1/60
Geschillenkamer
Beslissing ten gronde 101/2026 van 12 mei 2026
Tegen deze beslissing werd een beroep ingesteld bij het Marktenhof.
Dossiernummer : DOS-2024-02046
Betreft : het niet conform afsluiten van de mailbox van een ex-medewerker
De Geschillenkamer van de Gegevensbeschermingsautoriteit;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”1;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier, waaronder de conclusies van antwoord en de
syntheseconclusies van de partijen, die rechtmatig werden uitgewisseld, de hoorzitting van 24
november 2025 en de reactie van de verweerder op het sanctieformulier van 14 april 2026;
Heeft de volgende beslissing genomen inzake:
De klager: X, woonachtig te […], ertegenwoordigd door mr. Bart Van den Brande, hierna
“de klager”;
1
De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van
de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking
zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en
procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link:
https://www.ejustice.just.fgov.be/cgi_loi/change_lg.pl?language=nl&la=N&cn=2017120311&table_name=wet, en het
reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-
interne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel
van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze
bestonden vóór deze datum.
Beslissing ten gronde 101/2026 — 2/60
De verweerder: Y, met maatschappelijke zetel te […], met ondernemingsnummer […],
vertegenwoordigd door mr. Peter Van Dyck en mr. Sofia Devroe, hierna “de
verweerder”.
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het niet AVG-conform afsluiten van de professionele
mailbox van een werknemer na haar vertrek bij de verweerder. De klager valt als
zelfstandig consulente onder de noemer van werknemer of medewerker van de
verweerder, meer bepaald in de categorie van de ‘extended workforce’ van de
verweerder. 2
2. Op 23 april 2024 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder.
3. Op 26 april 2024 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en werd de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 21 mei 2024 besliste de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed was voor behandeling ten gronde en werden de betrokken
partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens werden zij op grond van artikel
99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De partijen werden verzocht hun verweermiddelen over te maken aangaande de volgende
vermeende schendingen:
• Schending van artikel 5.1.a) juncto artikel 6.1 van de AVG vanwege het niet hebben
van een rechtsgrond om de mailbox van de klager actief te houden na 1 maand na het
vertrek van de klager;
• Schending van artikel 5.1.b), artikel 5.1.c) en artikel 5.1.e) van de AVG vanwege een
schending van het principe van doelbinding in combinatie met dataminimalisatie en
opslagbeperking van de persoonsgegevens in de mailbox van de klager na 1 maand
na het vertrek van de klager;
• Schending van artikel 12 en artikel 13 van de AVG vanwege het niet verstrekken van
de nodige informatie aangaande de verwerking van zijn persoonsgegevens in de
mailbox van de klager na 1 maand na het vertrek van de klager;
2
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 135.
Beslissing ten gronde 101/2026 — 3/60
• Schending van artikel 24 en artikel 25 van de AVG vanwege het gebrek aan afdoende
technische en/of organisatorische maatregelen om de mailbox van de klager
gedurende of na diens vertrek correct te beheren en af te sluiten;
• Schending van artikel 12 en artikel 15 van de AVG vanwege het niet verlenen van
inzage in de mailbox van de klager en vanwege het niet verstrekken van een kopie
van de mailbox van de klager;
• Schending van artikel 5.1.f) juncto artikel 5.2 van de AVG vanwege het niet voldoende
aantonen dat de vertrouwelijkheid van de persoonsgegevens in de mailbox van de
klager was gegarandeerd na 1 maand na het vertrek van de klager.
II. Motivering
II.1. Beschrijving van de verwerking en de klacht
5. De klager was als zelfstandig consulente werkzaam bij de verweerder. De verweerder is
een hoogstaand Belgisch tech-bedrijf dat een groot verloop van medewerkers kent, die
ofwel deel uitmaken van het bedrijf als interne medewerker ofwel deel uitmaken van zijn
‘extended workforce’.3 Om haar activiteiten bij de verweerder uit te kunnen oefenen, had
de klager als lid van de ‘extended workforce’ een uniek identificeerbaar professioneel e-
mailadres toegewezen gekregen op het e-maildomein van de verweerder. Enkele weken
voor haar effectieve vertrek bij de verweerder, bouwde de klager haar activiteiten bij de
verweerder af; zij had daarvoor twee out-of-office berichten ingesteld, waarbij ze de
interne medewerkers van de verweerder erop wees dat ze niet meer bereikbaar was op
dit e-mail adres en doorverwees naar haar persoonlijk e-mailadres en waarbij ze de
externe contacten die haar trachtten te contacteren er attent op maakte dat ze slechts
sporadisch haar e-mail zou controleren: “[…] Ik ben momenteel offline met zeer beperkte
toegang tot internet. Gelieve wat vertraging in mijn antwoord te accepteren. […]4.
6. Op 1 mei 2023 verliet de klager definitief de verweerder. In het najaar van 2023 vernam
de klager van verschillende contacten dat zij haar hadden gecontacteerd via haar
professioneel e-mailadres bij de verweerder dat nog steeds functioneel bleek te zijn.
7. Op 24 januari 2024 contacteerde de klager de verweerder om hem er attent op te maken
dat haar professioneel e-mailadres nog steeds actief was en om inzage te vragen in de e-
mails die in tussentijd waren toegekomen op dit e-mailadres. De verweerder heeft daarop
zelf een out-of-office bericht geplaatst op de mailbox van de klager en aangeboden
inzage te verlenen in de e-mails die zijn toegekomen na haar vertrek van de externe
3
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 135.
4
Stuk 2, Klachtenformulier van 19 april 2024, bijlage p. 2.
Beslissing ten gronde 101/2026 — 4/60
contacten in de lokalen en onder toezicht van een neutraal persoon, teneinde eventuele
vertrouwelijke of bedrijfsgevoelige informatie te kunnen beschermen.
8. Ten slotte vroeg de klager eveneens bewijs van de verweerder dat niemand haar mailbox
had geconsulteerd nadat ze was vertrokken, aangezien ze vermoedde dat er bepaalde e-
mails niet gelogd waren en bepaalde e-mails geopend waren.
9. De raadsman van de klager besloot de klacht met het volgende verzoek aan de GBA:
“Ik verzoek u vriendelijk om de huidige situatie te beoordelen en mijn cliënte te helpen bij
het verkrijgen van toegang en een kopie van de gevraagde gegevens, inclusief de
correspondentie die zij heeft ontvangen op haar niet-gedeactiveerde e-mailadres sinds
april 2023 en informatie over wie haar e-mailaccount heeft geraadpleegd sinds april
2023. Het e-mailadres werd onrechtmatig actief gehouden, en het beschikbare out-of-
officebericht was duidelijk misleidend, wat suggereert dat mijn cliënte nog steeds bij
[verweerder] werkte. Zij heeft het recht om toegang te krijgen tot de genoemde gegevens
en informatie te ontvangen over het gebruik van haar persoonlijke gegevens en identiteit
door het bedrijf zonder haar toestemming sinds het beëindigen van haar samenwerking
met [verweerder]. […] Daarom is de verdenking van mijn cliënte dat het e-mailadres
opzettelijk niet is gedeactiveerd niet zonder grond. […]”5.
II.2. Beschrijving van de verwerking van persoonsgegevens in de mailbox van de klager
10. De Geschillenkamer stelt vast dat de klager als zelfstandig consulente werkzaam was bij
de verweerder tot 1 mei 2023 en voor haar functie kon beschikken over een e-mailadres
van het type ‘[email protected]’. De mailbox die aan dit e-mailadres
verbonden was, bevat ontegensprekelijk persoonsgegevens van een uniek
identificeerbaar persoon in de zin van artikel 4.1 AVG. Het doel van een dergelijk type
mailbox is de klager toe te laten te communiceren in het kader van haar samenwerking
met de verweerder.
11. Een dergelijk type mailbox is dan ook onvermijdelijk een mix van persoonsgegevens van
de unieke gebruiker van het e-mailadres, van bedrijfsnoodzakelijke gegevens en van
persoonsgegevens van correspondenten van de unieke gebruiker zoals:
• communicatie van persoonsgegevens die kadert binnen de samenwerking van de
werknemer met de werkgever zoals bijvoorbeeld verlofaanvragen aan HR,
vergaderingsverzoeken met de vertrouwenspersoon, evaluatieverslagen, verslagen
van functioneringsgesprekken, overleg met een collega, teammeetings,
hospitalisatieverzekering, etc.;
5
Stuk 2, Klachtenformulier van 23 april 2024, p. 4.
Beslissing ten gronde 101/2026 — 5/60
• communicatie die kadert binnen de functie van de werknemer en de bedrijfsvoering
zoals contact met klanten en leveranciers, bijdrages aan projecten, offertes,
contracten, etc. In deze communicatie kunnen ook bedrijfsgevoelige of
vertrouwelijke gegevens en eventueel door intellectueel eigendom van de
onderneming beschermde gegevens zitten;
• communicatie die kadert in het pure privéleven van de werknemer zoals bijvoorbeeld
afspraken met de partner van de werknemer aangaande het ophalen van de
kinderen, eventuele dringende afspraak met de garage, etc. en
• persoonsgegevens van derden die communiceren met de unieke gebruiker van de
mailbox, in casu de werknemer, zoals bijvoorbeeld van een collega (die zijn verjaardag
viert), de partner (omdat hij/zij autoschade heeft gehad en later thuis zal zijn), een
specifieke correspondent van de betrokkene (vanwege zijn/haar ontslag), etc.
12. In een dergelijk type mailbox worden deze persoonsgegevens verzonden naar of vanop
het e-mailadres van de werknemer, waarna ze worden ontvangen in de mailbox, daar
worden bewaard, worden geordend en kunnen worden gefilterd, verzonden, opgeslagen,
afgeprint en verwijderd. Deze persoonsgegevens worden dus onvermijdelijk verwerkt in
de zin van artikel 4.2 AVG.
13. In het kader van de afbakening van de klacht en ter verduidelijking van deze beslissing,
stelt de Geschillenkamer vast dat er 3 opeenvolgende fases bestaan inzake de
verwerking van de persoonsgegevens in de mailbox van de klager. Deze fases worden
onderscheiden op basis van het doel en de rechtsgrond van de verwerking.
II.2.1. Fase 1: tijdens de samenwerking
14. Tijdens de formele samenwerking tussen de klager en de verweerder is het doel van de
verwerking van de persoonsgegevens in de mailbox het communiceren met interne en
externe contacten in het kader van haar overeenkomst met de verweerder, wat meteen
ook de rechtsgrond voor de verwerking conform artikel 6.1.b AVG uitmaakt.
15. De Geschillenkamer wijst voor deze communicatie op de Barbulescu-zaak waarin het
Europese Hof voor de Rechten van de Mens (hierna ‘EHRM’) heeft geoordeeld dat “De
instructies van een werkgever mogen het privéleven op de werkplek niet tot nul
reduceren. Het respect voor het privéleven en voor de vertrouwelijkheid van de
correspondentie blijft bestaan” 6 (vrije vertaling van de Geschillenkamer) en dus “de
communicatie op de werkplek van de verzoeker viel onder de begrippen “privéleven” en
6
EHRM, Case of Barbulescu v. Romania, 61496/08 of 5 september 2017, randnummer 80: “an employer’s instructions cannot
reduce private social life in the workplace to zero. Respect for private life and for the privacy of correspondence continues to
exist […]”.
Beslissing ten gronde 101/2026 — 6/60
“correspondentie”7 (vrije vertaling van de Geschillenkamer). De medewerker heeft ook op
de werkvloer het recht een privéleven te leiden en sociale contacten aan te gaan die
binnen de privésfeer vallen. Dit arrest bevestigt dat de verweerder niet kan vermijden dat
ook persoonlijke correspondentie plaatsvindt via dit e-mailadres en deze mailbox.
16. In haar klacht8 en haar conclusies9 maakt de klager echter ook melding van bepaalde
gevoelige communicaties aangaande haar expertise als publiek persoon, die voorbijgaan
aan haar opdracht bij de verweerder. Gezien deze communicatie niet strikt kaderde
binnen de samenwerking tussen de klager en de verweerder, gezien deze communicatie
ook niet valt onder het private sociale leven van de klager en gezien de gevoeligheid van
deze correspondentie, die blijkbaar ook moest afgeschermd worden van de verweerder
(“Zij deed haar uiterste best om hun vertrouwelijkheid te garanderen, ondanks de hoge
druk van de media en Verweerster”10), oordeelt de Geschillenkamer dat deze specifieke
communicatie niet thuishoorde in de mailbox van de klager op het domein van de
verweerder en beschouwt de Geschillenkamer deze specifieke, gevoelige communicatie
niet anders dan de andere persoonsgegevens die in de mailbox van de klager verwerkt
worden.
II.2.2. Fase 2: onmiddellijk na het eindigen van de samenwerking tussen de klager en de
verweerder
17. De klacht betreft de verdere verwerking van persoonsgegevens in de mailbox nadat de
samenwerking, en dus het contract, tussen de klager en de verweerder werd beëindigd.
Ook hier heeft de Geschillenkamer reeds in eerdere beslissingen11 geoordeeld dat een
dergelijke verdere verwerking rechtmatig gebaseerd kan worden op het gerechtvaardigd
belang van de werkgever, in casu de verweerder, conform artikel 6.1.f AVG.
18. Zoals verduidelijkt in deze eerdere beslissingen van de Geschillenkamer, is dit
gerechtvaardigd belang a priori beperkt tot de duur van 1 maand. Een eventuele
verlenging van deze duur met twee maanden zou kunnen worden aanvaard, mits een
duidelijke belangafweging deze verlenging onderbouwt. In deze belangenafweging moet
7
Ibid, randnummer 81: “the applicant’s communications in the workplace were covered by the concepts of “private life” and
“correspondence”.
8
Stuk 2, Klachtenformulier van 23 april 2024, p. 3: “Aangezien de e-mail niet gedeactiveerd was, werd er zeer gevoelige data
naar dit account gestuurd, en het is voor mijn cliënte van groot belang dat deze informatie van de servers van [verweerder]
wordt verwijderd.”
9
Bijlage Complete_with_Docusign_20240730_[klager] bij stuk 16, Conclusies en stukken, randnummer 48: “Aangezien
Concluante XXX is, vertrouwen individuen en organisaties haar gevoelige en vertrouwelijke informatie toe. […] Bijvoorbeeld,
ten tijde van haar vertrek was Concluante betrokken bij een zeer gevoelige zaak die betrekking had op YYY. […] Ze deed haar
uiterste best om hun vertrouwelijkheid te garanderen, ondanks de hoge druk van de media en Verweerster. Bewijs verkrijgen
dat haar account niet is geopend en in staat zijn om alle persoonlijke gegevens en gevoelige gegevens van anderen uit dat
account te verwijderen, is essentieel voor haar als individu en als ethische en betrouwbare professional.”
10
Stuk 16, Conclusies + Stukken klager van 2 augustus 2024, randnummer 48.
Zei o.a. beslissing 64/2020 van 29 september 2020, beslissing 133/2021 van 2 december 2021, beslissing 138/2024 van 19
11
november 2024, beslissing 134/2025 van 21 augustus 2025, beslissing 01/2026 van 6 januari 2026.
Beslissing ten gronde 101/2026 — 7/60
worden meegenomen dat de klager reeds enige tijd is vertrokken en geen enkele controle
meer heeft over haar, soms gevoelige, persoonsgegevens in de betrokken mailbox.
19. Gezien de onvermijdelijke mix van persoonsgegevens en bedrijfsgegevens in de mailbox,
is het verboden voor de verweerder om zich nog toegang te verschaffen tot deze mailbox
om bedrijfsnoodzakelijke gegevens te raadplegen, aangezien hij dan onvermijdelijk ook
toegang zou krijgen tot de persoonsgegevens en de privécommunicatie van de klager (en
haar contacten). In dat kader wijst de Geschillenkamer op:
• Artikel 124 WEC: “Indien men daartoe geen toestemming heeft gekregen van alle
andere, direct of indirect betrokken personen, mag niemand :
1° met opzet kennis nemen van het bestaan van informatie van alle aard die via
elektronische weg is verstuurd en die niet persoonlijk voor hem bestemd is;
[…]
4° de informatie, identificatie of gegevens die met of zonder opzet werden
verkregen, wijzigen, schrappen, kenbaar maken, opslaan of er enig gebruik van
maken.”
• Artikel 314bis SW: “§ 1Met [gevangenisstraf van zes maanden tot twee jaar] en met
geldboete van tweehonderd [euro] tot tienduizend [euro] of met een van die
straffen alleen wordt gestraft hij die:
1°[ofwel, opzettelijk, met behulp van enig toestel niet voor publiek toegankelijke
communicatie, waaraan hij niet deelneemt, onderschept of doet onderscheppen,
er kennis van neemt of doet van nemen, opneemt of doet opnemen, zonder de
toestemming van alle deelnemers aan die communicatie;]
[…]
§ 2 Met [gevangenisstraf van zes maanden tot drie jaar] en met geldboete van
vijfhonderd euro tot twintigduizend euro of met een van die straffen alleen wordt
gestraft hij, die wetens de inhoud van niet voor publiek toegankelijke communicatie
of gegevens van een informaticasysteem die onwettig onderschept of opgenomen
zijn of waarvan onwettig kennis genomen is, onder zich houdt, aan een andere
persoon onthult of verspreidt, of wetens enig gebruik maakt van een op die manier
verkregen inlichting.
[…]”
20. Enkel op basis van een degelijk gegevensbeschermingsbeleid door ontwerp van
professionele mailboxen, waarin een effectief onderscheid wordt gemaakt tussen
persoonsgegevens/privécommunicatie enerzijds en bedrijfsgegevens/
Beslissing ten gronde 101/2026 — 8/60
bedrijfscommunicatie anderzijds, dat bij vertrek van een medewerker technisch kan
worden onderscheiden en gefilterd, kunnen in fase 2 de noodzakelijke bedrijfsgegevens
nog worden opgehaald uit deze professionele mailboxen zonder te raken aan de
persoonsgegevens van de ex-medewerker. De enige andere optie om de
bedrijfsgegevens in deze fase nog te recupereren bestaat erin toestemming te krijgen
van de ex-medewerker om de mailbox te kunnen consulteren en de bedrijfsgegevens
eruit te kunnen halen. Het is om deze reden dat aanbeveling CM/Rec(2015)5 van het
Comité van Ministers van de lidstaten van de Raad van Europa bij het vertrek van een
werknemer duidelijk stelt: “Als werkgevers de inhoud van een account van een
werknemer moeten recupereren voor het efficiënt beheer van de organisatie, zouden ze
dit moeten doen voor zijn of haar vertrek en, wanneer mogelijk, in zijn of haar bijzijn. “12
(vrije vertaling door de Geschillenkamer).
