, maar enkel toegankelijk zijn “voor bepaalde
personen”. Aangezien de Inspectiedienst er niet om heeft verzocht, heeft de verweerder
deze informatie, die wel beschikbaar is, niet verstrekt.
II.8.3. Oordeel van de Geschillenkamer
195. De Geschillenkamer stelt vast dat het voorgelegde register van verwerkingsactiviteiten zich
beperkt tot de vermelding van de categorieën van betrokkenen, zonder deze categorieën
nader te omschrijven. Artikel 30.1.c) AVG vereist nochtans uitdrukkelijk dat het register “een
beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens” (eigen onderlijning) geeft. Aangezien de vereiste om de betreffende
categorieën daadwerkelijk te beschrijven tevens in de Engelse en Franse vertaling van de
AVG aanwezig is213, kan er volgens de Geschillenkamer dan ook geen twijfel bestaan over de
reikwijdte van deze bepaling. Zoals eerder in deze beslissing aangekaart, verschillen de
omschrijvingen van de categorieën van persoonsgegevens verwerkt door de verweerder
naargelang het beleidsdocument waarnaar verwezen wordt 214. Het is nochtans van uiterst
belang dat iedere verwerkingsverantwoordelijke voor zichzelf duidelijk definieert welke
persoonsgegevens precies onder zijn toezicht verwerkt worden, en dit eveneens
documenteert in het register van verwerkingsactiviteiten, zoals vereist onder de
verantwoordingsplicht (artikel 5.2 juncto 24 AVG)215. Een passende granulariteit in het intern
register van verwerkingsactiviteiten is des te meer van belang daar de informatie die
verwerkingsverantwoordelijken onder artikelen 13 en 14 AVG moeten verschaffen aan
betrokkenen zich beperkt tot de betrokken categorieën van persoonsgegevens. Van zodra
een betrokkene echter zijn recht van inzage uitoefent, dient de
verwerkingsverantwoordelijke overeenkomstig de richtsnoeren van de EDPB niettemin een
volledig beeld van de verwerkte persoonsgegevens mee te delen aan de verzoeker, met
inbegrip van de precieze hem of haar betreffende persoonsgegevens die de
verwerkingsverantwoordelijke ook daadwerkelijk verwerkt216. Bijgevolg oordeelt de
Geschillenkamer de inbreuk op artikel 30.1.c) AVG door de verweerder als bewezen.
196. Ten aanzien van de verwijzing naar externe beleidsdocumenten waarin de bewaartermijnen
evenals de technische en organisatorische maatregelen omschreven worden, begrijpt de
Geschillenkamer in tegenstelling tot de Inspectiedienst dat dergelijke informatie niet
213
“(c) a description of the categories of data subjects and of the categories of personal data;” en “c) une description des
catégories de personnes concernées et des catégories de données à caractère personnel;”.
214
Zie randnr. 107 in deze beslissing.
215
Beslissing ten gronde 15/2020 van 15 april 2020, randnr. 142 (beschikbaar op de website van de GBA).
216
EDPB – Guidelines 01/2022 on Data Subject Rights – Right of Access (v2.0, 28 March 2023), randnr. 115.
Beslissing ten gronde 07/2024 - 83/114
systematisch moet worden opgenomen in het register van verwerkingsactiviteiten, gelet op
de verschillende verwoording van artikel 30.1.f) en 30.1.g) AVG. Zolang het register op
passende wijze verwijst naar de beleidsdocumenten waarin de voormelde informatie
eenvoudig kan worden nagegaan, is er volgens de Geschillenkamer geen sprake van een
inbreuk op artikel 30.1 AVG.
197. In zijn conclusies stelt de verweerder zich op het standpunt dat de Inspectiedienst het
register van verwerkingsactiviteiten als verwerker (processor) had kunnen ontvangen
indien hij hierom gevraagd had. Uit nader onderzoek van het betrokken register, stelt de
Geschillenkamer evenwel vast dat het mogelijk is om activiteiten als verwerker (“processor”)
te filteren onder de kolom “Controller or processor?”. De Geschillenkamer besluit bijgevolg
dat de verweerder één centraal verwerkingsregister hanteert, waarin de
gegevensverwerkingen als verwerkingsverantwoordelijke alsook de verwerkingen die de
verweerder ten behoeve van een ander verwerkingsverantwoordelijke voert,
gedocumenteerd zijn.
198. De Geschillenkamer stelt echter vast dat de verwerkingsactiviteiten die tot de tweede
categorie behoren, geen melding maken van “a) de naam en de contactgegevens […] van
iedere verwerkingsverantwoordelijke voor rekening waarvan de verwerker handelt, en, in
voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke […] en
van de functionaris voor gegevensbescherming;”. De inbreuk op artikel 30.2.a) AVG staat
dus vast.
199. Tot slot oordeelt de Geschillenkamer dat er geen inbreuk op artikel 30.3 AVG kan worden
weerhouden, louter ingevolge de vaststelling dat het register van verwerkingsactiviteiten
niet alle verplichte informatie bevat.
II.9. Betrokkenheid van de DPO (artikel 38.1 en artikel 39.1 AVG)
II.9.1. Standpunt van de Inspectiedienst
200. Hoewel de rol van de DPO duidelijk omschreven is en deze ondersteund wordt bij de
uitoefening van zijn taken, stelt de Inspectiedienst vast dat de verweerder geen informatie
en/of adviezen van de DPO over (a) transparante informatie aan de betrokkenen en (b) het
register van de verwerkingsactiviteiten heeft bezorgd aan de Inspectiedienst, en de
verweerder bijgevolg de betrokkenheid van de DPO voor de voormelde onderwerpen niet
heeft aangetoond. De meeste documenten die de verweerder aanhaalt om de
werkzaamheden van zijn DPO te bewijzen, tonen evenmin aan hoe en wanneer de DPO
concreet is tussengekomen, of welke concrete maatregelen de verweerder desgevallend
heeft ondernomen naar aanleiding van adviezen van zijn DPO.
Beslissing ten gronde 07/2024 - 84/114
II.9.2. Standpunt van de verweerder
201. De verweerder verklaart dat de naleving van de artikelen 38.1 en 39.1 AVG wordt
aangetoond door het bewijs van de betrokkenheid en de sleutelrol die de DPO's sinds 2018
spelen. Dit omvat het onderhoud van GEBs voor elk van de databases, het aanmaken van de
website van www.bisnodeetvous.be alsook de totstandbrenging van een proces voor
verzoeken van betrokkenen tot uitoefening van hun rechten, de herziening van de
technische en organisatorische maatregelen en tenslotte de uitrol van het GEB-proces.
Meer in het algemeen wordt de rol van de DPO, zijn taken en zijn belang binnen het bedrijf
aangetoond door de productie van twee essentiële documenten van de BISNODE GROUP, die
de toenmalige BISNODE BELGIUM mutatis mutandis heeft overgenomen na hun vertrek uit de
groep. De verweerder weerlegt de vaststelling van de Inspectiedienst, volgens dewelke hij
niet zou hebben aangetoond dat de DPO wel degelijk, samen met andere juridische
adviseurs binnen het bedrijf, betrokken was bij de vastlegging van de aan betrokkenen te
verstrekken informatie, alsmede bij het opstellen van het register. Volgens de verweerder
blijkt immers afdoende uit de toegezonden documenten dat de DPO op alle niveaus
betroken was, en is, bij de projecten, beslissingen alsook de dagelijkse verrichtingen omtrent
de verwerking van persoonsgegevens. Het feit dat specifieke documenten niet aan de
Inspectiedienst zijn verstrekt, bewijst volgens de verweerder niet dat de DPO er niet bij
betrokken is geweest. De verweerder verwijst dienaangaande naar het gebrek aan vragen
hieromtrent gericht aan de verweerder gedurende het onderzoek. Daarnaast merkt de
verweerder op dat de AVG nergens voorschrijft op welke wijze een
verwerkingsverantwoordelijke de betrokkenheid van de DPO kan of moet aantonen. De
vermelding van de verschillende functies die bij een project betrokken zijn of aan een
document hebben bijgedragen, is niet alleen gebruikelijk, maar houdt volgens de verweerder
minstens een begin van bewijs in, dan wel een redelijke indicatie van de betrokkenheid van
de voormelde functies.
II.9.3. Oordeel van de Geschillenkamer
202. De Geschillenkamer begrijpt uit de voorgelegde stukken en de argumenten aangevoerd
door de verweerder dat BISNODE BELGIUM reeds voor de inwerkingtreding van de AVG een
uitgebreid implementatietraject heeft opgestart 217, alsook dat de toenmalige DPO en zijn
vervanger betrokken werden bij het opstellen van beleidsdocumenten die verband houden
met de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke.
Daarnaast stelt de Geschillenkamer vast dat de Inspectiedienst in het kader van het
217
Stuk 32 zoals overgemaakt door de verweerder aan de Inspectiedienst in het kader van het onderzoek.
Beslissing ten gronde 07/2024 - 85/114
onderzoek geen aanvullende vragen heeft gesteld aan de verweerder, teneinde bijkomend
bewijs te verkrijgen over de betrokkenheid van de DPO in concrete projecten.
Te dezen beschikt de Geschillenkamer dus niet over voldoende elementen ter staving van
de door de Inspectiedienst weerhouden overtreding van artikel 38.1 en 39.1 AVG. Bijgevolg
kan de Geschillenkamer de door de Inspectiedienst vastgestelde overtredingen van de
AVG omtrent de betrokkenheid van de DPO niet weerhouden.
II.10. Bijkomende beschouwingen in verband met het inspectieverslag
203. In het inspectieverslag worden drie omstandigheden opgesomd die voor de Inspectiedienst
een rol zouden spelen bij de beoordeling van de ernst van de vermeende inbreuken.
i. de verweerder verwerkt systematisch en op grote schaal persoonsgegevens als
kernactiviteit;
ii. de aard van de vastgestelde inbreuken is ernstig, en de verweerder maakt zijn
beloftes niet waar;
iii. het register van verwerkingsactiviteiten is onvolledig en onduidelijk.
204. De verweerder meent dat deze omstandigheden ten onrechte naar voren worden gebracht.
Ten eerste kan de verweerder niet verweten worden dat hij op grote schaal
persoonsgegevens verwerkt, zolang hij de regels inzake de bescherming van
persoonsgegevens naleeft. Daarnaast benadrukt de verweerder dat de omvang en de
reikwijdte van de verwerkingen niet nader gekwalificeerd of gekarakteriseerd worden in het
verslag van de Inspectiedienst, die zich ertoe beperkt vast te stellen dat de verweerder zich
profileert als een specialist in direct marketing.
De Geschillenkamer oordeelt daarentegen dat de vaststelling van een grootschalige
gegevensverwerking niet louter als een verzwarende omstandigheid in aanmerking moet
worden genomen, maar weldegelijk als een onderdeel van de afwegingstoets tussen de
fundamentele rechten en vrijheden van de betrokkenen, enerzijds, en de aangedragen
belangen van de verweerder en diens klanten, anderzijds.
