1/31
Geschillenkamer
Beslissing ten gronde 108/2024 van 27 augustus 2024
Dossiernummer : DOS-2020-00072
Betreft : Verkrijging van ledenlijst in het kader van een overname door de overnemende
voetbalclub en aanwending van de verkregen persoonsgegevens voor commerciële
mailings
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: De heer X, hierna “de klager”
De verweerder: Y, vertegenwoordigd door raadsman Nicolas Wesling en algemeen directeur
de heer […], hierna “de verweerder”
Beslissing ten gronde 108/2024 — 2/31
I. Feiten en procedure
1. Op 8 januari 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen verweerder. Voordien had de klager het dossier reeds voor bemiddeling aan de
Eerstelijnsdienst voorgelegd, maar de klager stelt dat deze bemiddelingsprocedure geen
afdoende resultaat heeft opgeleverd.
2. Het voorwerp van de klacht betreft de ontvangst van een ongewenste commerciële mail
verzonden op 2 oktober 2018 door de verweerder aan de klager. Naar aanleiding hiervan
heeft de klager zich op 3 oktober 2018 gericht tot de verweerder met de vraag hoe zijn
persoonsgegevens werden verkregen zonder zijn medeweten, aangezien hij deze nooit zelf
aan de verweerder heeft gegeven. Bijgevolg verzocht hij de verweerder om inzage te
verkrijgen in zijn persoonsgegevens, waarbij de klager uitdrukkelijk verzocht om mee te
delen hoe de verweerder zijn persoonsgegevens heeft verkregen en op welke rechtsgrond
deze worden verwerkt. Volgens de klager heeft de verweerder geen afdoende antwoord
verstrekt op zijn verzoek tot inzage, maar heeft de verweerder enkel gemeld dat zijn
persoonsgegevens werden gewist, hoewel de klager daar niet om heeft verzocht.
Bovendien haalt de klager aan dat toch nog ongewenste mails aan hem werden verzonden
niettegenstaande de melding van gegevenswissing door de verweerder.
3. De klacht kadert binnen een faillissement waarbij de curator in eerste instantie op 8 juni
2018 een overdracht van het ledenbestand van de gefailleerde voetbalclub bewerkstelligde
aan W BV, waarna het bestand vervolgens op 13 juni 2018 werd overgedragen aan de
verweerder. De persoonsgegevens van de abonnees van de gefailleerde club bevonden zich
reeds vóór het faillissement in de database van Z, een besloten vennootschap naar
Nederlands recht, aangezien de gefailleerde club had beslist om samen te werken met Z
voor wat betreft de communicatie met de supporters. De verweerder besliste op zijn beurt
om de samenwerking met Z verder te zetten.
4. Op 10 februari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
5. Op 5 maart 2020 beslist de Geschillenkamer op grond van artikel 63, 2° en 94, 1° WOG een
onderzoek te vragen aan de Inspectiedienst.
6. Op 6 maart 2020 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
7. Op 1 december 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het
verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal
overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Beslissing ten gronde 108/2024 — 3/31
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit,
samengevat, dat:
1. De Inspectiedienst stelt vast dat de overdracht van persoonsgegevens door W BV
aan de verweerder niet rechtstreeks en formeel is gedocumenteerd zoals vereist
door artikel 5.2. AVG en artikel 26.1. AVG.
2. Z kan worden beschouwd als verwerker in de zin van artikel 4. 8) AVG. Een
verwerkersovereenkomst ontbreekt evenwel waardoor artikel 28.3. AVG is
geschonden.
3. De verweerder heeft artikel 6 AVG geschonden bij gebrek aan een geldige grondslag
zowel voor de overdracht van de persoonsgegevens van de failliete club aan de
verweerder, als voor de mailing aan de abonnees van de gefailleerde club.
4. De verweerder heeft het doelbindingsbeginsel (artikel 5.1 AVG) geschonden,
aangezien de verstrekking van persoonsgegevens door de curator aan een andere
verwerkingsverantwoordelijke, zijnde de verweerder, niet op basis van
verenigbaarheid met het verzameldoeleinde kan plaatsvinden. Het standpunt van de
Inspectiedienst is gebaseerd op een visie die eerder werd ingenomen door de
Nederlandse toezichthouder (Autoriteit Persoonsgegevens). De Inspectiedienst
koppelt hieraan ook een schending van artikel 5.2. AVG.
5. De informatie over doorgifte aan derden in de privacy policy is onduidelijk en niet in
overeenstemming met artikel 12.1. AVG. Het verslag van de Inspectiedienst stelt dat
de privacy policy verwijst naar zowel de Richtlijn 95/46/EG als naar de AVG. Dit doet
volgens de Inspectiedienst vermoeden dat de privacy policy dateert van de periode
tussen de publicatiedatum van de AVG op 4 mei 2016 en 25 mei 2018. Het verslag
vermeldt dat een hypothese is dat het privacybeleid van de failliete vennootschap
werd overgenomen, zij het met vervanging van de contactgegevens.
6. De verweerder schendt de informatieplicht via de diverse privacyverklaringen op […]
die niet werden gecoördineerd. Derhalve is er sprake van een schending van de
artikelen 12, 13 en 14 AVG.
7. Aangaande de websites wordt vastgesteld dat de drie cookie verklaringen – die zijn
te onderscheiden van de privacyverklaringen – niet zijn opgesteld in
overeenstemming met de informatieplicht van de artikelen 12, 13 en 14 AVG. De
toestemmingsvereiste op de websites is niet correct ingebouwd zoals vereist door
artikel 7.2. en 7.3. AVG. De onderscheiden websites respecteren niet de beginselen
van gegevensbescherming door ontwerp en standaardinstellingen waardoor artikel
25 AVG is geschonden. Het beginsel van opslagbeperking (artikel 5.1 e) AVG) wordt
niet gerespecteerd doordat de websites cookies te lang bewaart.
Beslissing ten gronde 108/2024 — 4/31
8. De verklaringen inzake privacy en cookies op de websites zijn niet coherent en niet
opgesteld in overeenstemming met de artikelen 5.1. a); 6; 7.3.; 12.1., 13 en 14 AVG.
9. Het recht van inzage (artikel 15 AVG) van de klager werd geschonden door de
verweerder.
10. De wijze van opvragen van persoonsgegevens op de websites gebeurt niet in
overeenstemming met het beginsel van gegevensbescherming door ontwerp en
door standaardinstellingen (artikel 25 AVG)
11. De informatie opgenomen in het register van de verwerkingsactiviteiten
beantwoordt niet aan de vereisten van artikel 30.1. AVG.
12. De medewerkingsplicht is geschonden (artikel 31 AVG).
8. Op 3 maart 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken
partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99
WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd
daarbij vastgelegd op 15 april 2021, deze voor de conclusie van repliek van de klager op 6
mei 2021 en deze voor de conclusie van repliek van de verweerder op 27 mei 2021.
Op 22 maart 2021 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG),
dewelke hem werd overgemaakt op 6 april 2021. Tevens aanvaardt de verweerder
elektronisch alle communicatie omtrent de zaak, meldt hij verweermiddelen te zullen
indienen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden
gehoord, overeenkomstig artikel 98 WOG.
9. Op 15 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. Vooreerst zet de verweerder feitelijk en op basis van toegevoegde stukken
uiteen op welke wijze hij het ledenbestand van de gefailleerde club heeft verkregen, waarbij
de specifieke omstandigheden worden onderstreept, namelijk de gegevensoverdracht
ingevolge faillissement met de daaropvolgende doorstart, alsook het tijdskader, namelijk
het samenvallen met het van toepassing worden van de AVG. In het bijzonder voor wat
betreft de verzending van e-mails aan de klager stelt de verweerder dat werd voorzien in een
knop “Afmelden” en dat de mogelijke schade voor de betrokkene was beperkt tot de
ontvangst van één ongewenste mail. Voor de verzending van de e-mail beroept de
verweerder zich op zijn gerechtvaardigd belang. De verweerder voert aan dat zowel de
privacy- als de cookieverklaring werden aangepast aan de opmerkingen van de
Inspectiedienst en dat elke e-mail een link bevat die leidt naar de privacyverklaring. Tot slot
merkt de verweerder op dat noch Z, noch de curator enig voorbehoud hebben geformuleerd
Beslissing ten gronde 108/2024 — 5/31
bij de overdracht van de gegevens of de verzending van commerciële berichten naar de in
het ledenbestand opgenomen personen.
10. Op 3 mei 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager waarin
hij benadrukt dat zijn verzoek aan de verweerder niet de verwijdering van zijn gegevens
betrof, maar dat hij wel van de verweerder wenste te vernemen hoe zijn gegevens werden
verkregen. Doordat de verweerder bleef weigeren daaromtrent verduidelijking te
verstrekken, heeft deze volgens de klager de AVG heeft geschonden. De klager stelt dat de
door de verweerder aangehaalde onzekerheid over de toepassing van de AVG in de eerste
maanden na de inwerkingtreding 1 ervan geen argument is, aangezien daarover vooraf
uitgebreid is gecommuniceerd. De klager reageert eveneens op de bewering van de
verweerder dat de intentie van de klager erin zou bestaan om schade te berokkenen aan de
verweerder, eerder dan om zijn belangen te beschermen. De klager verklaart dat hij voordien
reeds het slachtoffer is geweest van identiteitsfraude waardoor hij bijzondere aandacht
heeft voor de bescherming van zijn persoonsgegevens.
11. Op 27 mei 2021 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder
die de onderscheiden elementen zoals aangevoerd in de conclusie van antwoord herneemt
en actualiseert door stukken bij te voegen, teneinde aan te tonen dat inmiddels werk werd
gemaakt van oplossingen van problemen die uit het verslag van de Inspectiedienst naar voor
kwamen.
12. Op 22 januari 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 20 februari 2024.
13. Op 20 februari 2024 worden de partijen gehoord door de Geschillenkamer.
14. Op 22 februari 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
15. Op 22 februari 2024 ontvangt de Geschillenkamer vanwege de klager een opmerking met
betrekking tot het proces-verbaal , dewelke zij beslist mee op te nemen in haar beraad.
16. Op 4 juli 2024 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar
gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het
bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen,
voordat de sanctie effectief wordt opgelegd.