II.2.3. Fase 3: één maand na het eindigen van de samenwerking tussen de klager en de
verweerder
21. Eén maand (of, mits een duidelijk onderbouwde verlenging, tot maximum 3 maanden) na
het effectieve einde van de samenwerking zijn de persoonsgegevens in de mailbox van
de klager, inclusief het e-mailadres zelf, niet meer noodzakelijk en moeten ze conform het
principe van doelbinding van artikel 5.1.b AVG en de minimale gegevensverwerking van
artikel 5.1.c AVG definitief worden verwijderd. Gezien de onvermijdelijke mix van
persoonsgegevens en bedrijfsgegevens in de mailbox, betekent dit in de praktijk meestal
het definitief wissen van de volledige mailbox.
II.3. Schending van artikel 5.1.a) juncto artikel 6.1 van de AVG vanwege het niet hebben van
een rechtsgrond om de mailbox van de klager actief te houden na 1 maand na het
vertrek van de klager
22. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een
rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen
of, zoals in casu, doorgaan met een gegevensverwerking zonder zich te beroepen op één
van de in artikel 6.1 AVG opgesomde rechtmatigheidscriteria, wat de concretisering is van
het rechtmatigheidsbeginsel als bedoeld in artikel 5.1 a) AVG.
23. De klager stelt in haar klacht dat haar samenwerking met de verweerder was geëindigd in
april 2023. Nadat zij had vastgesteld dat de mailbox nog actief was, had zij de verweerder
hierover op 24 januari 2024 gecontacteerd. Diezelfde dag bevestigde de functionaris
voor gegevensbescherming van de verweerder (hierna ‘DPO’) dat het e-mailadres nog
12
Committee of Ministers, Recommendation CM/Rec(2015)5 of the Committee of Ministers to member States on the
processing of personal data in the context of employment van 1 april 2015, randnummer 14.5 : “If employers need to recover
the contents of an employee’s account for the e cient running of the organisation, they should do so before his or her departure
and, when feasible, in his or her presence.”
Beslissing ten gronde 101/2026 — 9/60
niet was gedeactiveerd. Als verklaring voor dit langer bewaren van de persoonsgegevens
in de mailbox van de klager stelde de DPO op 20 februari 2024: “Gelet op uw functie
binnen [verweerder], meenden wij dat het meer opportuun voorkwam uw out-of-office
meldingen langer te behouden, eerder dan na 1 maand uw mailbox af te sluiten.”13 Op de
dag van de klacht op 23 april 2024, zijnde 1 jaar na het einde van de samenwerking tussen
de klager en de verweerder, was de mailbox volgens haar nog steeds actief.
24. De verweerder bevestigt dat de klager als zelfstandig consulente bij hem actief was en in
dat kader over een persoonlijk e-mailadres op het domein van de verweerder beschikte.
De verweerder erkent eveneens dat “de mailbox van de klager inderdaad niet (tijdig) werd
verwijderd na de deactivering, en per abuis in de ‘back-up’-modus bleef staan”14. Het
proces voor het afsluiten en verwijderen van mailboxen van vertrokken medewerkers was
ten tijde van het vertrek van de klager beperkt tot het maandelijks oplijsten van
vertrokken medewerkers, waarna op de dag van het vertrek de ICT-dienst alle toegangen
blokkeerde en een maand na het vertrek de mailboxen handmatig verwijderde. De
verweerder benadrukt dat het bijhouden van de mailbox van de klager een éénmalige,
menselijke fout betrof.
25. De verweerder beschouwt het deactiveren van de mailbox als een soort back-up modus
en stelt “dat de persoonsgegevens opgenomen in de mailbox van klager de facto reeds
‘verwijderd’ zijn daar zij niet meer actief verwerkt worden.”15 In deze back-up modus heeft
niemand meer toegang tot de mailbox, tenzij een specifieke procedure wordt gevolgd
waarbij expliciet toegang wordt gevraagd en moet worden geautoriseerd alvorens er
toegang wordt gegeven. Deze toegangsprocedure werd niet geïnitieerd op de mailbox
van de klager nadat hij gedeactiveerd was.
26. Ten slotte stelt de verweerder dat ook de klager een deel van de verantwoordelijkheid
draagt aangezien zij al sinds september 2023 op de hoogte zou geweest zijn dat haar
mailbox nog actief was en dit pas in januari 2024 zou gemeld hebben aan de verweerder.
II.3.1. Beoordeling van de rechtsgrond in fase 2
27. De Geschillenkamer oordeelt dat de verdere verwerking in fase 2 kan worden gebaseerd
op het gerechtvaardigd belang van de verweerder op grond van artikel 6.1.f AVG. Dit
gerechtvaardigd belang is echter beperkt:
• in duur: met name tot de duur van 1 maand. De Geschillenkamer kan een eventuele
verlenging van deze duur met 2 maanden aanvaarden mits een duidelijke, nieuwe
13
Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail van 20 februari 2024 om 14:48hr.
14
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 10.
15
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 35.
Beslissing ten gronde 101/2026 — 10/60
belangenafweging deze verlenging onderbouwt, rekening houdende met het feit dat
de klager reeds langer dan een maand is vertrokken en sindsdien ook geen enkele
controle meer heeft kunnen uitoefenen op haar mailbox of account.
• in doelstelling: met name het informeren van de contactpersonen van de klager,
enerzijds om de continuïteit van de bedrijfsvoering te garanderen door een andere
contactpersoon aan te duiden die de taken van de klager heeft overgenomen en
anderzijds om alle contactpersonen erop te wijzen dat ze niet meer (kunnen)
communiceren met de klager via het nog bestaande e-mailadres. Dit tweede doel is
van belang om transparant te zijn naar alle contacten van de klager zodat zij weten
dat de e-mails (en de persoonsgegevens daarin) die ze verzenden, niet meer
toekomen bij de bedoelde correspondent.
28. Aangaande de duur van deze verwerking op basis van het gerechtvaardigd belang, stelt
de Geschillenkamer vast dat de DPO in zijn communicatie met de klager aangaf dat de
duur van één maand verlengd zou zijn: “Wel is het zo dat uw mailbox langer ‘actief’ is
gebleven dan normaal wordt voorzien in het standaardbeleid van [verweerder]
hieromtrent. Echter, gelet op uw functie binnen [verweerder], meenden wij dat het meer
opportuun voorkwam uw out-of-offices meldingen langer te behouden, eerder dan na 1
maand uw mailbox af te sluiten.”16 In de conclusies stelt de verweerder echter dat een
verlenging niet van toepassing was: “In het geval van de Klager was er echter geen sprake
van een bewuste afwijking van de standaardtermijn van één maand.”17 Aangezien er geen
enkele belangenafweging voor een eventuele verlening is aangetoond, oordeelt de
Geschillenkamer dat de duurtijd van één maand van toepassing was en dat de verwerking
van de persoonsgegevens van de klager op 1 juni 2023 niet meer gebaseerd kon zijn op
het gerechtvaardigd belang van de verweerder.
29. Aangaande het doel van de verwerking onder het gerechtvaardigd belang, met name het
informeren van de contacten van de klager, stelt de Geschillenkamer vast dat de
verweerder als verwerkingsverantwoordelijke het middel om dit doel te bereiken, in casu
het out of office bericht, had gedelegeerd aan de klager. De verweerder stelt: “Het is voor
een bedrijf zoals dat van Verweerster immers niet mogelijk om voor elke vertrekkende
medewerkers [sic] een out-of-office bericht in te stellen. […] Aangezien dit bericht binnen
de Verweerster zo uiteenlopend kan zijn en ook om de accuraatheid te bevorderen, wordt
het opmaken van de out-of-office gedelegeerd aan de vertrekkende medewerker zelf.”18
16
Bijlage 5, E-mail Verweerster van 20 februari 2024 (4:11 PM) bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
17
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 11.
18
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 59.
Beslissing ten gronde 101/2026 — 11/60
30. Naast het delegeren van deze cruciale verantwoordelijkheid in het kader van het verder
verwerken van de persoonsgegevens op basis van het gerechtvaardigd belang, blijkt uit
het dossier zelf dat er ook niet werd gecontroleerd of het out-of-office bericht wel
(correct) was ingesteld op het moment dat de klager was vertrokken. Uit de stukken blijkt
immers dat er geen correct out-of-office bericht werd verzonden na het vertrek van de
klager. Het out of office bericht dat werd verzonden, was door de klager zelf ingesteld,
naar eigen zeggen enige tijd voor haar effectieve vertrek en bijgevolg zonder de
informatie die het gerechtvaardigd belang zou moeten dienen. De tekortkoming werd pas
vastgesteld door de DPO nadat de klager de verweerder had gecontacteerd in januari
2024. Slechts op 6 april 2024 stelde de DPO voor om de out-of-office correct te zetten.19
Ondanks deze delegatie en dit gebrek aan controle, oordeelt de Geschillenkamer dat de
verweerder wel degelijk een gerechtvaardigd belang had om de persoonsgegevens van
de klager verder te verwerken in haar mailbox tot één maand na het vertrek van de klager.
31. Op basis van de stukken die de verweerder heeft toegevoegd aan zijn conclusies stelt de
Geschillenkamer vast dat het doel voor de verdere verwerking was uitgebreid naar het
recupereren van informatie uit de mailbox van de klager na haar vertrek.
In de managementprocessen van 2016 wordt immers melding gemaakt van een
automatische e-mail naar de managers met als inhoud al de gedeactiveerde accounts van
die maand:
• “[…]
• deze lijst van gedeactiveerde accounts wordt automatisch verzonden naar een
bestemmelingenlijst van de verweerder om de managers te melden dat de accounts
zullen worden verwijderd op het einde van de maand, tenzij er een uitzondering wordt
gevraagd
• op basis van een ICT-ticket kan deze uitzondering aangevraagd worden, waardoor de
account op ‘niet verwijderen’ wordt ingesteld
• […]”20
In deze maandelijkse interne e-mail ter verwijdering van de mailboxen van de vertrokken
medewerkers wordt deze uitzondering verduidelijkt, met name om informatie uit de
mailbox van de gedeactiveerde account te halen alvorens deze definitief wordt
verwijderd. Het bericht leest als volgt:
19
Bijlage 12, E-mailverkeer Klager en Verweerster van 6 april 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
20
Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
Beslissing ten gronde 101/2026 — 12/60
“Hieronder vinden jullie een lijst van alle betaalde collega’s en uitgebreide
medewerkers die [verweerder] hebben verlaten in de laatste maand(en). Hun
toegang tot de systemen van de [verweerder] zijn al geblokkeerd.
Wees er u van bewust dat de accounts en alle persoonsgegevens (fileserver
windows en unix, mailbox, onedrive) effectief verwijderd zullen worden op de
eerste werkdag na de 21e van deze maand.
Hebt u meer tijd nodig om hier bedrijfskritieke informatie uit te halen of
[verweerder] gerelateerde informatie over te zetten naar een cloudomgeving?
Maak dan een ICT ticket aan om deze verwijdering van gegevens uit te stellen (voor
maximum 3 maanden).”(nadruk in origineel)(vrije vertaling door de
Geschillenkamer) . 21
De Geschillenkamer oordeelt dat deze doelstelling (informatie uit de mailbox van een
gedeactiveerd account halen) niet valt onder het gerechtvaardigd belang van de
verweerder om een mailbox verder te verwerken na het vertrek van de klager en mogelijk
in strijd zou zijn met de Wet op de Elektronische Communicatie en op de Strafwet22. Er ligt
echter geen bewijs voor dat er effectief toegang geweest zou zijn tot de mailbox van de
klager, waardoor de Geschillenkamer oordeelt dat enige verwerking op basis van deze
tweede doelstelling niet is aangetoond.
32. Op basis van de syntheseconclusie van de verweerder stelt de Geschillenkamer vast dat
er een derde doel zou bestaan om de persoonsgegevens verder te verwerken onder het
gerechtvaardigd belang, met name inzage geven in de mailbox aan de klager na diens
vertrek: “Tot slot wordt de mailbox van de ex-medewerkers juist in deze back-upmodus
geplaatst om, naast het weergeven van een ‘out of office’-bericht na hun vertrek, via een
geijkte procedure, te kunnen voldoen aan eventuele verzoeken van ex-medewerkers
waarvoor Verweerster nog toegang zou vereisen tot de betreffende mailbox.”23 Het
beleid inzake e-mails van de verweerder, dat werd opgesteld nadat de klager een klacht
had ingediend24, verwoordt dit als volgt: “De mailbox wordt opgezet naar een shared
mailbox zodat indien echt noodzakelijk, er toegang tot de mailbox kan worden gegeven.”25
Om dit beleid te duiden geeft de verweerder twee voorbeelden: “[…] Student heeft
[verweerder] verlaten en moet nog documenten hebben uit zijn mailbox voor zijn phd. […]
21
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 34; “Below, you find a list of all payroll
colleagues and extended workers who have left [verweerder] in the past month(s). Their access to the [verweerder] systems
has been disabled already. Be aware that the accounts and all personal data (fileserver windows and unix, mailbox, onedrive)
will be effectively removed on the first workday after the 21th of this month. Do you need more time to retrieve business critical
information or to transfer [verweerder] related content to a cloud environment? Create an ICT ticket to postpone this removal
(for a maximum of 3 months).”
22
Zie hiervoor randnummer 19 van deze beslissing.
23
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 39.
24
Zie hiervoor randnummer 75 van deze beslissing.
25
Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024.
Beslissing ten gronde 101/2026 — 13/60
Medewerker heeft [verweerder] verlaten en heeft nog een belangrijke mail in zijn mailbox
staan ivm een bepaald contract, […].26 Deze derde doelstelling zit echter reeds vervat in
het recht op inzage uit artikel 15 AVG, dat kan uitgeoefend worden voor zolang de
gegevens verwerkt worden, en kan dus niet ingeroepen worden als een aparte
doelstelling door de verweerder om een verwerkingsgrond op te baseren.
33. De Geschillenkamer oordeelt dat de verweerder een gerechtvaardigd belang had om
de persoonsgegevens in de mailbox van de klager voor de duur van 1 maand verder te
verwerken teneinde de contacten van de klager te kunnen informeren dat zij niet meer
werkzaam was bij de verweerder en teneinde een nieuwe contactpersoon de
verweerder aan te kunnen reiken aan de professionele contacten van de klager.
II.3.2. Beoordeling van de rechtsgrond in fase 3
34. De Geschillenkamer stelt vast dat de verwijdering van de (persoonsgegevens in de)
mailbox na 1 maand na het einde van de samenwerking tussen de klager en de
verweerder, in casu op 1 juni 2023, niet heeft plaatsgevonden. In de conclusies erkent de
verweerder dat de mailbox niet was verwijderd.27
35. De verweerder argumenteert dat de mailbox wel was gedeactiveerd, waardoor er geen
toegang meer was tot de gegevens in de mailbox. De verweerder beschouwt de
persoonsgegevens in de gedeactiveerde mailbox als “de facto reeds ‘verwijderd’ […] daar
zij niet meer actief verwerkt worden”28.
36. De Geschillenkamer stelt echter vast dat de persoonsgegevens niet ‘de facto reeds zijn
verwijderd’:
• Ten eerste bevestigde de DPO op 24 januari 2024 aan de klager dat de mailbox nog
actief was: “ik inderdaad ook zag dat je mailbox nog actief staat want ik heb een mail
kunnen sturen. […] Blijft wel het feit dat de mailbox al geschrapt had moeten zijn […]”29.
Op 6 april 2024 stelt de DPO aan de klager voor om de mailbox offline te halen, zodat
er ook geen mails meer op zouden kunnen worden ontvangen: “Je account is
disabled, met andere woorden, er kan niemand aan en kan niet gebruikt worden maar
de mailbox staat wel nog steeds open mails te ontvangen. […] Er zijn een paar opties
26
Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024.
27
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 32.
28
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 35.
29
Bijlage 2, E-mailverkeer Klager en Verweerster van 24 januari 2024 bij stuk 18, de syntheseconclusie van [verweerder] van
27 augustus 2024.
Beslissing ten gronde 101/2026 — 14/60
[…] – We kunnen de mailbox offline halen en opslaan in een PST op een veilige locatie
zodat er niemand aan kan en ook geen mails op toe komen”30.
• Ten tweede stelt de DPO in zijn schrijven aan de GBA van 2 mei 202431 dat de mailbox
sinds midden februari 2024 zou gedeactiveerd zijn, waardoor niemand toegang zou
hebben maar waardoor de mailbox wel nog e-mails zou kunnen ontvangen.
• Ten derde heeft de verweerder naar aanleiding van het verzoek tot inzage van de
klager een nieuwe licentie genomen op de mailbox, zodat deze niet verwijderd zou
worden door het nieuwe systeem dat was ingevoerd. In de syntheseconclusie van de
verweerder van 27 augustus 2024 staat dat deze licentie ‘onlangs’ werd gekoppeld
aan de mailbox van de klager.32
• Ten vierde staat in de management processen van 2016 in de stukken te lezen dat
een ex-medewerker geen enkele toegang meer heeft tot de account, maar dat de
mailbox wel nog zichtbaar is in de ‘Active Directory’ van de verweerder:
“Deactivering van de account
Deactivering van een account zal de volgende gevolgen hebben:
• De (gewezen) medewerker kan niet inloggen met deze account
• Alle office365 licenties zijn ingetrokken
• De (gewezen) medewerker heeft geen toegang meer tot de mailbox van deze
account
• De (gewezen) medewerker heeft geen toegang meer tot gegevens van deze
account
• De (gewezen) medewerker kan geen applicaties gebruiken die op de
ActiveDirectory/OpenLDAP van de verweerder staan
• De (gewezen) medewerker is geen lid meer van
veiligheidsgroepen/distributielijsten. Ook voor deze die gebruik maken van
de account die gebaseerd is op naam.
30
Bijlage 12, E-mailverkeer Klager en Verweerster van 6 april 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
31
Bijlage 1B, bijlage bij e-mail van 2 mei 2024 gericht aan de Gegevensbeschermingsautoriteit bij stuk 18, de syntheseconclusie
van [verweerder] van 27 augustus 2024, p. 1 onder feitenrelaas.
32
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 50.
Beslissing ten gronde 101/2026 — 15/60
De account van de (gewezen) medewerker is gedeactiveerd, maar zal zichtbaar
zijn in de ActiveDirectory tot verwijdering van de account.”33 (nadruk en vrije
vertaling door de Geschillenkamer).
37. De Geschillenkamer oordeelt dat het beperken van de toegang tot persoonsgegevens
niet gelijk kan gesteld worden aan het verwijderen van persoonsgegevens. Zolang de
gegevens nog bewaard worden en nog toegankelijk zijn, al is de toegang zeer beperkt,
worden ze nog verwerkt, blijven er bijgevolg risico’s bestaan en moet de
verwerkingsverantwoordelijke kunnen aantonen dat alle principes van de
gegevensbescherming zijn gerespecteerd, waaronder het hebben en kunnen aantonen
van een rechtsgrond.