205. Ten tweede voert de verweerder aan dat het onderzoeksverslag de inbreuken als zodanig
zou verwarren met de verzwarende omstandigheden van diezelfde inbreuken. Zo zou de
Inspectiedienst geen enkel concrete omstandigheid aangevoerd hebben, los van de
vermeende inbreuk zelf, op grond waarvan de ernst van de inbreuk beoordeeld zou kunnen
worden. Met betrekking tot de privacyverklaringen op de website betwist de verweerder de
betichtingen, die niet eens worden aangetoond, dat de verweerder het vertrouwen van
betrokkenen opzettelijk heeft willen misleiden.
Beslissing ten gronde 07/2024 - 86/114
De Geschillenkamer heeft in de voorliggende beslissing reeds geoordeeld dat er voldoende
aanwijzingen bestaan dat de verweerder er bewust voor opteerde om de informatieplicht
ten aanzien van de betrokkenen hoofdzakelijk bij zijn partners (die de persoonsgegevens
aanleveren) en zijn klanten (die de persoonsgegevens ontvangen) te leggen. De
Geschillenkamer is tevens tot het besluit gekomen dat een dergelijke handelswijze niet te
verenigen valt met de voorschriften van artikel 14 AVG 218.
206. Ten derde kan volgens de verweerder niet redelijkerwijs betwist worden dat hij robuuste en
adequate interne procedures, beleidsmaatregelen en regels heeft ingevoerd om
persoonsgegevens te beschermen, noch dat de verweerder te goeder trouw heeft getracht
de AVG zowel naar de geest als naar de letter na te leven. De verweerder verwijst naar zijn
keuze om de activiteiten van Data Delivery op eigen initiatief stop te zetten — welke keuze
nog niet was bekendgemaakt op het moment dat het inspectieverslag werd uitgebracht —
alsook om zijn huidige activiteiten te beperken tot gegevensanalyse en diensten die geen
rol als datamakelaar inhouden. Deze heroriëntering zou, aldus de verweerder, een
beslissende rol moeten spelen bij de beoordeling van de ernst van de verweten inbreuken
alsmede van de goede trouw van de verweerder.
De Geschillenkamer zal het feit dat de verweerder na de overname beslist heeft om een
aantal dienstverleningen stop te zetten, in aanmerking nemen in het kader van de
hiernavolgende bepaling van de sancties en correctieve maatregelen.
207. Ten vierde beweert de verweerder dat hij, zelfs zonder kennis van het onderzoeksverslag en
voordat het op 20 mei 2021 werd uitgebracht, verscheidene pogingen heeft ondernomen
om contact op te nemen met de Inspecteur-Generaal en de toenmalige voorzitter van de
GBA, teneinde hen op de hoogte te brengen van deze belangrijke aanpassing aan de
bedrijfsactiviteiten, en om met hem een constructieve dialoog aan te gaan zoals de
verweerder dat ook met de CNIL in Frankrijk had gedaan. De verweerder meent dat hij er
echter niet in geslaagd is een ontmoeting met de GBA te bekomen.
Dienaangaande herinnert de Geschillenkamer eraan dat een partij tijdens een lopend
onderzoek in beginsel niet kan eisen om gehoord te worden, gezien de specifieke
bevoegdheden die aan de Inspectiedienst zijn verleend 219. Het Marktenhof heeft in zijn
arrest van 1 maart 2023 eveneens geoordeeld dat de GBA als toezichthoudende autoriteit
krachtens artikel 52 AVG volledig onafhankelijk is bij de uitvoering van de taken en
bevoegdheden die haar overeenkomstig de AVG zijn toegewezen 220.
218
Zie randnr. 166 in deze beslissing
219
Zie punt 4.1.e) van het Charter van de Inspectiedienst, beschikbaar op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf.
220
Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2022/AR/1085 van 1 maart 2023, p 7.
Beslissing ten gronde 07/2024 - 87/114
III. Sancties en corrigerende maatregelen
III.1. Vastgestelde inbreuken
208. De Geschillenkamer is van oordeel dat er in de onderhavige zaak sprake is van ernstige
overtredingen van de grondrechten van de betrokkenen. De Geschillenkamer oordeelt
overigens dat deze overtredingen moeten ondergebracht worden in afzonderlijke
gedragingen221. Meer bepaald stelt de Geschillenkamer inbreuken op de volgende
bepalingen van de AVG vast, met betrekking tot drie verschillende, hierna uiteengezette
gedragingen van de verwerkingsverantwoordelijke:
i. Inbreuk op artikel 5 AVG; artikel 6 AVG; artikel 12 AVG; artikel 14 AVG; artikel 24
AVG en artikel 25 AVG — De Geschillenkamer oordeelt dat de verweerder op
onrechtstreekse wijze, op grote schaal en voor een periode van minstens 15 jaar
persoonsgegevens van betrokkenen verzamelde, zonder daarbij te voorzien in een
individuele informatieverstrekking aan de betrokkenen van wie de verweerder
niettemin over contactgegevens beschikte, voor zowel Data Delivery als Data
Quality dienstverleningen.
De verwerkingen die gepaard gingen resp. gaan met deze dienstverleningen zijn
immers in strijd met artikel 5.1 AVG, en meer bepaald met het beginsel van
rechtmatigheid, behoorlijkheid en transparantie (5.1.a) AVG), het beginsel van
minimale gegevensverwerking (5.1.c) AVG) en het beginsel van opslagbeperking
(5.1.e) AVG). Door ingevolge een ernstige nalatigheid te opteren voor een indirecte
informatieverstrekking aan de betrokkenen, hetzij ‘stroomopwaarts’ door de
gegevensbronnen van de verweerder, hetzij ‘stroomafwaarts’ door de klanten van
de verweerder wanneer deze voor de eerste maal met de betrokkenen
communiceren, schendt de verweerder daarenboven zijn informatieplicht zoals
neergelegd in artikel 14.1 en 14.2 AVG, gelezen in samenhang met artikel 12.1 AVG.
Voor de verwerking van persoonsgegevens zonder proactieve
informatieverstrekking aan de betrokkenen, kan de verweerder bijgevolg niet
rechtmatig steunen op zijn gerechtvaardigde belangen dan wel die van zijn klanten
(6.1.f) AVG), aangezien deze belangen niet opwegen ten opzichte van de belangen
en fundamentele rechten van de betrokkenen, en de
gegevensverwerkingsactiviteiten die deze belangen schragen overigens niet
vallen binnen de redelijke verwachtingen van de betrokkenen. Tevens heeft de
verweerder artikel 25 AVG geschonden wegens het gebrek aan passende
technische en organisatorische maatregelen teneinde de naleving van de
221
“Conducts” in de EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023).
Beslissing ten gronde 07/2024 - 88/114
gegevensbeschermingsbeginselen, en in het bijzonder de beginselen van minimale
gegevensverwerking en opslagbeperking, op een doeltreffende manier te
waarborgen. Vermits de verweerder tot slot niet afdoende aantoont — zoals
nochtans vereist ingevolge de verantwoordingsplicht die op elke
verwerkingsverantwoordelijke rust — dat de verwerkingen van persoonsgegevens
van betrokkenen in het kader van de voormelde dienstverleningen, plaatsvonden
in overeenstemming met de beginselen inzake gegevensbescherming en met
eerbiediging voor de fundamentele rechten en vrijheden van de betrokkenen, heeft
de verweerder eveneens een inbreuk gepleegd op artikel 5.2 AVG, gelezen in
samenhang met artikel 24.1 AVG.
ii. Inbreuk op artikel 12 AVG evenals artikel 15 AVG — De Geschillenkamer oordeelt
dat de verweerder op ongeschikte wijze de verzoeken tot inzage van de klagers
heeft afgehandeld, in strijd met de verplichting om de rechten van betrokkenen te
faciliteren en de vereiste om de betrokkenen volledige inzage en informatie te
verlenen over de verwerking van hun persoonsgegevens.
De verweerder heeft er namelijk voor geopteerd om zijn schriftelijke antwoorden
op de verzoeken tot inzage van de klagers per post in plaats van in een gangbare
elektronische vorm te verstrekken, wat een schending inhoudt van artikel 12.1 en
12.2 AVG alsmede van artikel 12.3 juncto 15.3 AVG. Daarnaast heeft de verweerder
nagelaten om de bron van de statistische informatie aangaande de klagers te
vermelden in de antwoorden op hun verzoeken tot inzage, met als gevolg dat de
verweerder ook artikel 15.1.g) AVG geschonden heeft. Tot slot staat vast dat de
verweerder wegens ernstige nalatigheid een inbreuk heeft gepleegd op artikel
15.1.c) AVG, gelezen in het licht van de richtsnoeren van de Werkgroep Artikel 29
en de EDPB alsmede de rechtspraak van het Hof van Justitie in zijn arrest C-154/21,
door uitsluitend de categorieën van ontvangers mee te delen in het antwoord aan
de klagers, ofschoon de verweerder in staat was om de specifieke ontvangers te
identificeren222.
iii. Inbreuk op artikel 30 AVG — De verweerder heeft tenslotte nagelaten om naast de
vermelding van de categorieën van betrokkenen en van de verwerkte
persoonsgegevens ook een omschrijving van deze categorieën op te nemen in zijn
register van verwerkingsactiviteiten, zoals nochtans voorgeschreven in artikel
30.1.c) AVG. De verweerder heeft eveneens artikel 30.2.a) AVG overtreden door na
te laten om in het gecentraliseerde verwerkingsregister, waarin de
verwerkingsactiviteiten als verwerkingsverantwoordelijke alsmede in de
hoedanigheid van verwerker gedocumenteerd zijn, de identiteit van
222
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3).
Beslissing ten gronde 07/2024 - 89/114
verwerkingsverantwoordelijken te vermelden voor wie de verweerder als
verwerker optreedt.
209. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
“1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de
ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een
internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in
kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.”
III.2. Maatregelen opgelegd door de Geschillenkamer
III.2.1. Corrigerende maatregelen om de verwerking in overeenstemming te brengen met
de AVG
210. Krachtens artikel 58.2.d) AVG alsmede artikel 100, § 1, 8° en 9° WOG legt de
Geschillenkamer het bevel op aan de verweerder om de overtreding van artikel 5.1 AVG,
artikel 6.1 AVG, artikel 12.1 AVG, alsook artikel 14.1 en 14.2 AVG, in het kader van de B2B
Data Quality dienstverlening, te beëindigen en beëindigd te houden totdat de verwerking in
overeenstemming wordt gebracht met de AVG.
De verweerder kan hieraan gevolg geven door de verwerking van persoonsgegevens in de
Spectron databank te staken, alvorens de betrokkenen van wie de verweerder over
contactgegevens beschikt proactief en individueel in kennis te stellen van de verwerking
Beslissing ten gronde 07/2024 - 90/114
van hun persoonsgegevens door de verweerder. Hierbij dient de verweerder eveneens de
betrokkenen gedurende een periode van 3 maanden vanaf de informatieverstrekking de
gelegenheid te geven om op eenvoudige en effectieve wijze bezwaar te maken tegen de
verwerking van hun persoonsgegevens, alvorens de verwerking te hervatten.
