1/7
Geschillenkamer
Beslissing 10/2026 van 27 januari 2026
Dossiernummer : DOS-2025-00927
Betreft : Klacht over het vermeend onrechtmatig delen van privéberichten in een
werkgerelateerde WhatsApp-groep
De Geschillenkamer van de Gegevensbeschermingsautoriteit,
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door het directiecomité van de
Gegevensbeschermingsautoriteit op 25 april 2024 en gepubliceerd in het Belgisch Staatsblad op
31 mei 2024;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerder: Y, met maatschappelijke zetel te […], met ondernemingsnummer […], hierna “de
verweerder”
Beslissing 10/2026 — 2/7
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het vermeend onrechtmatig delen van privéberichten
in een werkgerelateerde WhatsApp-groep.
2. De klager is studente en was in die hoedanigheid tewerkgesteld bij de verweerder. De
klager heeft via WhatsApp berichten uitgewisseld met haar leidinggevende, waarna zij haar
ontslag via WhatsApp heeft meegedeeld. De leidinggevende, tewerkgesteld bij de
verweerder, stuurt op 7 januari 2025 schermafbeeldingen van voormeld gesprek door in
een werkgerelateerde WhatsApp-groep.
3. Op 3 maart 2025 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder.
4. De klager stelt dat zij via een derde heeft vernomen dat haar leidinggevende privéberichten
over haar heeft gedeeld in een WhatsApp-groep. De klager voert aan dat op de
doorgestuurde schermafbeeldingen haar naam, voornaam en de inhoud van deze
privéberichten zichtbaar zijn. Zij geeft aan hiervoor geen toestemming te hebben verleend.
5. Op 10 maart 2025 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 van de WOG en wordt de klager hiervan op de hoogte
gesteld overeenkomstig artikel 61 WOG.
6. Op 10 maart 2025 wordt de Geschillenkamer gevat op grond van artikel 92, 1° WOG.
7. Op 31 oktober 2025 brengt de Geschillenkamer de partijen overeenkomstig artikel 95, §2
WOG op de hoogte van het feit dat onderhavig dossier aanhangig gemaakt werd, de inhoud
van de klacht, en de mogelijkheid tot het raadplegen en het kopiëren van het dossier bij de
griffie van de Geschillenkamer. De partijen worden uitgenodigd om hun eventuele
opmerkingen hieromtrent over te maken aan de Geschillenkamer, uiterlijk op 2 december
2025.
8. Op 20 november 2025 ontvangt de Geschillenkamer de opmerkingen van de verweerder
op deze kennisgeving.
II. Motivering
9. In haar antwoord van 20 november 2025 stelt de verweerder dat zij de feiten die aanleiding
hebben gegeven tot de klacht niet betwist. De verweerder geeft toe dat het delen van
persoonsgegevens van de klager met andere werknemers door haar leidinggevend
personeelslid onrechtmatig gebeurde. De verweerder beklemtoont dat het kopiëren van
privéberichten in een professionele WhatsApp-groep niet in lijn is met de verwachtingen
die zij heeft ten aanzien van haar leidinggevend personeel.
Beslissing 10/2026 — 3/7
10. De Geschillenkamer stelt aldus vast dat de persoonsgegevens van de klager onrechtmatig
werden gedeeld, gelet op het feit dat de verwerking niet kon steunen op één van de
rechtsgronden opgesomd in artikel 6.1 AVG. Hoewel de Geschillenkamer begrijpt dat
onderhavige klacht voortvloeit uit handelingen gesteld door een individueel personeelslid,
wijst zij erop dat, overeenkomstig artikel 29 AVG, in beginsel mag worden aangenomen dat
elke verwerking van persoonsgegevens door werknemers die gebeurt in het kader van de
activiteiten van een organisatie, plaatsvindt onder het gezag en toezicht van die
organisatie.1
11. De Geschillenkamer wijst er in dat verband op dat uit de in artikel 5.2 AVG neergelegde
verantwoordingsplicht volgt dat iedere verwerkingsverantwoordelijke verantwoordelijk is
voor de naleving van de beginselen inzake gegevensbescherming en die naleving ook moet
kunnen aantonen. Deze verantwoordingsplicht vindt onder meer haar concretisering in
artikel 24 AVG. Dat artikel verplicht de verwerkingsverantwoordelijke om, rekening
houdend met de aard, de omvang, de context en de doeleinden van de verwerking, alsook
met de risico’s die naar waarschijnlijkheid en ernst verschillen voor de rechten en vrijheden
van natuurlijke personen, passende technische en organisatorische maatregelen te nemen
om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de
AVG wordt uitgevoerd.
12. Bijgevolg leggen artikel 5.2 en artikel 24 van de AVG algemene verplichtingen inzake
verantwoordingsplicht en naleving op aan de verwerkingsverantwoordelijke. Meer bepaald
vereisen deze bepalingen van verwerkingsverantwoordelijken dat zij passende
maatregelen nemen om eventuele schendingen van de regels van de AVG te voorkomen
en om het recht op gegevensbescherming te waarborgen. 2
13. De Geschillenkamer wijst erop dat de in artikel 24.1 AVG bedoelde technische en
organisatorische maatregelen in een context als de onderhavige onder meer kunnen
bestaan uit het vaststellen en implementeren van duidelijke interne beleidslijnen of het
voorzien van gerichte opleiding en sensibilisering van werknemers inzake
gegevensbescherming. Dergelijke maatregelen zouden inderdaad gepast zijn om te
voorkomen dat werknemers van de verweerder ongeoorloofd persoonsgegevens van
andere werknemers delen, hetgeen in onderhavige zaak aan de orde is.