38. De Geschillenkamer merkt op dat de door de verweerder vermelde ENISA publicatie van
18 oktober 2011 aangaand ‘the right to be forgotten’34 eerder een probleemstelling rond
het recht op gegevenswissing betreft, waarbij de focus op persoonsgegevens in een open
systeem, zoals het internet, ligt. Deze publicatie spreekt ook van gesloten systemen, maar
dan in die zin dat het makkelijker is om gegevens met zekerheid te wissen in dergelijke
systemen aangezien er meer controle mogelijk is. Het systeem van de verweerder kan
beschouwd worden als een dergelijk gesloten systeem. Het beperken van de toegang tot
persoonsgegevens wordt in deze publicatie niet gelijkgesteld met het verwijderen van
gegevens, wat de verweerder wel had moeten doen. Ook de door de verweerder vermelde
aanbeveling van het Comité van Ministers van de Raad van Europa35 handelt over
maatregelen die moeten worden genomen op het moment van vertrek van de werknemer
en is niet dienstig in dit geval. Deze aanbeveling zegt niets over het uiteindelijke
verwijderen van de mailbox, noch over een eventuele rechtsgrond voor verwerking na het
vertrek van de werknemer. Daarentegen zegt deze aanbeveling wel dat de verweerder
voldoende maatregelen moet nemen om de bedrijfsnoodzakelijke informatie te
verwijderen uit de mailbox vóór het vertrek van de klager.
33
Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024, p. 6: Account inactivation
Inactivation of an account will have the following consequences:
• The (former) employee cannot login with this account.
• All office365 licenses are revoked.
• The (former) employee cannot access the mailbox of this account.
• The (former) employee cannot access data […] of this account
• The (former) employee cannot use applications which authenticate to [verweerder]’s ActiveDirectory/OpenLDAP
• The (former) employee is no longer member of Security groups/Distributionlists. Also, for which ‘account name
based’ membership is used.
The account of the (former) employee is inactivated, but will be visible in ActiveDirectory until Account removal.”
34
ENISA, The right to be forgotten – between expectations and practice van 18 oktober 2011.
35
Committee of Ministers, Recommendation CM/Rec(2015)5 of the Committee of Ministers to member States on the
processing of personal data in the context of employment van 1 april 2015.
Beslissing ten gronde 101/2026 — 16/60
39. Alhoewel de verweerder geen enkele afweging in het kader van een gerechtvaardigd
belang overmaakt en stelt dat de verdere verwerking een menselijke fout betrof en niet
de bedoeling was, zal de Geschillenkamer alsnog deze afweging maken om na te gaan of
er eventueel een gerechtvaardigd belang zou kunnen zijn.
40. Overeenkomstig de rechtspraak van het Hof van Justitie36 dient de verweerder aan te
tonen dat:
a. De belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen
worden erkend (de “doeltoets”);
b. De beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen
(de “noodzakelijkheidstoets”);
c. De afweging van die belangen ten opzichte van de belangen, fundamentele
vrijheden en grondrechten van de klager doorweegt in het voordeel van de
verweerder of van een derde (de “afwegingstoets”).
41. Aangaande de doeltoets lijkt het enige doel waarvoor de mailbox van de klager langer dan
één maand verwerkt zou kunnen worden te liggen in het informeren van de contacten van
de klager dat zij niet meer werkzaam is bij de verweerder. De Geschillenkamer heeft
hierboven reeds geoordeeld dat deze verwerking niet rechtmatig zou kunnen steunen op
een gerechtvaardigd belang, zijnde het verlenen van inzage in de mailbox aan derden in
het kader van het recupereren van bedrijfsgevoelige informatie of aan de klager zelf.37
42. Aangaande de noodzakelijkheidstoets stelt de Geschillenkamer vast dat de out of office
berichten die dienden om deze contacten op de hoogte te brengen, niet toereikend waren
voor de externe contacten van de klager aangezien dit bericht er enkel van uitging dat de
klager slechts sporadisch zou kunnen reageren op e-mails, zonder dat het duidelijk werd
gemaakt dat de klager niet meer werkte voor de verweerder. Er werd in geen van beide
out of office berichten gewag gemaakt van een andere medewerker bij de verweerder die
de dossiers van de klager had overgenomen of opvolgde. Aangezien de verwerking niet
toereikend was voor het nagestreefde doel, kon de verwerking ook niet noodzakelijk
geweest zijn voor dit doel. Het gebrek aan noodzaak op zich is voldoende om te oordelen
dat deze verwerking niet kan gebaseerd worden op het gerechtvaardigd belang van de
verweerder.
43. Ten overvloede stelt de Geschillenkamer vast aangaande de afwegingstoets dat de
klager niet op de hoogte was van deze voortdurende verwerking onder een nieuwe
rechtsgrond met een ander doel. Uit de stukken bleek ook dat de klager reeds langer in
36
HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023,
Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74.
37
Zie hiervoor randnummer 31 en 32 van deze beslissing.
Beslissing ten gronde 101/2026 — 17/60
een beperkt regime werkzaam was bij de verweerder38, waardoor het verder verwerken
van haar persoonsgegevens in haar mailbox nadat zij uiteindelijk was vertrokken buiten
de redelijke verwachtingen van de klager vielen, zeker indien deze verwerking
voortduurde in de tijd: “Concluante ging ervan uit dat haar account na haar vertrek
onmiddellijk zou worden verwijderd en dat de afzender een standaard non-Delivery
Report of een bounce-back bericht zou ontvangen waarin duidelijk werd vermeld dat het
account was verwijderd.”39 Aangezien de klager geen weet had van deze voortdurende
verwerking, deze voortdurende verwerking niet verwachtte en niet op de hoogte werd
gebracht van deze voortdurende verwerking, had de klager geen enkele controle meer op
haar persoonsgegevens. De Geschillenkamer oordeelt dat het voortdurend verder
verwerken van deze persoonsgegevens om redenen van continuïteit in de bedrijfsvoering
niet in verhouding is met het totale gebrek van enige controle op dit verder verwerken.
44. Op basis van het gestelde in randnummers 41-43 oordeelt de Geschillenkamer dat de
verweerder de voortdurende verwerking van persoonsgegevens in de mailbox van de
klager niet kon baseren op zijn gerechtvaardigd belang.
45. De Geschillenkamer oordeelt dat de verweerder de persoonsgegevens van de klager
en haar contacten in haar professionele mailbox onrechtmatig heeft verwerkt nadat er
niet langer een gerechtvaardigd belang bestond om deze persoonsgegevens verder te
verwerken , in casu na 1 juni 2023, en dus een inbreuk heeft gepleegd op artikel 5.1.a
AVG juncto artikel 6.1 AVG.
46. De verweerder argumenteert dat na het verzoek tot inzage van de klager, de verweerder
opnieuw een gerechtvaardigd belang had om de mailbox te bewaren zonder deze te
verwijderen. De Geschillenkamer benadrukt dat een dergelijk argument het eerdere
gebrek aan een rechtsgrond onmogelijk kan rechtvaardigen, aangezien de klacht en het
verzoek tot inzage er net kwamen omdat de mailbox niet tijdig was verwijderd.
Ten overvloede benadrukt de Geschillenkamer dat de mailbox intact werd bewaard,
terwijl er andere technische mogelijkheden bestaan om de inhoud van de mailbox veilig te
bewaren, zonder dat deze actief moet blijven. De verweerder heeft hiervoor zelf een
voorstel gedaan in zijn mail van 6 april 2024: “[…] maar de mailbox staat wel nog steeds
open om mails te ontvangen. Dit is zeker niet ideaal en zouden we graag anders zien maar
niet zonder jou (sic) input. Er zijn een paar opties die we kunnen doen om deze scheve
situatie toch iets te verbeteren: […] We kunnen de mailbox offline halen en opslaan in een
PST op een veilige locatie zodat er niemand aan kan en ook geen mails op toe komen
38
Stuk 16, Conclusies + Stukken klager van 2 augustus 2024, randnummer 1.
39
Ibid.
Beslissing ten gronde 101/2026 — 18/60
[…]”40. De Geschillenkamer stelt vast dat de verweerder er niet voor kiest deze meest
veilige optie meteen te gebruiken wanneer hij vaststelt dat er iets is fout gelopen. Met
deze technische maatregel had hij de verwerking van de persoonsgegevens kunnen
beperken in het kader van het nieuwe doel (inzage verlenen aan de klager) en de nieuwe
rechtsgrond (gerechtvaardigd belang van de verweerder gezien deze lopende procedure).
Het is niet de verantwoordelijkheid van de ex-medewerker, in casu de klager, om hierover
te beslissen, deze beslissing ligt bij de verwerkingsverantwoordelijke.
II.4. Schending van artikel 5.1.b), artikel 5.1.c) en artikel 5.1.e) van de AVG vanwege een
schending van het principe van doelbinding in combinatie met dataminimalisatie en
opslagbeperking van de persoonsgegevens in de mailbox van de klager na 1 maand na
het vertrek van de klager
47. Gezien deze principes werden beoordeeld in combinatie met de beoordeling van de
andere vermeende inbreuken, zal de Geschillenkamer niet expliciet ingaan op deze
vermeende schending. De argumenten van de partijen aangaande deze vermeende
schending worden meegenomen in de beoordeling van de andere vermeende
schendingen.
II.5. Schending van de artikelen 12 en 13 AVG vanwege het niet verstrekken van de nodige
informatie aangaande de verwerking van persoonsgegevens in de mailbox van de
klager na 1 maand na het vertrek van de klager
48. Het vertrek van een medewerker uit een organisatie is een significante wijziging in de
verwerking van de persoonsgegevens van deze medewerker en van zijn contacten. Ten
eerste wijzigt het verwerkingsdoel en de verwerkingsgrond, ten tweede komen de e-
mails niet meer toe bij de bestemmeling van de e-mail, zijnde de ex-medewerker en ten
derde verliest de betrokkene alle controle over zijn persoonsgegevens die zijn
opgeslagen in de mailbox op het domein van de werkgever. Conform de artikelen 12 en 13
AVG moeten de ex-medewerker en zijn contacten van deze gewijzigde verwerkingen op
de hoogte gebracht worden.
49. Bij haar vertrek moest de klager dus op de hoogte gesteld worden dat haar
persoonsgegevens in haar mailbox (verder) verwerkt worden met een ander doel, op basis
van een andere rechtsgrond en met een beperkte bewaarperiode. Deze transparantie
moet haar in staat stellen eventuele maatregelen te nemen ter controle van deze
gegevens en verwerking, ook al verliest ze elke directe controle over deze
persoonsgegevens.
40
Bijlage 12, E-mailverkeer Klager en Verweerster van 6 apirl 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
Beslissing ten gronde 101/2026 — 19/60
50. Ook de contacten van de klager, die menen hun eigen persoonsgegevens met de klager
te delen, moeten op de hoogte gesteld worden dat de klager geen toegang meer heeft tot
haar mailbox en dat hun persoonsgegevens dus niet meer toekomen bij de klager, zodat
deze contacten kunnen stoppen met het delen van hun persoonsgegevens via dit kanaal
en eventuele rechten op deze persoonsgegevens kunnen uitoefenen.
51. De klager stelt dat zij niet voldoende informatie had aangaande de verwerking van haar
persoonsgegevens in de mailbox na haar vertrek, en dat er evenmin een procedure
bestond om na haar vertrek alsnog toegang te krijgen tot haar mailbox. De klager stelt
eveneens nooit het standaardbeleid inzake uitdiensttreding van de verweerder te hebben
ontvangen, noch begeleid te zijn geweest in haar vertrek bij de verweerder. De klager
meent daardoor dat de verweerder haar privacy-beleid enkel theoretisch heeft benaderd,
maar niet heeft toegepast in de praktijk.
52. De verweerder wijst op zijn privacy-beleid, waarvan de privacyverklaring en verschillende
transparantiedocumenten deel uitmaken. Eén van deze transparantiedocumenten
betreft het standaardbeleid inzake uitdiensttreding met een bijgevoegde checklist. In
deze checklist staat dat de klager zelf een out-of-office bericht had moeten instellen
aangezien deze verantwoordelijkheid naar de vertrekkende medewerker was
gedelegeerd om redenen van schaalgrootte en accuraatheid. Daarenboven beschouwt de
verweerder het deactiveren41 van de mailbox na het vertrek van de klager als
gelijkwaardig aan het verwijderen van de persoonsgegevens, waardoor geen verdere
notificaties moesten worden gedaan aan de klager.
53. Tenslotte heeft de DPO op de vragen en bedenkingen van de klager geantwoord en heeft
hij de klager aangemoedigd om hem te contacteren indien er nog vragen of problemen
zouden zijn, waar de klager niet op in is gegaan.
54. De verweerder is dan ook van mening dat een eenmalige, menselijke fout, waardoor de
mailbox niet tijdig gewist was, geen afbreuk doet aan zijn algemeen AVG-conform beleid,
waaronder de transparantie van de verwerking.
II.5.1. Beoordeling van de transparantieverplichting in fase 2
55. De Geschillenkamer heeft reeds geoordeeld dat het deactiveren van de mailbox van de
klager geen de facto verwijdering van persoonsgegevens van de klager betreft42. Dus
bestond er wel degelijk een transparantieplicht aangaande de verwerking van de
persoonsgegevens die aanwezig waren en nog toekwamen in de mailbox van de klager.
41
De verweerder spreekt doorheen zijn conclusies van deactiveren en in back up modus plaatsen, maar stelt zelf dat beide
wezenlijk hetzelfde betekenen: “De mailbox van Klager verkeerde na deactivatie dan ook in een soort ‘back-up modus.” in Stuk
18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 35.
42
Zie hiervoor randnummers 36-37 van deze beslissing.
Beslissing ten gronde 101/2026 — 20/60
56. Ondanks de verschillende stukken die de verweerder heeft toegevoegd aan het dossier,
stelt de Geschillenkamer vast dat nergens is terug te vinden dat het afsluiten van de
mailbox, de gewijzigde rechtsgrond en het gewijzigde doel van de verwerking en de
bewaartermijn van de persoonsgegevens werden meegedeeld aan de klager. De
verweerder toont evenmin aan dat deze informatie beschikbaar was op zijn website, op
zijn intranet of in zijn privacy verklaring. De enige twee stukken die een dergelijke
mededeling benaderen, zijn stuk 17 (offboarding checklist) en stuk 26 (Kennisartikel via
[verweerder] Employee Center). Beide documenten geven de klager de opdracht aan ICT
te melden dat ze de verweerder zou verlaten en zelf een out-of-office bericht in te stellen,
maar was verder niet transparant over hoe haar persoonsgegevens in de mailbox verder
verwerkt of verwijderd zouden worden.
57. Aangaande de transparantie naar derden toe, stelt de Geschillenkamer vast dat de
volgende out-of-office berichten waren ingesteld:
• Naar interne correspondenten: “Dit e-mail adres is niet langer in gebruik. Je kan
[klager] contacteren op [XXX].”(vrije vertaling Geschillenkamer).
• Naar externe correspondenten: “Beste, dank je wel voor je bericht. Ik ben momenteel
offline met zeer beperkte toegang tot het internet. Gelieve rekening te houden met
enige vertraging in mijn antwoorden. Vriendelijke groeten, [klager].”(vrije vertaling
Geschillenkamer). 43
58. Het bericht voor de interne collega’s informeerde voldoende dat de klager geen deel meer
uitmaakte van de verweerder, zodat de correspondenten op de hoogte waren dat hun
persoonsgegevens niet meer toekwamen bij de klager. Gezien het interne collega’s van
dezelfde organisatie betrof, zou men ervan uit kunnen gaan dat zij toegang hadden tot
voldoende informatie om een andere correspondent bij de verweerder te kunnen
aanspreken voor hun communicatie.
59. Het bericht voor de externe collega’s laat echter uitschijnen dat de klager slechts tijdelijk
afwezig of moeilijk bereikbaar was en maakt dus niet duidelijk aan derden dat hun
correspondentie en hun persoonsgegevens niet meer door de klager zouden worden
verwerkt. De klager toont dit in de klacht ook aan met enkele voorbeelden van
communicatie waarin haar correspondent in het ongewisse bleef of de communicatie was
toegekomen bij de klager of niet.44
43
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 8: •
Naar interne correspondenten: “This email address is no longer in use. You can contact [Klager] on [XXX]”
Naar externe correspondenten: “Dear, thanks for your email. I am currently offline with very limited access to internet. Please
accept some delay in my reply. Regards, [klager]”
44
Bijlage 3 en 4 bij stuk 2, Klachtenformulier van 23 april 2024.
Beslissing ten gronde 101/2026 — 21/60
60. Alhoewel de verweerder in zijn beleid en in zijn conclusies de verantwoordelijkheid voor
een goede communicatie in de vorm van een out-of-office bericht aan de klager
delegeert, is de verweerder de verwerkingsverantwoordelijke en dus ook
verantwoordelijk voor deze transparantie. Ook al vraagt de verweerder in zijn beleid aan
de klager om een conform out-of-office bericht in te stellen, ontslaat dit de verweerder
niet van zijn verantwoordelijkheid om voldoende transparant te zijn naar derden
aangaande de verwerking van hun persoonsgegevens die via e-mail in de mailbox van de
klager terecht komen na diens vertrek, niet in het minst omdat de klager geen enkele
controle meer heeft op deze persoonsgegevens die zich op de servers onder controle van
de verweerder bevinden. De Geschillenkamer stelt vast dat de verweerder geen enkele
controle heeft uitgevoerd op de beide out-of-office berichten van de klager en slechts na
de e-mail van de klager van 24 januari 2024, zijnde 7 maanden na het vertrek van de
klager, heeft vastgesteld dat deze transparantieplicht naar derden, extern aan de
organisatie, niet was voldaan.
61. De Geschillenkamer oordeelt dat de verweerder niet heeft voldaan aan zijn
transparantieplicht ten aanzien van de verdere verwerking van de persoonsgegevens
van de klager en van haar contacten die extern zijn aan de organisatie na het vertrek
van klager bij de verweerder en daarmee een inbreuk heeft gepleegd op de artikelen 12
en 13 AVG.
62. De Geschillenkamer stelt vast dat de maatregelen ter transparantie naar de contacten
van de klager, met name het instellen van een out-of-office bericht op de gedeactiveerde
mailbox van de klager, niet zijn opgenomen in de managementprocessen, terwijl ze er wel
degelijk deel van uitmaken. Daarenboven laat de stand van de techniek toe deze
maatregel te automatiseren om menselijke fouten te voorkomen en/of een technische
controle op deze maatregel in te stellen om eventuele menselijke fouten vast te stellen
en te corrigeren. In dat opzicht stelt de Geschillenkamer vast dat er wel een automatische
mail vertrekt naar de managers van de verweerder om te melden dat er accounts zullen
worden verwijderd zodat zij een uitzondering op deze verwijdering kunnen vragen.45
63. Met gelijkaardige technische maatregelen had de verweerder het kennisdocument en de
checklist met de gepaste technische maatregelen ook automatisch naar de klager
kunnen verzenden voor haar vertrek.