Wat betreft de andere categorieën van betrokkenen waarvan de verweerder geen
contactgegevens in zijn bezit heeft, besluit de Geschillenkamer om de verwerking van hun
persoonsgegevens definitief te verbieden, bij gebrek aan een rechtmatige
verwerkingsgrond.
Gelet op het feit dat de verweerder de CMX (incl. Permesso) databank reeds op 30 juli 2021
vernietigd heeft, de B2C Data Quality dienstverlening bijgevolg sinds die datum niet langer
wordt aangeboden, en de B2C Data Delivery dienstverlening sedert 30 oktober 2021
volledig is stopgezet223, acht de Geschillenkamer het in de voorliggende zaak niet nodig om
de verweerder te bevelen de gegevensverwerkingen die verband houden met de
voormelde dienstverleningen in overeenstemming te brengen met de AVG224.
211. Krachtens artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG legt de Geschillenkamer het
bevel op aan de verweerder om aan de overtreding van artikel 5.1 en 5.2 AVG, artikel
24.1 AVG, alsook artikel 25.1 en 25.2 AVG, te remediëren door passende technische en
organisatorische maatregelen te nemen opdat de bewaarperiode van de persoonsgegevens
— die de verweerder uitsluitend verder mag verwerken op voorwaarde dat er aan het vorig
bevel is voldaan — in verhouding komt te staan tot de doeleinden van de verwerking, en
opdat de verweerder in het kader van zijn huidige Data Quality dienstverlening enkel de
meest actuele persoonsgegevens bijhoudt van betrokkenen, zoals vereist door het beginsel
van minimale gegevensverwerking.
Daarnaast beveelt de Geschillenkamer de verweerder om de huidige documentatie in
verband met de verwerking van persoonsgegevens en de naleving van de AVG aan te vullen
dan wel aan te passen, teneinde rekening te houden met de werkelijke omstandigheden
waarin de verweerder persoonsgegevens verwerkt en zodoende de verantwoordingsplicht
die op de verweerder rust, na te komen.
212. Krachtens artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG legt de Geschillenkamer het
bevel op aan de verweerder om aan de overtreding van artikel 30.1 en 30.2 AVG te
remediëren door het register van verwerkingsactiviteiten aan te vullen met een duidelijke
omschrijving van de categorieën van persoonsgegevens en van betrokkenen, alsook door
alle verwerkingsverantwoordelijken ten behoeve van dewelke de verweerder als verwerker
meent op te treden, bij naam te vermelden.
223
Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023, p. 3, (ii), (iii) en (iv) a.
224
Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023, p. 3, (iv) d.
Beslissing ten gronde 07/2024 - 91/114
213. Krachtens artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG, legt de Geschillenkamer
het bevel op aan de verweerder om binnen een termijn van drie maanden na de kennisgeving
van de beslissing het bewijs van de verwezenlijking van de voormelde nalevingsmaatregelen
voor te leggen aan de Geschillenkamer.
III.2.2. Administratieve boetes
214. Naast de corrigerende maatregel om de verwerking in overeenstemming te brengen met
artikelen 5, 6, 12, 14, 15, 24, 25 en 30 AVG, beslist de Geschillenkamer ook tot het opleggen
van administratieve geldboetes, die er niet toe strekken om een gemaakte overtreding te
beëindigen, maar wel worden opgelegd met het oog op een krachtige handhaving van de
regels van de AVG. Zoals duidelijk blijkt uit overweging 148 AVG 225, stelt de AVG immers
voorop dat bij elke ernstige inbreuk — dus ook bij een eerste vaststelling van een inbreuk —
straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende
maatregelen worden opgelegd. In diezelfde zin heeft het HvJEU recent nog bevestigd226 dat
“de in de AVG neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht
zijn tot de „verwerkingsverantwoordelijken”, die — zoals in overweging 74 van de AVG wordt
beklemtoond — verantwoordelijk zijn voor elke door of namens hen uitgevoerde verwerking
van persoonsgegevens en die daarom niet alleen passende en doeltreffende maatregelen
moeten treffen, maar tevens moeten kunnen aantonen dat hun verwerkingsactiviteiten in
overeenstemming zijn met de AVG, wat onder meer inhoudt dat de door hen getroffen
maatregelen doeltreffend zijn om die overeenstemming te waarborgen. Wanneer een in
artikel 83, leden 4 tot en met 6, van deze verordening bedoelde inbreuk is begaan, vormt deze
verantwoordelijkheid de grondslag om overeenkomstig dat artikel 83 een administratieve
geldboete op te leggen aan de verwerkingsverantwoordelijke ”.
215. Wat betreft de administratieve boete die kan worden opgelegd op grond van artikel 83 van
de AVG en de artikelen 100, 13° and 101 WOG, bepaalt artikel 83.1 en 83.2 AVG:
“1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit
hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op
deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
225
Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd.
Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een
natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden
gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met
schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze
waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden
genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere
verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet
onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het
Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling” (eigen onderlijning).
226
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 38.
Beslissing ten gronde 07/2024 - 92/114
2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete
geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j),
bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening
gehouden met het volgende:
a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of
het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de
omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de
door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is
gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te
verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met
name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk
heeft gemeld;
i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten
aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot
dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van
goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of
verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet
rechtstreeks uit de inbreuk voortvloeien.”
216. De Geschillenkamer wijst op de richtsnoeren omtrent de berekening van administratieve
boetes227 die de EDPB op 24 mei 2023 heeft aangenomen na een publieke consultatie, en
die de Geschillenkamer in aanmerking neemt voor de vastlegging van de boetebedragen in
de voorliggende zaak.
217. Het is van belang de tekortkomingen van de verweerder in hun context te plaatsen om de
meest geschikte sancties te bepalen. In dit verband zal de Geschillenkamer rekening houden
227
EDPB — Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.1, 24 mei 2023).
Beslissing ten gronde 07/2024 - 93/114
met alle relevante omstandigheden van de zaak, met inbegrip — binnen de grenzen die zij
hierna aangeeft — van de reactie van de verweerder op de voorgenomen sancties die hem
door middel van het sanctieformulier werden meegedeeld228.
218. De Geschillenkamer wil er ook op wijzen dat het haar soevereine verantwoordelijkheid als
onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen
van de AVG en de WOG — om de passende corrigerende maatregel(en) en sanctie(s) vast te
stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof heeft in zijn
rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer
benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn
arresten van 7 juli 2021, 6 september 2023 resp. 20 december 2023229.
219. Hierna toont de Geschillenkamer aan dat de voornaamste inbreuken die de verweerder
heeft begaan geenszins geringe overtredingen betreffen. Het feit dat het een eerste
vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus
op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een
administratieve geldboete op te leggen in toepassing van artikel 58.2.i) AVG. Het instrument
van administratieve boete heeft geenszins uitsluitend tot doel inbreuken te beëindigen;
daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de
bevelen genoemd in artikel 100, § 1, 8° en 9° WOG.
220. In de volgende randnummers motiveert de Geschillenkamer het opleggen van een
administratieve boete in concreto, voor elk van de drie hierboven onderscheiden
gedragingen van de verweerder, rekening houdend met artikel 83 AVG en de rechtspraak
van het Marktenhof230, alsmede met de criteria die zijn vastgelegd in de richtsnoeren van de
EDPB over de berekening van de administratieve geldboeten231.
III.2.2.1. Jaaromzet van de verwerkingsverantwoordelijke
221. Met het oog op het opleggen van geldboeten die doeltreffend, evenredig en afschrikkend
zijn, dienen de toezichthoudende autoriteiten de definitie van het begrip “onderneming” te
hanteren zoals vastgesteld door het Hof van Justitie van de Europese Unie voor de
toepassing van de artikelen 101 en 102 VWEU, namelijk dat het begrip onderneming wordt
begrepen als een economische eenheid die door de moedermaatschappij en alle betrokken
dochterondernemingen kan worden gevormd. Overeenkomstig het EU-recht en de
rechtspraak moet een onderneming derhalve worden gezien als een economische eenheid
228
Sanctieformulier d.d. 31 oktober 2023; Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023.
229
Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 37-47; Hof van Beroep Brussel
(sectie Marktenhof), X t. GBA, Arrest 2020/AR/1160 (2023/5782) van 16 september 2023, p. 34; Hof van Beroep Brussel (sectie
Marktenhof), X t. GBA, Arrest 2023/AR/817 (2023/8986) van 20 december 2023, randnrs 61 e.v.
230
Hof van Beroep Brussel (sectie Marktenhof), X t. GBA, Arrest 2020/1471 van 19 februari 2020.
231
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023).
Beslissing ten gronde 07/2024 - 94/114
die commerciële/economische activiteiten uitoefent, ongeacht de rechtsvorm ervan 232.
Volgens de rechtspraak van het HvJEU bestaat immers een weerlegbaar vermoeden dat een
moedermaatschappij metterdaad beslissende invloed uitoefent op het gedrag van een
dochteronderneming waarvan zij 100% van het kapitaal in handen heeft233.
222. Verder schrijven artikel 83.4 en 83.6 AVG voor dat de totale wereldwijde jaaromzet van het
voorafgaande boekjaar moet worden gebruikt voor de berekening van administratieve
geldboete, mede om te voorkomen dat de boete een onevenredig zware impact zou hebben
op de verweerder. Hieromtrent geldt dat de term “voorafgaande” in overeenstemming met
de rechtspraak van het HvJEU in het mededingingsrecht geïnterpreteerd moet worden,
zodat de relevante gebeurtenis voor de berekening het boetebesluit van de
toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding 234.
223. Wanneer de Geschillenkamer op grond van de bevoegdheden waarover zij krachtens artikel
58.2 AVG beschikt, besluit om de verweerder — die thans deel uitmaakt van BLACK TIGER
GROUP235 in de zin van de artikelen 101 en 102 VWEU — een administratieve geldboete op te
leggen overeenkomstig artikel 83 AVG, dan dient de Geschillenkamer zich dus krachtens
laatstgenoemde bepaling, gelezen in het licht van overweging 150 AVG, bij de berekening
van de administratieve geldboeten wegens de in artikel 83.4 tot en met 83.6 AVG bedoelde
inbreuken baseren op het begrip “onderneming” in de zin van die artikelen 101 en 102
VWEU236.