17. Op 13 augustus 2024 ontvangt de Geschillenkamer de reactie van de verweerder op het
voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag
daarvan. De verweerder bevestigt zonder meer zich neer te leggen bij de voorgestelde
geldboete van 8.000 EUR. Hij voegt daaraan enkel toe dat het voorgestelde bedrag
1
De klager verwijst hiermee kennelijk naar de datum waarop de AVG van toepassing is geworden, namelijk 25 mei 2018 (artikel
99.2 AVG), niet de datum van inwerkingtreding, namelijk 24 mei 2016 (artikel 99.1 AVG)
Beslissing ten gronde 108/2024 — 6/31
niettemin als disproportioneel hoog wordt ervaren, maar laat evenwel na hiervoor enige
argumentatie aan te voeren.
II. Motivering
a) Rechtsgrond
• Doorgifte van het ledenbestand aan de curator en vervolgens overdracht aan de
verweerder
18. Vooreerst gaat de Geschillenkamer na of de verweerder op rechtmatige wijze in het bezit is
gekomen van de persoonsgegevens van de klager. Oorspronkelijk werden de
persoonsgegevens van de klager in diens hoedanigheid van abonnee van V, door deze club
rechtmatig verkregen binnen het kader van het lidmaatschap van de klager van die club.
Deze verkrijging maakt als dusdanig niet het voorwerp uit van enige betwisting. V werd
evenwel op 14 mei 2018 failliet verklaard. De activa, met inbegrip van alle data van abonnees,
waaronder dus ook deze van de klager, zijn vanaf dat ogenblik in beheer bij de curator belast
met vereffening van de failliete boedel alvorens op basis van de overeenkomst d.d. 8 juni
2018 aan W BV te worden overgedragen, onmiddellijk gevolgd door de overdracht op 13 juni
2018 aan de verweerder. Voorafgaand aan de eigenlijke overdracht aan de verweerder van
de activa, met inbegrip van het ledenbestand, neemt de curator aldus de rol van
verwerkingsverantwoordelijke over van de gefailleerde voetbalclub. Daarbij staat vast dat
de curator dit bestand verwerkt voor een doeleinde dat is te onderscheiden van het initiële
doeleinde. Daar waar het initiële doeleinde op het ogenblik van de verkrijging in hoofde van
de gefailleerde erin bestond om het lidmaatschap van de klager vast te leggen met alle
daarbij horende faciliteiten en communicatie omtrent activiteiten van de club, beschikt de
curator vanaf het faillissement van rechtswege over dezelfde persoonsgegevens voor een
volstrekt ander doeleinde, namelijk de tegeldemaking van de in de boedel vallende activa die
in voorliggend geval ook persoonsgegevens bevatten. Vermits deze gegevensoverdracht
een verwerking vormt in de zin van artikel 4. 2) AVG voor een nieuw doeleinde dat is te
onderscheiden van het aanvankelijke doeleinde, namelijk het vastleggen van het
lidmaatschap van de voetbalclub, gaat de Geschillenkamer na of dit nieuwe doeleinde
waarvoor het ledenbestand wordt verwerkt binnen het kader van een faillissement al dan
niet als verenigbaar kan worden beschouwd met het aanvankelijke doeleinde zoals ter
kennis gebracht aan de klager op het ogenblik dat hij zich als supporter aansloot bij de club.
19. Overeenkomstig artikel 5.1. b) AVG kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel
worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de
persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria
Beslissing ten gronde 108/2024 — 7/31
opgenomen in artikel 6.4. AVG en overweging 50 AVG 2 dient aldus te worden nagegaan of
de verdere verwerking, in casu de overdracht van het ledenbestand – met daarin
opgenomen de gegevens van de klager – aan de curator en vervolgens aan een overnemer
van de in de boedel vallende activa (in dit geval de verweerder), al dan niet verenigbaar is met
de initiële verwerking bestaande uit de registratie van het lidmaatschap van
voetbalsupporters. De Geschillenkamer komt tot het besluit dat de klager zijn
persoonsgegevens aan de failliet verklaarde club heeft toevertrouwd om zich aan te sluiten
bij de club als abonnee en er zich geenszins redelijkerwijs aan kon verwachten dat diezelfde
gegevens in het kader van een eventueel later faillissement zouden worden aangewend
voor overdracht aan een curator zonder dat de klager zich hiertegen kan verzetten en zonder
dat de klager hierover werd geïnformeerd, en dit ongeacht het doeleinde waarvoor de
curator op zijn beurt de verkregen persoonsgegevens zal verwerken. De Geschillenkamer
verduidelijkt hierbij dat zij bij de beoordeling van de redelijke verwachtingen van de klager in
overweging neemt dat de curator het aldus verkregen ledenbestand binnen het kader van
zijn wettelijke opdracht op zijn beurt kan te gelde maken voor enig ander van het
oorspronkelijk doel te onderscheiden doeleinde en diens opdracht geenszins is beperkt tot
het bewerkstelligen van een doorstart van de club. Aangezien de curator er niet toe is
gehouden louter een doorstart mogelijk te maken, maar het daarentegen mogelijk is dat van
zodra zich een faillissement voordoet de curator het ledenbestand te gelde kan maken voor
enig ander nieuw doeleinde en dit tegen de wil in van de betrokkenen, kan de
gegevensverwerking in hoofde van de curator in geval van faillissement niet zonder meer
worden beschouwd als een verenigbare verdere verwerking.
20. De vaststelling dat er geen sprake is van een verenigbare verdere verwerking leidt ertoe dat
een afzonderlijke rechtsgrond is vereist opdat de overdracht van het ledenbestand door de
curator aan de verweerder als rechtmatig zou kunnen worden bestempeld.
21. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere
verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een
rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden
teruggevallen op artikel 6.1. AVG en overweging 50 AVG. Overweging 50 AVG3 stelt dat een
afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere
2
Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake
rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling
tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn
verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de
verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de
voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de
voorgenomen verdere verwerkingen.
3
Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens
aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor
de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op
grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
Beslissing ten gronde 108/2024 — 8/31
doeleinden die niet verenigbaar zijn met de doeleinden waarvoor de persoonsgegevens
aanvankelijk zijn verzameld. De afzonderlijke rechtsgronden op basis waarvan een
verwerking, met inbegrip dus van onverenigbare verdere verwerkingen, als rechtmatig kan
worden beschouwd, zijn vastgelegd in artikel 6.1. AVG.
22. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel
6.1. AVG kunnen worden ingeroepen door de verweerder teneinde de verdere verwerking
van de persoonsgegevens die betrekking hebben op de klager te rechtvaardigen. Het
verslag van de Inspectiedienst verwijst hiervoor naar een brief die door de Autoriteit
Persoonsgegevens op 6 januari 2020 werd gericht aan de Nederlandse Vereniging voor
Insolventierecht Advocaten (INSOLAD)4 en die stelt dat voor de overdracht van het
ledenbestand door de curator aan derde partijen (zoals de verweerder) de voorafgaande,
geïnformeerde toestemming is vereist van elk van de leden afzonderlijk. In het voorliggende
dossier is hier echter geen sprake van.
23. Vermits er voor het overige geen elementen in het dossier aanwezig zijn die wijzen op een
mogelijke andere rechtsgrond zoals opgenomen in artikel 6.1 AVG, gaat de
Geschillenkamer na of de doorgifte van het ledenbestand door de curator aan de
verweerder kan worden gebaseerd op artikel 6.1 f) AVG, bestaande uit het gerechtvaardigd
belang van de curator om over te gaan tot die doorgifte. De Geschillenkamer is immers van
oordeel dat met het oog op volledigheid van de analyse omtrent de rechtsgrond alle
mogelijke rechtsgronden dienen te worden onderzocht. Dit is niet het geval in de
voormelde brief die door de Autoriteit Persoonsgegevens werd gericht aan INSOLAD
waarin alleen toestemming (artikel 6.1 a AVG) als rechtsgrond voor doorgifte door de
curator wordt vooropgesteld zonder dat wordt nagegaan of gerechtvaardigd belang
(artikel 6.1 f) AVG) als mogelijke rechtsgrond kan fungeren. Ook in het verslag van de
Inspectiedienst ontbreekt het onderzoek naar de toepassing van artikel 6.1 f) AVG als
mogelijke rechtsgrond voor de doorgifte van het ledenbestand door de curator aan de
verweerder, waarbij wordt onderzocht of de curator als verwerkingsverantwoordelijke
voor de doorgifte aan een derde zich al dan niet kan beroepen op het gerechtvaardigd
belang. In het verslag van de Inspectiedienst wordt weliswaar aangehaald dat voor de
litigieuze verwerking zelf (de overdracht van persoonsgegevens uit de failliete boedel aan
de verweerder en/of via Z) geen expliciete uitleg werd gegeven door de verweerder die een
beroep op artikel 6.1 f) AVG kan rechtvaardigen, hoewel de Inspectiedienst stelt dat zij in
haar schrijven van 25 maart 2020 gericht aan de verweerder nochtans heeft verwezen naar
4
Vereniging voor Insolventierecht Advocaten (INSOLAD). Via INSOLAD beoogt de AP (Autoriteit Persoonsgegevens
Nederland) zoveel mogelijkinsolventierechtadvocaten en faillissementscuratoren op het wettelijk kader te wijzen dat van
toepassing is op de verwerking van persoonsgegevens in de boedel van een gefailleerde (rechts)persoon, en de
verantwoordelijkheid voor de naleving van de AVG die in dat kader op de curator rust. De brief stelt het volgende:
“Bij de verkoop van persoonsgegevens (e.g. in de vorm van een klantenbestand) (…) is sprake van een verstrekking aan een
andere verwerkingsverantwoordelijke. (…) Een dergelijke verstrekking van persoonsgegevens dient te worden gebaseerd op
de voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.”