II.5.2. Beoordeling van de transparantieplicht in fase 3
64. De Geschillenkamer stelt vast dat de verwerking van de persoonsgegevens van de klager
na de termijn van 1 maand na haar vertrek niet paste binnen het beleid aangaande de
45
Zie hiervoor bullet nummer 6 van randnummer 70 van deze beslissing.
Beslissing ten gronde 101/2026 — 22/60
verwerking van persoonsgegevens in de mailbox van de klager. De verweerder verwijst
hiervoor meermaals naar een eenmalige menselijke fout, waardoor fase 2 werd verlengd,
zonder ooit de persoonsgegevens te wissen. Het probleem van transparantie bevindt zich
in dit dossier dus in fase 2, waardoor de Geschillenkamer niet zal ingaan op de
transparantie aangaande fase 3.
II.6. Beoordeling van de schending van artikel 24 AVG
65. Artikel 24 AVG acht het de verantwoordelijkheid van de verwerkingsverantwoordelijke
om voldoende technische en organisatorische maatregelen te nemen teneinde de
overeenstemming tussen de verwerking van persoonsgegevens en de principes van de
AVG te waarborgen en aan te tonen. Overweging 39 AVG verduidelijkt: ‘Om ervoor te
zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de
verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of
voor een periodieke toetsing ervan’.
66. De klager stelt dat de verweerder niet voldoende technische en organisatorische
maatregelen heeft genomen om haar mailbox correct te beheren en af te sluiten na haar
vertrek, zeker in het licht van de huidige stand van de technologie. De klager wijst vooral
op het feit dat dit beheer nog handmatig moest gebeuren, waardoor er een onnodig risico
op menselijke fouten ontstond. De klager is dan ook van mening dat het herzien van deze
praktijk veel eerder had moeten worden ondernomen.
67. De verweerder wijst op zijn standaardbeleid en stelt dat er voldoende technische en
organisatorische maatregelen bestaan aangaande het behandelen van de mailboxen van
zijn werknemers. De problemen inzake de mailbox van de klager waarvan sprake in haar
klacht betreffen een eenmalige menselijke fout. De verweerder stelt dat er reeds een
veranderingstraject was ingezet vóór de klacht. Dit veranderingstraject zou het
schrappen van gedeactiveerde accounts automatiseren, zodat deze fout niet meer zou
kunnen gebeuren. Een dergelijk veranderingstraject is echter complex en duur, aldus
verweerder, waardoor dit tijd neemt om te verwezenlijken. Verder wijst de verweerder op
de deactivering van de mailbox en het wegnemen van de licentie erop, waardoor niemand
nog toegang had tot deze mailbox.
68. De Geschillenkamer stelt vast dat er 65 personen op de lijst van vertrokken werknemers
van 1 juni 2023 stonden die de organisatie hadden verlaten in mei 2023.46 De verweerder
stelt zelf dat hij een grote organisatie is waar per jaar ongeveer duizend personen
46
Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van
[verweerder] van 27 augustus 2024.
Beslissing ten gronde 101/2026 — 23/60
toekomen en vertrekken47. Aangaande dit verloop van personeel stelt de verweerder zelf
in zijn conclusie dat:
• enerzijds het “voor een bedrijf zoals dat van Verweerster immers niet mogelijk [is] om
voor elke vertrekkende medewerkers (sic) een out-of-office bericht in te stellen. […]
Aangezien dit bericht binnen de Verweerster zo uiteenlopend kan zijn […] wordt het
opmaken van de out-of-office gedelegeerd aan de vertrekkende medewerker zelf.”48
en
• anderzijds het “(e-mail) account alsook de corresponderende mailbox binnen de
Microsoft-omgeving van Verweerster spreekwoordelijk naar het ‘vuilbakje’ gesleept
[wordt].”49
69. Gezien de hoeveelheid en diversiteit aan persoonsgegevens in een mailbox van een
medewerker, zoals hierboven50 reeds aangehaald, zijn de risico’s aangaande de
verwerking van de persoonsgegevens in deze mailboxen, waaronder deze van de klager
en haar contacten, aanzienlijk. Het afsluiten van dergelijke mailboxen en
communicatiemiddelen vergt bijgevolg voldoende technische en organisatorische
maatregelen ter bescherming van deze persoonsgegevens. De stand van de techniek laat
reeds geruime tijd toe deze maatregelen te automatiseren en/of sluitend te controleren,
ook indien het proces nog handmatig zou verlopen.
70. Op basis van de informatie in het dossier stelt de Geschillenkamer vast dat het afsluiten
van de mailboxen van vertrekkende medewerkers voor de verweerder een zeer vaak
terugkerende taak is die reeds volgens een bepaalde, gestandaardiseerde procedure lijkt
te verlopen. Op basis van de management processen51 van de verweerder in de stukken
stelt de Geschillenkamer vast dat het proces als volgt verloopt:
• op basis van informatie van de human resources afdeling worden de te deactiveren
accounts na controle automatisch klaargezet voor deactivatie op de juiste dag;
• alle nodige informatie van de te deactiveren accounts wordt automatisch
verzameld ter voorbereiding van het deactiveren;
• elke te deactiveren account wordt automatisch bijgeschreven op de lijst van te
deactiveren accounts, waarna de lijst automatisch wordt verzonden naar de
helpdesk;
47
Stuk 34, PV Hoorzitting van 3 december 2025, p. 3.
48
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 59.
49
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 31.
50
Zie hiervoor randnummer 11 van deze beslissing.
51
Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
Beslissing ten gronde 101/2026 — 24/60
• op de juiste dag wordt de account handmatig gedeactiveerd door de ICT-tweede
lijn dienst;
• op de eerste dag van elke maand wordt automatisch een overzicht gemaakt van
gedeactiveerde accounts;
• deze lijst van gedeactiveerde accounts wordt automatisch verzonden naar een
bestemmelingenlijst van de verweerder om de managers te melden dat de
accounts zullen worden verwijderd op het einde van de maand, tenzij er een
uitzondering wordt gevraagd;
• op basis van een ICT-ticket kan deze uitzondering aangevraagd worden, waardoor
de account op ‘niet verwijderen’ wordt ingesteld;
• na controle door de ICT-tweede lijn dienst wordt de lijst van te verwijderen
accounts door de medewerker verzonden naar de ICT-infra dienst;
• de ICT-infra dienst verwijdert handmatig alle te verwijderen accounts en zendt een
lijst met effectief verwijderde accounts terug naar de ICT-tweede lijn dienst;
• de ICT-tweede lijn dienst zet de account op ‘verwijderd’.
71. Aangaande de mailbox van de klager stelt de Geschillenkamer vast dat haar account wel
degelijk op de lijst van te verwijderen mailboxen van de ICT-tweede lijn dienst stond en
dat deze lijst wel degelijk was verzonden naar de ICT-infra dienst52. Uit de feiten blijkt dat
de mailbox echter niet is verwijderd.
72. Ten eerste stelt de Geschillenkamer vast dat het effectief verwijderen van de mailbox niet
was geautomatiseerd terwijl het wel een typisch proces is dat, gezien de stand van de
techniek, makkelijk kan geautomatiseerd worden. Ten tweede stelt de Geschillenkamer
vast dat er wel een controlemaatregel bestond op het verwijderen van de mailbox, met
name het terugzenden van de lijst van effectief verwijderde mailboxen. Deze maatregel
werd echter duidelijk niet opgevolgd. Daarenboven was er geen enkele technische
controle op de uitvoering van deze maatregel, terwijl dit wel mogelijk was, bijvoorbeeld
door het technisch vergelijken van de lijst van te verwijderen mailboxen met de lijst van
de verwijderde mailboxen om een alarm te geven wanneer deze twee lijsten niet overeen
komen.
73. Aangezien er geen controle is op de verwijdering van de mailboxen en aangezien deze
processen niet automatisch verliepen, kan de verweerder op geen enkele manier
aantonen, conform de artikelen 5.2 en 24 AVG, dat de klager effectief de enige was
waarvoor het handmatige proces was misgelopen. In dat kader stelde de Geschillenkamer
52
Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van
[verweerder] van 27 augustus 2024.
Beslissing ten gronde 101/2026 — 25/60
aan de hand van de lijst van vertrekkende medewerkers van mei 2023 vast dat er een
medewerker opstond die volgens de data de organisatie reeds op 4 oktober 2022 had
verlaten, maar waarvan op 1 juni 2023 pas de verwijdering van de mailbox werd
doorgegeven aan de ICT-dienst.53
74. De verweerder wijst erop dat hij een verbetertraject had opgestart, waarbij een
aanbesteding werd uitgeschreven midden 2022. In de conclusies stelt de verweerder
echter dat enkel de laatste stap van het proces volledig geautomatiseerd zou verlopen en
dit pas vanaf september 2024.54 De Geschillenkamer stelt vast dat dit verbetertraject
geen soelaas bood op het moment van het vertrek van de klager, aangezien de
procedures nog steeds handmatig verliepen. Ondanks het feit dat de nood aan nieuwe
processen reeds in juni 2022 was erkend, werd er op dat moment niet overgegaan op het
effectief controleren van de handmatige processen, wat echter wel was voorzien in de
managementprocessen.
75. De verweerder wijst in dit verband op zijn standaardbeleid inzake mailboxen, dat is
bijgevoegd in de stukken. Het standaardbeleid dat de verweerder voorlegt is echter
opgesteld na het vertrek van de klager. Het beleid spreekt immers van een oud en een
nieuw proces55 terwijl het nieuwe proces maar ten vroegste in december 202356 in voege
was, met name 7 maanden na het vertrek van de klager. De verweerder legt geen ander
beleid dan de managementprocessen voor dat geldig was op het moment van de klacht.
76. De managementprocessen57 dateren van 31 mei 2016 en zijn dus nooit aangepast sinds
de invoering van de AVG en de toepassing ervan door de Geschillenkamer aangaande het
afsluiten van de mailboxen van vertrokken medewerkers, waarvan de verweerder op de
hoogte had moeten zijn. Uit deze managementprocessen leidt de Geschillenkamer af dat
de procedure die geldig was ten tijde van het vertrek van de klager nog steeds deze
procedure van 2016 was en dat de verweerder bezwaarlijk kan spreken van “Verweerster
(her)evalueert en analyseert immers regelmatig haar processen om, rekening houdend
met de nieuwe stand van de techniek en de uitvoeringskosten, deze te optimaliseren”58
of van “Deze proactieve benadering [die] onderstreept dat Verweerster haar
53
Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van
[verweerder] van 27 augustus 2024.
54
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 46.
55
Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024: “Dit
proces is geldig voor de nieuwe en de oude manier van werken”.
56
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 12.
57
Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
58
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 74.
Beslissing ten gronde 101/2026 — 26/60
verantwoordelijkheden serieus neemt en streeft naar voortdurende naleving van de
AVG.”59
77. De Geschillenkamer oordeelt dat de verweerder onvoldoende technische en
organisatorische maatregelen had genomen of aantoont genomen te hebben om de
mailbox van de klager te wissen nadat er geen rechtsgrond meer bestond om de
persoonsgegevens in de mailbox verder te verwerken en daarmee een inbreuk heeft
gepleegd op artikel 24 AVG.
78. Het feit dat de verweerder in een verbetertraject zat om deze tekortkoming aan te
passen, zal door de Geschillenkamer mee worden genomen bij de beoordeling van de
gepaste corrigerende maatregelen en sancties.
II.7. Schending van de artikelen 12 en 15 AVG
79. De klager stelt dat de verweerder geen inzage heeft verleend in haar mailbox, die nog
steeds niet was verwijderd op het moment van het verzoek, noch in de gevraagde
loggegevens van de mailbox. De door de verweerder voorgestelde oplossing is zeer
onevenwichtig aangezien de klager maar zeer beperkte toegang zou krijgen tot de
persoonsgegevens en dit slechts na een uitgebreide filtering door en onder toezicht van
de verweerder. Het was voor de klager niet duidelijk of zij persoonsgegevens uit de
mailbox zou mogen kopiëren, wie de neutrale persoon zou zijn die hierbij aanwezig zou zijn,
of deze neutrale persoon ook de inhoud van de privé-mails zou kunnen bekijken en hoe de
voorafgaande filtering zou worden uitgevoerd. De rechtvaardiging voor deze praktijk zou
ook te algemeen zijn gesteund op het ‘beschermen van bedrijfsgeheimen en
bedrijfsgevoelige informatie’.
80. De verweerder stelt dat zijn DPO tijdig en adequaat heeft gereageerd op het verzoek tot
inzage, zonder daarbij andere wetsbepalingen van de AVG of daarbuiten te negeren. De
verweerder verwijst daarbij naar bedrijfsgevoelige gegevens die verbonden zijn aan zijn
activiteiten en waartoe de klager ook toegang had tijdens de uitoefening van haar functie.
De verweerder wou dan ook enkel bij het opslaan van gegevens uit de mailbox een
filtering uitvoeren zodat de rechten en vrijheden van derden en het zakengeheim van de
verweerder gegarandeerd zouden kunnen worden. Om dit te verwezenlijken, deed de
DPO een evenwichtig voorstel door de klager uit te nodigen in de kantoren van de
verweerder en enkel toe te zien op de gegevens die zouden worden gekopieerd uit de
mailbox. De klager heeft de verweerder niet de kans gegeven deze handelswijze toe te
lichten, en te preciseren wie zou worden ingeschakeld als neutraal persoon en hoe het
toezicht zou plaatsvinden.
59
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 65.
Beslissing ten gronde 101/2026 — 27/60
81. De Geschillenkamer stelt vast dat de klager de verweerder contacteerde op 24 januari
2024 om te melden dat haar e-mail adres nog actief was, waarbij zij ook inzage en een
kopie vroeg in haar persoonsgegevens en in haar mailbox voor de laatste 9 maanden sinds
haar vertrek. Op 20 februari 2024 stelde de DPO volgende werkwijze voor teneinde het
verzoek tot inzage in te kunnen willigen:
“In aanwezigheid van een neutraal persoon krijgt u toegang tot de betreffende
mailbox, dit gebeurt vanuit een [verweerder] kantoor en met behulp van een
[verweerder] apparaat. De beschikbare mails moeten worden gefilterd op mails die
na uw vertrek zijn ontvangen en op externe afzenders, aangezien alle interne
contacten een correcte out-of-office mail ontvingen. Op deze manier worden de
bedrijfsgeheimen van [verweerder] gerespecteerd en u toch de mogelijkheid
geboden om uw persoonlijke mails te filteren en desgewenst op te slaan. […]”60
Op 6 maart 2024 herhaalde de DPO zijn voorstel tot inzage in de mailbox van de klager en
legde nu een tijdslimiet op aan de klager:
“Daarnaast blijft het voorstel met betrekking tot de inzage van uw
persoonsgegevens, zoals uiteengezet in onze vorige communicatie, uiteraard nog
steeds geldig. Indien u alsnog wenst in te gaan op dit voorstel, dan vernemen we dit
graag van u binnen de veertien (14) dagen volgend op deze e-mail. […] Indien u ons
te kennen geeft niet te willen ingaan op dit voorstel of ons geen datum
communiceert binnen de veertien (14) dagen volgend op deze e-mail, dan zal de
mailbox volledig worden afgesloten daags na uw kennisgeving dat u niet wenst in
te gaan op ons voorstel of daags na het verstrijken van voormelde termijn.”
Diezelfde dag gaf de klager initieel aan op de werkwijze voor inzage in te willen gaan, waar
ze later op de dag op terugkwam en stelde niet ter plaatse te willen komen voor inzage
maar een kopie van haar persoonsgegevens conform artikel 15.3 AVG te willen
ontvangen.
De verweerder verzond de verwerkte persoonsgegevens van de klager via e-mail op 4
april 2024, waaronder een screenshot van de activiteitenregistratie van haar mailbox en
verduidelijkte zijn positie aangaande de inzage in de mailbox zelf:
“Ter aanvulling wil ik toch nog even meegeven dat het niet ter beschikking stellen
van de mailbox niet een kwestie is van niet willen maar een kwestie is van niet
mogen
60
Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail van 20 februari 2024 om 14u48.
Beslissing ten gronde 101/2026 — 28/60
• [verweerder] kan je de volledige mailbox niet bezorgen omdat ze dan mogelijks
inbreuk maken op confidentialiteitsregels want sommige mails kunnen
daaraan onderhevig zijn
• [verweerder] kan de laatste of niet-confidentiële mails niet bezorgen omdat er
dan iemand toegang tot je mailbox moet krijgen en dat staan we ook niet toe
omwille van privacy redenen.”61
Dezelfde dag maakt de DPO een dossier over ter inzage, waarbij wordt verduidelijkt:
“De informatie die niet in dit pakket zit is de informatie die ze
• […]
• […]
• Niet kunnen geven omdat ze er niet aankunnen zoals informatie uit
mailboxen.”62
82. Op basis van deze communicatie stelt de Geschillenkamer vast dat de verweerder het
recht van inzage beperkte tot e-mails die zijn toegekomen na 1 mei 2023 en enkel die e-
mails die afkomstig waren van externe contacten. Als reden voor deze beperking werd
ingeroepen dat er enerzijds wel een correcte out-of-office boodschap was ingesteld op
de e-mails van interne collega’s en de bescherming van bedrijfsgeheimen. Enkel na deze
filtering zou de klager haar persoonlijke e-mails kunnen filteren en eventueel bewaren.
83. Aangaande de voorafgaande filter die inzage in e-mails van de interne collega’s zou
verhinderen, oordeelt de Geschillenkamer dat het al of niet correct instellen van een out-
of-office bericht geen criterium is om het recht van inzage van de klager te beperken,
temeer omdat dit out-of-office bericht een verantwoordelijkheid van de verweerder
betreft.
84. Aangaande de filter die inzage in e-mails voor het vertrek van de klager bij de verweerder
zou verhinderen, oordeelt de Geschillenkamer dat het tijdstip van het ontvangen of
verwerken van de persoonsgegevens geen criterium is om het recht van inzage van de
klager te beperken. De persoonsgegevens zitten nog steeds in de mailbox en worden dus
nog steeds verwerkt, waardoor ze dus nog steeds onderwerp kunnen zijn van een verzoek
tot inzage. De Geschillenkamer stelt echter vast dat de klager enkel inzage vroeg in haar
persoonsgegevens in de mailbox voor mails die de laatste negen maanden na haar vertrek
zijn ontvangen, waardoor deze filter van de verweerder aanvaardbaar is.