224. In overeenstemming met het voorgaande, oordeelt de Geschillenkamer bijgevolg dat zij zich
kan baseren op de geconsolideerde omzetcijfers van het boekjaar 2022 van BLACK TIGER
BELGIUM alsmede van de moedermaatschappij [de moedermaatschappij Z1] (BLACK TIGER
GROUP) — inmiddels “[de moedermaatschappij Z2]” —, oftewel […] voor het bepalen van het
bedrag van de administratieve geldboete die zij voornemen is op te leggen aan de
verweerder. De Geschillenkamer verwijst hierbij naar:
- het verslag met registratienummer […], zoals neergelegd bij de Griffie van de
Rechtbank van Koophandel te Parijs op […], waaruit blijkt dat [de
232
Overweging 150 van de AVG; EDPB – Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in
de zin van de AVG (WP 253), pp. 6-7. De definitie in de rechtspraak van het Europees Hof van Justitie is: “het begrip
onderneming omvat elke eenheid die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze waarop zij
wordt gefinancierd” (HvJEU, C-41/90, Höfner en Elser/Macrotron, (ECLI:EU:C:1991:161, punt 21). Onder het begrip onderneming
“moet worden verstaan een economische eenheid, ook al wordt deze economische eenheid uit juridisch oogpunt gevormd
door verschillende natuurlijke of rechtspersonen” (HvJEU, C-217/05, Confederación Española de Empresarios de Estaciones
de Servicio, ECLI:EU:C:2006:784, punt 40).
233
HvJEU, 10 september 2009, C-97/08 P, Akzo Nobel nv et al. t. Commissie, ECLI:EU:C:2009:536), randnrs. 60-61.
234
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 131. Zie
ook HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnrs. 55
t.e.m. 58.
235
Zie randnr. 37 in deze beslissing.
236
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 59.
Beslissing ten gronde 07/2024 - 95/114
moedermaatschappij] — inmiddels “[de moedermaatschappij Z2]” — 100% van
het kapitaal van BLACK TIGER BELGIUM bezit237;
- de jaarrekeningen van BLACK TIGER BELGIUM zoals neergelegd bij de Nationale
Bank van België (NBB) op 19 juni 2023, waaruit voor het boekjaar 2022 een
omzet blijkt van […]; en
- de jaarrekeningen van [de moedermaatschappij Z1] — inmiddels “[de
moedermaatschappij Z2]” — zoals neergelegd bij de Griffie van de Rechtbank
van Koophandel te Parijs238, waaruit voor het boekjaar 2022 een omzet blijkt
van […].
225. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het
sanctieformulier d.d. 31 oktober 2023 nog niet beschikte over de omzetcijfers voor het jaar
2022 en dus bijgevolg de omzetcijfers van 2021 in aanmerking moest nemen. Vermits de
omzet van [de moedermaatschappij Z1] — waarvan sedert 16 november 2023 publiek
geweten is dat de naam gewijzigd werd naar “[de moedermaatschappij Z2]”, hetgeen de
verweerder evenmin vermeld heeft in zijn reactie op het sanctieformulier — voor het jaar
2022 licht gestegen is in vergelijking met 2021, zal de Geschillenkamer haar administratieve
boetes berekenen op basis van de meest recente beschikbare omzetcijfers.
Aangezien de verweerder nagelaten heeft om de omzetcijfers zoals vermeld in het
sanctieformulier desgevallend te weerleggen239 aan de hand van recentere jaarrekeningen,
gaat de Geschillenkamer er van uit dat er geen andere omzetcijfers voorhanden zijn dan die
welke zij in de voorliggende beslissing in aanmerking neemt.
III.2.2.2. Eerste gedraging — Onrechtmatige en oneerlijke verwerking van
persoonsgegevens, zonder de betrokkenen proactief, individueel en op
transparante wijze te informeren, en gebrek aan waarborgen ter naleving van de
kernbeginselen van de AVG
Categorisering in abstracto van de overtreding onder artikel 83.4 t.e.m.
83.6 AVG
226. De Geschillenkamer heeft reeds besloten dat de verweerder door zijn eerste gedraging een
inbreuk heeft gepleegd op artikel 5 AVG; artikel 6 AVG; artikel 12 AVG; artikel 14 AVG;
alsook artikel 24 AVG en artikel 25 AVG. De Geschillenkamer oordeelt dat de eerste
gedraging gekenmerkt is door een eendaadse samenloop van verschillende overtredingen,
237
Cf. Bijlage III.
238
https://commandes.greffe-tc-paris.fr/fr/societe/[...].
239
Sanctieformulier d.d. 31 oktober 2023, p. 10; Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023,
p. 3-4.
Beslissing ten gronde 07/2024 - 96/114
die voortvloeien uit een eenvormige wil en zowel ruimtelijk als temporaal zodanig nauw met
elkaar verbonden zijn, dat zij als één coherente gedraging moeten worden beschouwd.
227. Immers, vanwege de bewuste keuze om betrokkenen niet proactief noch individueel in te
lichten over de onrechtstreekse verzameling van hun persoonsgegevens bij derden,
alsmede over de daaropvolgende verwerking van hun persoonsgegevens in het kader van
commerciële dienstverleningen, gedurende een periode van 15 jaar en in strijd met de
kernbeginselen van minimale gegevensverwerking en opslagbeperking, kan de verweerder
niet rechtsgeldig een beroep doen op zijn gerechtvaardigde belangen dan wel die van zijn
gegevensbronnen of klanten, als grondslag voor de gegevensverwerking.
228. Voor een overtreding van de basisbeginselen inzake verwerking overeenkomstig artikel 5
en 6 AVG, evenals van de rechten van betrokkenen overeenkomstig artikelen 12 en 14 AVG,
kan de Geschillenkamer op grond van artikel 83.5.a) en 83.5.b) AVG een administratieve
boete opleggen tot 20.000.000 EUR of, voor een onderneming, tot 4% van de totale
wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. Een schending
van voormelde bepalingen geeft bijgevolg overeenkomstig artikel 83.5 AVG aanleiding tot
de hoogste geldboetes.
Ernst van de overtredingen in de voorliggende zaak
229. Overeenkomstig de richtsnoeren van de EDPB en de AVG dienen de toezichthoudende
autoriteiten naar behoren rekening te houden met de aard, de ernst en de duur van de
overtreding, met inachtneming van de aard, de omvang of het doel van de desbetreffende
gegevensverwerking, evenals van het aantal betrokkenen dat wordt getroffen en de
omvang van de door hen geleden schade (artikel 83.2.a) AVG); het opzettelijke of nalatige
karakter van de inbreuk (artikel 83.2.b) AVG); en de categorieën van persoonsgegevens
waarop de inbreuk betrekking heeft (artikel 83.2.g) AVG).
230. Aard, ernst en duur van de overtreding (artikel 83.2.a) AVG) — Met betrekking tot de ernst
van de overtreding merkt de Geschillenkamer op dat de beginselen van rechtmatigheid
(artikel 5.1.a) en artikel 6 AVG) en transparantie (artikelen 12 en 14 AVG) fundamentele
beginselen zijn van de bescherming die door de AVG gegarandeerd worden.
Het in artikel 5.2 AVG neergelegde en in artikel 24 AVG nader uitgewerkte
verantwoordingsbeginsel staat eveneens centraal in de AVG en weerspiegelt de
paradigmaverschuiving die de AVG teweegbrengt, namelijk een verschuiving van een
regeling die gebaseerd is op voorafgaande verklaringen en machtigingen door de
toezichthoudende autoriteit naar een grotere verantwoordingsplicht en
verantwoordelijkheid van de verwerkingsverantwoordelijke. Het nakomen van zijn
Beslissing ten gronde 07/2024 - 97/114
verplichtingen door de verwerkingsverantwoordelijke en zijn vermogen om de nakoming
aan te tonen zijn daarom alleen maar belangrijker geworden.
Een geldige rechtsgrondslag en transparante informatie behoren tot de kernelementen van
het grondrecht op gegevensbescherming. Het transparantiebeginsel vormt immers de
“toegangspoort” die de controle van de betrokkenen over hun persoonsgegevens versterkt
en de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkenen
toekent, zoals het recht om bezwaar te maken en het recht om gegevens te laten wissen.
Inbreuken op deze kernbeginselen vormen derhalve ernstige inbreuken, die met de hoogste
administratieve boetes waarin de AVG voorziet kunnen worden bestraft.
De omstreden verwerkingen in het kader van de Data Delivery en Data Quality
dienstverleningen die aan de basis liggen van de onderhavige beslissing, behoorden resp.
behoren nog steeds tot de kernactiviteiten van de verweerder, waardoor de
Geschillenkamer genoodzaakt is meer gewicht toe te kennen aan de inbreuken op de AVG
die uit deze kernactiviteiten voortvloeien.
De verweerder heeft overigens in beleidsdocumenten erkend dat de verwerkingen van
persoonsgegevens negatieve gevolgen teweeg konden brengen voor de betrokkenen,
zoals ergernis, irritatie of stress, maar ook het gevoel dat zij hun levensstijl moesten
aanpassen indien ze elke verwerking van hun persoonsgegevens door de verweerder en
diens klanten wilden voorkomen240. De Geschillenkamer heeft tevens benadrukt dat de
omstreden verwerkingsactiviteiten mogelijks kon leiden tot onzichtbare discriminatie op
grond van de profileringsgegevens samengesteld door de verweerder 241.
Omtrent de omvang van de verwerking wordt in de EDPB-richtsnoeren voor
gegevensbeschermingseffectbeoordelingen aangeraden om naast het aantal betrokkenen
ook het volume van gegevens, de duur of het permanente karakter van de
gegevensverwerking, evenals de geografische omvang van de verwerking in aanmerking te
nemen om te bepalen of persoonsgegevens op grote schaal verwerkt worden242. Te dezen
stelt de Geschillenkamer vooreerst vast dat de activiteiten van de verweerder de ganse
Belgische markt bestrijken. Het feit dat de verweerder een aanzienlijke marktspeler is en dat
de omstreden verwerkingsactiviteiten bovendien betrekking hadden op twee verschillende
markten (B2C en B2B), brengt de Geschillenkamer tot de conclusie dat er in casu weldegelijk
sprake is van een grootschalige verwerking van persoonsgegevens.
Wat de duur van de inbreuk betreft, neemt de Geschillenkamer er nota van dat de
verweerder na de overname van BISNODE BELGIUM besloten heeft om de
240
Zie randnr. 129 in deze beslissing.
241
Zie randnrs. 129-133 in deze beslissing.
242
Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of
een verwerking ''waarschijnlijk een hoog risico inhoudt'' in de zin van de Verordening 2016/679 (WP248, rev01, 4 oktober
2017), p. 12.
Beslissing ten gronde 07/2024 - 98/114
verwerkingsactiviteiten die gepaard gingen met Data Delivery stop te zetten. Deze
vaststelling staat echter niet in de weg 243 dat de persoonsgegevens voorafgaand aan de
overname van BISNODE BELGIUM door BLACK TIGER reeds lange tijd op niet transparante en
onrechtmatige wijze verwerkt werden, en dat de verweerder verantwoordelijk blijft voor de
verwerkingen van het overgenomen BISNODE BELGIUM, inbegrepen de
verwerkingsactiviteiten die wegens contractuele overeenkomsten ook na de officiële
datum van stopzetting overeind bleven. Mede ook gelet op de vastgelegde bewaartermijn
van 15 jaar en het feit dat de verweerder nog steeds publiekelijk aankondigt op zijn
website244 dat het bedrijf “sinds het begin van de jaren zeventig actief [is] op de Belgische en
Europese markt” en “meer dan 30 jaar expertise [heeft] opgebouwd in datakwaliteit en
datamanagement” toen het deel uitmaakte van “verschillende internationale groepen ([…] en
Bisnode), alvorens deel uit te maken van de Black Tiger groep”, besluit de Geschillenkamer
dat de omstreden verwerkingen minstens gedurende 15 jaar hebben plaatsgevonden, tot en
met 30 juli 2021245.
231. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.b) AVG) — De Geschillenkamer
herinnert eraan dat “opzet” doorgaans zowel kennis als moedwil met betrekking tot de
kenmerken van een strafbaar feit omvat, terwijl “onopzettelijk” betekent dat er geen opzet
was om de inbreuk te veroorzaken, hoewel de verwerkingsverantwoordelijke of de
verwerker de in de wet voorgeschreven zorgplicht heeft geschonden 246. Er zijn met andere
woorden twee cumulatieve elementen vereist om een inbreuk als opzettelijk te
beschouwen, i.e., de kennis van de schending en de opzettelijkheid met betrekking tot deze
handeling247.
Met betrekking tot de vraag of de inbreuk al dan niet opzettelijk of uit nalatigheid werd
gepleegd door een verwerkingsverantwoordelijke, heeft het HvJEU in zijn recente arrest
verduidelijkt dat een toezichthoudende autoriteit op grond van artikel 83 AVG een
administratieve geldboete wegens een in artikel 83.4 tot en met 83.6 AVG bedoelde inbreuk
kan opleggen, indien er is aangetoond dat de verwerkingsverantwoordelijke deze inbreuk
opzettelijk of uit nalatigheid heeft begaan. Voor het opleggen van een dergelijke geldboete
geldt dus als voorwaarde dat de inbreuk in kwestie verwijtbaar is begaan248.
Met betrekking tot de opzettelijkheidscomponent herinnert de Geschillenkamer er ook aan
dat het HvJEU een hoge drempel heeft vastgesteld om een handeling als opzettelijk te
243
Zie ook randnr. 114 in deze beslissing.
244
https://www.blacktigerbelgium.tech/wie-zijn-wij/?lang=nl, geraadpleegd op 15 december 2023.
245
Op deze datum werd de CMX databank volgens de verweerder vernietigd.
246
Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten
in de zin van Verordening (EU) 2016/679 (WP253, 3 oktober 2017), p. 12.
247
Zie ook EDPB – Binding Decision 1/2023 on the dispute submitted by the IE SA on data transfers by Meta Platforms Ireland
Ltd (Facebook), randnr. 103, raadpleegbaar op https://edpb.europa.eu/system/files/2023-
05/edpb_bindingdecision_202301_ie_sa_facebooktransfers_en.pdf.
248
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 75.
Beslissing ten gronde 07/2024 - 99/114
beschouwen. Zo heeft het HvJEU in strafzaken geoordeeld dat er sprake is van “ernstige
nalatigheid” veeleer dan “opzet” wanneer “de aansprakelijke persoon een gekwalificeerde
schending begaat van zijn zorgvuldigheidsplicht die hij in acht had moeten en had kunnen
nemen rekening gehouden met zijn hoedanigheid, zijn kennis, zijn vaardigheden en met zijn
individuele situatie”249. Ook al wordt van een onderneming waarvan de verwerking van
persoonsgegevens de kern van de bedrijfsactiviteiten vormt, verwacht dat het voldoende
maatregelen treft om persoonsgegevens te beschermen alsook dat het zijn plichten in dit
opzicht grondig onderkent, toont een dergelijke gekwalificeerde schending niet
noodzakelijk aan dat er sprake is van een opzettelijke overtreding250.
Dit betekent met andere woorden dat een verwerkingsverantwoordelijke ook kan worden
bestraft met een administratieve geldboete op grond van artikel 83 AVG wegens een
binnen de werkingssfeer van deze verordening vallende gedraging, wanneer deze
verwerkingsverantwoordelijke niet onkundig kon zijn van het feit dat zijn gedraging een
inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG
schond251.
In casu merkt de Geschillenkamer op dat BISNODE POLAND in 2019 door de Poolse
Gegevensbeschermingsautoriteit beboet werd voor een inbreuk op de informatieplicht252.
Er is bijgevolg geen twijfel mogelijk dat de verweerder kennis heeft gehad van die beslissing
doch het niet nodig achtte om daaropvolgend de informatie aan Belgische betrokkenen van
wie de verweerder op onrechtstreekse wijze de persoonsgegevens verzamelde, op een
(meer) proactieve wijze te verstrekken. Ofschoon de Geschillenkamer niet met zekerheid
kan vaststellen dat de verweerder met opzet artikel 14 AVG heeft overtreden, zijn er voor de
Geschillenkamer evenwel voldoende aanwijzingen dat er te dezen, gelet in het bijzonder op
de aard van de omstreden verwerkingsactiviteiten, sprake is van de hoogste mate van
nalatigheid zijdens de verweerder, die er bewust voor opteerde om zijn informatieplicht
krachtens artikel 14 AVG voornamelijk bij derden te leggen.
Het voorgaande heeft tot gevolg dat de inbreuk nopens de verwerkingsgrondslag evenmin
van opzettelijke aard is, omdat de verweerder wel degelijk een uitvoerige analyse gemaakt
heeft om te bepalen welke rechtsgrond de meest geschikte zou zijn in onderhavige zaak. Er
is dan ook geen — klaarblijkelijke — intentie vanwege de verweerder om de AVG met volle
249
HvJEU, 3 juni 2008, C-308/06, Intertanko e.a. (ECLI:EU:C:2008:312), randnr. 77
250
Zie ook EDPB – Binding Decision 2/2022 on the dispute arisen on the draft decision of the Irish Supervisory Authority
regarding Meta Platforms Ireland Limited (Instagram) under Article 65(1)(a) GDPR, 28 juli 2022, randnr. 204.
251
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 76.
Zie ook HvJEU, 18 juni 2013, C‑681/11, Schenker & Co. e.a. (ECLI:EU:C:2013:404), randnr. 37; HvJEU, 25 maart 2021, Lundbeck t.
Commissie, C‑591/16 P (ECLI:EU:C:2021:243), randnr. 156; en HvJEU 25 maart 2021, C‑601/16 P, Arrow Group en Arrow
Generics t. Commissie (ECLI:EU:C:2021:244), randnr. 97.
252
Zie randnr. 161 in deze beslissing.
Beslissing ten gronde 07/2024 - 100/114
kennis van de feiten en opzettelijk te schenden door een ongepaste verwerkingsgrondslag
te hanteren, doch minstens sprake van een ernstige nalatigheid.
232. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g)
AVG) — Zoals eerder in deze beslissing vastgesteld, slaat de omstreden verwerking naast
de contactgegevens van betrokkenen ook op persoonsgegevens waarmee de betrokkenen
gesegmenteerd konden worden voor direct marketing-gerelateerde doeleinden. De aard
van de verwerkte persoonsgegevens omvat dus verschillende categorieën, waaronder
financiële informatie (gemiddelde inkomen), huisvesting, gezinssamenstelling, evenals
socio-demografische en leefstijlgegevens zoals de sociale klasse waartoe betrokkenen
behoren.
Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of bijzondere aard zijn,
oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën van
persoonsgegevens van zodanige aard dat zij de privacy van betrokkenen kunnen aantasten
en waarvan betrokkenen doorgaans niet redelijkerwijs zouden verwachten dat die
onrechtstreeks verzameld bij en nadien verwerkt worden door derde partijen.
Categorisering in concreto van de ernst van de overtredingen en bepaling
van het juiste uitgangsbedrag
233. Op basis van de evaluatie van de hierboven uiteengezette criteria wordt de inbreuk geacht
van geringe, middelmatige of hoge ernst te zijn. Deze categorieën doen geen afbreuk aan de
vraag of er al dan niet een boete kan worden opgelegd.
▪ Bij de berekening van de administratieve geldboete voor inbreuken van geringe
ernst, zal de toezichthoudende autoriteit het basisbedrag voor verdere berekening
vaststellen op een bedrag tussen 0 en 10% van het toepasselijke wettelijke
maximum.
▪ Bij het berekenen van de administratieve geldboete voor inbreuken van
middelmatige ernst zal de toezichthoudende autoriteit het startbedrag voor
verdere berekening vaststellen op een bedrag tussen 10 en 20% van het
toepasselijke wettelijke maximum.
▪ Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere
berekening vaststellen op een bedrag tussen 20 en 100% van het toepasselijke
wettelijke maximum253.
253
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 60.
Beslissing ten gronde 07/2024 - 101/114
234. In casu oordeelt de Geschillenkamer dat de inbreuken op de rechtmatigheid, behoorlijkheid
en transparantiebeginselen (artikel 5.1.a) AVG), alsook op het verantwoordingsbeginsel
(artikel 5.2 AVG), in combinatie met de inbreuken op de informatieplicht ten aanzien van de
betrokkenen (artikel 12 juncto 14 AVG), van hoge ernst zijn. De Geschillenkamer dient
derhalve voor de overtredingen die verband houden met de eerste gedraging (vallend onder
artikel 83.5 AVG, met hoge ernstgraad) een theoretisch uitgangsbedrag voor de verdere
berekening van de administratieve boete te hanteren tussen 4.000.000 EUR en
20.000.000 EUR.
235. Steunend op de voorgaande beoordeling van de omstandigheden in het licht van artikel
83.2.a), b) en g) AVG254, besluit de Geschillenkamer om een theoretisch uitgangsbedrag van
10.000.000 EUR in aanmerking te nemen.
236. Rekening houdende met de in de richtlijnen vastgestelde minimum en maximumbedragen
per niveau, enerzijds, en de relevante jaaromzet van de verwerkingsverantwoordelijke,
anderzijds, besluit de Geschillenkamer in concreto om het uiteindelijk uitgangsbedrag voor
de eerste categorie van inbreuken (vallend onder artikel 83.5 AVG, met hoge ernstgraad) te
verlagen naar een aangepast uitgangsbedrag van 185.000 EUR255.
Verzwarende en verzachtende factoren
237. Na beoordeling van de aard, ernst en duur van de inbreuk, evenals het opzettelijke of nalatige
karakter van de inbreuk en de categorieën van betrokken persoonsgegevens, moet de
toezichthoudende autoriteit tevens rekening houden met de resterende verzwarende en
verzachtende factoren, zoals opgelijst onder artikel 83.2 AVG.
238. Maatregelen genomen om de door betrokkenen geleden schade te beperken
(artikel 83.2.c) AVG) — De Geschillenkamer houdt rekening met de inspanningen die de
verweerder heeft geleverd om de transparantie ten opzichte van de betrokkenen te
bevorderen, door middel van webpagina’s alsook de verplichte vermelding van de identiteit
van BISNODE BELGIUM, nu BLACK TIGER BELGIUM, onderaan de direct marketingcommunicaties
die de betrokkenen vanwege de klanten van de verweerder ontvangen.