14. In haar antwoord van 20 november 2025 legt de verweerder uit welke technische en
organisatorische maatregelen zij heeft getroffen om incidenten zoals het onderhavige te
voorkomen en de naleving van de AVG te waarborgen. Zo verwijst zij naar de door haar
1
European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR – Version
2.1, p. 10, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-
and-processor-gdpr en.
2
HvJEU Arrest van 27 oktober 2022, Proximus NV, C-129/21, EU:C:2022:833, par. 81
Beslissing 10/2026 — 4/7
vastgestelde gedragsregels die bepalen dat medewerkers elkaar met waardigheid,
respect, eerlijkheid en inclusie moeten behandelen en waarin wordt benadrukt dat de
verweerder de privacy van haar medewerkers respecteert en hun gegevens beschermt. Zij
voert aan dat al haar werknemers tweejaarlijks een verplichte e-learning volgen om deze
principes in herinnering te brengen. Specifiek met betrekking tot de bescherming van
persoonsgegevens stelt de verweerder voorts dat een wereldwijd geldende interne Data
Protection Policy werd geïmplementeerd, aangevuld met een informatieve brochure en
een richtsnoer inzake de te volgen “Do’s and Dont’s”. Daarnaast voorziet de verweerder in
een jaarlijkse verplichte Data Protection en Privacy Training, die door middel van e-learning
dient te worden gevolgd door elk personeelslid dat beschikt over een professioneel e-
mailaccount. Overigens biedt de verweerder een intranetplatform aan voor al haar
werknemers die verschillende zaken bevat, zoals o.a. informatie over kernbegrippen van de
AVG, een AVG-toolbox, praktische tips, evenals uitleg omtrent de individuele
verantwoordelijkheden van personeelsleden in het kader van de AVG.
15. Tot slot, en ingevolge de feiten die aanleiding hebben gegeven tot onderhavige klacht,
heeft de verweerder besloten om in de toekomst een informatieve memo op te maken voor
haar operationeel leidinggevend personeel met specifieke instructies en verduidelijkingen
rond het gebruik van werkgerelateerde WhatsApp-groepjes, en met herinnering aan de
regels inzake gegevensbescherming die daarbij moeten gerespecteerd worden.
16. De Geschillenkamer besluit prima facie dat, ondanks de door de verweerder getroffen
maatregelen waarvan zij kennis heeft genomen, een inbreuk is ontstaan op artikel 6.1 AVG
ingevolge de handelingen van een persoon die onder het gezag van de
verwerkingsverantwoordelijke staat. De Geschillenkamer is prima facie van oordeel dat dit
er mogelijks op kan wijzen dat de door de verweerder getroffen technische en
organisatorische maatregelen onvoldoende zijn of onvoldoende worden geïmplementeerd
in het licht van artikel 5.2 en 24.1 van de AVG. Meer bepaald stelt de Geschillenkamer prima
facie vast dat de verweerder vooralsnog geen beleid heeft vastgesteld voor haar
operationeel leidinggevend personeel. Zij moedigt aldus het voornemen aan van de
verweerder om middels een informatieve memo haar leidinggevend personeel te wijzen op
hun verplichtingen onder de AVG. De Geschillenkamer houdt bij haar keuze omtrent het
opleggen van een corrigerende maatregel rekening met deze voorgenomen positieve
stappen.
17. Overeenkomstig artikel 95, § 1, 4° van de WOG en artikel 58.2.a) van de AVG heeft de
Geschillenkamer de bevoegdheid om een verwerkingsverantwoordelijke of een verwerker
te waarschuwen dat de voorgenomen verwerkingsactiviteiten mogelijk in strijd zijn met de
bepalingen van de AVG.
Beslissing 10/2026 — 5/7
18. Op basis van de bovenstaande feiten is de Geschillenkamer van oordeel dat de verweerder
artikelen 5.2 en 24.1 van de AVG dreigt te schenden vanwege het onvoldoende treffen
en/of implementeren van technische en organisatorische maatregelen. Dit rechtvaardigt
dat een waarschuwing wordt opgelegd zodat de verweerder er in de toekomst voor zorgt
dat zij een beleid inzake gegevensbescherming voor leidinggevenden opmaakt en
handhaaft zodat gelijkaardige incidenten in de toekomst vermeden worden.
19. Deze waarschuwingsbeslissing heeft tot doel verweerder, die vermoedelijk
verantwoordelijk is voor de verwerking, te herinneren aan haar verplichting om de
bovengenoemde bepalingen van de AVG na te leven, zodat zij in de toekomst aan deze
bepalingen kan voldoen in het kader van de verwerkingsactiviteiten die in deze zaak aan de
orde zijn.
20. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klager ingediende klacht,
in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 3 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
21. Indien de verweerder niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren die
tot een nieuwe beslissing zouden kunnen leiden, kan zij een verzoek tot heroverweging
indienen bij de Geschillenkamer volgens de procedure vastgesteld in de artikelen 98 juncto
99 van de WOG, bekend als een “behandeling ten gronde”. Dit verzoek moet worden
gestuurd naar het e-mailadres [email protected] binnen een termijn van 30
dagen na kennisgeving van dit prima facie besluit. Indien van toepassing, wordt de
uitvoering van dit besluit opgeschort gedurende de bovengenoemde periode.
22. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 van de
WOG uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten
bij het dossier te voegen. De onderhavige beslissing wordt desgevallend definitief
opgeschort.
23. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 van de
WOG4.
3
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
4
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
Beslissing 10/2026 — 7/7
1034ter van het Gerechtelijke Wetboek (Ger.W.) opgesomde elementen dient te bevatten5. Het
verzoekschrift tot tussenkomst moet worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.6, of via het e-Deposit informatiesysteem van
het Ministerie van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
5
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister-
of ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
6
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.