61
Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail 1 van 4 april 2024 om 15u38.
62
Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail 2 van 4 april 2024 om 15u38.
Beslissing ten gronde 101/2026 — 29/60
85. Aangaande de filter omwille van het zakengeheim of het intellectueel eigendom van de
verweerder, zoals gesteld in overweging 63 AVG, oordeelt de Geschillenkamer dat deze
filter wel degelijk een criterium uitmaakt om het recht van inzage van de klager te
beperken. In dat kader stelt de Geschillenkamer op basis van de hoorzitting vast dat de
verweerder een classificatiesysteem hanteert dat de data opdeelt in ‘public’, ‘restricted’,
‘confidential’ en ‘stricly confidential’ data en dat de titel van de e-mail voldoende zou zijn
om uit te maken of de e-mail een project behandelde dat moest beschermd worden.63 Op
basis van deze indeling had de verweerder zonder risico voor zijn zakengeheimen in een
eerste stap samen met de klager alle mails op metadata kunnen overlopen, om dan de
bedrijfsgevoelige data eruit te filteren. In een tweede stap zou de klager dan volledige
inzage en een kopie kunnen krijgen in alle data die niet op deze manier was uitgefilterd.
86. Gezien de mogelijke aanwezigheid van bedrijfsgeheimen in de mailbox van de klager,
oordeelt de Geschillenkamer het proportioneel dat de klager deze inzage zou moeten
uitoefenen binnen de beveiligde perimeter van de kantoren van de verweerder en op een
toestel van de verweerder in aanwezigheid van een neutrale persoon tijdens stap 1. De rol
van deze neutrale persoon zou beperkt zijn tot het verwijderen van de bedrijfsgevoelige
data uit de mailbox op basis van de classificatie en de metadata van de berichten.
87. In zijn conclusies stelt de verweerder zijn argumentatie voor de filtering bij door te stellen
dat de klager toegang zou krijgen tot haar volledige mailbox en dat deze filtering enkel van
toepassing was in het geval de klager bepaalde persoonsgegevens zou willen kopiëren.
De Geschillenkamer stelt vast dat deze interpretatie niet overeenstemt met wat de DPO
aan de klager had gecommuniceerd in zijn e-mails van 20 februari 2024 en 6 maart 2024,
waarin sprake is van een eerste filter, waarna de klager de rest van de e-mails zou kunnen
filteren. Het standpunt dat de “Klager Verweerster zelfs niet de kans [heeft] gegeven om
heel de werkwijze toe te lichten […]”64 gaat lijnrecht in tegen het transparantiebeginsel van
artikel 12 AVG en bevestigt de onduidelijkheid in de communicatie aangaande eventuele
filtering van de mailbox alvorens de klager deze zou mogen inkijken.
88. De Geschillenkamer oordeelt dat de verweerder niet de passende maatregelen heeft
genomen om het recht van inzage van de klager in haar persoonsgegevens na haar
vertrek bij de verweerder te faciliteren en dit recht van inzage ongefundeerd heeft
beperkt tot enkel de mails waarvoor geen correcte out-of-officebericht was ingesteld,
waardoor hij een inbreuk heeft gepleegd op de artikelen 12 en 15 AVG.
63
Stuk 34, PV hoorzitting van 3 december 2025, p. 5.
64
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 105.
Beslissing ten gronde 101/2026 — 30/60
II.8. Schending van artikel 5.1.f AVG juncto artikel 5.2 AVG
89. Artikel 5.2 AVG stelt dat de verwerkingsverantwoordelijke de naleving van de AVG-
principes moet garanderen en moet kunnen aantonen. Eén van deze principes betreft het
garanderen van de vertrouwelijkheid en de integriteit van de persoonsgegevens van de
betrokkene, conform artikel 5.1.f AVG.
90. De klager stelt dat de verweerder onvoldoende maatregelen heeft genomen in de
organisatie van zijn verwerking van persoonsgegevens om vervolgens aan te kunnen
tonen aan de klager dat er geen toegang is geweest tot haar mailbox na haar vertrek en
dat dus de vertrouwelijkheid en de integriteit van haar persoonsgegevens was
gewaarborgd. De klager verwijst hiervoor naar een e-mail die op 13 augustus 2023 is
toegekomen in haar mailbox en die ook staat geregistreerd als geopend. De klager haalt
deze informatie uit de screenshot van de activiteitenregistratie van haar mailbox dat zij
op 4 april 2024 heeft ontvangen na haar herhaaldelijk verzoek tot inzage.
91. De verweerder wijst opnieuw naar het deactiveren en het wegnemen van de licentie van
de mailbox van de klager, waardoor niemand nog toegang had tot deze mailbox en de
vertrouwelijkheid en de integriteit van de persoonsgegevens dus was gewaarborgd.
Aangaande de beweerdelijk geopende e-mail wijst de verweerder op het tijdstip van
ontvangst van de e-mail en het tijdstip van het vermeende openen van de e-mail dat
hetzelfde is en midden in de nacht is. Wanneer een mail met een link of een bijlage
toekomt op het domein van de verweerder, dan wordt deze in het kader van
informatieveiligheid gescand op schadelijke inhoud. Deze scan laat in de
activiteitenregistratie een spoor achter alsof de mail zou geopend zijn. Dit verklaart het
nachtelijke tijdstip en de gelijktijdige registratie van toekomen en openen van de e-mail.
Verder stelt de verweerder: “Ondanks wat Klager hieromtrent probeert te insinueren in
haar conclusie onderbouwt Verweerster deze stelling uiteraard graag aan de hand van log
files (stuk 23).65
92. De Geschillenkamer stelt inzake het verder verwerken van de persoonsgegevens in de
mailbox van de klager na haar vertrek vast dat de mailbox nooit is gewist nadat er geen
rechtsgrond voor de verwerking meer was en dat verschillende elementen in de stukken
wijzen op een bijkomend doel, naast het informeren van de contactpersonen, met name
het ophalen van bedrijfsgevoelige informatie uit de voor de klager afgesloten mailbox.66
Vanuit het standpunt van de klager is de vrees dat dit effectief gebeurd is dus niet
onterecht en is het aan de verweerder om conform de artikelen 5.2 aan te tonen dat er
geen toegang is geweest tot de mailbox na haar vertrek.
65
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 116.
66
Zie hiervoor randnummer 31 van deze beslissing.
Beslissing ten gronde 101/2026 — 31/60
93. Concreet heeft de klager vastgesteld dat een bepaalde e-mail in haar mailbox is geopend
na haar vertrek. De klager verwijst daarvoor naar de screenshots van het Customer
Relationship Management systeem (CRM) die zij op 4 april 2024 had ontvangen na haar
verzoek tot inzage. De Geschillenkamer stelt in de activiteitenlogs van de CRM van de
mailbox van de klager, die de verweerder bijvoegt in zijn stukken67, vast dat op 13
augustus 2023, dus na het vertrek van de klager, om 01:20 een e-mail werd ontvangen en
op hetzelfde moment dezelfde e-mail werd geopend. De verweerder wijst op zijn
informatieveiligheidsbeleid en het screenen van binnenkomende e-mails om te verklaren
waardoor de mail in het systeem geopend lijkt te zijn.
94. Conform artikel 5.2 AVG is het aan de verweerder om aan te tonen dat er na het vertrek
van de klager geen toegang meer is genomen tot haar mailbox. Het meest geschikte
middel om al of niet toegang tot deze mailbox aan te tonen zijn de log files van de
authenticatie- en toegangspogingen tot deze mailbox, die ook in het kader van
informatieveiligheid altijd worden geregistreerd. De verweerder verwijst in zijn conclusies
naar stuk 23 (‘Logs m.b.t. de mailbox’) om aan te tonen dat er geen toegang is geweest tot
de mailbox van de klager. Het is dus onweerlegbaar aangetoond dat de verweerder over
de ‘log files’ van de authenticatie- en toegangspogingen tot de account van de klager
beschikt.
95. De Geschillenkamer stelt echter vast dat de verweerder in stuk 23 enkel de ‘log files’ van
22 juli 2024 tot 20 augustus 2024 heeft toegevoegd aan de stukken. De verweerder
bevestigt dit in zijn conclusie: “Verweerster kan aantonen dat er voorbije maand geen
handelingen of manipulaties in de mailbox hebben plaatsgevonden sinds het vertrek van
de Klager (stuk 23)”(nadruk door Geschillenkamer)68. Met deze beperkte tijdsperiode
waarin de ‘log files’ werden opgenomen in de stukken kan de verweerder niet aantonen
dat van 1 mei 2023 tot 22 juli 2024 geen toegang is geweest tot de mailbox van de klager.
96. De Geschillenkamer stelt vast dat de verweerder geen log files van toegang tot de
mailbox toevoegt van 1 mei 2023 tot 1 juni 2023, de periode waarin hij wel nog een
gerechtvaardigd belang had om de mailbox van de klager te verwerken, maar ook de
periode waarin de managers een uitzondering op het wissen van de mailbox konden
vragen om bedrijfsgevoelige gegevens te recupereren.69 De verweerder stelt dat een
dergelijke uitzondering niet is gevraagd en dat er dus geen toegang is genomen tot de
mailbox, maar toont dit niet aan. In diezelfde periode, met name op 15 mei 2023, zit ook
de mail waarvan de klager in haar klacht stelde dat deze geopend was na ontvangst, wat
haar deed vermoeden dat er wel toegang was tot de mailbox. Zij haalde deze informatie
67
Bijlage 25, screenshots CRM-systeem bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024.
68
Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 83.
69
Zie hiervoor bullet nummer 6 van randnummer 70 van deze beslissing.
Beslissing ten gronde 101/2026 — 32/60
uit de activiteitenlogs van de mailbox die ze heeft ontvangen na haar verzoek tot inzage.70
De verweerder verwees voor dit openen van de e-mail naar zijn
informatieveiligheidsbeleid, maar toont nergens aan dat er die dag/nacht geen toegang is
genomen tot de mailbox, wat zijn stelling wel onweerlegbaar had kunnen aantonen aan de
Geschillenkamer.
97. De Geschillenkamer stelt eveneens vast dat de verweerder (behoudens de in
randnummer 95 genoemde logfiles voor een beperkte periode) geen log files toevoegt
van de periode na 1 juni 2023, het moment waarop de mailbox gewist zou moeten zijn,
tenzij een manager een uitzondering zou gekregen hebben. In deze periode, met name op
13 augustus 2023, stelt de Geschillenkamer vast dat er nog een e-mail vermeld stond die
volgens de activiteitenlogs geopend zou zijn op hetzelfde moment van ontvangst.71 Ook
voor deze periode en deze e-mail toont de verweerder niet aan dat er geen toegang is
geweest tot de mailbox.
98. Tenslotte stelt de Geschillenkamer vast dat de DPO op 20 februari 2024 de klager liet
weten dat er geen toegang was geweest tot de mailbox van de klager en stelde hij: “Dit
werd bovendien expliciet bevestigd door onze ICT-dienst.”72 Ook hier laat de verweerder
na enig bewijs van de afwezigheid van de toegang tot de mailbox of van de controle
hiervan door de ICT-dienst toe te voegen, terwijl deze controle blijkbaar wel degelijk
mogelijk was en was uitgevoerd.
99. De Geschillenkamer oordeelt dat de verweerder niet voldoende heeft aangetoond dat
de vertrouwelijkheid en integriteit van de persoonsgegevens van de klager in haar
mailbox werd gegarandeerd terwijl is aangetoond dat de verweerder hiertoe wel in
staat was en daarmee een inbreuk heeft gepleegd op artikel 5.1.f AVG juncto artikel
5.2 AVG.
100. Inzake de argumentatie rond de instelling van het out-of-office bericht, verwijst de
Geschillenkamer naar de eerdere beoordeling inzake de transparantieplicht van de
verweerder hierover en gaat ze hier niet verder op in.
II.9. Conclusie: vastgestelde inbreuken
101. De Geschillenkamer heeft in deze beslissing geoordeeld dat de verweerder een inbreuk
heeft gepleegd op
70
Stuk 2, klachtenformulier van 23 april 2024, p. 3.
71
Stuk 25, Screenshots CRM-systeem bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024.
72
Bijlage 5, E-mail Verweerster van 20 februari 2024 (14:48) bij stuk 18, de syntheseconclusie van [verweerder] van 27
augustus 2024.
Beslissing ten gronde 101/2026 — 33/60
• artikel 5.1.a AVG juncto artikel 6.1 AVG doordat hij de persoonsgegevens van de
klager en haar contacten in haar professionele mailbox onrechtmatig heeft verwerkt
nadat er niet langer een gerechtvaardigd belang bestond om deze
persoonsgegevens verder te verwerken , in casu na 1 juni 2023;
• de artikelen 12 en 13 AVG doordat hij niet heeft voldaan aan zijn transparantieplicht
ten aanzien van de verdere verwerking van de persoonsgegevens van de klager en
van haar contacten die extern zijn aan de organisatie na het vertrek van klager bij de
verweerder;
• artikel 24 AVG doordat hij onvoldoende technische en organisatorische maatregelen
had genomen of aantoont genomen te hebben om de mailbox van de klager te wissen
nadat er geen rechtsgrond meer bestond om de persoonsgegevens in de mailbox
verder te verwerken;
• de artikelen 12 en 15 AVG doordat hij niet de passende maatregelen heeft genomen
om het recht van inzage van de klager in haar persoonsgegevens na haar vertrek bij
de verweerder te faciliteren en dit recht van inzage ongefundeerd heeft beperkt tot
enkel de mails waarvoor geen correcte out-of-officebericht was ingesteld;
• artikel 5.1.f AVG juncto artikel 5.2 AVG doordat hij niet voldoende heeft aangetoond
dat de vertrouwelijkheid en integriteit van de persoonsgegevens van de klager in
haar mailbox werden gegarandeerd terwijl is aangetoond dat de verweerder hiertoe
wel in staat was.
III. Corrigerende maatregelen en sancties
102. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de
bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit
te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
Beslissing ten gronde 101/2026 — 34/60
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat
of een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel,
dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
103. Het is aan de Geschillenkamer om te beslissen over de meest geschikte sanctie in het licht
van de vastgestelde inbreuken.
III.1. Corrigerende maatrelen
104. Omwille van de inbreuk op artikel 24 AVG, doordat de verweerder onvoldoende
technische en organisatorische maatregelen had genomen of aantoont genomen te
hebben om de mailbox van de klager te wissen nadat er geen rechtsgrond meer bestond
om de persoonsgegevens in de mailbox verder te verwerken, beveelt de Geschillenkamer
om op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG voldoende technische en
organisatorische maatregelen te nemen teneinde de persoonsgegevens in de mailboxen
van vertrekkende medewerkers conform deze beslissing verder te verwerken en af te
sluiten en dit aan te tonen aan de Geschillenkamer.
Gezien deze maatregelen volgens de verweerder reeds genomen zijn73, rest hem enkel
nog dit aan te tonen aan de Geschillenkamer en acht de Geschillenkamer een termijn van
30 dagen ruim voldoende om aan dit bevel te voldoen.
Dit bevel is noodzakelijk om op korte termijn gelijkaardige onrechtmatige verwerkingen
bij de verweerder te vermijden, in het bijzonder in het licht van het grote verloop van
medewerkers bij de verweerder.
105. Omwille van de inbreuk op de artikelen 12 en 15 AVG, doordat de verweerder niet de
passende maatregelen heeft genomen om het recht van inzage van de klager in haar
73
Stuk 39, Verweer van [verweerder] van 24 april 2026, p. 18, randnummer 8.
Beslissing ten gronde 101/2026 — 35/60
persoonsgegevens na haar vertrek bij de verweerder te faciliteren en dit recht van inzage
ongefundeerd heeft beperkt tot enkel de mails waarvoor geen correcte out-of-
officebericht was ingesteld, beveelt de Geschillenkamer om op grond van artikel 58.2.c
AVG en artikel 100, § 1, 6° WOG inzage te verlenen aan de klager in al haar
persoonsgegevens conform deze beslissing.
106. Dit bevel is noodzakelijk om de klager in staat te stellen volledige controle uit te kunnen
oefenen op haar persoonsgegevens die onrechtmatig werden verwerkt na haar vertrek
en waar ze tot op heden nog geen enkele controle heeft kunnen op uitoefenen gezien
deze persoonsgegevens onder de volledige controle van de verweerder waren
opgeslagen en het verzoek tot inzage nog niet was ingewilligd. Concreet stelt dit de klager
ook in staat om eventuele gemiste communicatie omwille van een ontoereikende
transparantie naar haar contacten toe alsnog te kunnen recupereren teneinde deze
communicatierelatie eventueel te kunnen herstellen.
107. De Geschillenkamer neemt akte van het verzoek van de verweerder naar de modaliteiten
ter uitvoering van dit recht van inzage. De Geschillenkamer meent echter dat het de
verantwoordelijkheid van de verweerder is om in overleg met de klager de modaliteiten
van de inzage te bepalen en daarbij mogelijks beroep te op een neutrale derde.
108. Omwille van de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG, doordat de
verweerder de persoonsgegevens van de klager en haar contacten in haar professionele
mailbox onrechtmatig heeft verwerkt nadat er niet langer een gerechtvaardigd belang
bestond om deze persoonsgegevens verder te verwerken , in casu na 1 juni 2023, beveelt
de Geschillenkamer om op grond van artikel 58.2.g AVG en artikel 100, § 1, 10° WOG alle
persoonsgegevens aangaande de mailbox van de klager na het verlenen van inzage te
verwijderen.
Dit bevel is noodzakelijk aangezien het doel en de noodzaak om de persoonsgegevens in
de mailbox verder te verwerken conform de initiële rechtsgrond of het gerechtvaardigd
belang in de periode van 1 maand na het vertrek van de klager reeds lang is afgelopen en
aangezien het langer bewaren van deze mailbox in het kader van deze procedure
eveneens niet meer noodzakelijk is.
109. Omwille van de inbreuk op artikel 5.1.f AVG juncto artikel 5.2 AVG, doordat de
verweerder niet voldoende heeft aangetoond dat de vertrouwelijkheid en integriteit van
de persoonsgegevens van de klager in haar mailbox werden gegarandeerd, terwijl is
aangetoond dat de verweerder hiertoe wel in staat was, beveelt de Geschillenkamer om
op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG de registratie van de toegang
tot de mailbox van de klager van 1 mei 2023 tot de wissing van de mailbox over te maken
aan de klager, zonder evenwel persoonsgegevens van derden zichtbaar te laten, of aan te
tonen dat deze gegevens niet meer beschikbaar zijn bij de verweerder.
Beslissing ten gronde 101/2026 — 36/60
Dit bevel is noodzakelijk om de klager in staat te stellen te controleren of de
vertrouwelijkheid van haar persoonsgegevens al of niet werd geschonden nadat zij geen
enkele controle meer had over deze persoonsgegevens.
110. Enkel door inzage in alle persoonsgegevens in deze mailbox te verlenen aan de klager,
door aansluitend deze mailbox te wissen en door aan te tonen dat er geen toegang is
geweest tot deze mailbox in de tussentijd, krijgt de klager terug volledige controle over
haar eigen persoonsgegevens die verwerkt werden op het domein en in opdracht van de
verweerder. De verweerder krijgt een termijn van 30 dagen ter rekenen vanaf de
kennisgeving van deze beslissing om deze vier bevelen uit te voeren en de klager terug
controle te geven over haar persoonsgegevens in haar mailbox.
III.2. Administratieve geldboete
111. Naast de corrigerende maatregelen om de verwerking in overeenstemming te brengen
met de principes van de AVG, beslist de Geschillenkamer ook tot het opleggen van een
administratieve geldboete met het oog op een krachtige handhaving van de regels van de
AVG. Zoals duidelijk blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij
elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met
inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen
worden opgelegd.
112. De Geschillenkamer wijst er ook op dat het haar soevereine verantwoordelijkheid als
onafhankelijke administratieve autoriteit is — met inachtneming van de relevante
artikelen van de AVG en de WOG — om de passende corrigerende maatregelen en
sancties vast te stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof
heeft in haar rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de
Geschillenkamer benadrukt aangaande de keuze van de sanctie en de omvang ervan,
zoals onder meer in zijn arresten van 7 juli 2021 en 6 september 202374.
113. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op
de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de
Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer
legt de administratieve geldboete op in toepassing van artikel 58.2.i) AVG. Het instrument
van administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe
voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de
bevelen genoemd in artikel 100, § 1, 8° en 9° WOG.
74
Hof van Beroep van Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2021/AR/320, pp. 37-47; Hof van
Beroep van Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2020/AR/1160, p. 34.
Beslissing ten gronde 101/2026 — 37/60
114. Artikel 83.3 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening
moet worden gehouden bij het besluit over de vraag of een administratieve geldboete
wordt opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name
rekening met de zwaarte van de inbreuken, de duur van de inbreuken, en het nodige
afschrikwekkende effect om toekomstige inbreuken te vermijden. Om te vermijden dat
de beoordeling van elke factor herhaald wordt, verwijst de Geschillenkamer naar de
beoordeling hieronder, waarin het opleggen van een administratieve geldboete en de
hoogte ervan samen worden beoordeeld.
115. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen,
wordt van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes
aanpassen en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor
de berekening van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld
op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van
de boete, afhankelijk van de omstandigheden van de zaak. De toepassing van deze
Richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te
waarborgen. Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboetes
voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen.
Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De
Geschillenkamer herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet
van toepassing zijn .
III.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 van de AVG
Eén inbreuk makende gedraging
116. Als eerste stap stelt de Geschillenkamer vast dat er sprake is van een en dezelfde inbreuk
makende gedraging. De inbreuk makende verwerking van persoonsgegevens vormt een
reeks verwerkingsactiviteiten die uit één enkele wil worden verricht en die contextueel, in
ruimte en tijd met elkaar samenhangen. Zij moeten als “daarmee verband houdend” en als
één enkele gedraging worden beschouwd. Concreet betreft het het langdurig verder
verwerken van de persoonsgegevens in de mailbox van de klager nadat deze de
samenwerking met de verweerder had stopgezet.
117. Op basis van deze gedraging heeft de Geschillenkamer geoordeeld dat twee van de
vastgestelde inbreuken bestraft moeten worden met een administratieve boete, met
name de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG en de inbreuk op de artikelen
12 en 13 AVG.
Eenheid van handelingen
Beslissing ten gronde 101/2026 — 38/60
118. De Geschillenkamer oordeelt dat de inbreuk op de artikelen 12 en 13 AVG naast de inbreuk
op artikel 5.1.a AVG juncto artikel 6.1 AVG kan worden toegerekend bij het berekenen van
de geldboetes. De bepalingen waarop inbreuken werden gemaakt streven namelijk
onafhankelijke doelen na (het transparantiebeginsel en het beginsel van rechtmatigheid),
waarbij de ene bepaling niet wordt uitgesloten of omvat door de toepasbaarheid van de
andere, hetgeen het opleggen van afzonderlijke geldboetes rechtvaardigt.
119. Het rechtmatigheidsbeginsel betreft in dit dossier het gebrek aan rechtsgrond om de
persoonsgegevens van de klager en haar contacten verder te verwerken nadat de
verweerder geen gerechtvaardigd belang meer had. Zelfs indien de verdere verwerking
na de verwerking onder het gerechtvaardigd belang transparant zou geweest zijn, zou de
rechtmatigheid van de verwerking nog steeds geschonden zijn geweest.
120. Het transparantiebeginsel betreft in dit dossier het informeren van de klager aangaande
de verdere verwerking van haar persoonsgegevens in haar mailbox en van haar contacten
aangaande het beëindigen van de samenwerking tussen de klager en de verweerder.
Zelfs indien de verwerking rechtmatig zou geweest zijn, zou het transparantiebeginsel
nog steeds geschonden zijn geweest.
121. De Geschillenkamer verwijst als voorbeeld naar het Bindend besluit 1/2021: “Wat betreft
de betekenis van artikel 83, lid 3, AVG, merkt het Comité op dat rekening houdend met de
standpunten van de betrokken toezichthoudende autoriteiten in geval van meerdere
inbreuken meerdere bedragen kunnen worden vastgesteld.” Voorts bepaalt artikel 83.3
AVG dat indien een verwerkingsverantwoordelijke opzettelijk of uit nalatigheid met
betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een
inbreuk pleegt op meerdere bepalingen van deze verordening, het totale bedrag van de
geldboete niet hoger mag zijn dan het toegestane maximumbedrag voor de zwaarste
inbreuk.
Conclusie
122. Samenvattend oordeelt de Geschillenkamer dat zij twee afzonderlijke geldboetes kan
opleggen, en dat de totale geldboete niet hoger kan zijn dan het maximumbedrag voor de
zwaarste inbreuk.
III.2.2. Uitgangsbedrag voor de berekening
123. De berekening van administratieve geldboeten begint bij een geharmoniseerd
uitgangsbedrag op basis van de richtsnoeren 04/2022 van de EDPB . Hierbij wordt
rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel
83, leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de
onderneming.
Beslissing ten gronde 101/2026 — 39/60
Indeling van inbreuken op grond van artikel 83, leden 4 tot en met 6 AVG
124. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die
strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder
artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een
maximumboete van 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een
boete van maximaal 20 000 000 EUR of 4 % van de van de totale wereldwijde jaaromzet
in het voorgaande boekjaar, indien dit cijfer hoger is.
125. Voor de inbreuk op artikel 5.1a AVG juncto artikel 6.1 AVG bedraagt de zwaarste
administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of
tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer
hoger is.
126. Voor de inbreuk op de artikelen 12 en 13 AVG bedraagt de zwaarste administratieve
geldboete overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of tot 4 % van de
totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.
127. Aangezien de hogere boete van toepassing is, overeenkomstig artikel 83.5.a) AVG, kan
de Geschillenkamer een administratieve boete opleggen tot maximaal 20 000 000 EUR
of maximaal 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien
dit hoger is.
Zwaarte van de inbreuken in elk individueel geval
128. Betreffende de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG (hierna ‘inbreuk op de
rechtmatigheid’)
a. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk:
129. Betreffende de aard van de inbreuk neemt de Geschillenkamer in rekening dat het
beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door
de AVG gewaarborgd wordt. Het wordt eveneens opgenomen in artikel 8.2 van het
Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat
inbreuken op dit kernbeginsel van hoge zwaarte zijn.
130. Met betrekking tot de ernst van de inbreuk neemt de Geschillenkamer volgende
elementen in rekening:
• Aard van de verwerking: het betreft een verdere verwerking van de
persoonsgegevens in de mailbox van de klager waarin zowel haar persoonsgegevens
als persoonsgegevens van haar contacten verwerkt worden. De initiële verwerking
was wel rechtmatig voor zowel de klager als haar contacten.
Beslissing ten gronde 101/2026 — 40/60
• Omvang van de verwerking: het betreft de verdere verwerking van
persoonsgegevens in de mailbox van de klager en bijgevolg haar persoonsgegevens
maar ook de persoonsgegevens van haar contacten die met haar communiceerden.
De klager had echter haar activiteiten bij de verweerder al afgebouwd, een feit
waarvan de contacten reeds op de hoogte waren door de ingesteld out-of-office van
de klager.
• Doel van de verwerking: het enige doel voor een eventuele verdere verwerking van
de persoonsgegevens van de klager en haar contacten in de mailbox na de beperkte
periode van verwerking onder het gerechtvaardigd belang, bestond erin nog
eventuele bedrijfsgevoelige gegevens te kunnen recupereren uit de mailbox van de
klager. Deze doelstelling werd geformuleerd in interne communicatie van de
verweerder.
• Aantal betrokkenen: het betreft de mailbox van 1 persoon, waarin persoonsgegevens
van de klager en een onbekend aantal contacten werden verder verwerkt.
• Omvang van de schade: Er is geen informatie dat de niet-rechtmatige verdere
verwerking heeft geleid tot een misbruik van de persoonsgegevens van de klager of
van haar contacten. Gezien de professionele context van de mailbox, kan men
verwachten dat deze persoonsgegevens eerder beperkt en niet-gevoelig zijn,
alhoewel ook dringende, persoonlijke berichten in een dergelijke mailbox verwacht
kunnen worden. Daarenboven had de klager zelf haar correspondenten reeds eerder
op de hoogte gebracht dat ze via dat e-mailadres nog slechts beperkt (voor externen)
of niet meer (voor internen) bereikbaar was.
Op basis van deze beoordeling oordeelt de Geschillenkamer dat de ernst van de inbreuk
van lage zwaarte is, aangezien het niet is aangetoond dat de persoonsgegevens effectief
gebruikt werden, terwijl ze wel bewaard werden.
131. Betreffende de duur van de inbreuk, merkt de Geschillenkamer op dat de
persoonsgegevens van de klager en haar contacten in de mailbox hadden moeten zijn
gewist op 1 juni 2023, wat niet werd uitgevoerd. Vanaf 1 juni 2023 had de verweerder dus
geen rechtsgrond meer om de persoonsgegevens te verwerken. Uit de conclusies van
2025 blijkt dat alle persoonsgegevens nog steeds in de mailbox zitten en beschikbaar zijn.
Alhoewel de verweerder beweert dat hij sinds de melding van de klager over een
eventuele procedure tegen de verweerder opnieuw een rechtsgrond heeft om de
persoonsgegevens te bewaren, is deze nieuwe situatie een rechtstreeks gevolg van het
niet verwijderen en dus verder verwerken van de persoonsgegevens zonder rechtsgrond
en van het niet volledig inzage willen geven in de persoonsgegevens ondanks het verzoek
van de klager. Deze wou immers eerst controleren welke communicatie zij gemist had,
alvorens haar mailbox zou worden gewist, wat een legitieme bezorgdheid was, gezien de
Beslissing ten gronde 101/2026 — 41/60
onrechtmatige verdere verwerking van de persoonsgegevens in deze mailbox. De
Geschillenkamer oordeelt de duur van de inbreuk van gemiddelde zwaarte omdat de
bewaring van alle persoonsgegevens tot op vandaag nog steeds voortduurt. Het
argument dat de mailbox moest blijven bestaan omwille van deze procedure snijdt geen
hout aangezien de afwezigheid van een rechtsgrond net deze procedure heeft
veroorzaakt en aangezien er andere, technisch veiligere manieren bestaan om de nodige
informatie voor deze procedure te bewaren.
b. Artikel 83.2.b) AVG – De opzettelijke of nalatige aard van de inbreuk:
132. In casu is er volgens de Geschillenkamer geen intentie in hoofde van de verweerder om
met opzet de persoonsgegevens onrechtmatig verder te verwerken, doch is er minstens
sprake van nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van
het Hof van Justitie van de EU75. Hoewel de verweerder argumenteert dat de verdere
verwerking een eenmalige, menselijke fout betrof, blijkt uit de beslissing dat de
verweerder nalatig is geweest op het vlak van de minimale technische en
organisatorische maatregelen, met name het automatisch verwijderen van (alle
persoonsgegevens in) de mailbox van een vertrokken werknemer na een periode van
verwerking onder het gerechtvaardigd belang. Daarenboven blijkt uit het dossier dat de
verweerder op de hoogte was van eerdere beslissingen van de Geschillenkamer over het
correct afsluiten van de mailbox van een ex-medewerker. Gezien de verweerder zelf
spreekt van ongeveer 1000 vertrekkende medewerkers per jaar, had hij hier eerder en
sneller voldoende maatregelen moeten nemen om eventuele menselijke fouten uit te
sluiten. De Geschillenkamer oordeelt dat de nalatige aard van de inbreuk als van
gemiddelde zwaarte moet worden beschouwd.
c. Artikel 83.2.g) AVG – De categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft:
133. De litigieuze verwerking betreft de persoonsgegevens van de klager en van haar
contacten in haar professionele mailbox. Hoewel dergelijke persoonsgegevens prima
facie niet van gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij
niettemin behoren tot categorieën van persoonsgegevens waarvan betrokkenen
doorgaans niet redelijkerwijs zouden verwachten dat die door de verweerder verder
verwerkt zouden worden. Deze categorie wordt als neutraal beoordeeld.
75
HvJEU, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, arrest van 5 december 2023, C-807/21, ECLI:EU:C:2023:950,
randnummer 78.
Beslissing ten gronde 101/2026 — 42/60
134. In zijn reactie op het sanctieformulier, stelt de verweerder dat de duurtijd van de inbreuk
niet aan hem te wijten is gezien hij op 2 mei 2024 de GBA om advies had gevraagd
aangaande het verwijderen van de mailbox nadat de klager gevraagd had deze niet te
verwijderen tot zij inzage had gehad. De verweerder voelt zich hierin gesterkt aangezien
de Geschillenkamer ook een bevel tot inzage aan de verweerder oplegt. De verweerder
stelt: “[verweerder] meent dan ook dat een ‘gemiddelde zwaarte’ voor de duur van de
inbreuk onterecht is, nu deze duurtijd geheel te wijten is aan de keuze van de GBA om
geen antwoord te geven op [verweerder]’s legitieme vraag of ze de mailbox mocht
verwijderen, en de lange duurtijd van de procedure voor de Geschillenkamer. Een lage
zwaarte is dan ook gepast.”76
135. De Geschillenkamer stelt vast dat de klager op 1 mei 2023 de verweerder verlaten heeft
en heeft geoordeeld dat de verweerder voor één maand de persoonsgegevens van de
klager kon verder verwerken omwille zijn gerechtvaardigd belang.
136. Ten eerste brengt de klager de verweerder zelf op de hoogte dat haar gegevens nog
steeds, onrechtmatig, verwerkt worden in januari 2024, acht maanden nadat de
verweerder geen gerechtvaardigd belang meer had en op dat moment 8x de duur van de
verwerking onder het gerechtvaardigd belang.
137. Ten tweede brengt de klager de verweerder op 20 februari 2024 op de hoogte dat zij een
dossier bij de GBA zal openen en meldt zij aan de verweerder op 6 maart 2024 dat haar
mail zal toegevoegd worden aan de klacht bij de GBA. De verweerder was dus ten laatste
op 6 maart 2024 op de hoogte van de intentie van de klager om klacht in te dienen bij de
GBA. Deze klacht werd effectief ingediend op 23 april 2024. Het indienen van een
adviesvraag door de verweerder bij de GBA, wanneer hij weet dat er een klacht is
ingediend of ingediend zal worden, is geen argument om een inbreuk op de AVG te laten
voortduren tot de GBA heeft geantwoord op de adviesvraag of een beslissing heeft
genomen inzake de klacht, net omdat de doorlooptijd van dergelijke klachten bij de
Geschillenkamer kan oplopen. Het is immers de verweerder die
verwerkingsverantwoordelijke is voor deze verwerking. Deze verantwoordelijkheid gaat
niet over op de GBA in geval van een adviesvraag hierover. De Geschillenkamer wijst er
hierbij ten overvloede nog op dat in de AVG de verantwoordingsplicht (artikel 5.2 AVG)
centraal staat. Het behoort niet tot de taak van de toezichthoudende autoriteit om advies
te geven omtrent een individuele zaak, al zeker niet indien over juist deze zaak een
procedure bij diezelfde toezichthoudende autoriteit aanhangig is.
138. Ten derde is deze klacht net het gevolg van de inbreuken van de verweerder op de
bescherming van de persoonsgegevens van de klager. Eén van die inbreuken was het
76
Stuk 39, Verweer van [verweerder] van 24 april 2026, p. 16, randnummer 3.
Beslissing ten gronde 101/2026 — 43/60
onterecht beperken van het recht van inzage van de klager, die op zoek was naar de e-
mails die ze allemaal gemist had omdat de verweerder geen conforme
transparantiemaatregelen had genomen naar haar contacten toe en omdat de verwerking
bleef voortduren nadat het gerechtvaardigd belang van de verweerder was geëindigd.
Het dilemma waarmee de verweerder dus werd geconfronteerd, werd volledig door zijn
eigen gebrek aan opvolging van de mailbox van de klager en zijn beperkingen op haar
recht van inzage veroorzaakt. De verweerder had dus transparanter met de klager kunnen
communiceren over het verlenen van inzage, wat hij in de conclusies naar de
Geschillenkamer wel heeft gedaan77, zodat er misschien wel een vergelijk had kunnen
worden gevonden, de klager haar gemiste e-mails had kunnen controleren en de
verweerder de mailbox had kunnen wissen voor er een klacht werd ingediend, in casu in
het voorjaar van 2024.
139. Ten vierde stelt de Geschillenkamer vast dat de verweerder ervoor gekozen heeft
gedurende de duur van deze procedure de mailbox gedeactiveerd te laten voortbestaan
en terug een licentie aan deze mailbox te koppelen, terwijl er technische mogelijkheden
bestaan om de inhoud van de mailbox te exporteren naar een PST-bestand en de mailbox
zelf volledig te verwijderen. De verweerder kende deze technische mogelijkheid, want hij
heeft ze zelf voorgesteld aan de klager op 6 april 2024. Alhoewel de persoonsgegevens
nog steeds onrechtmatig verwerkt zouden worden, zou deze technische maatregel het
risico op de verwerking van de persoonsgegevens van de klager wezenlijk verlaagd
hebben en ondertussen toegelaten hebben de mailbox al te wissen zonder het recht op
inzage van de klager te beperken, eventueel in de toekomst.
140. De Geschillenkamer oordeelt dat het verder verwerken van persoonsgegevens zonder
rechtsgrond voor minstens acht maanden reeds voldoende grond is om de duur van de
inbreuk te beoordelen als van gemiddelde zwaarte. Gezien de bezorgdheden van de
klager duidelijk waren uit haar communicatie, met name dat ze inzage wou in de e-mails
die ze gemist had, had de verweerder de mogelijkheid om deze inbreuken te stoppen en
te verhelpen, maar verkoos hij te wachten op een antwoord van de GBA op een
adviesvraag en de eventuele uitkomst van deze procedure. Door deze besluitloosheid van
de verweerder is nu een situatie ontstaan waardoor de onrechtmatig verwerkte
persoonsgegevens van de klager (en haar contacten) reeds voor bijna 3 jaar verwerkt
worden in een bestaande mailbox met een actieve licentie. De Geschillenkamer ziet geen
grond om de gemiddelde zwaarte voor de duur van de inbreuk te verlagen naar een lage
zwaarte.
141. In zijn reactie op het sanctieformulier stelt de verweerder ook dat de inbreuk veroorzaakt
werd door een eenmalige menselijke fout en dat er dus geen sprake was van nalatigheid
77
Zie hiervoor randnummer 87 van deze beslissing.
Beslissing ten gronde 101/2026 — 44/60
zoals de Geschillenkamer had gesteld. Daarenboven had de verweerder al proactieve
maatregelen genomen om de verwijdering van de mailboxen te automatiseren en had hij
ten tijde van de hoorzitting al een validatiestap toegevoegd aan het bestaande proces om
te verifiëren of alle gedeactiveerde accounts ook geschrapt werden na een maand.
142. Wat betreft de opzettelijkheid of nalatigheid van de inbreuken (criterium zoals
opgenomen in artikel 83.2.b AVG) is er geen sprake van een duidelijk opzet bij de
verweerder om de persoonsgegevens van de klager onrechtmatig te verwerken. Het
morele element van de inbreuk is niettemin vastgesteld op grond van de jurisprudentie
van het HvJEU78. Nalatigheid vereist immers een element van bewustzijn, maar geen
element van wil. Aan dit element van bewustzijn is voldaan wanneer de aangesprokene
van een bepaling het strafbare karakter van zijn gedrag had moeten kennen, ongeacht of
hij zich ervan bewust was deze bepalingen te schenden. De doorslaggevende factor is dus
of de aangesprokene van een bepaling kon weten of zijn gedrag onwettig was en niet of
hij zich daar daadwerkelijk bewust van was. Van een verwerkingsverantwoordelijke wordt
verwacht dat hij zich, in het kader van zijn zorgvuldigheidsplicht, informeert en vertrouwd
maakt met de op hem van toepassing zijnde wetgeving en verplichtingen. In dit verband
zijn de artikelen 5.1.a en 6.1 AVG zeer duidelijk en preciseren ze dat de verweerder enkel
persoonsgegevens mag verwerken indien deze verwerking rechtmatig is en dus
gebaseerd is op één van de rechtsgronden die zijn opgesomd in artikel 6.1 AVG.
143. De Geschillenkamer stelt vast dat de verweerder kennis heeft van het beheer van
mailboxen van vertrokken werknemers, van het verder verwerken van deze mailboxen
onder het gerechtvaardigd belang en van het afsluiten van deze mailboxen na één maand.
Reeds in de managementprocessen van 2016 was voorzien dat de mailbox voor één
maand blijft bestaan en dan onherroepelijk gewist wordt. Aangezien de verweerder deze
regels rond het afsluiten van een mailbox kende, maar deze niet werden toegepast op de
mailbox van de klager, is reeds voldoende reden voor de Geschillenkamer om te spreken
van nalatigheid.
144. De Geschillenkamer heeft ook vastgesteld dat op de lijst van gedeactiveerde profielen
van 1 juni 2023, waarop de klager stond vermeld, een ander profiel was opgenomen,
waarvan de persoon achter het profiel volgens de lijst de verweerder had verlaten op 4
oktober 2022, zijnde 6 maanden voor zijn profiel werd gedeactiveerd en werd
doorgegeven om gewist te worden.
145. Daarenboven heeft de Geschillenkamer vastgesteld dat in diezelfde
managementprocessen ook sprake was van een laatste stap, met name het overmaken
van de lijst van effectief gewiste mailboxen door de bevoegde dienst aan diegene die de
78
HvJEU, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, arrest van 5 december 2023, C-807/21, ECLI:EU:C:2023:950,
randnummer 78.
Beslissing ten gronde 101/2026 — 45/60
wissing van de mailboxen had aangevraagd. De aanvrager van de wissing, in casu de ‘ICT
tweede lijnsdienst’, kon dus elke maand een controle uitvoeren op de effectieve wissing
door de lijst van aanvragen te vergelijken met de lijst van effectief verwijderde mailboxen.
Meer nog, de ICT tweede lijnsdienst werd na deze controle geacht de account status op
‘removed’ in te stellen. Niet alleen was de verweerder dus op de hoogte van het correct
afsluiten van een mailbox, er bestond ook een controlemechanisme op dit proces, wat
klaarblijkelijk niet werd toegepast ten tijde van het vertrek van de klager.
146. Ten slotte stelt de verweerder dat hij in 2022 reeds een veranderingstraject was
opgestart om het afsluiten van de mailboxen te automatiseren, niet in het minste omdat
het om ongeveer 1000 profielen per jaar ging. Alhoewel de verweerder dus had
vastgesteld dat hij een risico liep door dit proces nog steeds handmatig uit te voeren en
alhoewel hij een procedure had om dit proces te controleren, heeft de verweerder
nagelaten om in 2022 dan ook een nieuwe, tijdelijke controlemaatregel in te voeren of de
bestaande controlemaatregel toe te passen om dit risico op fouten in het handmatig
proces te vermijden. De voorlopige oplossing die de verweerder dus voorstelt als een
mitigerende maatregelen om niet nalatig te zijn en die werd ingevoerd ten tijde van de
hoorzitting, in casu in november 2025, bestond reeds in 2016 in de
managementprocessen maar werd nooit toegepast, ook niet wanneer de verweerder
vaststelt in 2022 dat dit proces risico’s inhoudt en zou geautomatiseerd moeten worden
of wanneer hij vaststelt dat de klager haar mailbox niet is verwijderd in januari 2024.
147. De Geschillenkamer oordeelt dat de verweerder nalatig is geweest omdat hij op de hoogte
was van het correct afsluiten van een mailbox van een vertrokken medewerker, maar dit
in het geval van de klager niet heeft toegepast en oordeelt dat deze nalatigheid van
gemiddelde zwaarte is omdat hij een sinds 2016 bestaande controleprocedure die de
inbreuk op de mailbox van de klager had kunnen vermijden of minstens opmerken, niet
toepaste, ook niet tijdelijk wanneer hij een procedure opstartte om dit proces te
automatiseren of wanneer de klager hem meldde dat haar mailbox niet is verwijderd zoals
het hoort.
148. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van de
inbreuk bepaald. De Geschillenkamer neemt in aanmerking dat de inbreuk een
fundamenteel beginsel van gegevensverwerking betreft die met nalatigheid werd
gepleegd voor een voortdurende periode. De Geschillenkamer concludeert dat het gaat
om een inbreuk van gemiddelde zwaarte.
149. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20
% van het toepasselijke wettelijke maximumbedrag . Aangezien de verweerder reeds een
procedure tot verbetering was opgestart, beslist de Geschillenkamer om het
Beslissing ten gronde 101/2026 — 46/60
uitgangsbedrag aan de lagere kant van de vork vast te stellen. De Geschillenkamer zal het
uitgangsbedrag voor de verdere berekening vaststellen op 10 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG.
150. Betreffende de inbreuk op de artikelen 12 en 13 AVG (hierna ‘inbreuk op de
transparantieplicht’)
a. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk:
151. Betreffende de aard van de inbreuk merkt de Geschillenkamer op dat de verweerder de
behoorlijke en transparante verwerking van persoonsgegevens moet waarborgen. Ten
eerste moet de klager minstens op de hoogte gesteld worden dat er gegevens van haar
(verder) verwerkt worden en voor hoelang, zodat zij eventueel controle op deze gegevens
en verwerking kan uitoefenen. Ten tweede moeten de contacten van de klager, die hun
eigen persoonsgegevens met de klager delen, op de hoogte gesteld worden dat de klager
geen toegang meer heeft tot haar mailbox en dat hun persoonsgegevens dus niet meer
toekomen bij de klager, zodat zij kunnen stoppen met het delen van hun
persoonsgegevens via dit kanaal. De Geschillenkamer oordeelt dat de aard van deze
inbreuk van hoge zwaarte is.
152. Met betrekking tot de ernst van de inbreuk neemt de Geschillenkamer de volgende
elementen in rekening:
• Aard van de verwerking: het betreft een verdere verwerking van de
persoonsgegevens in de mailbox van de klager waarin zowel haar persoonsgegevens
als persoonsgegevens van haar contacten, verwerkt worden. De initiële verwerking
was wel transparant voor zowel de klager als haar contacten.
• Omvang van de verwerking: het betreft de verdere verwerking van
persoonsgegevens in de mailbox van de klager en bijgevolg haar persoonsgegevens,
maar ook de persoonsgegevens van derden die met haar communiceerden. Door niet
transparant te zijn over het beëindigen van de samenwerking met de klager, nam de
omvang van de persoonsgegevens van de contacten onnodig toe. De klager had
echter haar activiteiten bij de verweerder al afgebouwd, een feit waarvan de
contacten van de klager reeds op de hoogte waren door de ingesteld out-of-office
berichten van de klager. Door toedoen van de klager was de omvang dus reeds
beperkt, maar door een gebrek aan transparantie van de verweerder, werd de
omvang niet verder beperkt eens de klager geen controle meer had over haar
mailbox.
• Doel van de verwerking: het doel van het verder verwerken van persoonsgegevens
in de mailbox voor een beperkte periode bestaat er net in de contacten van de klager
op de hoogte te brengen dat de klager niet meer werkzaam was bij de verweerder.
Beslissing ten gronde 101/2026 — 47/60
Gezien de mix van persoonsgegevens en bedrijfsgevoelige gegevens in deze
mailbox, is het gebrek aan transparantie hierover problematisch en wekt het
minstens de perceptie van een bijkomend doel voor de verdere verwerking. Uit
interne documenten van de verweerder blijkt daarenboven dat er wel degelijk een
bijkomend doel bestond, met name het recupereren van bedrijfsgevoelige gegevens
uit de mailbox van de klager.
• Aantal betrokkenen: het betreft de mailbox van 1 persoon, waarin persoonsgegevens
van de klager en een onbekend aantal contacten werden verder verwerkt.
• Omvang van de schade: alhoewel schade in dit geval moeilijk in te schatten is,
argumenteert de klager dat zij minstens reputatieschade heeft opgelopen door
verschillende e-mails onbeantwoord te laten, aangezien ze niet wist dat deze e-mails
naar haar waren verzonden. Door voldoende transparantie had deze eventuele
schade net geminimaliseerd kunnen worden. Er is echter geen informatie dat de niet
transparante verdere verwerking heeft geleid tot een misbruik van de
persoonsgegevens van de klager. Gezien de professionele context van de mailbox,
kan men verwachten dat deze persoonsgegevens eerder beperkt en niet-gevoelig
zijn, alhoewel ook dringende, persoonlijke berichten in een dergelijke mailbox
verwacht kunnen worden. Daarenboven had de klager zelf haar correspondenten
reeds eerder op de hoogte gebracht dat ze via dat e-mailadres nog slechts beperkt
(voor externen) of niet meer (voor internen) bereikbaar was.
Op basis van deze beoordeling oordeelt de Geschillenkamer dat de ernst van de inbreuk
van lage zwaarte is, aangezien het een professionele context betreft waarin verwacht
mag worden dat via dit kanaal geen gevoelige persoonsgegevens werden gedeeld,
aangezien de klager zelf haar correspondenten reeds op de hoogte had gebracht van haar
beperkte bereikbaarheid en aangezien niet is aangetoond dat er misbruik werd gemaakt
van de persoonsgegevens van de klager of haar contacten, die niet transparant werden
verder verwerkt.
153. Met betrekking tot de duur van de inbreuk, blijkt uit het dossier dat de klager de
verweerder heeft verlaten op 1 mei 2023 en dat ze in januari 2024 bevestiging kreeg van
de DPO van de verweerder dat haar gegevens in haar mailbox verder werden verwerkt.
Deze bevestiging kwam er nadat zij zelf om deze transparantie had gevraagd. De klager
had echter reeds in september 2023 gemerkt dat haar mailbox nog actief was, zonder
meteen de verweerder hierover aan te spreken en dus transparantie te verkrijgen
aangaande deze verdere verwerking. Gezien de beperkte duur van de inbreuk, oordeelt
de Geschillenkamer de duur van de inbreuk van een lage zwaarte.
Beslissing ten gronde 101/2026 — 48/60
b. Artikel 83.2.b) AVG – De opzettelijke of nalatige aard van de inbreuk:
154. In casu is er geen klaarblijkelijke intentie in hoofde van de verweerder vastgesteld om met
opzet zijn transparantieplicht te overtreden, doch is er minstens sprake van nalatigheid,
waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van
de EU79. Hoewel de verweerder argumenteert dat het een eenmalige, menselijke fout
betrof, blijkt uit de beslissing dat de verweerder nalatig is geweest op het vlak van de
minimale technische en organisatorische maatregelen, met name het automatiseren van
een out-of-office bericht, om de transparantie van de verdere verwerking te garanderen.
Daarenboven bleek dat de verweerder deze kwetsbaarheid reeds had vastgesteld en een
verbetertraject had opgestart in 2022, zonder echter reeds een minimum aan voorlopige
maatregelen te nemen om de kwetsbaarheid al op te vangen. Het is pas na de klacht dat
de verweerder een eerste controle op de kwetsbare procedure had ingesteld. Uit het
dossier blijkt ook dat de verweerder op de hoogte was van eerdere beslissingen van de
Geschillenkamer over het correct, en dus transparant, verder verwerken van de mailbox
van een ex-medewerker. Gezien de verweerder zelf spreekt van ongeveer 1000
vertrekkende medewerkers per jaar, had hij hier eerder en sneller voldoende maatregelen
moeten nemen om eventuele menselijke fouten uit te sluiten. De Geschillenkamer
oordeelt dat de nalatige aard van de inbreuk als van gemiddelde zwaarte moet worden
beschouwd.
c. Artikel 83.2.g) AVG – De categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft:
155. De litigieuze verwerking betreft de persoonsgegevens van de klager en van haar
contacten in haar professionele mailbox. Hoewel dergelijke persoonsgegevens prima
facie niet van gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij
niettemin behoren tot categorieën van persoonsgegevens waarvan betrokkenen
doorgaans niet redelijkerwijs zouden verwachten dat die door de verweerder verder
verwerkt zouden worden. Deze categorie wordt als neutraal beoordeeld.
156. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van de
inbreuk bepaald. De Geschillenkamer neemt in aanmerking dat de transparantie van de
verwerking fundamenteel is voor een betrokkene. Een betrokkene moet weten dat zijn
persoonsgegevens (verder) worden verwerkt alvorens hij enige controle kan uitoefenen
op deze verwerking. Het betreft echter een verdere verwerking van persoonsgegevens
waarbij de initiële verwerking volledig transparant was en het betreft een verwerking van
79
HvJEU, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, arrest van 5 december 2023, C-807/21, ECLI:EU:C:2023:950,
randnummer 78.
Beslissing ten gronde 101/2026 — 49/60
persoonsgegevens in een professionele context, waarbij verwacht kan worden dat de
betrokkenen geen gevoelige persoonsgegevens uitwisselen. Daarenboven had de klager
zelf reeds twee out-of-office berichten ingesteld die duidelijk maakten dat ze via dat e-
mailadres nog slechts beperkt (voor externen) of niet meer (voor internen) bereikbaar
was. De Geschillenkamer concludeert dat het gaat om een inbreuk van lage zwaarte.
157. In zijn reactie op het sanctieformulier stelt de verweerder dat hij het eens is met deze
conclusie, al verwijst hij voor de beoordeling van de nalatigheid naar zijn eerdere
opmerking.
158. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 0 en 10 %
van het toepasselijke wettelijke maximumbedrag . Aangezien de verweerder reeds een
procedure tot verbetering was opgestart, beslist de Geschillenkamer om het
uitgangsbedrag aan de lagere kant van de vork vast te stellen. De Geschillenkamer zal het
uitgangsbedrag voor de verdere berekening vaststellen op 1 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG.
De omzet van de verweerder als relevant element om rekening mee te houden met het oog op
het opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van
artikel 83.1 AVG.
159. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de
administratieve geldboeten die worden opgelegd doeltreffend, evenredig en
afschrikkend zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de
omvang van de onderneming tot uiting komen.
160. Artikelen 83.4 tot 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het
voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve
geldboete. Hieromtrent geldt dat de term “voorgaande” in overeenstemming met de
rechtspraak van het Hof van Justitie in het mededingingsrecht geïnterpreteerd moet
worden, zodat de relevante gebeurtenis voor de berekening het boetebesluit van de
toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding .
161. Bij de berekening van de boete in het sanctieformulier ging de Geschillenkamer uit van de
jaaromzet van 2024, aangezien deze van 2025 nog niet gekend was. De verweerder heeft
in zijn reactie op het sanctieformulier echter bevestigd dat de jaaromzet voor 2025 804
302 737.71 EUR bedroeg. De Geschillenkamer rekent verder met dit omzetcijfer.
162. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4 % van de omzet in het
voorgaande boekjaar 32 172 109.51 EUR bedraagt, hetgeen hoger is dan 20 000 000
EUR. Aldus bedraagt de maximale totale administratieve geldboete overeenkomstig
Beslissing ten gronde 101/2026 — 50/60
artikel 83.5 AVG tot 32 172 109.51 EUR. In concreto leidt dit tot het volgende
uitgangsbedrag:
• betreffende de inbreuk op de rechtmatigheid stelde de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vast op 10 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een
uitgangsbedrag van 3 217 210.95 EUR;
• betreffende de inbreuk op de transparantieplicht stelde de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vast op 1 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een
uitgangsbedrag van 321 721.10 EUR.
Het uitgangsbedrag voor de totale administratieve boete bedraagt 3 538 932.15 EUR.
163. Overeenkomstig de Richtsnoeren van de EDPB, oordeelt de Geschillenkamer dat een
verdere aanpassing van dit uitgangsbedrag op basis van de omzet van de verweerder niet
gepast is.
III.2.3. Verzwarende en verzachtende omstandigheden
164. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft
gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard
van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking
heeft (zie hierboven), rekening houden met de overige verzwarende en verzachtende
factoren zoals genoemd in artikel 83.2 AVG80. De Geschillenkamer zal om redenen van
efficiëntie deze beoordeling voor beide inbreuken samen maken.
• Artikel 83.2.c) AVG – De door de verwerkingsverantwoordelijke of de verwerker
genomen maatregelen om de door betrokkenen geleden schade te beperken:
De Geschillenkamer stelt vast dat de verweerder meteen gecommuniceerd heeft met de
klager vanaf dat deze haar bezorgdheden had geuit. Er werd een correcte out-of-office
ingesteld, zodat de contacten op de hoogte werden gebracht van het vertrek van de
klager. Dit betreffen verzachtende omstandigheden.
• Artikel 83.2.d) AVG – De mate waarin de verwerkingsverantwoordelijke of de
verwerker verantwoordelijk is gezien de technische en organisatorische
maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 AVG:
De Geschillenkamer heeft in de beslissing vastgesteld dat het correct verder verwerken
van de persoonsgegevens van vertrekkende medewerkers en het afsluiten van de
80
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 70.
Beslissing ten gronde 101/2026 — 51/60
mailbox en verwijderen van deze persoonsgegevens een handmatig proces was, waarbij
men kan verwachten dat dit proces, gezien de stand van de techniek en de omvang van
de verweerder volledig geautomatiseerd zou verlopen, wat menselijke fouten zou
uitsluiten. De verweerder was een jaar voor het vertrek van de klager reeds begonnen met
de automatisering van deze procedure, wat echter nog steeds niet in voege was op het
moment dat de klager de verdere verwerking had vastgesteld. De Geschillenkamer
oordeelt dat het feit dat de verweerder reeds een procedure was opgestart voor het
automatiseren van het proces een verzachtende omstandigheid is.
• Artikel 83.2.e) AVG – Eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker:
Er zijn geen eerdere, relevante inbreuken vastgesteld bij de verweerder, wat een
verzachtende omstandigheid betreft.
• Artikel 83.2.f) AVG – De mate waarin er met de toezichthoudende autoriteit is
samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen
daarvan te beperken:
Niet van toepassing
• Artikel 83.2.h) AVG – De wijze waarop de toezichthoudende autoriteit kennis heeft
gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld:
De GBA heeft kennis gekregen van de inbreuk door een klacht.
• Artikel 83.2.i) AVG – De naleving van de in artikel 58, lid 2, genoemde maatregelen,
voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de
verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen:
Niet van toepassing.
• Artikel 83.2.j) AVG – Het aansluiten bij goedgekeurde gedragscodes overeenkomstig
artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel
42:
Niet van toepassing.
• Artikel 83.2.k) AVG – Elke andere op de omstandigheden van de zaak toepasselijke
verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of
vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien:
Er is geen informatie in het dossier dat erop wijst dat het onrechtmatig en niet-
transparant verder verwerken van de persoonsgegevens van de klager en haar contacten
Beslissing ten gronde 101/2026 — 52/60
enig voordeel heeft opgeleverd voor de verweerder, wat wijst op een verzachtende
omstandigheid.
165. De Geschillenkamer neemt in aanmerking dat de DPO van de verweerder onmiddellijk
heeft gereageerd op de bezorgdheden van de klager, dat de verweerder reeds een
procedure had opgestart om het beheer van de mailboxen te automatiseren, dat er geen
eerdere klachten tegen deze verweerder waren, hoewel het een grote, diffuse organisatie
betreft, en dat geen enkele informatie in het dossier erop wijst dat de verweerder enig
voordeel zou gehaald hebben uit deze inbreuken. Deze omstandigheden worden als
verzachtende omstandigheden beoordeeld.
166. De Geschillenkamer beslist
• om het uitgangsbedrag van 3 217 210.95 EUR voor de inbreuk op de rechtmatigheid
met 95% te verlagen, wat resulteert in een verlaging van 3 056 350.40 EUR naar 160
860.55 EUR.
• om het uitgangsbedrag van 321 721.10 EUR voor de inbreuk op de transparantieplicht
met 95% te verlagen, wat resulteert in een verlaging van 305 635.01 EUR naar 16
086.06 EUR.
167. De Geschillenkamer concludeert dat geen overige omstandigheid zodanig relevant is dat
het meegerekend dient te worden als een verzwarende of verzachtende omstandigheid.
III.2.4. Afstemming met het maximumbedrag
168. Het maximumbedrag voor beide boetes samen in het onderhavige geval werd hierboven
reeds berekend. Deze bedraagt overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR
of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer
hoger is.
169. De jaaromzet van de verweerder voor 2025 bedraagt 804 302 737.71 EUR. De
Geschillenkamer stelt vast dat 4 % van de jaaromzet in het voorgaande boekjaar 32 172
109.51 EUR bedraagt, hetgeen hoger is dan 20 000 000 EUR. Aldus bedraagt de
maximale administratieve geldboete overeenkomstig artikel 83.5 AVG tot 32 172 109.51
EUR.
170. In casu bedragen de twee geldboetes respectievelijk 160 860.55 EUR en 16 086.06 EUR,
wat resulteert in een totale geldboete van 176 946.61 EUR, hetgeen onder de maximale
boete van 32 172 109.51 EUR is.
III.2.5. Doeltreffendheid, redelijkheid en afschrikkend effect
Doeltreffendheid
Beslissing ten gronde 101/2026 — 53/60
171. Overweging 148 AVG benadrukt dat administratieve geldboeten moeten worden
opgelegd “[m]et het oog op een krachtiger handhaving van de regels van deze
verordening”. De opgelegde geldboete moet daarom hoog genoeg zijn om deze
doelstelling te verwezenlijken.
Gezien de jaarlijkse omzet van de verweerder, bedraagt de totale boete slechts net boven
de 0.02% van deze jaaromzet en lijkt ze dus minder doeltreffend. De Geschillenkamer is
echter van oordeel dat het opleggen van een beperkte boete op zich al doeltreffend kan
zijn, zeker in het geval van een eerste overtreding.
De Geschillenkamer overweegt dat de totale geldboete van 176 946.61 EUR in dit dossier
geschikt is om de fundamentele beginselen waarop inbreuk werd gemaakt krachtig te
handhaven.
Evenredigheid
172. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet
onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde
geldboete evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van
met name de ernst ervan.
173. In casu werd de betreffende inbreuken als van lage zwaarte en gemiddelde zwaarte
beoordeeld. Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de
Geschillenkamer:
• bij inbreuken van lage zwaarte, het uitgangsbedrag voor de verdere berekening vast
te stellen op een punt tussen de 0 en 10 % van het toepasselijke wettelijke
maximumbedrag . De Geschillenkamer merkt op dat de verweerder reeds een
procedure voor aanpassing was opgestart. Daarom stelde zij het uitgangsbedrag
voor de verdere berekening vast op 1 % van het wettelijke maximumbedrag dat is
opgenomen in artikel 83.5 AVG.
• bij inbreuken van gemiddelde zwaarte, het uitgangsbedrag voor de verdere
berekening vast te stellen op een punt tussen de 10 en 20 % van het toepasselijke
wettelijke maximumbedrag . De Geschillenkamer merkt op dat de verweerder reeds
een procedure voor aanpassing was opgestart . Daarom stelde de Geschillenkamer
het uitgangsbedrag voor de verdere berekening vast op 10 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG.
174. Daarenboven heeft de Geschillenkamer als verzachtende omstandigheden in rekening
genomen dat de DPO van de verweerder onmiddellijk heeft gereageerd op de
bezorgdheden van de klager, dat de verweerder reeds een procedure had opgestart om
het beheer van de mailboxen te automatiseren, dat er geen eerdere klachten tegen deze
verweerder waren, hoewel het een grote, diffuse organisatie betreft, en dat geen enkele
Beslissing ten gronde 101/2026 — 54/60
informatie in het dossier erop wijst dat de verweerder enig voordeel zou gehaald hebben
uit deze inbreuken. Op basis van deze verzachtende omstandigheden heeft de
Geschillenkamer de beide boetes verlaagt met 95%.
175. De Geschillenkamer oordeelt dat de boete evenredig is.
176. In zijn reactie op het sanctieformulier stelt de verweerder dat de voorgestelde boetes
absoluut niet evenredig zijn omdat ze geen rekening zouden houden met:
• het feit dat de toegang tot de mailbox van de klager beperkt was;
• de duurtijd van de procedure bij de GBA en het gebrek aan antwoord op de
adviesvraag van de verweerder aan de GBA, waardoor de verweerder door het
verzoek van de klager gedwongen werd tot het behoud van de beweerde inbreuken;
• de strikte naleving van de AVG door de verweerder, zijn snelle reacties en zijn
welwillende houding;
• het feit dat de beweerde inbreuken slechts een eenmalige inbreuk uitmaken en
• het feit dat de verweerder de verwijdering van de mailboxen reeds proactief heeft
geautomatiseerd.
177. Aangaande de beperking van de toegang tot de mailbox heeft de Geschillenkamer reeds
eerder in de beslissing vastgesteld dat de verweerder deze beperking niet aantoont, al is
hij daar wel toe in staat en dat hij ook de mailbox had kunnen exporteren en apart opslaan,
zonder dat deze gedeactiveerd met een licentie moest blijven bestaan bij de verwerker, in
casu de mailprovider van de verweerder. Het risico van een nog bestaande mailbox met
een licentie is onnoemelijk veel groter voor de data in de mailbox, waaronder de
persoonsgegevens van de klager en haar contacten, dan een geëxporteerd en beschermd
opgeslagen bestand. Daarenboven bleef de mailbox wel nog beschikbaar voor de
verweerder, zij het met een strikte procedure die gevolgd moest worden voor eventuele
toegang, terwijl de klager hierover geen enkele controle had en waarvan is vastgesteld
dat haar recht op inzage in deze mailbox ook beperkt werd. De Geschillenkamer houdt ook
rekening met het feit dat de mailbox reeds op 1 juni 2023 had moeten gewist worden om
te oordelen dat de boete evenredig is met het volledige verlies van controle van de klager
over haar persoonsgegevens in de mailbox bij de verweerder en het risico dat blijft
bestaan op de persoonsgegevens in deze gedeactiveerde mailbox met beperkte toegang.
178. Aangaande de duurtijd is de Geschillenkamer reeds eerder ingegaan op de opmerkingen
van de verweerder. Het langer verwerken van diverse persoonsgegevens van de klager
en haar contacten zonder rechtsgrond voor een periode van bijna een jaar voor de
verweerder voorstelt om deze te exporteren naar een bestand, wat uiteindelijk niet
Beslissing ten gronde 101/2026 — 55/60
gebeurt waardoor de mailbox is blijven bestaan tot op de dag vandaag is evenredig met
de hoogte van de boete.
179. Aangaande de strikte naleving van de AVG door de verweerder, stelt de Geschillenkamer
in dit dossier alleen al inbreuken vast op de rechtmatigheid, de transparantie, de
technische en organisatorische maatregelen om de principes van de AVG te garanderen,
het recht op inzage en het principe van de vertrouwelijkheid en integriteit in samenhang
met het verantwoordingsprincipe. De Geschillenkamer heeft daarenboven geen enkel
zicht op enige andere verwerking van persoonsgegevens door de verweerder, waardoor
zij onmogelijk deze naleving kan meenemen om het boetebedrag eventueel aan te
passen, naar boven of naar beneden.
180. Aangaande zijn snelle reacties wijst de Geschillenkamer de verweerder op de
verzachtende omstandigheden, waarin de reactie van de DPO op de klacht is
meegenomen in de beoordeling om de boete met 95% te verlagen.
181. Aangaande de welwillende houding oordeelt de Geschillenkamer deze houding als
neutraal, zonder meer, en ziet zij geen redenen om het boetebedrag op basis van dit
argument te verhogen of te verlagen.
182. Aangaande het feit dat deze inbreuken de eerste inbreuk betreft die werd vastgesteld
door de Geschillenkamer wijst ze de verweerder op de verzachtende omstandigheden,
waarin het feit dat er geen eerdere klachten tegen de verweerder werden ingediend is
meegenomen in de beoordeling om de boete met 95% te verlagen.
183. Aangaande het feit dat de verweerder de automatisering van het afsluiten van de
mailboxen proactief had opgestart en uitgevoerd, wijst de Geschillenkamer op de
verzachtende omstandigheden, waarin het feit dat de verweerder reeds een procedure
was opgestart is meegenomen in de beoordeling om de boete met 95% te verlagen.
184. De Geschillenkamer is zich bewust van de hoogte van het absolute bedrag van de boete
in dit dossier, maar in verhouding tot de jaaromzet van de verweerder acht zij deze boete
eerder aan de lage kant, in concreto slechts 0,02% van zijn jaaromzet.
Afschrikkend effect
185. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de
specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete
een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en
regelingen te schenden.
186. Het afschrikkende karakter van de boete moet twee dimensies hebben. Het moet de
persoon aan wie de boete wordt opgelegd ervan weerhouden de inbreuk in de toekomst
Beslissing ten gronde 101/2026 — 56/60
te herhalen, maar het moet ook andere personen ervan weerhouden het inbreukmakende
gedrag van de eerste persoon te herhalen.
187. Verschillende factoren bepalen de afschrikkende werking van een boete: de aard en het
bedrag van de boete en de waarschijnlijkheid dat de boete wordt opgelegd, zijn in dit
opzicht doorslaggevend. Een boete moet hoog genoeg zijn om een aanzienlijke financiële
impact te hebben op de onderneming die de inbreuk pleegt, terwijl de boete in verhouding
moet staan tot de ernst van de inbreuk. Met andere woorden, het criterium van
afschrikking overlapt met dat van doeltreffendheid. Het is van belang dat ondernemingen
geen financiële winst kunnen maken op basis van een onrechtmatige verwerking van
persoonsgegevens.
188. In het onderhavige geval is de totale boete laag ten opzichte van de omzet van de
verweerder. Het boetebedrag blijft evenwel, gezien haar absolute bedrag, voldoende
afschrikkend om te voorkomen dat de verweerder haar inbreuk op de regels van de AVG
herhaalt. Bovendien is het ook bedoeld om andere ondernemingen ervan te weerhouden
soortgelijke inbreuken te plegen. Deze boete, die evenredig is aan de ernst van de inbreuk
en rekening houdt met de omzet van de verweerder, is bedoeld om zowel een specifieke
als een algemene afschrikkende werking te hebben.
189. In zijn reactie op het sanctieformulier stelt de verweerder dat de boete geen enkel
specifiek afschrikwekkend effect op hem heeft omdat alle maatregelen reeds zijn
genomen om toekomstige gelijkaardige inbreuken te vermijden. De verweerder verwijst
ook naar het arrest van het Marktenhof van 22 januari 2025, waarin het ging over een
specifieke, geïsoleerd overtreding die veroorzaakt werd door nalatigheid en niet het
gevolg was van een intentionele daad.81 De Geschillenkamer herhaalt82 dat een
administratieve boete niet tot doel heeft om de verwerking in overeenstemming te
brengen met de principes van de AVG, waarvoor reeds corrigerende maatregelen werden
opgelegd, maar wel tot doel heeft een krachtige handhaving van de regels van de AVG te
garanderen, zowel naar de verweerder als naar andere verwerkingsverantwoordelijken in
een gelijkaardige situatie. Inzake de verwijzing naar beslissing 2024/AR/1615 van het
Marktenhof, wijst de Geschillenkamer erop dat
• het opleggen van een administratieve boete een opportuniteitsbeoordeling is die de
Geschillenkamer in volle bevoegdheid moet maken op basis van de concrete
elementen van de zaak;
81
Stuk 39, Verweer van [verweerder] van 24 april 2026, p. 19, randnummer 12.
82
Zie hiervoor randnummer 106 van deze beslissing.
Beslissing ten gronde 101/2026 — 57/60
• binnen de scope van deze klacht vijf verschillende overtredingen werden
vastgesteld, waarvan voor slechts twee overtredingen een administratieve
geldboete wordt opgelegd en
De Geschillenkamer ziet geen reden om haar boetebedrag aan te passen op basis van
deze argumenten van de verweerder.
190. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend
met de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de
andere criteria van artikel 83.2 AVG in dit geval niet van aard zijn dat zij leiden tot een
andere administratieve geldboete dan die welke de Geschillenkamer in het kader van
deze beslissing heeft vastgesteld.
Beslissing ten gronde 101/2026 — 58/60
IV. Publicatie van de beslissing
191. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
Beslissing ten gronde 101/2026 — 59/60
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG de verweerder te
bevelen voldoende technische en organisatorische maatregelen te nemen teneinde
de persoonsgegevens in de mailboxen van vertrekkende medewerkers conform
deze beslissing verder te verwerken en af te sluiten en dit aan te tonen aan de
Geschillenkamer omwille van de inbreuk op artikel 24 AVG;
- op grond van artikel 58.2.c AVG en artikel 100, § 1, 6° WOG de verweerder te
bevelen om inzage te verlenen aan de klager in al haar persoonsgegevens conform
deze beslissing omwille van de inbreuk op de artikelen 12 en 15 AVG;
- op grond van artikel 58.2.g AVG en artikel 100, § 1, 10° WOG de verweerder te
bevelen om alle persoonsgegevens aangaande de mailbox van de klager na het
verlenen van inzage te verwijderen omwille van de inbreuk op artikel 5.1.a AVG
juncto artikel 6.1 AVG;
- op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG de verweerder te
bevelen om de registratie van de toegang tot de mailbox van de klager van 1 mei
2023 tot de wissing van de mailbox over te maken aan de klager, zonder evenwel
persoonsgegevens van derden zichtbaar te laten, of aan te tonen dat deze gegevens
niet meer beschikbaar zijn bij de verweerder omwille van de inbreuk op artikel 5.1.f
AVG juncto artikel 5.2 AVG;
De verweerder heeft een termijn van 30 dagen te rekenen vanaf de kennisgeving van
deze beslissing om deze vier bevelen uit te voeren.
- de verweerder te bevelen de Geschillenkamer van de
Gegevensbeschermingsautoriteit per e-mail binnen dezelfde termijn op de hoogte
te stellen van het gevolg dat aan deze beslissing wordt gegeven via het e-mailadres
[email protected].
- op grond van artikel 83.2 AVG, artikel 100, §1, 13° en artikel 101 WOG de verweerder
een administratieve boete van 160 860.55 EUR op te leggen omwille van de inbreuk
op artikel 5.1.a AVG juncto artikel 6.1 AVG en
- op grond van artikel 83.2 AVG, artikel 100, §1, 13° en artikel 101 WOG de verweerder
een administratieve boete van 16 086.06 EUR op te leggen omwille van de inbreuk
op de artikelen 12 en 13 AVG.
Beslissing ten gronde 101/2026 — 60/60
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten83. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.84, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
83
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
84
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.