De Geschillenkamer houdt eveneens rekening met het initiatief van de verweerder om na de
overname van BISNODE BELGIUM de Data Delivery activiteiten stop te zetten en de CMX
databank te vernietigen voorafgaand aan de behandeling ten gronde door de
Geschillenkamer256.
254
Zie randnrs. 230 t.e.m. 232 in deze beslissing.
255
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 65.
256
Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023, p. 1, (i).
Beslissing ten gronde 07/2024 - 102/114
239. Mate waarin de verweerder verantwoordelijk is gezien de technische en organisatorische
maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 AVG (artikel
83.2.d) AVG) — In het kader van de procedure ten gronde, en in het bijzonder tijdens de
hoorzitting van 22 februari 2023, heeft de verweerder zich steeds op het standpunt gesteld
dat de informatieverstrekking door de ontvangers van de persoonsgegevens, zijnde de
klanten van BLACK TIGER BELGIUM, voldoende was om aan de informatie- en
transparantieplichten te voldoen. Tevens staat vast dat BLACK TIGER BELGIUM na de
overname de volledige verantwoordelijkheid draagt voor de vastlegging van een gepaste
bewaarperiode voor de verwerkte persoonsgegevens, alsook de naleving van de
grondbeginselen van de AVG in het kader van de voortgezette gegevensverwerkingen. Om
deze redenen acht de Geschillenkamer het bewezen dat BLACK TIGER BELGIUM
verantwoordelijk kan worden gesteld voor de verdere verwerking van persoonsgegevens
van betrokkenen, onder wie ook de klagers, na de overname van BISNODE BELGIUM.
Gelet op de neergelegde stukken alsook de ingediende verweermiddelen is de
Geschillenkamer echter niet afdoende overtuigd dat de verweerder passende technische
en organisatorische maatregelen heeft ondernomen, niettegenstaande hij over voldoende
middelen en invloed hiertoe beschikte om de naleving van de grondbeginselen van de AVG
— zoals de beginselen van opslagbeperking en minimale gegevensverwerking — te
waarborgen.
240. Eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker
(artikel 83.2.e) AVG) — Hoewel de feiten in de voorliggende zaak sterke gelijkenissen
vertonen met de omstandigheden in de beslissing ten aanzien van BISNODE POLEN van de
Poolse toezichthoudende autoriteit, houdt de Geschillenkamer evenwel rekening met het
gegeven dat BISNODE BELGIUM, thans BLACK TIGER BELGIUM, niet schuldig werd verklaard aan
eerdere overtredingen op de AVG.
241. De mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te
verhelpen en de mogelijke negatieve gevolgen daarvan te beperken (artikel 83.2.f) AVG) —
De Geschillenkamer stelt vast dat de verweerder, middels een schrijven d.d. 27 april 2021
van de DPO van BISNODE BELGIUM gericht aan de Inspecteur generaal, in een vroege fase van
de procedure zijn standpunt over de grieven van de klagers heeft bekendgemaakt. Tevens
erkent de Geschillenkamer de welwillendheid van de verweerder, die in het onderzoek
uitgebreide beleidsdocumenten overhandigde aan de Inspectiedienst en zich bereid stelde
om verdere vragen van de Inspectiedienst te beantwoorden.
242. Overige verzwarende omstandigheden (artikel 83.2.k) AVG) — De Geschillenkamer houdt
vooreerst rekening met het feit dat de verweerder winst maakte die voortvloeit uit de
onrechtmatige verwerkingen, als verzwarende omstandigheid. Het argument van de
verweerder dat de Geschillenkamer geen rekening zou houden met het bedrijfsverlies van
Beslissing ten gronde 07/2024 - 103/114
BLACK TIGER BELGIUM in 2022, ingevolge de stopzetting van de Data Delivery activiteiten, is
te dezen niet toereikend vermits het aangepast uitgangsbedrag reeds afdoende rekening
houdt met het in 2022 geleden bedrijfsverlies. Daarnaast stelt de Geschillenkamer vast dat
de verweerder zowel in zijn schriftelijke verweermiddelen als tijdens de hoorzitting steeds
op het standpunt is gebleven dat BLACK TIGER BELGIUM geenszins genoodzaakt was om de
betrokkenen rechtstreeks en op individuele wijze in te lichten over de verwerking, ofschoon
artikel 14 AVG voorschrijft dat de communicatie aan de betrokkenen onder de
verantwoordelijkheid van de verwerkingsverantwoordelijke valt en in beginsel proactief
dient te gebeuren.
Besluit van de Geschillenkamer voor wat betreft de eerste gedraging
243. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met
de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst er voor de goede orde op
dat de andere criteria van artikel 83.2 AVG in dit geval niet van dien aard zijn dat zij zouden
leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het
kader van deze beslissing heeft vastgesteld.
244. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden
eigen aan deze zaak, acht de Geschillenkamer het passend om krachtens artikel 58.2.i) AVG
evenals artikelen 100, § 1, 13° WOG en 101 WOG, overeenkomstig artikel 83.2 AVG een
administratieve geldboete ter hoogte van 129.500 EUR op te leggen aan de verweerder.
245. De Geschillenkamer oordeelt dat de ernstige nalatigheid waarmee de verweerder de
persoonsgegevens van de klagers alsmede andere betrokkenen jarenlang verwerkt en
gecommercialiseerd heeft, zonder hierbij de kernbeginselen van de AVG te eerbiedigen, en
in het bijzonder zijn informatie- en transparantieplichten ten aanzien van de betrokkenen op
passende wijze na te komen, met een administratieve geldboete dient te worden bestraft.
Daarnevens moet de verdere verwerking van persoonsgegevens, zonder proactieve en
individuele informatieverstrekking aan de betrokkenen, daadkrachtig worden ontmoedigd.
De Geschillenkamer is ten slotte van mening dat het bedrag van de geldboete, dat overigens
ruim onder het maximumbedrag binnen het toegestane bereik blijft, evenredig is aan de
ernst van de inbreuken vervat in de eerste gedraging.
Beslissing ten gronde 07/2024 - 104/114
III.2.2.3. Tweede gedraging — Nalaten om op passende wijze gevolg te geven aan
de verzoeken van de betrokkenen tot uitoefening van hun recht van inzage
Categorisering in abstracto van de overtreding onder artikel 83.4 t.e.m.
83.6 AVG
246. De Geschillenkamer herinnert eraan dat het recht van inzage naast artikel 15 AVG ook
opgenomen is in artikel 8.2 van het Europees Handvest en daarmee één van de
kernelementen vormt van het fundamentele recht op gegevensbescherming. Door na te
laten om álle bronnen te vermelden aan de klager, heeft de verweerder een inbreuk
gepleegd op artikel 15 AVG. Tevens staat vast dat de verweerder in casu doelbewust heeft
nagelaten om de verzoeken tot inzage, die nochtans elektronisch werden ingediend,
eveneens elektronisch te beantwoorden, in overtreding van artikel 12 juncto 15 AVG.
Vanzelfsprekend dient artikel 15 AVG in samenhang met artikel 12 AVG te worden gelezen,
waarbij de verwerkingsverantwoordelijke de uitoefening van rechten die de AVG aan
betrokkenen toekent, moet faciliteren. Tot slot oordeelt de Geschillenkamer dat de
verweerder eveneens artikel 15 AVG heeft geschonden door louter de categorieën van
ontvangers mee te delen in het antwoord aan de klagers, niettegenstaande de verweerder
toen in staat was om de specifieke ontvangers te identificeren.
247. Voor een overtreding van de rechten van betrokkenen overeenkomstig artikelen 12 en 15
AVG, kan de Geschillenkamer op grond van artikel 83.5.a) en 83.5.b) AVG een
administratieve boete opleggen tot 20.000.000 EUR of, voor een onderneming, tot 4% van
de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. Een
schending van voormelde bepalingen geeft bijgevolg overeenkomstig artikel 83.5 AVG
aanleiding tot de hoogste geldboetes.
Ernst van de overtredingen in de voorliggende zaak
248. Overeenkomstig de AVG, zoals uitgelegd in de richtsnoeren van de EDPB, dienen de
toezichthoudende autoriteiten naar behoren rekening te houden met de aard, de ernst en de
duur van de overtreding, met inachtneming van de aard, de omvang of het doel van de
desbetreffende gegevensverwerking, evenals van het aantal betrokkenen dat wordt
getroffen en de omvang van de door hen geleden schade (artikel 83.2.a) AVG); het
opzettelijke of nalatige karakter van de inbreuk (artikel 83.2.b) AVG); en de categorieën van
persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g) AVG).
249. Aard, ernst en duur van de overtreding (artikel 83.2.a) AVG) — Het recht op inzage vormt de
toegangspoort en derhalve ook de hoeksteen voor de uitoefening van andere rechten
waarin de AVG voorziet, zoals het recht om bezwaar te maken tegen de verwerking van
persoonsgegevens (artikel 21 AVG) en het zogenaamde recht op vergetelheid (artikel 17
Beslissing ten gronde 07/2024 - 105/114
AVG). Het is derhalve van uiterst belang dat betrokkenen die hun recht van inzage
uitoefenen daadwerkelijk inzage verkrijgen van alle persoonsgegevens die hen betreffen en
door de verwerkingsverantwoordelijke zijn verzameld, alsook beknopte, transparante en
begrijpelijke informatie ontvangen over de omstandigheden waarin hun persoonsgegevens
verwerkt worden. Door geen volledige en voldoende gedetailleerde informatie te
verstrekken aan de betrokkenen, ontneemt de verwerkingsverantwoordelijke hun de
mogelijkheid om een passende mate van controle uit te oefenen over hun eigen
persoonsgegevens.
Daarnaast merkt de klager terecht op dat het nalaten om meteen na het eerste verzoek alle
relevante informatie te verstrekken, de verdere uitoefening van hun rechten door de
betrokkenen onnodig bemoeilijkt. Ofschoon de Geschillenkamer vaststelt dat de
verweerder tijdig gevolg heeft gegeven aan de verzoeken, draagt het feit dat de verschafte
antwoorden niet van meet af aan volledig waren en dat het voor betrokkenen niet
eenvoudig was om daarop te reageren — e.g., teneinde de verstrekte informatie te
betwisten dan wel om nadere uitleg te vragen — ertoe bij dat de betrokkenen nodeloos
belemmerd werden in de uitoefening van hun rechten.
250. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.b) AVG)257 — Ten aanzien van
de wijze waarop de verweerder in casu aan de betrokkenen inzage heeft verleend over de
verwerking van hun persoonsgegevens, en met name door enkel de categorieën van
ontvangers te vermelden ofschoon de verweerder over de specifieke identiteit van deze
ontvangers moet beschikken; door de bronnen niet op exhaustieve wijze mede te delen; en
door de antwoorden per post te bezorgen hoewel de verzoeken elektronisch werden
ingediend, acht de Geschillenkamer het voldoende bewezen dat de verweerder de artikelen
12 en 15 AVG wegens ernstige nalatigheid heeft overtreden.
251. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g)
AVG) — Zoals eerder in deze beslissing vastgesteld, sloegen de omstreden verwerkingen
naast de contactgegevens van betrokkenen ook op verscheidene persoonsgegevens
waarmee de betrokkenen nadien gesegmenteerd kunnen worden voor direct marketing-
gerelateerde doeleinden. De aard van de verwerkte persoonsgegevens omvat dus
verschillende categorieën, waaronder financiële informatie (gemiddelde inkomen),
huisvesting, gezinssamenstelling, evenals socio-demografische en leefstijlgegevens zoals
de sociale klasse waartoe betrokkenen behoren.
Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of bijzondere aard zijn,
oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën van
257
Zie randnr. 231 in deze beslissing voor een uitvoerige uiteenzetting van het onderscheid tussen nalatigheid en opzet.
Beslissing ten gronde 07/2024 - 106/114
persoonsgegevens waarvan betrokkenen doorgaans niet redelijkerwijs zouden verwachten
dat die onrechtstreeks verzameld bij en nadien verwerkt worden door derde partijen.
Categorisering in concreto van de ernst van de overtredingen en bepaling
van het juiste startbedrag op basis van de jaaromzet van de
verwerkingsverantwoordelijke
252. Op basis van de evaluatie van de hierboven uiteengezette criteria wordt de inbreuk geacht
van geringe, middelmatige of hoge ernst te zijn. Deze categorieën doen geen afbreuk aan de
vraag of er al dan niet een boete kan worden opgelegd.
▪ Bij de berekening van de administratieve geldboete voor inbreuken van geringe
ernst, zal de toezichthoudende autoriteit het basisbedrag voor verdere berekening
vaststellen op een bedrag tussen 0 en 10% van het toepasselijke wettelijke
maximum.
▪ Bij het berekenen van de administratieve geldboete voor inbreuken van
middelmatige ernst zal de toezichthoudende autoriteit het startbedrag voor
verdere berekening vaststellen op een bedrag tussen 10 en 20% van het
toepasselijke wettelijke maximum.
▪ Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere
berekening vaststellen op een bedrag tussen 20 en 100% van het toepasselijke
wettelijke maximum258.
253. In casu oordeelt de Geschillenkamer dat de overtredingen die verband houden met het recht
van inzage van de betrokkenen (artikel 15 AVG), van middelmatige ernst zijn. De
Geschillenkamer dient derhalve voor de overtredingen die verband houden met de tweede
gedraging (vallend onder artikel 83.5 AVG, met middelmatige ernstgraad) een theoretisch
uitgangsbedrag voor de verdere berekening van de administratieve boete te hanteren
tussen 2.000.000 EUR en 4.000.000 EUR.
254. Steunend op de voorgaande beoordeling van de omstandigheden in het licht van artikel
83.2.a), b) en g) AVG259, besluit de Geschillenkamer om een theoretisch uitgangsbedrag van
2.800.000 EUR in aanmerking te nemen.
255. Rekening houdende met de in de richtlijnen vastgestelde minimum en maximumbedragen
per niveau, enerzijds, en de relevante jaaromzet van de verwerkingsverantwoordelijke,
anderzijds, besluit de Geschillenkamer in concreto om het uiteindelijk uitgangsbedrag voor
258
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 60.
259
Zie randnrs. 230 t.e.m. 232 in deze beslissing.
Beslissing ten gronde 07/2024 - 107/114
de tweede categorie van inbreuken (vallend onder artikel 83.5 AVG, met middelmatige
ernstgraad) te verlagen naar een aangepast uitgangsbedrag van 51.800 EUR260.
Verzwarende en verzachtende factoren
256. Na beoordeling van de aard, ernst en duur van de inbreuk, evenals het opzettelijke of nalatige
karakter van de inbreuk en de categorieën van betrokken persoonsgegevens, moet de
toezichthoudende autoriteit tevens rekening houden met de resterende verzwarende en
verzachtende factoren, zoals opgelijst onder artikel 83.2 AVG.
257. Mate waarin de verweerder verantwoordelijk is gezien de technische en organisatorische
maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 (artikel 83.2.d) AVG)
— Het staat voor de Geschillenkamer vast, en wordt overigens niet betwist door de
verweerder, dat BLACK TIGER BELGIUM ten volle verantwoordelijk is voor het beheer van de
website, met inbegrip van het online contactformulier waarmee betrokkenen hun rechten
kunnen uitoefenen ten aanzien van de verweerder, alsmede van de wijze waarop de
verzoeken van betrokkenen desgevallend ingewilligd worden.
258. Overige verzachtende omstandigheden (artikel 83.2.k) AVG) — De Geschillenkamer stelt
vast dat de verweerder een gecentraliseerd contactformulier aanbiedt op zijn website,
waarmee betrokkenen hun verzoeken tot uitoefening van hun rechten onder de AVG
kunnen indienen. Dit toont aan dat de verweerder alleszins beoogt om de indiening van
verzoeken door betrokkenen te faciliteren261.
Verder is de Geschillenkamer van mening dat elke verwerkingsverantwoordelijke steeds
genoodzaakt is om alle specifieke informatie mee te delen aan de betrokkenen die erom
vragen in het kader van hun verzoek tot inzage. De Geschillenkamer is er evenwel van
bewust dat het HvJEU pas na de omstreden feiten bevestigd heeft in welke omstandigheden
verwerkingsverantwoordelijken de exacte identiteit dan wel de categorieën van ontvangers
dienen mee te delen.
Tot slot besluit de Geschillenkamer om de inspanningen van de verweerder, i.e., het feit dat
de verweerder daadwerkelijk — doch niet volledig noch in een gangbare elektronische
vorm — en tijdig heeft gereageerd op de verzoeken tot inzage, mee in overweging te
nemen262.
259. Overige verzwarende omstandigheden (artikel 83.2.k) AVG) — Het voorgaande betekent
dat de verweerder tevens zelf bepaalt welke persoonsgegevens, in casu identificatie- en
contactgegevens, verzameld worden en hierbij zowel de middelen als de doeleinden van de
260
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 65.
261
Reactie van de verweerder op het sanctieformulier d.d. 24 november 2023, p. 2, (ii).
262
Ibidem.
Beslissing ten gronde 07/2024 - 108/114
verwerking vastlegt. De Geschillenkamer stelt evenwel vast dat de verweerder naast het
postadres van betrokkenen eveneens hun elektronische contactgegevens verzamelt,
niettegenstaande dat de verweerder bewust opteerde om de verzoeken uitsluitend per post
te beantwoorden. Zodoende overtreedt de verweerder het beginsel van minimale
gegevensverwerking onder artikel 5.1.c) AVG alsook het beginsel van
gegevensbescherming door ontwerp voorzien in artikel 25 AVG. Vermits deze vaststelling
echter niet werd onderworpen aan tegensprekelijk debat in het kader van de procedure ten
gronde, besluit de Geschillenkamer om het aangepast uitgangsbedrag dan ook niet te
verhogen.
Besluit van de Geschillenkamer voor wat betreft de tweede gedraging
260. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met
de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst er voor de goede orde op
dat de andere criteria van artikel 83.2 AVG in dit geval niet van dien aard zijn dat zij zouden
leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het
kader van deze beslissing heeft vastgesteld.
261. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden
eigen aan deze zaak, acht de Geschillenkamer het passend om krachtens artikel 58.2.i) AVG
evenals artikelen 100, § 1, 13° WOG en 101 WOG, overeenkomstig artikel 83.2 AVG een
administratieve geldboete ter hoogte van 41.440 EUR op te leggen aan de verweerder.
262. De Geschillenkamer oordeelt het gerechtvaardigd om, gelet op de specifieke
omstandigheden alsmede de bewuste keuze van de verweerder omtrent de wijze waarop
verzoeken van betrokkenen afgehandeld werden, een administratieve boete op te leggen
met als oogmerk deze gedraging op gepaste wijze te sanctioneren alsook teneinde de
verweerder ertoe aan te zetten om verzoeken tot uitoefening van rechten toegekend onder
de AVG, in de toekomst niet langer op dergelijke wijze in te willigen. De Geschillenkamer is
tevens van mening dat het bedrag van deze geldboete, dat overigens ruim onder het
maximumbedrag binnen het toegestane bereik blijft, evenredig is aan de ernst van de
inbreuken vervat in de tweede gedraging.
Beslissing ten gronde 07/2024 - 109/114
III.2.2.4. Derde gedraging — Nalaten om een beschrijving van de categorieën van
betrokkenen en van de categorieën van persoonsgegevens, alsmede om de
identiteit van de verwerkingsverantwoordelijken voor wie de verweerder als
verwerker optreedt, op te nemen in het verwerkingsregister
Categorisering in abstracto van de overtreding onder artikel 83.4 t.e.m.
83.6 AVG
263. De Geschillenkamer stelt vast dat de verweerder nagelaten heeft om naast de vermelding
van de categorieën van betrokkenen en van de verwerkte persoonsgegevens ook een
omschrijving van deze categorieën op te nemen in zijn register van verwerkingsactiviteiten,
zoals nochtans uitdrukkelijk voorgeschreven in artikel 30 AVG. Daarnaast heeft de
verweerder artikel 30 AVG geschonden door na te laten om de identiteit van
verwerkingsverantwoordelijken, voor wie de verweerder als verwerker optreedt, te
documenteren in het gecentraliseerde verwerkingsregister. Dienaangaande herinnert de
Geschillenkamer eraan dat het register van verwerkingsactiviteiten een essentieel en
centraal bestand is, dat elke verwerkingsverantwoordelijke die hiertoe verplicht is onder
artikel 30 AVG op passende wijze dient op te stellen alsook aan te vullen, en op aanvraag
moet kunnen voorleggen aan de toezichthouder. Dit is dan ook de reden waarom de EU-
wetgever uitdrukkelijk de mogelijkheid heeft voorzien om een boete op te leggen voor het
niet nakomen van de voornoemde bepaling, in tegenstelling tot andere beleidsdocumenten
die veeleer onder artikel 24 AVG vallen, waarvoor daarentegen geen boete voorzien is onder
artikel 83.4 AVG noch onder artikel 83.5 AVG.
264. Voor een inbreuk op de verplichtingen van de verwerkingsverantwoordelijke en de
verwerker overeenkomstig artikel 30 AVG kan de Geschillenkamer op grond van artikel
83.4.a) AVG een administratieve geldboete opleggen tot een bedrag van 10.000.000 EUR
of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet in het voorgaande
boekjaar indien dat cijfer hoger is.
Ernst van de overtredingen in de voorliggende zaak
265. Overeenkomstig de richtsnoeren van de EDPB en de AVG dienen de toezichthoudende
autoriteiten naar behoren rekening te houden met de aard, de ernst en de duur van de
overtreding, met inachtneming van de aard, de omvang of het doel van de desbetreffende
gegevensverwerking, evenals van het aantal betrokkenen dat wordt getroffen en de
omvang van de door hen geleden schade (artikel 83.2.a) AVG); het opzettelijke of nalatige
karakter van de inbreuk (artikel 83.2.b) AVG); en de categorieën van persoonsgegevens
waarop de inbreuk betrekking heeft (artikel 83.2.g) AVG).