Beslissing ten gronde 108/2024 — 9/31
de juridische elementen die moeten worden aangetoond voor de toepassing van artikel 6.1
f) AVG. De Geschillenkamer stelt echter vast dat het desbetreffende schrijven enkel
vermeldt dat de verweerder beroep doet op het “rechtmatig belang” om de rechtmatigheid
van de verwerking(en) aan te tonen en dat daartoe drie elementen (legitiem belang,
noodzakelijkheid van de verwerking, belangenafweging) dienen te worden aangetoond. Er
wordt in het betreffende schrijven van de Inspectiedienst alleen in algemene
bewoordingen vermeld “verwerking(en)” zonder daarbij te preciseren dat van de
verweerder wordt verwacht de rechtsgrond te rechtvaardigen voor “de doorgifte van het
ledenbestand uit de failliete boedel”. Dit brengt de Inspectiedienst er vervolgens toe te
stellen dat de rechtsgrond voor de initiële doorgifte niet is toegelicht noch aangetoond
door de verweerder. Het verslag bevat verder geen duiding dienaangaande. Het
inspectieverslag gaat enkel nader in op het gerechtvaardigd belang in hoofde van de
verweerder als verwerkingsverantwoordelijke waarbij de Inspectiedienst zich beperkt tot
de vraag of de verweerder de uit de failliete boedel verkregen gegevens kan gebruiken
voor de verzending van mailings op basis van artikel 6.1 f) AVG. De Inspectiedienst neemt
daarbij als vertrekpunt direct marketing als het door de verweerder nagestreefde
doeleinde om te toetsen of artikel 6.1 f) AVG van toepassing kan zijn. De Geschillenkamer
is echter van oordeel dat het cruciaal is om voorafgaand daaraan de vraag te stellen of de
overdracht van het ledenbestand door de curator aan de verweerder op rechtmatige wijze
heeft plaatsgevonden om pas daarna de vraag te stellen of de verweerder de verkregen
gegevens kon hergebruiken voor verzending van mailings.
24. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de
Europese Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan
opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze
rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een
gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan
wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van
de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde
plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de
gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”5).
25. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond
van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere
woorden aan te tonen dat:
1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden
erkend (de “doeltoets”);
5
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA,
overweging 40.
Beslissing ten gronde 108/2024 — 10/31
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden
en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
26. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het afwikkelen van een faillissement moet worden beschouwd als uitgevoerd
met oog op een gerechtvaardigd belang. Het laat de curator toe zijn in Boek XX van het
Wetboek van Economisch recht (WER) verankerde opdracht te vervullen, namelijk overgaan
tot de vereffening van de failliete boedel zoals bepaald in artikel XX.98 WER6. Deze
wettelijke opdracht houdt in dat de curator ertoe is gehouden over te gaan tot verkoop van
de activa die zich nog in de boedel bevinden, teneinde de schulden van de gefailleerde ten
aanzien van diens schuldeisers te voldoen. Het staat daarbij voorop dat de curator tracht te
verkopen aan de hoogst mogelijke prijs, hetwelk in zekere zin een commercieel belang
impliceert. Dergelijk commercieel belang kan een gerechtvaardigd belang zijn
overeenkomstig overweging 47 AVG . Dit wordt ook ondersteund in Advies 06/2014 van de
7
Groep Gegevensbescherming Artikel 298. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG9.
27. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de
verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit
betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen
hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder
een onnodig ingrijpende verwerking voor de betrokkenen.
6
Art. XX.98 WER. De faillissementsprocedure strekt ertoe het vermogen van de schuldenaar onder bevoegdheid van een
curator te plaatsen die belast is het vermogen van de gefailleerde te beheren en te vereffenen en de opbrengst ervan te
verdelen onder de schuldeisers.
7
Overweging 47 vermeldt dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden
beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Direct marketing is aldus een voorbeeld van een
commercieel belang dat als gerechtvaardigd belang wordt beschouwd..
Zie eveneens: het arrest van het Europees Hof van Justitie van 29 juli 2019 (case -40/17 Fashion ID)
8
Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7
van Richtlijn 95/46/EG:
“Het feit dat de voor de verwerking verantwoordelijke een dergelijk gerechtvaardigd belang heeft bij de verwerking van
bepaalde gegevens, houdt niet in dat hij kan vertrouwen op artikel 7, onder f), als rechtsgrond voor de verwerking. De
rechtvaardigheid van het belang van de voor de verwerking verantwoordelijke is slechts een beginpunt, een van de elementen
die overeenkomstig artikel 7, onder f), moeten worden geanalyseerd. Of artikel 7, onder f), kan worden gebruikt, hangt af van
de uitkomst van de afweging die daarop volgt.
Ter illustratie: een voor de verwerking verantwoordelijke kan een gerechtvaardigd belang hebben om de voorkeuren van zijn
klanten te weten te komen, zodat hij aanbiedingen beter kan personaliseren en, uiteindelijk, producten en diensten kan bieden
die beter voldoen aan de behoeften en wensen van zijn klanten. Gelet hierop kan artikel 7, onder f), een geschikte rechtsgrond
zijn voor sommige soorten marketingactiviteiten, zowel online als offline, mits er passende waarborgen bestaan (waaronder
een bruikbaar mechanisme waarmee overeenkomstig artikel 14, onder b) verzet kan worden ingesteld tegen een dergelijke
verwerking, zoals zal worden aangetoond in afdeling III.3.6 Het recht op verzet en verder).”[eigen onderlijning]
9
Zie ook Beslissing ten gronde 46/2024 van 15 maart 2024.
Beslissing ten gronde 108/2024 — 11/31
28. De Geschillenkamer neemt hierbij in overweging dat in voorliggend geval sprake is van een
doorstart van de voetbalclub door de verweerder, zoals blijkt uit de feitelijke elementen
aangehaald in de conclusie van de verweerder. Dit betekent noodzakelijkerwijs een verkoop
van de voetbalclub in zijn geheel aan de verweerder met het oog op de voortzetting van de
club. Om die doorstart te kunnen verwezenlijken, is het vereist en dus noodzakelijk dat het
ledenbestand mee wordt overgedragen aan de overnemende club, in dit geval de
verweerder. Zonder de contactgegevens van de abonnees, in voorliggend geval beperkt tot
voornaam, familienaam en e-mailadres, kunnen de abonnees niet worden bereikt en zou de
facto elke doorstart na een faillissement onmogelijk worden gemaakt. Dit leidt tot het besluit
dat ook aan de tweede voorwaarde van artikel 6.1 f) AVG is voldaan.
29. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en
de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden
voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de
redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd
of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens
redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”10.
30. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc
M5A-ScaraA” van 11 december 201911, waarin het stelt:
“Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn
of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven
omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van
de gegevens kan verwachten”.
31. De Geschillenkamer gaat na of het belang van de verweerder in verhouding staat tot de
impact die het heeft op de fundamentele rechten en vrijheden van de betrokkenen,
waaronder de klager. Hieromtrent merkt de Geschillenkamer op dat het vaststaat dat de
wettelijke opdracht van de curator erin bestaat de belangen te behartigen van de
schuldeisers. De curator zal dus de hoogst mogelijke opbrengst wensen te realiseren door
het gehele vermogen, waaronder het volledige ledenbestand, van de gefailleerde te
verkopen aan de doorstarter. Het ledenbestand is immers te beschouwen als essentieel in
hoofde van de doorstarter, vermits het beschikken over de contactgegevens van de
abonnees het uitgangspunt vormt om een doorstart mogelijk te maken.
32. Daartegenover staat het belang van de abonnees om zelf te kunnen blijven beschikken over
hun persoonsgegevens, zodanig dat deze niet worden overgedragen aan een overnemer –
10
Overweging 47 AVG.
11
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58.
Beslissing ten gronde 108/2024 — 12/31
in dit geval de verweerder – zonder daarvan in kennis te zijn gesteld en zonder zich daartegen
te hebben kunnen verzetten. Daarbij mag evenwel niet uit het oog worden verloren dat het
binnen het normale verwachtingspatroon van de klager valt dat in geval van faillissement,
de curator overgaat tot de verkoop van de activa mét het daarbij horende ledenbestand in
functie van de beoogde doorstart van de club. In casu heeft de curator immers zoals blijkt uit
de overeenkomst d.d. 13 juni 2018, het ledenbestand integraal overgedragen aan de
verweerder met het oog op de doorstart van de club. Deze doorstart vormt voor de
Geschillenkamer een fundamenteel element bij de belangenafweging. Dergelijke doorstart
is ook in het belang van de abonnees in die zin dat bij een bestendiging van het initiële
doeleinde dat door de overnemende club aldus ongewijzigd wordt voortgezet en waardoor
de impact op de gegevensbescherming van de abonnees als minimaal moet worden
beschouwd, erop is gericht de abonnees ervan te verzekeren verder te kunnen genieten van
de voordelen die aan het lidmaatschap zijn verbonden.
33. Hierbij dient ook in overweging te worden genomen dat het de gegevensverwerking met
betrekking tot het lidmaatschap enkel de registratie van de voornaam, de achternaam en
het e-mailadres betreft. De impact op de klager is dus uitermate gering en de verwerking
van zijn persoonsgegevens is tot een minimum beperkt.
34. Het geheel van bovenstaande elementen brengt de Geschillenkamer tot het besluit dat ook
aan de derde voorwaarde is voldaan en de doorgifte van het klantenbestand door de curator
aan de verweerder kan worden gebaseerd op de rechtsgrond van artikel 6.1 f) AVG,
waardoor deze onverenigbare verdere verwerking als rechtmatig in de zin van artikel 6 AVG
moet worden beschouwd. In die zin is dan ook in de door de curator opgestelde
overeenkomst d.d. 13 juni 2018 opgenomen dat de verweerder alle rechten en
verplichtingen houdt met betrekking tot de voormalige voetbalclub die het voorwerp
uitmaakte van het faillissement. Uit de feitelijke elementen van het dossier blijkt aldus dat
voor wat betreft de verkrijging van de persoonsgegevens van de abonnees, waaronder deze
van de klager, de verweerder de rechten en verplichtingen van de voormalige, failliet
verklaarde voetbalclub heeft overgenomen, met inbegrip van deze omtrent het
gegevensbestand betreffende de abonnees waardoor dient te worden vastgesteld dat de
gegevens van de klager overeenkomstig artikel 6 AVG op rechtmatige wijze aan de
verweerder werden overgedragen.
35. De vraag of de curator de verplichting is nagekomen op grond van artikel 12 AVG juncto
artikel 14 AVG, teneinde een transparante gegevensverwerking te waarborgen waarbij aan
de betrokkenen de vereiste informatie wordt verstrekt, inzonderheid omtrent zijn
gerechtvaardigd belang (artikel 14.2 b) AVG) en hen wordt gewezen op hun recht van
bezwaar (artikel 14.2 c) AVG) blijkt niet uit de stukken van het dossier. Aangezien dit punt
niet het voorwerp uitmaakt van de klacht en er geen elementen werden aangebracht die
Beslissing ten gronde 108/2024 — 13/31
erop wijzen dat de AVG op dit punt zou zijn geschonden, gaat de Geschillenkamer hierop niet
nader in.
• Commerciële mailing door de verweerder
36. De verweerder doet voor de marketing dienstverlening met betrekking tot de
supportersdata beroep op Z12 die zoals ook bevestigd in het inspectieverslag optreedt als
verwerker in de zin van artikel 4.8) AVG en reeds door de gefailleerde club werd
ingeschakeld en waarmee de verweerder de samenwerking heeft verdergezet. De
Geschillenkamer stipt aan dat de hoedanigheid van verwerker in hoofde van Z ongewijzigd
is gebleven voor de volledige duur van aanstelling om in communicatie te voorzien met de
supporters, abonnees van de club. Zodra de oorspronkelijke club werd failliet verklaard, nam
de curator immers de rol van verwerkingsverantwoordelijke over (zie voorgaand) en werd
vervolgens W BV de verwerkingsverantwoordelijke ingevolge de door de curator
bewerkstelligde overdracht die plaatsvond op 8 juni 2018, waarna de
verwerkingsverantwoordelijkheid definitief werd overgedragen aan de verweerder
ingevolge de samenwerkingsovereenkomst die op 13 juni 2018 werd afgesloten.
37. Op basis van de stukken blijkt dat de verweerder de opdracht heeft gegeven aan de
verwerker Z om, overeenkomstig het voorstel uitgewerkt door de verwerker op verzoek van
de verweerder, een e-mail te verzenden aan de leden van de gefailleerde voetbalclub met
een uitnodiging om een account aan te maken op het nieuwe online ticketplatform om
abonnementen en tickets te kunnen aankopen, alsook met de nieuwsbrief van oktober
2018. De verweerder als verwerkingsverantwoordelijke beroept zich, blijkens de stukken,
zowel in de rechtstreekse communicatie met de klager, alsook in het kader van de
bemiddelingsprocedure door de Eerstelijnsdienst op zijn gerechtvaardigd belang om via de
door de verwerker verstuurde mailing de abonnees opgenomen in het ledenbestand van de
gefailleerde club te contacteren.
38. De Geschillenkamer wijst erop dat het gerechtvaardigd belang van de verweerder als
rechtsgrond13 zou kunnen gelden om de identificatiegegevens van de klager zoals
opgenomen in het ledenbestand te verwerken voor direct marketing doeleinden.
12
Een besloten vennootschap naar Nederlands recht
13
Artikel 6.
1.De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke
doeleinden;
[…]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke
of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot
bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind
is.
Beslissing ten gronde 108/2024 — 14/31
Overweging 47 AVG14 bepaalt immers uitdrukkelijk dat de verwerking van
persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als
uitgevoerd met het oog op een gerechtvaardigd belang (artikel 6.1 f) AVG). Dit betekent dus
dat de verwerkingsverantwoordelijke niet voorafgaand aan de verwerking voor direct
marketing de toestemming van de betrokkene (artikel 6.1 a) AVG) dient te vragen.
39. Om de aan de oud-abonnees gerichte mailing te kunnen baseren op de rechtsgrond
“gerechtvaardigd belang” dient eveneens de hiervoor vermelde drieledige toets te worden
doorstaan.
40. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het door de verweerder nagestreefde doeleinde dat erin bestaat de oud-
abonnees eenmalig te contacteren via e-mail teneinde hen een abonnement aan te bieden
bij de overnemende club in doorstart, als een gerechtvaardigd belang in de zin van
overweging 47 AVG kan worden beschouwd. Bijgevolg is voldaan aan de eerste voorwaarde
vervat in artikel 6.1, f) AVG.
41. Aangaande de tweede voorwaarde (de zogenaamde “noodzakelijkheidstoets”) heeft de
verweerder argumenten aangehaald die het aannemelijk maken dat aan de hand van de
alternatieven die volgens de Inspectiedienst minder intrusief zouden zijn voor de betrokken
oud-abonnees dan de mailing die werd verzonden, het beoogde doel niet zou zijn bereikt.
Daar waar de Inspectiedienst verwijst naar een mediacampagne en flyers, wijst de
verweerder erop dat het bereiken van al de geïnteresseerde supporters niet kan worden
bewerkstelligd door een mediacampagne (waarbij de supporters die nog geen kennis
zouden hebben van het aanbod zich vervolgens rechtstreeks zouden richten tot de
verweerder, wat niet werkbaar zou zijn). Ook het verspreiden van flyers in het stadion is
volgens de verweerder geen optie, aangezien de supporters noodzakelijkerwijs eerst op de
hoogte dienen te zijn van een wedstrijd om er aanwezig te kunnen zijn en vervolgens een
flyer in ontvangst te kunnen nemen. Hierbij wijst de verweerder ook op de context waarin
een voetbalwedstrijd plaatsvindt, waarbij het overgrote deel van de supporters naar alle
waarschijnlijkheid zonder flyer naar huis zal terugkeren en dus niet op de hoogte zal zijn van
de inhoud ervan.
42. De Geschillenkamer is van oordeel dat zonder de betreffende mailing de specifieke
doelgroep, waarbij alle oud-abonnees worden geviseerd, niet kan worden bereikt. De
voorgestelde alternatieven zouden immers tot gevolg hebben dat een deel van de
supporters niet zou worden bereikt bij verspreiding van flyers in het stadion of in geval van
14
Overweging 47 AVG: […] De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd
als uitgevoerd met het oog op een gerechtvaardigd belang.
Beslissing ten gronde 108/2024 — 15/31
een mediacampagne ook gericht zou zijn op personen die helemaal niet tot de doelgroep
behoren. De tweede voorwaarde dient dan ook als vervuld te worden beschouwd.
43. Bij de beoordeling van de derde voorwaarde, de zogenaamde “afwegingstoets”, staan de
redelijke verwachtingen van de oud-abonnees voorop. Het staat vast dat de oud-abonnees
als supporters van de voormalige voetbalclub onmiskenbaar op de hoogte waren van het
faillissement waarin de club zich bevond, met de inherent daaraan verbonden mogelijkheid
dat de club zou worden overgenomen.
44. De Geschillenkamer besluit dat de verweerder zich terecht beroept op de rechtsgrond
vervat in artikel 6.1 f) AVG om de gegevens zoals opgenomen in het ledenbestand te
verwerken voor direct marketing doeleinden.
b) Transparantiebeginsel en informatieplicht
45. Tegenover het recht van de verweerder om persoonsgegevens op grond van zijn
gerechtvaardigd belang te verwerken voor direct marketing doeleinden, staat wel dat de
verweerder gevolg dient te geven aan het bezwaar dat door de betrokkene te allen tijde kan
worden gemaakt tegen de verwerking van hem betreffende persoonsgegevens, zonder dat
de betrokkene daartoe enige motivering dient te geven (artikel 21.2 AVG en artikel 21.3
AVG)15. Hoewel de klager aangeeft niet zijn recht op bezwaar te hebben uitgeoefend, gaat
de Geschillenkamer na in hoeverre de verweerder zijn informatieplicht op grond van artikel
12 juncto artikel 14 AVG is nagekomen. De informatieplicht in hoofde van de
verwerkingsverantwoordelijke staat immers op zichzelf als verplichting ten aanzien van de
betrokkenen waaruit voor hen het recht voortvloeit op een transparante
gegevensverwerking (artikel 5.1 a) AVG).
46. Voor wat betreft de informatie over het recht van bezwaar (artikel 14.2 c) AVG): artikel 21.4
AVG16 bepaalt in het bijzonder en uitdrukkelijk dat deze mogelijkheid, afzonderlijk van de
overige informatie, reeds in het eerste bericht aan de betrokkene, zijnde in dit geval de
klager, moet worden opgenomen. Echter, het bericht dat het voorwerp uitmaakt van de
klacht, maakt geenszins het recht van bezwaar duidelijk kenbaar aan de klager. Meer nog,
het e-mailbericht bevat enkel helemaal onderaan de mogelijkheid tot het aanklikken van
“Afmelden” zonder enige verdere duiding daarbij ten behoeve van de betrokkene. De
betrokkene moet immers op een begrijpelijke wijze in staat worden gesteld zijn recht van
bezwaar uit te oefenen tegen de verwerking van zijn gegevens voor het doeleinde van direct
15
Zie in dat verband ook overweging 70 AVG: Wanneer persoonsgegevens worden verwerkt ten behoeve van direct marketing
dient de betrokkene, ongeacht of het een aanvankelijke dan wel een verdere verwerking betreft, het recht te hebben te allen
tijde en kosteloos bezwaar te maken tegen deze verwerking, ook in het geval van profilering voor zover deze betrekking heeft
op de direct marketing. Dat recht moet uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie, onder de
aandacht van de betrokkene worden gebracht.
16
Artikel 21.4 AVG. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de
betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere
informatie weergegeven.
Beslissing ten gronde 108/2024 — 16/31
marketing. De vereiste tot het benadrukken van het recht van bezwaar waardoor de
betrokkene op betekenisvolle wijze in de positie wordt gebracht om dit recht te kunnen laten
gelden, ontbreekt volledig. Het eenvoudig aanbieden van een klik op “Afmelden” kan immers
niet worden beschouwd als het uitdrukkelijk en duidelijk onder de aandacht brengen van het
recht van bezwaar, waardoor de betrokkene met kennis van zaken kan inschatten welke
gevolgen aan dit “Afmelden” worden gekoppeld. Overweging 70 AVG bepaalt nochtans dat
dit recht uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie, onder de
aandacht van de betrokkene moet worden gebracht 17. Bij gebrek aan een behoorlijke
kennisgeving van dit recht van bezwaar aan de klager op het ogenblik dat hij voor het eerst
werd gecontacteerd, heeft de verweerder gehandeld in strijd met artikel 21.4 AVG.
47. Voor wat betreft de overige informatie (artikel 14.1 en 14.2 AVG) die de
verwerkingsverantwoordelijke dient te verstrekken vereist deze bepaling (artikel 14.3 b)
AVG) eveneens dat dit gebeurt uiterlijk op het moment van het eerste contact met de
betrokkene. Het eerste bericht aan de klager bevat als dusdanig evenmin enige informatie.
Minstens had het eerste bericht een link dienen te bevatten naar het privacybeleid waarin
op een toegankelijke wijze en op een beknopte en duidelijke manier deze informatie is
opgenomen. Een dergelijke link was niet aanwezig in het e-mailbericht aan de klager en het
verslag van de Inspectiedienst wijst er bovendien op dat de diverse privacyverklaringen op
[…] niet werden gecoördineerd. Doordat het eerste bericht aan de klager niet de minste
verwijzing bevat naar de nodige informatie om een transparante gegevensverwerking te
waarborgen, is er sprake van een inbreuk op de artikelen 5.1 a), 12.1 en 14 AVG.
c) Recht van inzage
48. De klager heeft bij herhaling de verweerder erop gewezen dat hij erom verzocht dat gevolg
zou worden gegeven aan zijn verzoek hem de oorsprong van zijn gegevens en de
rechtsgrond voor de verwerking ervan mee te delen zonder op enig moment te vragen dat
zou worden overgegaan tot gegevenwissing. De reactie van de verweerder dat de
persoonsgegevens van de klager werden verwijderd, kan dan ook niet worden beschouwd
als een passend gevolg op het verzoek van de klager om in het bijzonder vanwege de
verweerder te vernemen hoe deze zijn persoonsgegevens heeft verkregen met aanduiding
van de rechtsgrond voor de gegevensverwerking in hoofde van de verweerder, en in het
algemeen inzage te verkrijgen in zijn persoonsgegevens.
49. De Geschillenkamer stelt op basis van de stukken die de klacht staven vast dat de klager in
zijn eerste verzoek d.d. 3 oktober 2018 expliciet stelde dat hij wenst te vernemen hoe de
verweerder aan zijn gegevens is gekomen en op welke grond deze worden verwerkt, alsook
dat hij inzage wenst te krijgen in zijn persoonsgegevens waarover de verweerder beschikt.
17
Zie voetnoot 2.
Beslissing ten gronde 108/2024 — 17/31
50. Enige reactie vanwege de verweerder bleef evenwel uit. De klager ontving daarentegen op
7 november 2018 opnieuw een ongewenste reclamemail van de verweerder. Op 8
november 2018 ontving de klager evenwel het antwoord van de verweerder op zijn eerste
verzoek met de melding dat de gegevens van de klager werden gewist. Diezelfde dag
repliceert de klager hierop door de aandacht erop te vestigen dat zijn vraag ertoe strekt
inzage (oorsprong, verwerkingsdoeleinden, rechtsgrond) te verkrijgen in zijn
persoonsgegevens, en niet strekt tot wissing ervan. De verweerder op zijn beurt stelt dat
niet aan datawerving werd gedaan, maar enkel vanuit de ticketing- en
communicatiesystemen een mailing werd gestuurd naar alle abonnees van de gefailleerde
voetbalclub die zich hiervoor hadden ingeschreven. Pas naar aanleiding van de tussenkomst
van de Eerstelijnsdienst in het kader van de bemiddelingsprocedure die werd opgestart
nadat de klager daartoe het initiatief nam, lichtte de verweerder op 11 december 2018 toe
dat door de aankoop van de boedel met daarbij behorend alle softwaresystemen van de
failliete club de persoonsgegevens van de oud-abonnees, waaronder ook deze van de
klager, werden verkregen. Op basis van het aldus verkregen gegevensbestand werden de
oud-abonnees door de verweerder aangeschreven teneinde desgewenst hun abonnement
te verlengen, met daarbij de mogelijkheid om zich uit te schrijven. De verweerder geeft aan
dat zijn gerechtvaardigd belang hiervoor de grondslag vormt.
51. Deze feitelijke elementen tonen aan dat de klager geen antwoord heeft verkregen op de
onderscheiden elementen overeenkomstig artikel 15.1 AVG waarop het inzagerecht zoals
door hem werd uitgeoefend, betrekking heeft en waarbij evenmin de wettelijke termijnen
zoals bepaald in artikel 12.3 en 12.4 AVG werden gerespecteerd. Hierdoor heeft de
verweerder gehandeld in strijd met artikel 12.3 en 12.4 AVG18, alsook artikel 15.1 AVG19.
18
Artikel 12 AVG.
[…]
3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van
het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van
de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden
worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in
kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien
mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.
4. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste
onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven,
en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter
in te stellen.
19
Artikel 15 AVG
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet
verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die
persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name
ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien
dat niet mogelijk is, de criteria om die termijn te bepalen;
Beslissing ten gronde 108/2024 — 18/31
d) Overige vaststellingen
52. De verweerder maakt als algemene bemerking bij het verslag van de Inspectiedienst dat het
verslag verwijst naar rechtspraak en adviezen die dateren van na het ogenblik waarop de
verweerder het ledenbestand heeft ontvangen. Volgens de verweerder maakt dit deel uit
van het voortschrijdend inzicht van de Gegevensbeschermingsautoriteit waarop de
verweerder zich ten tijde van de overname van de failliete boedel niet kon baseren.
53. De Geschillenkamer neemt deze overweging mee in haar beslissing in die zin dat zij ertoe
besluit de vastgestelde inbreuken te beperken tot de essentie van de klacht, namelijk tot het
onderzoek van de rechtsgrond, de vereiste van transparante informatieverstrekking en
communicatie, alsook de naleving van de rechten van de betrokkene. Dit betekent overigens
niet dat de Geschillenkamer geen rekening zou mogen houden met latere uitspraak of uitleg
van de wet.
III. Corrigerende maatregelen en sancties
54. Voor wat betreft de vastgestelde inbreuk op de artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG,
alsook op de artikelen 12.3 , 12.4 AVG en 15.1 AVG beslist de Geschillenkamer om over te
gaan tot het opleggen van een administratieve geldboete ingevolge haar bevoegdheden
op basis van artikel 83 AVG en artikel 100, §1, 13° WOG.
55. De EDPB heeft op 24 mei 2023 de Richtsnoeren 04/2022 voor de berekening van
administratieve geldboeten krachtens de AVG 20 (hierna: de Richtsnoeren) aangenomen op
grond van artikel 70, lid 1, e) AVG. De Richtsnoeren zijn met onmiddellijke ingang van
toepassing, omdat deze niet voorzien in overgangsrecht voor procedures die al liepen op
het moment van instemming met de Richtsnoeren.
56. De Richtsnoeren beschrijven een methodiek om de hoegrootheid van de boete te bepalen
als volgt:
Stap 1: welke en hoeveel handelingen en inbreuken liggen voor ter beoordeling;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden
gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht
tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die
gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en,
ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van
die verwerking voor de betrokkene.
[…]
20
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
Beslissing ten gronde 108/2024 — 19/31
Stap 2: welk bedrag vormt het uitgangspunt bij de berekening van de boete voor de
vastgestelde inbreuken (uitgangsbedrag);
Stap 3: welke verzachtende of verzwarende omstandigheden doen zich desgevallend voor
die nopen tot aanpassing van het bedrag uit stap 2;
Stap 4: welke maximumbedragen gelden voor de overtredingen en of eventuele
verhogingen uit de vorige stap dit bedrag niet te boven gaan;
Stap 5: de beoordeling of het uiteindelijke bedrag van de berekende boete voldoet aan de
vereisten van doeltreffendheid, afschrikking en evenredigheid, en zo nodig daaraan wordt
aangepast.
57. De Geschillenkamer bepaalt de omvang van de administratieve boete aan de hand van deze
methodiek. Op 4 juli 2024 heeft de Geschillenkamer de verweerder via het sanctieformulier
geïnformeerd voornemens te zijn een administratieve geldboete van 8.000 EUR op te
leggen. Op 13 augustus 2024 heeft de verweerder diens reactie op het sanctieformulier
overgemaakt aan de Geschillenkamer. Deze zal hieronder verder besproken worden.
Stap 1: Vaststellen van de handelingen en bepalen van de inbreuken
58. Om het startbedrag van de boete te bepalen, moet zoals in de Richtsnoeren is beschreven
allereerst worden nagegaan of er sprake is van één of meerdere sanctioneerbare
gedragingen. Het uitgangspunt daarbij is dat één en dezelfde gedraging kan worden
gevormd door dezelfde of daarmee verband houdende verwerkingsactiviteiten. De term
“daarmee verband houdend” verwijst naar het beginsel dat één enkele gedraging kan
bestaan uit meerdere delen die uit één enkele wil worden verricht en die contextueel (met
name met betrekking tot identiteit wat betreft betrokkene, doeleinde en aard), in ruimte en
in tijd zo nauw met elkaar samenhangen dat zij, objectief gezien, als één coherente
gedraging kunnen worden beschouwd.
59. De inbreuken in hoofde van de verweerder betreffen de niet-naleving van het
transparantiebeginsel, de informatieplicht (artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG) en de
miskenning van het inzagerecht (artikel 12.3 , 12.4 AVG en artikel 15.1 AVG).
60. In toepassing van de Richtsnoeren zet de Geschillenkamer hierna uiteen dat in casu sprake
is van omstandigheden die één en dezelfde gedraging vormen, maar die gedraging niet
slechts één, maar meerdere inbreuken oplevert, waarbij moet worden vastgesteld dat de
toerekening van de ene inbreuk de toerekening van een andere inbreuk uitsluit. Immers, de
gedraging die aanleiding heeft gegeven tot de klacht en waaruit de hiervoor vermelde
inbreuken zijn voortgevloeid, bestaat in de verzending van de ongewenste e-mail aan de
Beslissing ten gronde 108/2024 — 20/31
klager. Ingevolge het specialiteitsbeginsel 21 staat het vast dat het transparantiebeginsel
(artikel 5.1 a) AVG) als basisbeginsel een overkoepelend concept vormt dat zich
concretiseert in artikel 12 AVG in de vorm van een informatieplicht in hoofde van de
verwerkingsverantwoordelijke, zijnde de verweerder. Bovendien wordt in de Richtsnoeren
verwezen naar het consumptiebeginsel in gevallen waarin een inbreuk op een bepaling
regelmatig leidt tot een inbreuk op een andere bepaling, omdat de ene inbreuk
noodzakelijkerwijs voorafgaat aan de andere. Zo komt de Geschillenkamer tot het besluit
dat het gebrek aan transparante informatie en communicatie (artikel 5.1 a) en artikel 12.1,
artikel 14 en 21.4 AVG) door de verweerder ertoe heeft geleid dat aan de klager vervolgens
het inzagerecht werd ontzegd, in weerwil van artikel 12.3 , 12.4 juncto artikel 15.1 AVG.
61. De Geschillenkamer oordeelt dat deze omstandigheden kunnen worden beschouwd als
een en dezelfde gedraging die een of meerdere inbreuken oplevert waarvoor één
administratieve boete wordt opgelegd.
Stap 2: bepalen van het uitgangsbedrag
62. Zoals in de Richtsnoeren is beschreven, dient vervolgens het uitgangsbedrag van de
boetehoogte te worden bepaald. Dit startbedrag vormt het uitgangspunt voor de verdere
berekening in latere stappen, waarbij alle relevante feiten en omstandigheden in
aanmerking worden genomen. In de Richtsnoeren is vermeld dat het uitgangsbedrag wordt
bepaald aan de hand van drie elementen: i) de categorisatie van de inbreuken volgens
artikel 83, vierde tot en met zesde lid, van de AVG; ii) de zwaarte van de inbreuk en iii) de
omzet van de onderneming. Hierna wordt ingegaan op deze 3 elementen:
i) Categorisatie van de inbreuken volgens artikel 83, leden 4 tot en met 6 AVG
63. Zoals vermeld in de Richtsnoeren, zijn vrijwel alle verplichtingen van de
verwerkingsverantwoordelijke gecategoriseerd in de bepalingen van artikel 83, leden 4 tot
en met 6 AVG. De AVG maakt onderscheid tussen twee soorten inbreuken. Enerzijds de
inbreuken die sanctioneerbaar zijn op grond van artikel 83, lid 4 AVG en waarvoor een
maximumboete geldt van 10.000.000 EUR (of in geval van een onderneming, 2% van de
jaaromzet, indien dat hoger is), anderzijds de inbreuken die sanctioneerbaar zijn op grond
van artikel 83, lid 5 en 6 AVG en waarvoor een maximumboete geldt van 20.000.000 EUR
(of in geval van een onderneming, 4% van de jaaromzet, indien dat hoger is). Middels dit
21
Het specialiteitsbeginsel (specialia generalibus derogant) is een rechtsbeginsel dat inhoudt dat een meer specifieke bepaling
(afgeleid van dezelfde rechtshandeling of verschillende rechtshandelingen met dezelfde rechtskracht) voorrang krijgt boven
een meer algemene bepaling, hoewel beide bepalingen hetzelfde doel hebben. Zie in dat verband de zaak C-10/18 P, Marine
Harvest/Commissie
Beslissing ten gronde 108/2024 — 21/31
onderscheid heeft de wetgever voorzien in een eerste indicatie in abstracto van de ernst
van de inbreuk: hoe ernstiger de inbreuk, hoe hoger de boete.
64. Aangezien de Geschillenkamer van oordeel is dat de verweerder een inbreuk heeft
gepleegd op het transparantiebeginsel en de daarbij horende informatieplicht (artikelen 5.1
a), 12.1, 14 AVG en 21.4 AVG), waarbij ook het recht van inzage van de klager werd
genegeerd (artikel 12.3 , 12.4 AVG en artikel 15.1 AVG), werden niet alleen de
basisbeginselen inzake verwerking, maar ook de rechten van de betrokkene niet nageleefd,
dewelke fundamenteel zijn en dientengevolge worden bestraft overeenkomstig artikel
83.5. a) en b) AVG met een administratieve geldboete tot 20.000.000 EUR of, voor een
onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar,
indien dit cijfer hoger is.
ii) Zwaarte van de inbreuk
65. Met het oog op de bepaling van de zwaarte van de inbreuk moet op grond van de
Richtsnoeren rekening worden gehouden met de aard, ernst en duur van de inbreuk,
alsmede met de opzettelijke of nalatige aard van de inbreuk en de categorieën betrokken
persoonsgegevens.
66. Aard van de inbreuk – De Richtsnoeren bepalen dat de toezichthoudende autoriteit kan
nagaan welk belang de geschonden bepaling moet beschermen en welke plaats deze
bepaling heeft in het kader voor gegevensbescherming. Transparantie is reeds geruime tijd
een belangrijk beginsel van het EU-recht22. Transparantie moet ervoor zorgen dat burgers
vertrouwen hebben in de processen die hen raken en helpt hen die processen te begrijpen
waartoe zij behoorlijk dienen te worden geïnformeerd en, indien nodig, daartegen bezwaar
te maken. Transparantie en de daaruit voortvloeiende verplichting tot
informatieverstrekking in hoofde van de verwerkingsverantwoordelijke stelt de
betrokkenen in staat hun rechten met betrekking tot hun persoonsgegevens uit te
oefenen, in voorliggend geval het inzagerecht. Vandaar dat transparantie moet worden
aangemerkt als een fundamenteel beginsel inzake gegevensbescherming en als
overkoepelend begrip een geheel vormt met de informatievereisten en de communicatie
met de betrokkenen over de uitoefening van zijn rechten. Inbreuken op deze
kernbepalingen vormen derhalve ernstige inbreuken, die met de hoogste administratieve
boetes waarin de AVG voorziet kunnen worden bestraft.
22
In artikel 1 van het Verdrag betreffende de Europese Unie (VEU) wordt bepaald dat besluiten “in zo groot mogelijke openheid
en zo dicht mogelijk bij de burger worden genomen”; Artikel 11, lid 2, van het VEU luidt als volgt: “De instellingen voeren een
open, transparante en regelmatige dialoog met representatieve organisaties en met het maatschappelijk middenveld”; en in
artikel 15 van het Verdrag betreffende de werking van de Europese Unie (VWEU) wordt onder meer bepaald dat burgers van
de Unie recht hebben op toegang tot documenten van de instellingen, organen en instanties van de Unie, met als doel dat deze
instellingen, organen en instanties van de Unie zorgen voor transparantie in hun werkzaamheden.
Beslissing ten gronde 108/2024 — 22/31
67. Ernst van de inbreuk — De beoordeling van de ernst van de inbreuk vereist dat de
onderscheiden elementen zoals vermeld in artikel 83.2 a) AVG worden getoetst:
68. Voor wat betreft de aard van de verwerking merkt de Geschillenkamer op dat de
verzending van de ongewenste mailing plaatsvond in het kader van de sportieve activiteit
eigen aan een voetbalclub. Dienaangaande stelt de Geschillenkamer dat de verweerder de
gegevensverwerking weliswaar verricht binnen een recreatief kader, maar dat dit niet
wegneemt dat de verweerder zoals elke andere verwerkingsverantwoordelijke de nodige
aandacht dient te besteden aan de naleving van de bepalingen van de AVG. De inbreuk is
voor wat betreft de aard ervan dan ook als neutraal te beschouwen.
69. Omtrent de omvang van de verwerking wordt in de EDPB-richtsnoeren voor
gegevensbeschermingseffectbeoordelingen23 aangeraden om naast het aantal
betrokkenen ook het volume van gegevens, de duur of het permanente karakter van de
gegevensverwerking, evenals de geografische omvang van de verwerking in aanmerking
te nemen om te bepalen of persoonsgegevens op grote schaal verwerkt worden.24
70. Onderhavige zaak betreft de persoonsgegevens van één betrokkene, zijnde de klager, en
op basis van de verklaring van de verweerder aan de klager is de betreffende mailing zijn
verzonden aan 6.000 geadresseerden. Dit werd niet weerlegd door de verweerder die
erkent dat de mailing aanleiding heeft gegeven tot massale inschrijving van de oud-
abonnees hetwelk ertoe heeft geleid dat 3000 personen zich een abonnement hebben
aangeschaft.
71. Het volume van de persoonsgegevens is eerder klein, vermits het enkel de voornaam en
familienaam en het e-mailadres van de betrokkenen betreft.
72. De Geschillenkamer stelt dat bij de beoordeling van de omvang van de
gegevensverwerking in rekening moet worden gebracht dat de verwerking is beperkt tot
een afgebakend geheel van persoonsgegevens dat enkel de ledenlijst van de oud-
abonnees betreft en dus geen ruimere toepassing kent, maar daarbij kan niet worden
voorbijgegaan aan het feit dat desalniettemin enkele duizenden personen betrokken zijn.
Dit is een belangrijk element voor de Geschillenkamer dat impact heeft op het
boetebedrag.
73. Met betrekking tot het doel van de verwerking stelt de Geschillenkamer vast dat de
verwerking louter de verderzetting van het lidmaatschap van de oud-abonnees tot doel
had, en dus niet het toezicht houden op de klager, noch persoonlijke eigenschappen van de
23
Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking “waarschijnlijk een hoog
risico inhoudt” in de zin van Verordening 2016/679, vastgesteld op 4 april 2017, zoals gewijzigd en vastgesteld op 4 oktober
2017, randnr. 5.
24
Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling
of een verwerking ''waarschijnlijk een hoog risico inhoudt'' in de zin van de Verordening 2016/679 (WP248, rev01, 4 oktober
2017), p. 12.
Beslissing ten gronde 108/2024 — 23/31
klager te beoordelen, noch maatregelen te nemen met negatieve gevolgen voor de
betrokkene. De verwerking van persoonsgegevens vormt geen kernactiviteit in hoofde van
de verweerder, maar het is wel een belangrijke nevenactiviteit waarbij het, zoals de
verweerder zelf aangeeft, noodzakelijk is om de supporters te kunnen bereiken per e-mail.
Bijgevolg stelt de Geschillenkamer dat meer gewicht moet worden toegekend aan de
inbreuken op de AVG die uit deze noodzakelijke nevenactiviteiten voortvloeien.
74. Duur van de inbreuk – Wat de duur van de inbreuk betreft, neemt de Geschillenkamer er
nota van dat de verweerder niettegenstaande het uitdrukkelijke verzoek van de klager op
3 oktober 2018 om inzage te verkrijgen in de hem betreffende persoonsgegevens daaraan
pas concreet gevolg werd gegeven op 11 december 2018 naar aanleiding van de
bemiddelingsprocedure bij de Eerstelijnsdienst waardoor de klager informatie kreeg
omtrent de essentiële elementen in zijn inzageverzoek, namelijk omtrent de oorsprong van
zijn gegevens en de rechtsgrond voor de gegevensverwerking. Voor wat betreft het gebrek
aan transparantie met inbegrip van informatieverstrekking en communicatie aan de
betrokkenen heeft de verweerder slechts na het verslag van de Inspectiedienst op 1
december 2020 maatregelen genomen om de privacyverklaring in overeenstemming te
brengen met de AVG.
75. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.b) AVG) — De
Geschillenkamer herinnert eraan dat “opzet” doorgaans zowel kennis als moedwil met
betrekking tot de kenmerken van een strafbaar feit omvat, terwijl “onopzettelijk” betekent
dat er geen opzet was om de inbreuk te veroorzaken, hoewel de
verwerkingsverantwoordelijke of de verwerker de in de wet voorgeschreven zorgplicht
heeft geschonden25. Er zijn met andere woorden twee cumulatieve elementen vereist om
een inbreuk als opzettelijk te beschouwen, i.e., de kennis van de schending en de
opzettelijkheid met betrekking tot deze handeling. 26
76. Met betrekking tot de opzettelijkheidscomponent herinnert de Geschillenkamer er ook aan
dat het Hof van Justitie een hoge drempel heeft vastgesteld om een handeling als
opzettelijk te beschouwen.27 Zo heeft het Hof van Justitie in strafzaken geoordeeld dat er
sprake is van “ernstige nalatigheid” veeleer dan “opzet” wanneer “de aansprakelijke
persoon een gekwalificeerde schending begaat van zijn zorgvuldigheidsplicht die hij in acht
had moeten en had kunnen nemen rekening gehouden met zijn hoedanigheid, zijn kennis,
25
Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor de toepassing en vaststelling van administratieve
geldboeten
in de zin van Verordening (EU) 2016/679 (WP253, 3 oktober 2017), p. 12.
26
ie ook EDPB – Binding Decision 1/2023 on the dispute submitted by the IE SA on data transfers by Meta Platforms Ireland
Ltd (Facebook), randnr. 103, raadpleegbaar op https://edpb.europa.eu/system/files/2023-
05/edpb bindingdecision 202301 ie sa facebooktransfers en.pdf.
27
Zie o.a. HvJEU, 5 december 2023, Deutsche Wohnen, C807/21, ECLI:EU:C:2023:950, paar 74 e.v. en de daarin aangehaalde
rechtspraak.
Beslissing ten gronde 108/2024 — 24/31
zijn vaardigheden en met zijn individuele situatie” 28. Ook al wordt van een onderneming
waarvan de verwerking van persoonsgegevens de kern van de bedrijfsactiviteiten vormt,
verwacht dat het voldoende maatregelen treft om persoonsgegevens te beschermen
alsook dat het zijn plichten in dit opzicht grondig onderkent, een dergelijke gekwalificeerde
schending toont niet noodzakelijk aan dat er sprake is van een opzettelijke overtreding. 29
77. Dit betekent met andere woorden dat een verwerkingsverantwoordelijke ook kan worden
bestraft met een administratieve geldboete op grond van artikel 83 AVG wegens een
binnen de werkingssfeer van de AVG vallende gedraging, wanneer deze
verwerkingsverantwoordelijke niet onkundig kon zijn van het feit dat zijn gedraging een
inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG
schond.30 De verweerder voert ter zake aan dat rekening moet worden gehouden met de
context van de situatie en de specifieke omstandigheden, waarmee wordt verwezen naar
de beginperiode van het van toepassing zijn van de AVG, alsook het feit dat de overdracht
van het ledenbestand plaatsvond in het kader van een faillissement waarbij noch de
curator, noch de verwerker enig voorbehoud hebben geformuleerd bij de overdracht van
de gegevens of de verzending van commerciële berichten naar het klantenbestand. De
verweerder werpt op dat bij de overname van de failliete boedel de AVG net in voege was
getreden en erkent dat op dat ogenblik de naleving van de AVG niet als eerste punt op de
agenda stond. Verder haalt de verweerder ook aan dat de beginperiode van de toepassing
van de AVG – die nagenoeg samenviel met de overname van de failliete boedel – gepaard
ging met onzekerheid en onduidelijkheid ingevolge de open omschrijvingen van de
bepalingen in de AVG, hetwelk er mede toe geleid heeft dat geen van de betrokken partijen
rekening heeft gehouden met de principes va de AVG bij de overdracht. De verweerder
benadrukt daarbij dat de niet-naleving van de AVG geheel zijn toe te wijzen aan
onwetendheid in zijnen hoofde, maar zeker niet aan slechte wil. Dit wordt volgens de
verweerder ondersteund door het feit dat gevolg werd gegeven aan het verslag van de
Inspectiedienst door aanpassingen aan te brengen aan o.m. de privacyverklaring die thans
de vereiste informatie voorziet.
78. Volgens de Geschillenkamer zijn er geen elementen in het dossier aanwezig die duiden op
de intentie in hoofde van de verweerder om met opzet een inbreuk te plegen op de artikelen
5.1 a), 12.1, 14 AVG en 21.4 AVG, alsook op de artikelen 12.3 , 12.4 AVG en 15.1 AVG, doch is
er wel sprake van een ernstige nalatigheid. De Geschillenkamer merkt immers op dat de
28
HvJEU, 3 juni 2008, C-308/06, Intertanko e.a. (ECLI:EU:C:2008:312), randnr. 77
29
Zie ook EDPB – Binding Decision 2/2022 on the dispute arisen on the draft decision of the Irish Supervisory Authority
regarding Meta Platforms Ireland Limited (Instagram) under Article 65(1)(a) GDPR, 28 juli 2022, randnr. 204.
30
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 76.
Zie ook HvJEU, 18 juni 2013, C‑681/11, Schenker & Co. e.a. (ECLI:EU:C:2013:404), randnr. 37; HvJEU, 25 maart 2021,
Lundbeck t. Commissie, C‑591/16 P (ECLI:EU:C:2021:243), randnr. 156; en HvJEU 25 maart 2021, C‑601/16 P, Arrow Group
en Arrow Generics t. Commissie (ECLI:EU:C:2021:244), randnr. 97.
Beslissing ten gronde 108/2024 — 25/31
verweerder voorbijgaat aan het feit dat de AVG in een overgangsperiode heeft voorzien
tussen de inwerkingtreding ervan en het van toepassing worden van de AVG, zijnde een
duur van twee jaar die er precies op was gericht om de verwerkingsverantwoordelijken
voldoende tijd te geven om zich in regel te stellen tegen 25 mei 2018, de datum waarop de
AVG van toepassing werd. De verweerder heeft dan ook naar het oordeel van de
Geschillenkamer ruimschoots de tijd gehad om de nodige aanpassingen door te voeren
teneinde AVG-conform te handelen, aangezien de verweerder volgens de informatie
beschikbaar in de KBO31 reeds actief was sinds minstens 2008, zij het onder een andere
benaming dan deze van de huidige club. De verweerder kan zich ook niet verschuilen achter
de curator of de verwerker Z om zich van zijn verantwoordelijkheid inzake niet-naleving van
de AVG te ontdoen. De verweerder heeft immers overeenkomstig artikel 5.2 AVG een
eigen verantwoordingsplicht. De Geschillenkamer is wel bereid enige mildheid aan de dag
te leggen voor de beginperiode dat de AVG van toepassing werd, maar het betreft wel
belangrijke inbreuken op de AVG voor gegevensverwerkingen die een belangrijke
nevenactiviteit uitmaken voor de verweerder, hetwelk ertoe leidt dat de Geschillenkamer
een gemiddeld gewicht toekent aan deze inbreuken.
79. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g)
AVG) —De litigieuze verwerking betreft enkel de verwerking van de voornaam, familienaam
en het e-mailadres van de voormalige abonnees van de failliet verklaarde club, die niet
vallen onder de bijzondere bescherming die wordt geboden door de artikelen 9 en 10 AVG,
noch van aard zijn onmiddellijke schade te veroorzaken of leed te berokkenen aan de
betrokkene. Bijgevolg beschouwt de Geschillenkamer dit als neutraal voor de bepaling van
het boetebedrag.
iii) Omzet van de onderneming
80. De Geschillenkamer preciseert dat de meest recente jaarrekening die door de verweerder
werd neergelegd betrekking heeft op 2022 en dus bijgevolg de omzetcijfers van 2022 in
aanmerking zou moeten nemen. Aangezien de omzetcijfers niet opgenomen werden in de
jaarrekening van 202232, dient de Geschillenkamer de brutomarge van 2022 als alternatief
te hanteren. Deze brutomarge is negatief en bedraagt -2369 EUR, terwijl deze van 2021
positief is en 558.356 EUR bedraagt. De Geschillenkamer baseert zich echter enkel op de
meest recent beschikbare cijfers, namelijk deze van 2022.
iv) Conclusie uitgangsbedrag
a. Theoretisch uitgangsbedrag (op basis van de zwaarte van de inbreuk)
31
Kruispuntbank van Ondernemingen
32
Geconsulteerd via de website van de Nationale Bank van België
Beslissing ten gronde 108/2024 — 26/31
81. Op grond van artikel 83.5 van de AVG bedraagt het boetemaximum 20.000.000 EUR of,
voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande
boekjaar, indien dit cijfer hoger is, hetgeen in casu niet het geval is. Bijgevolg bedraagt het
wettelijk maximumbedrag 20.000.000 EUR.
82. Op basis van de evaluatie van de hierboven uiteengezette criteria dient de Geschillenkamer
te bepalen of de inbreuk geacht wordt van geringe, middelmatige of hoge ernst te zijn. Deze
categorieën doen geen afbreuk aan de vraag of er al dan niet een boete kan worden
opgelegd.33
83. Deze beoordeling is geen mathematische berekening waarin de bovengenoemde factoren
afzonderlijk worden beschouwd, maar eerder een grondige evaluatie van de concrete
omstandigheden van het geval, waarin alle bovengenoemde factoren onderling met elkaar
verbonden zijn. Daarom moet bij het beoordelen van de zwaarte van de inbreuk worden
gekeken naar de inbreuk als geheel.34
▪ Bij de berekening van de administratieve geldboete voor inbreuken van geringe ernst, zal
de toezichthoudende autoriteit het basisbedrag voor verdere berekening vaststellen op
een bedrag tussen 0 en 10% van het toepasselijke wettelijke maximum.
▪ Bij het berekenen van de administratieve geldboete voor inbreuken van middelmatige
ernst zal de toezichthoudende autoriteit het startbedrag voor verdere berekening
vaststellen op een bedrag tussen 10 en 20% van het toepasselijke wettelijke maximum.
▪ Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere berekening
vaststellen op een bedrag tussen 20 en 100% van het toepasselijke wettelijke maximum.35
84. In de regel geldt dat hoe zwaarder de inbreuk is binnen de betreffende categorie, des te
hoger het uitgangsbedrag waarschijnlijk zal zijn. 36
85. De Geschillenkamer stelde vast dat er sprake was van een inbreuk op artikelen 5.1 a), 12.1,
14 AVG en 21.4 AVG, alsook op de artikelen 12.3 , 12.4 AVG en 15.1 AVG die bij de inbreuken
van artikel 83.5 AVG zijn opgenomen. Vervolgens maakte de Geschillenkamer een analyse
33
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
34
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
35
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
36
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
Beslissing ten gronde 108/2024 — 27/31
van de aard van de inbreuk, het doel, de omvang en de duur van de verwerking, alsook van
de categorieën van de verwerkte persoonsgegevens en de nalatige aard van de inbreuk. 37
86. Steunend op de voorgaande beoordelingen van de bovenstaande omstandigheden
oordeelt de Geschillenkamer dat de inbreuk vallend onder artikel 83.5 AVG van
middelmatige ernst is. Hierbij houdt de Geschillenkamer in het bijzonder rekening met de
niet geringe omvang van de verwerking, de relatief lange duur van de inbreuken en de
nalatigheid van de verweerder om te handelen in overeenstemming met de AVG. Bijgevolg
dient het uitgangsbedrag voor verdere berekening te worden vastgesteld op een bedrag
tussen 10% en 20% van het toepasselijke wettelijke maximum. De Geschillenkamer besluit
om een theoretisch uitgangsbedrag te bepalen van 3000.000 EUR, i.e. 15% van het
toepasselijke wettelijke maximumbedrag van 20.000.000 EUR (art. 83.5 AVG).
b. Aanpassing van het uitgangsbedrag op basis van de omvang van de onderneming
87. Vervolgens dient de Geschillenkamer na te gaan of het uitgangsbedrag aangepast moet
worden op basis van de omvang van de onderneming. Deze aanpassing is van toepassing
op ondernemingen waarop het statisch wettelijke maximum van toepassing is, namelijk
wanneer de onderneming een omzet van minder dan 500 miljoen EUR gerealiseerd heeft
in het voorgaande boekjaar. Aangezien dit in casu het geval is, dient de boete aangepast te
worden aan de omvang van de economische macht van de onderneming waarvan de
jaaromzet lager ligt dan 2.000.000 EUR.
88. De Geschillenkamer heeft reeds uiteengezet dat de vastgestelde inbreuk valt onder artikel
83.5 AVG en van een gemiddelde ernst is. Voor inbreuken vermeld in artikel 83.5 AVG, met
een gemiddelde ernst, toegepast op een onderneming met een omzet van minder dan 2
miljoen EUR bedraagt de boete 0,2 tot 0,4 % van het uitgangsbedrag, waarbij de boete niet
minder dan 6.000 EUR en niet meer dan 12.000 EUR mag bedragen.38
89. Rekening houdende met de in de Richtsnoeren vastgestelde minimum- en
maximumbedragen per niveau, de relevante brutomarge van de verweerder en de factoren
opgesomd in “ III. Stap 2” besluit de Geschillenkamer om het uiteindelijk uitgangsbedrag
van de vastgestelde inbreuk (vallend onder artikel 83.5 AVG met gemiddelde ernstgraad)
vast te leggen op 9.000 EUR, i.e. 0,30% van het theoretische uitgangsbedrag van
3.000.000 EUR.
Stap 3: beoordeling van verzwarende en verzachtende omstandigheden
i) Beoordeling toepassing van eventuele verzwarende of verzachtende
omstandigheden
37
Zie para 95 t.e.m. 102 van deze beslissing.
38
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 52.
Beslissing ten gronde 108/2024 — 28/31
90. Zoals vermeld in de Richtsnoeren dient vervolgens te worden beoordeeld of in de
omstandigheden van het geval aanleiding wordt gevonden om de boete hoger of lager vast
te stellen dan het hiervoor bepaalde uitgangsbedrag. De in aanmerking te nemen
omstandigheden zijn vermeld in artikel 83, lid 2 AVG. De in die bepaling vermelde
omstandigheden mogen elk slechts eenmaal worden beoordeeld. 39 In de vorige stap is
reeds rekening gehouden met de aard, zwaarte en duur van de overtreding 40 , de
opzettelijke of nalatige aard van de inbreuk 41 en de categorieën van persoonsgegevens 42.
Daardoor resteren nog de onderdelen c tot en met f en h tot en met k van artikel 83, lid 2
AVG.
91. Eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker
(artikel 83.2.e) AVG) – De Geschillenkamer houdt er rekening mee dat er op heden geen
andere procedures tegen de verweerder bij haar aanhangig gemaakt werden. Verwijzend
naar de Richtsnoeren stelt de Geschillenkamer dat de afwezigheid van eerdere inbreuken
als neutraal moet worden beschouwd en niet als een verzachtende factor kan worden
aangemerkt, aangezien de naleving van de AVG de norm is.43
92. De wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk
(artikel 83.2.h) – Aangezien de Geschillenkamer kennis heeft gekregen van de inbreuk als
gevolg van een klacht, wordt dit element als neutraal beschouwd overeenkomstig de
Richtsnoeren.44
93. De mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk
te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken (artikel 83.2.f)
AVG) — De Geschillenkamer merkt op dat de verweerder zich coöperatief heeft opgesteld.
Hoewel het verslag van de Inspectiedienst een inbreuk vaststelt op de medewerkingsplicht
(artikel 31 AVG) op basis van de vaststelling dat naar het oordeel van de Inspectiedienst
door de verweerder niet onverwijld werd gereageerd op de gestelde vragen, maar dat vanaf
de tussenkomst van de raadsman van de verweerder de tot dan onbeantwoord gebleven
vragen wel werden beantwoord en ook tijdig een antwoord werd verstrekt op de
bijkomende vragen, besluit de Geschillenkamer dat dit voldoende is om te stellen dat de
verweerder de vereiste medewerking heeft verleend. Daarenboven stelt de
Geschillenkamer op basis van de stukken van het dossier vast dat de verweerder gevolg
39
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
40
Zie para 95-98 van deze beslissing.
41
Zie para. 99-101 van deze beslissing.
42
Zie para. 102 van deze beslissing.
43
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 32.
44
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 33.
Beslissing ten gronde 108/2024 — 29/31
heeft gegeven aan de vaststellingen van de Inspectiedienst niet alleen door de opmaak van
een privacyverklaring en cookieverklaring in overeenstemming met de AVG, maar bevat
elke toekomstige e-mail die door de verweerder wordt verstuurd een link naar de
privacyverklaring met het oog op afdoende informatieverstrekking. Deze maatregel is van
aard om de negatieve gevolgen voor de rechten van de betrokkene te beperken waardoor
dit als een verzachtende factor wordt beschouwd 45.
94. Overige verzachtende of verzwarende omstandigheden –De overige feitelijke elementen
in het dossier zijn niet van aard om als verzachtende of verzwarende omstandigheid in acht
te worden genomen. De door de verweerder aangehaalde context waarin het
gegevensbestand werd verkregen, i.e. het faillissement van de vorige voetbalclub, alsook
het tijdstip van verkrijging ervan, namelijk kort na het van toepassing worden van de AVG
werd hiervoor reeds in aanmerking genomen. De Geschillenkamer besluit dan ook om deze
omstandigheid als neutraal te beschouwen.
95. De Geschillenkamer wijst er ten slotte op dat de andere criteria van art. 83.2. AVG in dit
geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke
de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
ii) Invloed op het boetebedrag
96. In randnummer 86 werd het concreet uitgangsbedrag vastgelegd op 9.000 EUR. In de erop
volgende randnummers werden eventuele verzachtende of verzwarende omstandigheden
onderzocht. De Geschillenkamer oordeelde dat de omstandigheid zoals omschreven in
artikel 83.2.c) AVG, namelijk de maatregelen genomen om de door betrokkenen geleden
schade te beperken als verzachtend in aanmerking genomen kunnen worden. De andere
omstandigheden die in aanmerking genomen kunnen worden, dienen als neutraal
beoordeeld te worden. Bijgevolg wordt de boete dan ook vastgesteld op 8.000 EUR.
Stap 4: Controle overschrijding van de maximumbedragen
97. Zoals hierboven uiteengezet, geldt voor de vastgestelde inbreuken een maximum
boetebedrag van 20.000.000 EUR. De administratieve geldboete die de Geschillenkamer
vooropstelt in de onderhavige beslissing ligt ruim onder de grens van dit wettelijk bepaalde
maximumbedrag.
Stap 5: Beoordeling van het doeltreffend evenredig en afschrikkend karakter
98. Op grond van artikel 83.5. a) en b) AVG kan de Geschillenkamer voor de hierboven
beschreven overtredingen een administratieve boete opleggen. Zoals in de Richtsnoeren
omschreven, kan het opleggen van een boete als doeltreffend worden beschouwd als deze
45
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 32.
Beslissing ten gronde 108/2024 — 30/31
het doel bereikt waarvoor deze is opgelegd. Dat doel kan zijn gelegen in enerzijds het
bestraffen van onrechtmatige gedragingen en anderzijds het bevorderen van de naleving
van de geldende voorschriften. Voor wat betreft het afschrikkend effect stelt de
Geschillenkamer dat de administratieve geldboete beoogt om enerzijds herhaling in hoofde
van de verweerder te ontraden en deze ertoe te bewegen om maatregelen te treffen die
gericht zijn op transparante informatieverstrekking met respect voor de rechten van de
betrokkene, inzonderheid met betrekking tot communicatie per e-mail gericht aan een
volledig ledenbestand. Anderzijds geldt het afschrikkend effect eveneens ten aanzien van
andere verwerkingsverantwoordelijken, in het bijzonder deze met gelijkaardige sportieve
activiteiten, om de werking te evalueren en indien nodig de passende maatregelen te treffen
om gelijkaardige inbreuken te vermijden.46 Daarnaast overweegt de Geschillenkamer dat de
administratieve geldboete evenredig is gelet op de aard, ernst en de duur van de inbreuk,
alsmede de overige factoren uit artikel 83.2 AVG zoals beoordeeld in deze beslissing. De
Geschillenkamer oordeelt dan ook dat beide doelen bereikt zijn en de op te leggen
administratieve boete derhalve afschrikkend en evenredig is.
99. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met
de daarin bepaalde beoordelingscriteria.
46
Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (versie 2.1), 24 mei 2023,
randnr. 142.