Beslissing ten gronde 07/2024 - 110/114
266. Aard, ernst en duur van de overtreding (artikel 83.2.a) AVG) — De Geschillenkamer wijst
erop dat, om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, het
van essentieel belang is dat de verwerkingsverantwoordelijke en de verwerkers een volledig
en accuraat overzicht bijhouden van de verwerkingen van persoonsgegevens die zij
uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de
verwerkingsverantwoordelijke of verwerker te helpen bij de naleving van de AVG voor de
verschillende gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste
kenmerken ervan zichtbaar maakt. De Geschillenkamer is van oordeel dat dit
verwerkingsregister een essentieel instrument is in het kader van de reeds vermelde
verantwoordingsplicht (artikel 5.2 AVG en artikel 24 AVG) en dat dit register ten grondslag
ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke en verwerker
oplegt. Het is dienvolgens van uiterst belang dat dit volledig en juist is.
267. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.b) AVG)263 — In de voorliggende
zaak oordeelt de Geschillenkamer dat de inbreuk op artikel 30 AVG te wijten is aan een
ernstige nalatigheid zijdens de verwerkingsverantwoordelijke, gelet op de aard van de
kernactiviteiten van de verweerder alsook op de verklaringen door de verweerder dat zijn
activiteiten in overeenstemming zijn met de AVG.
Categorisering in concreto van de ernst van de overtredingen en bepaling
van het juiste startbedrag op basis van de jaaromzet van de
verwerkingsverantwoordelijke
268. Op basis van de evaluatie van de hierboven uiteengezette criteria wordt de inbreuk geacht
van geringe, middelmatige of hoge ernst te zijn. Deze categorieën doen geen afbreuk aan de
vraag of er al dan niet een boete kan worden opgelegd.
▪ Bij de berekening van de administratieve geldboete voor inbreuken van geringe
ernst, zal de toezichthoudende autoriteit het basisbedrag voor verdere berekening
vaststellen op een bedrag tussen 0 en 10% van het toepasselijke wettelijke
maximum.
▪ Bij het berekenen van de administratieve geldboete voor inbreuken van
middelmatige ernst zal de toezichthoudende autoriteit het startbedrag voor
verdere berekening vaststellen op een bedrag tussen 10 en 20% van het
toepasselijke wettelijke maximum.
▪ Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere
263
Zie randnr. 231 in deze beslissing voor een uitvoerige uiteenzetting van het onderscheid tussen nalatigheid en opzet.
Beslissing ten gronde 07/2024 - 111/114
berekening vaststellen op een bedrag tussen 20 en 100% van het toepasselijke
wettelijke maximum264.
269. In casu oordeelt de Geschillenkamer dat de overtreding inzake het register van
verwerkingsactiviteiten (artikel 30 AVG) van geringe ernst is. De Geschillenkamer dient
derhalve voor de overtredingen die verband houden met de derde gedraging (vallend onder
artikel 83.4 AVG, met geringe ernstgraad) een theoretisch uitgangsbedrag voor de verdere
berekening van de administratieve boete te hanteren van hoogstens 1.000.000 EUR.
270. Steunend op de voorgaande beoordeling van de omstandigheden in het licht van artikel
83.2.a), b) en g) AVG265, besluit de Geschillenkamer om een theoretisch uitgangsbedrag van
200.000 EUR in aanmerking te nemen.
271. Rekening houdende met de in de richtlijnen vastgestelde minimum en maximumbedragen
per niveau, enerzijds, en de relevante jaaromzet van de verwerkingsverantwoordelijke,
anderzijds, besluit de Geschillenkamer in concreto om het uiteindelijk uitgangsbedrag voor
de derde categorie van inbreuken (vallend onder artikel 83.4 AVG, met geringe ernstgraad)
te verlagen naar een aangepast uitgangsbedrag van 3.700 EUR266.
Verzwarende en verzachtende factoren
272. Na beoordeling van de aard, ernst en duur van de inbreuk, evenals het opzettelijke of nalatige
karakter van de inbreuk en de categorieën van betrokken persoonsgegevens, moet de
toezichthoudende autoriteit tevens rekening houden met de resterende verzwarende en
verzachtende factoren, zoals opgelijst onder artikel 83.2 AVG.
Gelet op de specifieke aard van deze overtreding, en bij gebrek aan opmerkingen
hieromtrent vanwege de verweerder, neemt de Geschillenkamer geen verdere verzwarende
of verzachtende omstandigheden in aanmerking.
Besluit van de Geschillenkamer voor wat betreft de derde gedraging
273. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met
de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst er voor de goede orde op
dat de andere criteria van artikel 83.2 AVG in dit geval niet van dien aard zijn dat zij zouden
leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het
kader van deze beslissing heeft vastgesteld.
264
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 60.
265
Zie randnrs. 230 t.e.m. 232 in deze beslissing.
266
EDPB – Guidelines 04/2022 on the calculation of administrative fines under the GDPR (v2.0, 24 mei 2023), randnr. 65.
Beslissing ten gronde 07/2024 - 112/114
274. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden
eigen aan deze zaak, acht de Geschillenkamer het passend om krachtens artikel 58.2.i) AVG
evenals artikelen 100, § 1, 13° WOG en 101 WOG, overeenkomstig artikel 83.2 AVG een
administratieve geldboete ter hoogte van 3.700 EUR op te leggen aan de verweerder voor
de overtreding van artikel 30 AVG wegens het niet bijhouden van een exhaustief en
voldoende gedetailleerd register van verwerkingsactiviteiten.
III.3. Overige grieven
275. De Geschillenkamer besluit om de overige grieven en vaststellingen van de
Inspectiedienst267 niet te weerhouden, daar de Geschillenkamer op basis van de feiten en de
stukken uit het dossier niet tot de conclusie kan komen dat er sprake is van een inbreuk op
de AVG. Deze grieven en vaststellingen door de Inspectiedienst worden bijgevolg als
kennelijk ongegrond beschouwd in de zin van artikel 57.4 van de AVG268.
IV. Publicatie van de beslissing
276. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de
verweerder, gelet op het algemeen belang van onderhavige beslissing, enerzijds, en de
onvermijdelijke heridentificatie van de verweerder in geval van pseudonimisering,
anderzijds. Het is daarentegen niet nodig dat de identificatiegegevens van de klagers bij
deze publicatie worden bekendgemaakt.
267
Zie randnrs. 192, 196, 199 en 202 in deze beslissing.
268
Zie punt 3.1.A.2 van het Sepotbeleid van de Geschillenkamer d.d. 18 juni 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf.
Beslissing ten gronde 07/2024 - 113/114
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 58.2.d) AVG alsmede artikel 100, § 1, 8° en 9° WOG, de
verweerder te gelasten om de overtreding van artikel 5.1 AVG, artikel 6.1 AVG, artikel
12.1 AVG, alsook artikel 14.1 en 14.2 AVG, in het kader van de B2B Data Quality
dienstverlening, te beëindigen en beëindigd te houden totdat de verwerking in
overeenstemming wordt gebracht met de AVG, door de verwerking van
persoonsgegevens in de Spectron databank te staken, alvorens de betrokkenen van
wie de verweerder over contactgegevens beschikt proactief en individueel in kennis
te stellen van de verwerking van hun persoonsgegevens door de verweerder. Hierbij
dient de verweerder eveneens de betrokkenen gedurende een periode van
drie maanden vanaf de informatieverstrekking de gelegenheid te geven om op
eenvoudige en effectieve wijze bezwaar te maken tegen de verwerking van hun
persoonsgegevens, alvorens de verwerking te hervatten. Wat de andere categorieën
van betrokkenen betreft, waarvan de verweerder geen contactgegevens in zijn bezit
heeft, besluit de Geschillenkamer om, bij gebrek aan een rechtmatige
verwerkingsgrond, de verwerking van hun persoonsgegevens definitief te verbieden.
- Op grond van artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG, de verweerder te
gelasten om aan de overtreding van artikel 5.1 en 5.2 AVG, artikel 24.1 AVG alsook
artikel 25.1 en 25.2 AVG te remediëren door passende technische en
organisatorische maatregelen te nemen opdat de bewaarperiode van de
persoonsgegevens — die de verweerder uitsluitend verder mag verwerken op
voorwaarde dat er aan het vorig bevel is voldaan — in verhouding komt te staan tot de
doeleinden van de verwerking, en opdat de verweerder in het kader van zijn huidige
Data Quality dienstverlening enkel de meest actuele persoonsgegevens bijhoudt van
betrokkenen, zoals vereist door het beginsel van minimale gegevensverwerking.
Daarnaast beveelt de Geschillenkamer de verweerder om de huidige documentatie in
verband met de verwerking van persoonsgegevens en de naleving van de AVG aan te
vullen dan wel aan te passen, teneinde rekening te houden met de werkelijke
omstandigheden waarin de verweerder persoonsgegevens verwerkt en zodoende de
verantwoordingsplicht die op de verweerder rust, na te komen.
Beslissing ten gronde 07/2024 - 114/114
- Op grond van artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG, de verweerder te
gelasten om aan de overtreding van artikel 30.1.c) AVG evenals artikel 30.2 AVG te
remediëren door het register van verwerkingsactiviteiten aan te vullen met een
duidelijke omschrijving van de categorieën van persoonsgegevens en van
betrokkenen, alsook door alle verwerkingsverantwoordelijken ten behoeve van
dewelke de verweerder als verwerker meent op te treden, bij naam te vermelden.
- Op grond van artikel 58.2.d) AVG alsmede artikel 100, § 1, 9° WOG, de verweerder te
gelasten om binnen een termijn van drie maanden na de kennisgeving van de
beslissing het bewijs van de verwezenlijking van de voormelde nalevingsmaatregelen
voor te leggen aan de Geschillenkamer.
- Op grond van artikel 58.2.i) AVG evenals artikelen 100, § 1, 13° WOG en 101 WOG,
overeenkomstig artikel 83.2 AVG een administratieve geldboete ter hoogte van
129.500 EUR op te leggen aan de verweerder wegens de schending van artikel 5 AVG;
artikel 6 AVG; artikel 12 AVG; artikel 14 AVG; artikel 24 AVG en artikel 25 AVG.
- Op grond van artikel 58.2.i) AVG evenals artikelen 100, § 1, 13° WOG en 101 WOG,
overeenkomstig artikel 83.2 AVG een administratieve geldboete ter hoogte
van 41.440 EUR op te leggen aan de verweerder wegens de schending van artikel 12
AVG en artikel 15 AVG.
- Op grond van artikel 58.2.i) AVG evenals artikelen 100, § 1, 13° WOG en 101 WOG,
overeenkomstig artikel 83.2 AVG een administratieve geldboete ter hoogte van
3.700 EUR op te leggen aan de verweerder wegens de schending van artikel 30 AVG.
Tegen deze beslissing kan op grond van artikel 108, § 1 WOG, beroep worden
aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het
Marktenhof, met de Gegevensbeschermingsautoriteit als verweerder.
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer