1/24
Geschillenkamer
Beslissing ten gronde 109/2024 van 29 augustus 2024
Dossiernummer : DOS-2022-03909
Betreft : Verwerking van persoonsgegevens in het kader van een
schuldsaldoverzekering
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: De heer X, hierna “de klager”; en
De verweerder: Y, vertegenwoordigd door mr. Heidi Waem en mr. Simon Verschaeve, beiden
kantoorhoudende te 1000 Brussel, Wolstraat 70, hierna “de verweerster”.
Beslissing ten gronde 109/2024 — 2/24
I. Feiten en procedure
1. Op 19 september 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerster.
2. De klacht heeft betrekking op de volgende feiten. In december 2021 bekomt de klager van
de verweerster een kredietaanbod in het kader van de aankoop van een woning. Het
kredietaanbod voorziet in een voorwaardelijke rentekorting waarvan één van de
voorwaarden is om een kredietgebonden levensverzekering af te sluiten bij de verweerster
ten belope van het kredietbedrag. Indien er geen schuldsaldoverzekering afgesloten wordt
bij de verweerster vervalt de rentekorting. De klager stelt dat bij het aanvragen van de
schuldsaldoverzekering via een makelaar in maart 2022 naar voren komt dat de
ondertekening van een toestemming voor de verwerking van gezondheidsgegevens
noodzakelijk is. Deze toestemming zou echter volgens de klager niet enkel gelden voor de
medische acceptatie voor de schuldsaldoverzekering in kwestie, maar voor alle
verwerkingen van gezondheidsgegevens, zoals schadeafhandeling, uitwerking van
prijszetting, verfijnen van toetredings- en dekkingsvoorwaarden, en het opsporen en
voorkomen van fraude. De klager voegt hieraan toe dat dit bovendien wordt gekoppeld aan
een toestemming voor geautomatiseerde besluitvorming op basis van
gezondheidsgegevens. Op 9 maart 2022 ontvangt de klager een antwoord van de
verzekeringsmakelaar met betrekking tot de toestemming voor de verwerking van
gezondheidsgegevens. Hierin wordt aangegeven dat het onmogelijk is voor de verweerster
om met een meer specifieke toestemming te werken. De klager stelt dat nochtans enkel een
schuldsaldoverzekering wordt aangevraagd. De klager stelt vast dat de website van de
verweerster het invullen van de vragenlijst verhindert indien geen toestemming wordt
verleend. Gezien het risico de rentekorting te missen, gaat de klager akkoord met het
toestemmingsdocument en vult hij op de website de medische vragenlijst in. Vervolgens
wordt een samenvattend document bekomen dat via de website ondertekend moet
worden. Dit samenvattend document bevat volgens de klager echter niet dezelfde
informatie als wat beschikbaar was in de invulschermen van de vragenlijst. Op 18 juli 2022
oefent de klager via e-mail zijn rechten uit waarbij hij zijn toestemming deels intrekt,
verzoekt hij eveneens om een beperking van de verwerking in afwachting van een
verduidelijking van de rechtsgrond, trekt hij zijn toestemming in voor geautomatiseerde
besluitvorming, en verzoekt hij tot slot om een correctie van het ondertekend document en
een afdoende integriteitsbescherming van het ondertekend document. De klager ontvangt
een kopie van zijn persoonsgegevens van de verweerster op 12 augustus 2022. Op dezelfde
datum ontvangt de klager van de verweerster het antwoord op de overige elementen van
het verzoek.
Beslissing ten gronde 109/2024 — 3/24
3. Op 21 oktober 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 17 november 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
5. Op 3 maart 2023 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit
dat:
1. er geen sprake is van een inbreuk in het algemeen op artikel 5 AVG, artikel 24.1 AVG
en artikel 25.1 en 25.2 AVG;
2. er sprake is van een inbreuk op artikel 4, 11) AVG, artikel 7.1 en 7.3 AVG en artikel 9.2.a)
AVG voor het verwerken van gegevens over gezondheid;
3. er sprake is van een inbreuk op artikel 22.4 AVG, artikel 24.1 AVG en artikel 25.1 AVG
vanwege het gebruik van geautomatiseerde individuele besluitvorming voor
gegevens over gezondheid; en
4. er sprake is van een inbreuk op artikel 12.1 AVG, artikel 13.1 en 13.2 AVG, artikel 24.1
AVG en artikel 25.1 AVG voor wat betreft de algemene privacyverklaring t.a.v. klanten
in de ruime zin.
Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat er geen sprake is van een inbreuk op artikel
38.1 AVG en artikel 39 AVG.
6. Op 22 maart 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde.
7. Op 22 maart 2023 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
vastgelegd op 5 mei 2023, deze voor de conclusie van repliek van de klager op 26 mei 2023
en ten slotte deze voor de conclusie van repliek van de verweerster op 16 juni 2023. Voor
wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de
Beslissing ten gronde 109/2024 — 4/24
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
vastgelegd op 5 mei 2023.
8. Op 23 maart 2023 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
9. Op 23 maart 2023 aanvaardt de verweerster elektronisch alle communicatie omtrent de
zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden
gehoord, overeenkomstig artikel 98 WOG.
10. Op 3 mei 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. In hoofdorde voert de verweerster aan dat de procedure en de wijze waarop deze
wordt gevoerd door de Geschillenkamer en de Inspectiedienst de beginselen van behoorlijk
bestuur schendt. In ondergeschikte orde voert de verweerster aan dat zij de AVG
gerespecteerd heeft bij het verwerken van gezondheidsgegevens op grond van
uitdrukkelijke toestemming. Deze conclusie bevat eveneens de reactie van de verweerster
omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van
de klacht.
11. Op 24 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager voor
wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager
verzoekt de Geschillenkamer om de klacht integraal te behandelen met inbegrip van de
vermeende inbreuken betreffende de juistheid van gegevens, het recht op rectificatie en de
integriteit van gegevens, hoewel deze vermeende inbreuken niet in het inspectieverslag
opgenomen zijn. Als repliek op de middelen in hoofdorde van de verweerster werpt de klager
op dat, ondanks de eventuele vermeende inbreuken op de beginselen van openbaar bestuur
opgeworpen door de verweerster, de Geschillenkamer voor haar beoordeling van de zaak
kan steunen op de klacht en alle elementen daarin aangebracht. Als repliek op de middelen
in ondergeschikte orde van de verweerster betoogt de klager dat de voorwaarden inzake de
uitdrukkelijke toestemming voor de verwerking van gezondheidsgegevens niet vervuld zijn.
Verder voert de klager aan dat hij de inbreuk inzake de geautomatiseerde besluitvorming op
basis van gezondheidsgegevens in de oorspronkelijke klacht en het Inspectieverslag
voldoende bewezen acht. Daarnaast stelt de klager de onduidelijkheid van de grondslag van
de verwerking van gezondheidsgegevens en de rol van toestemming aan de kaak. Tot slot
stelt de klager ook vast dat er inbreuken zijn op de juistheid van de verwerkte
persoonsgegevens en de integriteit en vertrouwelijkheid.
12. Op 13 juni 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerster
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht, waarin zij
haar standpunten van haar conclusie van antwoord herneemt.
Beslissing ten gronde 109/2024 — 5/24
13. Op 22 april 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 3 juni 2024.
14. Op 3 juni 2024 worden de partijen gehoord door de Geschillenkamer.
15. Op 12 juni 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
16. Op 5 juni 2024 werd aan de verweerster een bijkomende termijn toegekend om standpunt
in te nemen aangaande de volgende punten uit de klacht:
a) Mogelijke inbreuk op artikel 5.1.d) AVG en artikel 16 AVG vanwege het verwerken van
onjuiste gegevens en het niet naleven van het recht op rectificatie van deze gegevens,
aangezien de niet te vermelden aandoeningen niet terugkomen in het te ondertekenen
document en de verweerster niet inging op het verzoek van de klager om dit te
corrigeren.
b) Mogelijke inbreuk op artikel 5.1.f) AVG en artikel 32 AVG vanwege het niet afdoende
waarborgen van de integriteit van de verschafte gegevens door het gebruik van een
digitale handtekening op basis van publieke sleutel cryptografie.
17. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
omtrent bovenstaande punten wordt vastgelegd op 28 juni 2024.
18. Op 14 juni 2024 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met
betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
19. Op 18 juni 2024 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen
met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
20. Op 28 juni 2024 ontvangt de Geschillenkamer vanwege de verweerster de conclusies
omtrent de in randnummer 16 beschreven punten. De verweerster herneemt haar
argumenten uit haar conclusie van dupliek en voegt hieraan toe dat zij de vereisten inzake
juistheid naleeft en een afdoend gevolg heeft gegeven aan de uitoefening van het recht op
rectificatie door de klager (artikel 5.1.d) AVG en artikel 16 AVG) en dat zij de passende
beveiligingsmaatregelen heeft getroffen bij de verwerking van persoonsgegevens in het
kader van het sluiten van de schuldsaldoverzekering waardoor er geen sprake is van een
inbreuk op artikel 5, lid 1, f) AVG en artikel 32 AVG.
II. Motivering
II.1. Beginselen van behoorlijk bestuur
21. Vooreerst voert de verweerster aan dat de Inspectiedienst de beginselen van behoorlijk
bestuur, met name het motiveringsbeginsel, het zorgvuldigheidsbeginsel, het
Beslissing ten gronde 109/2024 — 6/24
redelijkheidsbeginsel, het proportionaliteitsbeginsel, het onpartijdigheidsbeginsel en haar
rechten van verdediging heeft geschonden.
22. De verweerster voert aan dat het op grond van het motiveringsbeginsel noodzakelijk is dat
de aantijgingen minstens een minimum aan motivering bevatten om de volledige toedracht
van de aantijgingen te begrijpen opdat zij in de mogelijkheid zou worden gesteld om zich
gedegen te kunnen verdedigen.
23. De wijze waarop het inspectieverslag tot stand is gekomen schendt volgens de verweerster
het zorgvuldigheidsbeginsel doordat de Inspectiedienst haar onderzoeksbevoegdheden op
onevenredige wijze heeft ingezet. Bovendien komt het de Inspectiedienst toe om het
inspectieverslag met de nodige zorgvuldigheid op te stellen zodat het voor de verweerster
duidelijk is welke inbreuken wel of niet worden weerhouden.
24. Daarnaast zou volgens de verweerster ook het redelijkheidsbeginsel en het
proportionaliteitsbeginsel zijn geschonden omdat de weerhouden vaststellingen in het
inspectieverslag niet in evenredig verband staan tot de relevante feiten en het voorwerp van
de klacht.
25. Tot slot betoogt de verweerster dat ook het beginsel van onpartijdigheid zou zijn
geschonden doordat de inspectiedienst geen onderzoek à décharge heeft gevoerd, maar
daarentegen klaarblijkelijk en a priori uitgaat van de schuld van de verweerster.
26. Ook de Geschillenkamer heeft volgens de verweerster de beginselen van behoorlijk bestuur,
waaronder het zorgvuldigheidsbeginsel, geschonden doordat zij beslist heeft dat dat
inspectieverslag, dat strijdig zou zijn met de beginselen van behoorlijk bestuur, toelaat om
de zaak te behandelen ten gronde en een procedure ten gronde rechtvaardigt.
27. Het geheel van alle voormelde elementen brengt de verweerster ertoe te stellen dat de
rechten van verdediging zijn geschonden.
28. Dienaangaande wijst de Geschillenkamer erop dat de procedurele waarborgen onverkort
moeten worden nageleefd en, indien er mogelijk al sprake zou zijn geweest van benadeling
van de verweerster door de wijze waarop het inspectieverslag is tot stand gekomen, dit
nadeel volledig is opgeheven in het vervolgtraject waardoor geen sprake kan zijn van enige
schending van de beginselen van behoorlijk bestuur. De door de verweerster opgeworpen
procedurele elementen hebben niet tot gevolg dat de rechten van verdediging zijn
geschonden, aangezien de verweerster de kans heeft gekregen om haar argumentatie
volledig naar voor te brengen door middel van de conclusie van antwoord en dupliek;
daarenboven heeft de verweerster haar recht op tegenspraak ten volle kunnen uitoefenen
tijdens de hoorzitting van de Geschillenkamer. De verweerster heeft aldus geen enkel
nadeel ondervonden en de rechten van verdediging zijn aldus wel degelijk gerespecteerd.
Beslissing ten gronde 109/2024 — 7/24
II.2. Rechtmatigheid van de verwerking
II.2.1. Vaststelling van de Inspectiedienst
29. De Inspectiedienst stelt in zijn inspectieverslag vast dat de verweerster zich beroept op de
uitdrukkelijke toestemming als rechtsgrond voor de verwerking van gezondheidsgegevens
in het kader van het sluiten van een schuldsaldoverzekering. De Inspectiedienst komt echter
tot de vaststelling dat niet voldaan is aan de rechtmatigheid van de litigieuze verwerkingen
omdat er sprake is van een schending van artikel 4, 11) AVG, artikel 7.1 en 7.3 AVG en artikel
9.2.a) AVG.
30. De toestemming die door de verweerster aan de klager wordt gevraagd via het formulier
“toestemming verwerking gezondheidsgegevens” is volgens de Inspectiedienst niet vrij en
specifiek, aangezien het formulier van toepassing is op verschillende
verwerkingsdoeleinden, maar dat betrokkenen enkel toestemming kunnen geven voor al
die verwerkingsdoeleinden in hun geheel. Bijgevolg stelt de Inspectiedienst vast dat de
toestemming die wordt gevraagd via het voormelde formulier niet vrij en specifiek is
waardoor de toestemming niet rechtsgeldig is. Tot slot concludeert de Inspectiedienst op
basis van diens onderzoek dat het intrekken van de gegeven toestemming niet even
gemakkelijk is als het geven ervan aangezien die intrekking vereist dat de betrokkene
voorafgaand de privacyverklaring leest waarin aangegeven staat hoe de intrekking dient te
verlopen.
II.2.2. Standpunt van de klager
31. In zijn conclusie van repliek betoogt de klager dat de gegeven toestemming niet specifiek
en niet vrij gegeven is. Voor wat betreft het gebrek aan een specifieke toestemming, voert
de klager aan dat de verweerster verschillende doeleinden opsomt, zoals het uitwerken van
een correcte prijszetting, efficiënt kostenbeheer en het verfijnen van toetredings- en
dekkingsvoorwaarden. Zij stelt dat deze doeleinden onlosmakelijk verbonden zijn met
elkaar. De klager betwist dit en stelt dat het om vaag geformuleerde doeleinden gaat die niet
specifiek betrekking hebben op de verzekeringsovereenkomst in kwestie. Het betreft
volgens de klager algemene activiteiten die een verzekeraar in zijn bedrijfsvoering kan
uitvoeren, maar die niet noodzakelijk zijn om, mogelijk grootschalig, alle
gezondheidsgegevens te gebruiken die in zijn bezit zijn. De klager stelt dat de verweerster
zich eveneens kan baseren op andere elementen zoals een subset van persoonsgegevens
(i.e. van betrokkenen die specifieke toestemming hebben gegeven), andere statistische
gegevensbronnen (zoals openbare overlijdensstatistieken) of wetenschappelijk onderzoek.
32. De klager voegt hieraan toe dat zelfs indien al deze doeleinden onlosmakelijk verbonden
zouden zijn, quod non, dan nog deze verbondenheid geen motivering kan opleveren voor het
Beslissing ten gronde 109/2024 — 8/24
bundelen van toestemming voor alle verzekeringsovereenkomsten. De toestemming is
bijgevolg niet specifiek.
33. De klager stelt de vraag waarom de verweerster, voorafgaand aan het invullen van de
medische vragenlijst voor de schuldsaldoverzekering, geen korte toestemmingsvraag heeft
gesteld specifiek voor de schuldsaldoverzekering in kwestie en met de nodige opsplitsingen
voor de onderscheiden doeleinden. Deze methode biedt eveneens aan de verweerster de
mogelijkheid om de betrokkene erop te wijzen dat reeds gekende gezondheidsgegevens
ook kunnen gebruikt worden bij de risicobepaling.
34. Voor wat het vrij karakter van de toestemming betreft wijst de klager erop dat er een
vaststaand nadeel verbonden is aan het weigeren van de toestemming, dat verder gaat dan
louter geen verzekering kunnen bekomen. Eveneens stelt de klager aan de kaak dat, door
het bundelen van toestemming voor verschillende doeleinden in één toestemming, deze
toestemming niet vrij bekomen is.
35. Voor wat betreft de rechtsgrond van de verwerking van gezondheidsgegevens, binnen de
context van de medische acceptatie voor de schuldsaldoverzekering verzoekt de klager de
Geschillenkamer om een standpunt in te nemen betreffende de rechtsgrond, te weten of er
een voldoende specifieke wettelijke basis is voor de verwerking of dat toestemming de
toepasselijke rechtsgrond is. De klager stelt dat eventuele onvolkomenheden in de
wetgeving met betrekking tot verwerking van gezondheidsgegevens binnen de context van
de medische acceptatie voor de schuldsaldoverzekering, niet aan de verweerster verweten
kunnen worden. Dit neemt volgens de klager echter niet weg dat de verweerster de
rechtsgrond correct moet bepalen en indien zij zich alsnog beroept op de uitdrukkelijke
toestemming als rechtsgrond, er op geldige wijze toestemming gevraagd moet worden.
II.2.3. Standpunt van de verweerster
36. In haar conclusies voert de verweerster aan dat zij de AVG gerespecteerd heeft bij het
verwerken van gezondheidsgegevens op grond van de uitdrukkelijke toestemming. Zij stelt
dat de uitdrukkelijke toestemming vrij en specifiek is en dat het intrekken ervan even
eenvoudig is als het geven ervan.
37. Voor wat betreft het specifiek karakter van de uitdrukkelijke toestemming voert de
verweerster aan dat het toepasselijke wettelijke kader inzake (levens)verzekeringen tot
gevolg heeft dat de door de verweerster in het toestemmingsformulier uiteengezette
verwerkingsactiviteiten of ‘subdoelen’ die de Inspectiedienst als afzonderlijke doeleinden
beschouwt, intrinsiek gelinkt zijn aan één algemener doeleinde, met name het correct
naleven van de rol van verzekeraar bij het aanbieden en uitvoeren van
verzekeringscontracten. Het opsplitsen van het doeleinde van de verwerking zou er ofwel
Beslissing ten gronde 109/2024 — 9/24
toe leiden dat de verweerster de wettelijke principes niet langer kan toepassen of naleven,
ofwel bij de betrokkene verkeerdelijk de indruk zou wekken dat deze daadwerkelijk een
keuze heeft om granulair al dan niet in te stemmen per verwerkingsactiviteit of
‘subdoeleinde’, wat strijdig zou zijn met artikel 5.1.a) AVG dat stelt dat “persoonsgegevens
moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig,
behoorlijk en transparant is”. Vermits de verwerking van gezondheidsgegevens van de
klager voor slechts één algemeen doeleinde plaatsvond, is de uitdrukkelijke toestemming
die de verweerster heeft bekomen wel degelijk specifiek, overeenkomstig de voorwaarden
die de AVG aan het verwerken van persoonsgegevens op grond van toestemming stelt.
38. Voor wat betreft het vrij karakter van de uitdrukkelijke toestemming wijst de verweerster
erop dat uit het wettelijk kader inzake verzekeringen volgt dat de geviseerde verwerking van
gezondheidsgegevens niet ‘onnodig’ is voor het correct naleven van de rol van verzekeraar
bij het aanbieden en uitvoeren van verzekeringscontracten, maar integendeel - als een
essentieel onderdeel dient te worden beschouwd. Uit de vaststelling dat verweerster de
toestemming als voorwaarde stelt om een schuldsaldoverzekering af te sluiten kan niet
worden geconcludeerd dat er geen sprake is van een ‘vrije’ wilsuiting van de betrokkene en
de toestemming daardoor per definitie ongeldig is. De verweerster wijst in deze context op
het gebruik van uitdrukkelijke toestemming als uitzonderingsgrond onder artikel 9.2.a) AVG
voor de verwerking van bijzondere categorieën van persoonsgegevens die noodzakelijk zijn
voor de uitvoering van de overeenkomst in de zin van artikel 6.1.b) AVG. Dit vormt een
specifiek vraagstuk, met name in België en met name voor verzekeringsondernemingen. De
verweerster wijst op het feit dat toestemming als enige uitzonderingsgrond onder artikel 9.2
AVG van toepassing kan zijn bij gebrek aan nationaal wetgevend kader. Dit in tegenstelling
tot andere EU-landen zoals Nederland, Spanje, Ierland (en het Verenigd Koninkrijk) waar wel
een wettelijk kader is gecreëerd voor de verwerking van gevoelige persoonsgegevens door
verzekeraars. In dit kader verwijst de verweerster naar wetgevende initiatieven uit de
verzekeringssector met de bedoeling een dergelijk wetgevend kader te bekomen, tot op
heden zonder succes.
II.2.4. Beoordeling door de Geschillenkamer
39. De vraag stelt zich of de verweerster zich rechtsgeldig op de uitdrukkelijke toestemming
kan beroepen voor de verwerking van persoonsgegevens in het kader van het afsluiten van
een schuldsaldoverzekering.
40. Artikel 5.1.a) AVG vereist dat persoonsgegevens “worden verwerkt op een wijze die ten
aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (“rechtmatigheid,
behoorlijkheid en transparantie”).” Het principe van rechtmatigheid is een van de
Beslissing ten gronde 109/2024 — 10/24
belangrijkste beginselen van de AVG en dient als een voorwaarde voor de toepassing van de
overige beginselen van de AVG met betrekking tot de verwerking van persoonsgegevens.
41. Het is aan de verwerkingsverantwoordelijke om te bepalen welke rechtmatigheidsgrond
passend is ten aanzien van het doel van de verwerking. 1 Aangezien uit de ene of de andere
rechtmatigheidsgrondslag verschillende gevolgen voortvloeien, met name wat de rechten
van de betrokkenen betreft, is het niet toegestaan dat de verwerkingsverantwoordelijke
zich, afhankelijk van de omstandigheden, op de ene of de andere rechtsgrond beroept.
Indien er eenmaal gekozen is voor een bepaalde rechtsgrond kan niet in een latere fase
alsnog voor een andere rechtsgrond worden gekozen. Evenmin kan, wanneer de gekozen
rechtsgrond ophoudt te gelden, teruggevallen worden op een andere rechtsgrond voor
dezelfde verwerkingsactiviteit, voor dezelfde doeleinden. 2
42. Op grond van artikel 9.1 AVG is de verwerking van gezondheidsgegevens in principe
verboden. In het geval dat er een verwerking van categorieën van bijzondere
persoonsgegevens overeenkomstig artikel 9.1 AVG plaatsvindt, dient de
verwerkingsverantwoordelijke een rechtsgrond overeenkomstig artikel 6 AVG én een
uitzonderingsgrond uit artikel 9.2 AVG aan te duiden om te kunnen spreken van een
rechtmatige verwerking. Deze cumul van rechtsgronden uit artikel 6 én 9.2 AVG vloeit voort
uit onder meer het arrest Meta (C-252/21) van het Hof van Justitie 3 waarin uitdrukkelijk
wordt geoordeeld door het Hof dat het verwerken van gevoelige persoonsgegevens slechts
is toegelaten indien een dergelijke verwerking als rechtmatig kan worden aangemerkt onder
artikel 6.1 AVG. Ook het advies 2/2019 van de European Data Protection Board (hierna
“EDPB”)4 en het advies 06/2014 van de Groep Gegevensbescherming Artikel 29 5 verwijzen
consequent naar de toepassing van zowel artikel 6 AVG als artikel 9 AVG in het geval van
een verwerking van een categorie van bijzondere persoonsgegevens. Overweging 51 AVG
geeft ten slotte duidelijk aan dat artikel 6 AVG steeds toegepast dient te worden.
43. In de nationale wetgeving kan ook geen toepasselijke rechtsgrond gevonden worden. Noch
de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met
betrekking tot de verwerking van persoonsgegevens 6, noch de wet van 4 april 2014 op de
verzekeringen7, noch een nationale wet bevat een verwerkingsgronden op basis waarvan de
gezondheidsgegevens in het kader van het aangaan van verzekeringsovereenkomsten
1
Zie ook beslissing 77/2023, §74, van de Geschillenkamer.
2
Zie bijvoorbeeld beslissingen 38/2021, 54/2023 en 77/2023 van de Geschillenkamer.
3
HvJEU Arrest van 4 juli 2023, Meta, C-252/21, ECLI:EU:C:2023:537, para. 90.
4
Advies 2/2019 (EDPB) over de vragen en antwoorden over de wisselwerking tussen de verordening betreffende klinische
proeven (VKP) en de algemene verordening gegevensbescherming (AVG) (artikel 70, lid 1, onder b)) van 23 januari 2019.
5
Advies 06/2014 (WP 29) over het begrip “gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke”
in artikel 7 van Richtlijn 95/46/EG.
6
BS 5 september 2018.
7
BS 30 april 2014.
Beslissing ten gronde 109/2024 — 11/24
verwerkt kunnen worden. Bijgevolg dient de verweerster een rechtsgrond te vinden in de
AVG.
44. De Richtsnoeren 05/20208 van de EDPB stellen dat artikel 9.2 AVG de noodzaak van de
tenuitvoerlegging van de overeenkomst niet als een uitzondering voorziet op het algemene
verwerkingsverbod van artikel 9.1 AVG. In dit verband moet de
verwerkingsverantwoordelijke uitzoeken of een van de bijzondere uitzonderingen van
artikel 9.2, onder b) tot en met j), op een dergelijke situatie van toepassing zou kunnen zijn.
Als geen van de uitzonderingen in de subparagrafen b - j van toepassing is, is het verkrijgen
van uitdrukkelijke toestemming in overeenstemming met de voorwaarden voor geldige
toestemming die zijn vastgelegd in de AVG de enige mogelijke wettelijke uitzondering op
basis waarvan de verwerkingsverantwoordelijke persoonsgegevens zou kunnen verwerken
die behoren tot bijzondere categorieën van persoonsgegevens.
45. Zoals hierboven reeds vermeld en zoals aangegeven door de verweerster in haar conclusies,
voorziet de Belgischer nationale wetgeving geen specifieke rechtsgronden voor de
verwerking van gezondheidsgegevens in het kader van verzekeringsovereenkomsten. Ook
de uitzonderingen zoals voorzien in artikel 9.2 b)-j) AVG kunnen niet van toepassing zijn op
de litigieuze verwerking.
46. Bijgevolg duidt de verweerster artikel 9.2.a) AVG, namelijk de uitdrukkelijke toestemming,
aan als basis voor de verwerkingen van gezondheidsgegevens.
47. Overeenkomstig artikel 9.2.a) AVG is het verbod op de verwerking van bijzondere
categorieën van persoonsgegevens niet van toepassing indien de betrokkene uitdrukkelijk
toestemming heeft gegeven voor de verwerking van deze persoonsgegevens in kwestie
voor een of meer specifieke doeleinden. Overeenkomstig artikel 4.11) AVG wordt onder
"toestemming" van de betrokkene verstaan elke vrijwillige, geïndividualiseerde, op
informatie berustende en ondubbelzinnige wilsuiting waarmee de betrokkene de
verwerking van zijn persoonsgegevens aanvaardt door het afleggen van een verklaring
waarin hij zijn toestemming tot uitdrukking brengt of door het ondernemen van een actie
waarmee hij duidelijk zijn toestemming tot uitdrukking brengt.
48. Het element “vrij” impliceert werkelijke keuze en controle voor de betrokkene. Als algemene
regel schrijft de AVG voor dat als een betrokkene geen werkelijke keuze heeft, zich
gedwongen voelt om toestemming te geven of het voor hem negatieve gevolgen zal hebben
als hij niet toestemt, de toestemming niet geldig is.9
8
EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, v.1.1 te raadplegen
via https://www.edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf.
9
EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, v.1.1, p.8, te
raadplegen via https://www.edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf.
Beslissing ten gronde 109/2024 — 12/24
49. Zoals blijkt uit de klacht voorziet het kredietaanbod in kwestie in een voorwaardelijke
rentekorting waarvan een van de voorwaarden is om een kredietgebonden
levensverzekering , de voormelde schuldsaldoverzekering, te sluiten bij de verweerster ten
belope van het kredietbedrag. Indien er geen schuldsaldoverzekering gesloten wordt bij de
verweerster vervalt de rentekorting. Daarnaast verwijst de Geschillenkamer eveneens naar
maatschappelijke wenselijkheid van de schuldsaldoverzekering, namelijk de voordelen voor
partners of erfgenamen die worden beschermd door het aangaan van een
schuldsaldoverzekering.
50. Gelet op de negatieve gevolgen die verbonden zijn aan het niet afsluiten van de
schuldsaldoverzekering in kwestie, is de Geschillenkamer van oordeel dat de toestemming
niet vrij gegeven is. Aangezien niet voldaan is aan de voorwaarde van de vrije toestemming,
dienen de andere voorwaarden niet getoetst te worden, gelet op hun cumulatief karakter,
om de rechtmatigheid van de toestemming in kwestie te beoordelen. Bijgevolg is er sprake
van een inbreuk op artikel 4, 11) AVG en artikel 9.2 AVG.
51. De Geschillenkamer wijst er echter op dat deze inbreuk niet verwijtbaar is aan de
verweerster. De Geschillenkamer wenst de aandacht te vestigen op de bredere
problematiek die samenhangt met de klacht, namelijk de verzameling van
gezondheidsgegevens door verzekeraars bij de potentiële verzekeringnemers via hun
uitdrukkelijke toestemming (art. 9.2. a) AVG) in het kader van het afsluiten en uitvoeren van
een verzekering, in casu een schuldsaldoverzekering, en de daarmee gepaard gaande vraag
in welke mate de toestemming van die verzekeringnemers vrij kan zijn. De vraag rijst of er,
anders dan de uitdrukkelijke toestemming, andere mogelijke verwerkingsgronden zijn op
basis waarvan de gezondheidsgegevens door verweerder in de uitvoering van de
verzekeringsovereenkomst verwerkt kunnen worden.
52. In de voormelde wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen
met betrekking tot verwerking van persoonsgegevens, waarin uitvoering is gegeven aan de
AVG, zijn geen specifieke bepalingen opgenomen waarin de verwerking van gevoelige
persoonsgegevens in het kader van verzekeringen nader wordt geregeld. En evenmin in
andere nationale wetgeving. De verweerster merkt op dat een nationaal wetgevend kader
in deze ontbreekt, ondanks verschillende pogingen hiertoe, o.a. op initiatief van de
verzekeringssector zelf. De Geschillenkamer kan dit standpunt enkel bijtreden en opmerken
dat de wetgever in dat verband zou moeten tussenkomen om specifiek voor de
verzekeringssector een wettelijke basis te voorzien die toelaat om binnen welomschreven
grenzen gezondheidsgegevens in te zamelen in het kader van de (pre-)contractuele
verhouding tussen verzekeraar en verzekeringnemer. 10 De Geschillenkamer verwijst ter
10
Zie ook Beslissing 24/2020 van 14 mei 2020, para 74 en 75.
Beslissing ten gronde 109/2024 — 13/24
illustratie naar artikel 30.3.b. van de Nederlandse Uitvoeringswet Algemene verordening
gegevensbescherming11 waarin een dergelijke wettelijke basis voorzien werd:
53. Artikel 30.3 Uitvoeringswet Algemene verordening gegevensbescherming: “Gelet op artikel
9, tweede lid, onderdeel h, van de verordening, is het verbod om gegevens over gezondheid
te verwerken niet van toepassing indien de verwerking geschiedt door:
a. […]
b. verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht of financiële
dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1:1 van die wet, voor
zover de verwerking noodzakelijk is voor:
1°. de beoordeling van het door de verzekeraar te verzekeren risico en de
betrokkene geen bezwaar heeft gemaakt; of
2°. de uitvoering van de overeenkomst van verzekering dan wel het assisteren bij
het beheer en de uitvoering van de verzekering.
54. Artikel 30.4 Nederlandse Uitvoeringswet Algemene verordening gegevensbescherming:
“4. Indien toepassing wordt gegeven aan het eerste, tweede of derde lid, worden de
gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk
voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Indien
de verwerkingsverantwoordelijke persoonlijk gegevens verwerkt en op hem niet reeds uit
hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij
verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot
mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden
meegedeeld aan anderen die krachtens het eerste, tweede of derde lid bevoegd zijn tot
verwerking daarvan.”
55. Ondanks de verschillende initiatieven om een specifieke rechtsgrond te voorzien voor de
verwerking van gezondheidsgegevens in het kader van verzekeringsovereenkomsten werd
hieraan nog geen gevolg gegeven door de Belgische wetgever.
56. De Geschillenkamer is van oordeel dat deze situatie onwenselijk is voor alle actoren die
betrokken zijn bij het aangaan van dergelijke verzekeringsovereenkomsten en dringt erop
aan dat een oplossing hiertoe gevonden wordt, bij voorkeur op Europees niveau. Bijgevolg
brengt de Geschillenkamer deze beslissing dan ook ter kennis van de EDPB, en in
samenspraak met het Directiecomité van de GBA, aan andere ter zake bevoegde overheden
op nationaal en Europees niveau.
11
Voluit: Wet van 16 mei 2018, houdende regels ter uitvoering van Verordening (EU) 2016/679 van het Europees Parlement en
de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming) (PbEU 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming).
Beslissing ten gronde 109/2024 — 14/24
II.3. Geautomatiseerde individuele besluitvorming (artikel 22 AVG)
II.3.1. Vaststelling van de Inspectiedienst
57. In het Inspectieverslag stelt de Inspectiedienst geen inbreuken vast met betrekking tot het
gebruik van geautomatiseerde individuele besluitvorming voor gewone persoonsgegevens.
58. Voor wat betreft het gebruik van geautomatiseerde individuele besluitvorming voor
gezondheidsgegevens stelt de Inspectiedienst vast dat niet voldaan is aan artikel 22.4 AVG
aangezien de toestemming die de verweerster gevraagd heeft op basis van artikel 9.2.a)
AVG niet rechtsgeldig verkregen werd. Bijgevolg stelt de Inspectiedienst vast dat de
verweerster een inbreuk heeft begaan op artikel 22.4 AVG en artikel 24.1 AVG en artikel 25.1
AVG voor wat betreft de gebruik van geautomatiseerde individuele besluitvorming
betreffende gezondheidsgegevens.
II.3.2. Standpunt van de klager
59. De klager stelt dat de inbreuk in verband met geautomatiseerde besluitvorming op basis van
gezondheidsgegevens in de oorspronkelijke klacht reeds voldoende bewezen was en ook
werd bevestigd door de Inspectiedienst.
II.3.3. Standpunt van de verweerster
60. De verweerster wijst erop dat de door de Inspectiedienst vastgestelde inbreuk op artikel
22.4 AVG een ‘afgeleide’ inbreuk is die volgt uit de door de Inspectiedienst vastgestelde
inbreuk op artikel 9.2.a) AVG, en dat er verder geen inbreuken geformuleerd werden op
andere voorwaarden van artikel 22.4 AVG. Bovendien stelde de Inspectiedienst vast dat de
verweerster de voorwaarden van artikel 22 AVG volledig naleeft met betrekking tot
‘gewone’ persoonsgegevens. Bijgevolg betoogt de verweerster dat indien de
Geschillenkamer zou oordelen dat de uitdrukkelijke toestemming rechtmatig gegeven zou
zijn, de door de Inspectiedienst vastgestelde inbreuk inzake artikel 22.4 AVG afgewezen
moet worden.
61. Tijdens de hoorzitting werd de verweerster gevraagd om haar standpunt inzake de
vaststelling inzake de geautomatiseerde individuele besluitvorming verder te
verduidelijken. De verweerster lichtte toe dat deze manier van besluitvorming een bewuste
keuze van de verweerster is, niet in het minst om de vertrouwelijkheid en integriteit van de
medische gegevens te beschermen. Wanneer deze verwerking een positief resultaat
oplevert voor de klant, is er geen menselijke controle. Indien er zich een mogelijk probleem
voordoet (ook wel een knipperlicht genoemd), gaat het dossier naar een medewerker ter
Beslissing ten gronde 109/2024 — 15/24
controle van de besluitvorming. Er wordt dus nooit een verzekering geweigerd zonder dat
de besluitvorming is nagekeken door een medewerker van de verweerster.
62. Voor wat betreft de inbreuken inzake artikel 24.1 AVG en artikel 25.1 AVG, voert de
verweerster aan dat deze in elk geval ongegrond zijn bij gebrek aan motivatie van de
Inspectiedienst (zie II.1). Indien de Geschillenkamer toch zou overgaan tot de beoordeling
ten gronde van een inbreuk op deze artikelen, voert de verweerster aan dat zij alle passende
technische en organisatorische maatregelen genomen heeft om de door de AVG beoogde
doeleinden te bereiken. Een disfunctie in een zeldzaam geval betekent uiteraard niet dat de
nodige procedures en processen in het algemeen niet zouden zijn geïmplementeerd,
hetgeen de Inspectiedienst ook in het kader van zijn eerste vaststelling constateert, zo stelt
de verweerster. Bijgevolg heeft de verweerster de voorwaarden voor geautomatiseerde
individuele besluitvorming nageleefd in overeenstemming met de vereisten die volgen uit
artikel 22.4 AVG, artikel 24.1 AVG en artikel 25.1 AVG.
II.3.4. Beoordeling door de Geschillenkamer
63. Wanneer persoonsgegevens worden gebruikt om tot een bepaald besluit te komen en dit
besluit uitsluitend gebaseerd is op geautomatiseerde verwerking van persoonsgegevens,
dan is er sprake van geautomatiseerde individuele besluitvorming. Op basis van artikel 22.1
AVG hebben betrokkenen het recht om niet onderworpen te worden aan een enkel op
geautomatiseerde verwerking (waaronder profilering) gebaseerd besluit, wanneer dit hetzij
rechtsgevolgen heeft voor hen, hetzij het hen anderszins in aanzienlijke mate treft.
64. Het voorgaande is echter niet van toepassing indien het besluit: a) noodzakelijk is voor de
totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een
verwerkingsverantwoordelijke; b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke
bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in
passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde
belangen van de betrokkene; of c) berust op de uitdrukkelijke toestemming van de
betrokkene (artikel 22.2 AVG).
65. Ingevolge artikel 22.4 AVG mogen de geautomatiseerde individuele besluiten niet
gebaseerd worden op bijzondere categorieën van persoonsgegevens tenzij er daarvoor
uitdrukkelijke toestemming is van de betrokkene, of het gebruik noodzakelijk is met het oog
op een zwaarwegend algemeen belang op grond van Unierecht of lidstatelijk recht. In beide
gevallen moeten passende maatregelen worden getroffen ter bescherming van de
gerechtvaardigde belangen van de betrokkene. In de eerste situatie treft de
verwerkingsverantwoordelijke deze maatregelen zelf, in de tweede situatie worden deze bij
wet voorgeschreven.
Beslissing ten gronde 109/2024 — 16/24
66. Zoals aangevoerd door de verweerster is de geautomatiseerde individuele besluitvorming
gebaseerd op de uitdrukkelijke toestemming zoals voorgeschreven door artikel 9.2.a) AVG.
In onderhavige zaak heeft de Geschillenkamer geoordeeld dat de uitdrukkelijke
toestemming niet rechtsgeldig verkregen was, maar dat deze inbreuk niet verwijtbaar is aan
de verweerster (zie deel II.2). Bijgevolg kan de verweerster zich wel beroepen op artikel
22.2.c) AVG j° artikel 22.4 AVG, indien zij aan de toepasselijke voorwaarden voldoet.
67. Aangezien de verweerster zich beroept op artikel 22.2.c) AVG j° artikel 22.4 AVG dient zij de
nodige passende maatregelen te treffen ter bescherming van de rechten van de
betrokkene. Deze maatregelen moeten tenminste het volgende omvatten: het recht op een
menselijke tussenkomst, het recht voor de betrokkene om zijn standpunt kenbaar te maken
en het recht om het besluit aan te vechten.
68. Op basis van de verklaring van de verweerster en de privacyverklaring inzake automatisch
genomen beslissingen zoals overgemaakt door de verweerster stelt de Geschillenkamer
vast dat de verweerster verschillende maatregelen genomen heeft. De geautomatiseerde
individuele besluitvorming zonder menselijke tussenkomst wordt enkel genomen in het
geval van een positief besluit. In het geval dat verschillende knipperlichten afgaan en er
mogelijks een negatief besluit dient genomen te worden, zal het dossier in ieder geval door
een medeweker ter controle beoordeeld worden. De betrokkene kan zich verzetten tegen
profilering waardoor de beslissing om in aanmerking te komen voor krediet en bijhorende
schuldsaldoverzekering niet automatisch kan verlopen. Als een betrokkene het niet eens is
met het geautomatiseerde individueel besluit, kan deze overeenkomstig de
privacyverklaring, op verschillende manieren de verweerster contacteren, om te laten
weten waarom hij het niet eens is met de beslissing en vragen om de genomen beslissing te
bekijken.
69. Gelet op het bovenstaande stelt de Geschillenkamer vast, op basis van de verklaringen van
de verweerster en de toepasselijke privacyverklaring, dat de verweerster de
geautomatiseerde individuele besluitvorming op basis van gezondheidsgegevens
rechtmatig baseert op de uitdrukkelijke toestemming en de nodige passende maatregelen
getroffen heeft ter bescherming van de rechten van de betrokkene. Aangezien de
Geschillenkamer in het Inspectieverslag of in de conclusies van de klager geen aanwijzingen
terugvindt die deze vaststelling zou weerleggen, oordeelt de Geschillenkamer dat er geen
inbreuk is op artikel 22 AVG, artikel 24 AVG en artikel 25 AVG.
Beslissing ten gronde 109/2024 — 17/24
II.4. Informatieverplichtingen in de privacyverklaring
II.4.1. Vaststellingen in het Inspectieverslag
70. De Inspectiedienst stelt vast dat de algemene privacyverklaring t.a.v. klanten in de ruime zin
enerzijds niet altijd beknopte, transparante en begrijpelijke informatie bevat (artikel 12.1
AVG) en anderzijds niet alle informatie verplicht op basis van artikel 13 AVG bevat.
71. Voor wat betreft de niet altijd beknopte, transparante en begrijpelijke informatie stelt de
Inspectiedienst vast dat de vermelding in de privacyverklaring dat de verweerster deel
uitmaakt van een ondernemingsgroep geen meerwaarde heeft. Verder wijst de
Inspectiedienst erop dat de woorden persoonsgegevens en gegevens geen synoniemen zijn
die door elkaar worden gebruikt. Verder bevat de privacyverklaring meermaals lange
complexe zinnen met vakjargon, hetgeen onduidelijk kan zijn voor de klanten van
verweerster die niet thuis zijn in de materie.
72. De Inspectiedienst acht de privacyverklaring onvolledig aangezien het rechtstreeks
telefoonnummer van de functionaris voor gegevensbescherming niet is opgenomen in de
privacyverklaring (artikel 13.1.b) AVG). Verder ontbreekt in de privacyverklaring
transparante informatie over welke de passende of geschikte waarborgen zijn, hoe er een
kopie van kan worden verkregen of wie kan worden geraadpleegd bij de doorgifte van
persoonsgegevens door de verweerster aan derde landen waarvoor er geen
adequaatheidsbesluit van de Europese Commissie bestaat (artikel 13.1.f) AVG). De
Inspectiedienst stelt ook een gebrek aan transparantie informatie vast over het feit of de
betrokkene verplicht is om de persoonsgegevens te verstrekken en wat de mogelijke
gevolgen zijn wanneer persoonsgegevens niet worden verstrekt als de verstrekking van
persoonsgegevens op een wettelijke of contractuele verplichting berust dan wel een
noodzakelijke voorwaarde om een overeenkomst te sluiten (artikel 13.2.e) AVG).
II.4.2. Standpunt van de verweerster
73. De verweerster betwist de vaststellingen van de Inspectiedienst inzake de privacyverklaring
en weerlegt deze in haar conclusies.
74. Voor wat betreft de vaststellingen inzake de niet altijd beknopte, transparante en
begrijpelijke informatie, wijst de verweerster erop dat verwijzingen naar de groep waarvan
zij deel uitmaakt, functioneel van belang zijn om de betrokkene uit te leggen hoe zijn of haar
persoonsgegevens desgevallend worden gebruikt binnen de groep. Voor wat betreft het
gebruik van de termen gegevens en persoonsgegevens voert de verweerster aan dat zij het
voor de betrokkene wel degelijk duidelijk maakt dat de privacyverklaring betrekking heeft
op persoonsgegevens. Het woord persoonsgegevens komt maar liefst 130 keer in de
privacyverklaring voor. Zij wijst er eveneens op dat het gebruik van het woord gegevens het
Beslissing ten gronde 109/2024 — 18/24
toepassingsgebied van de privacyverklaring in geen geval beperkt vermits het woord
‘gegevens’ in het normale taalgebruik en onder de AVG als ruimer kan worden beschouwd
dan het begrip ‘persoonsgegevens’. Vervolgens, betreffende het taalgebruik in de
privacyverklaring betoogt de verweerster dat de Inspectiedienst de geviseerde passages
niet in de originele context weergeeft waardoor de informatie die deze passages
verduidelijkt weggelaten werd. Daarnaast stelt de verweerster dat zij een zo courant
mogelijk taalgebruik hanteert, maar dat zij, gelet op de aard van haar activiteiten en het
wettelijk kader waarin zij opereert, in bepaalde gevallen genoodzaakt is om specifieke
benamingen en termen te gebruiken. De informatie aan de betrokkene moet
overeenkomstig artikel 12.1 AVG niet alleen duidelijk maar ook beknopt zijn, waardoor een
gepast evenwicht moet gevonden worden tussen het toevoegen van bijkomende
toelichting enerzijds en het betrekken van informatie in beknopte vorm anderzijds.
75. Voor wat betreft de vaststelling dat de privacyverklaring onvolledige informatie zou
bevatten voert de verweerster argumenten aan om deze vaststelling te weerleggen.
Betreffende het gebrek aan vermelding van het rechtstreeks telefoonnummer van de
functionaris voor gegevensbescherming in de privacyverklaring verduidelijkt de
verweerster dat zij ervoor gekozen heeft om dit telefoonnummer niet te vermelden gelet op
de bekendheid van de verweerster in de Belgische markt en de grootte van het bedrijf. Zij
ontvangt immers een aanzienlijk aantal en een grote verscheidenheid aan verzoeken en
vragen van betrokkenen. Het zou niet haalbaar zijn voor de functionaris voor
gegevensbescherming om rechtstreeks opgebeld te worden met deze verzoeken.
Betrokkenen kunnen wel telefonisch contact opnemen met de helpdesk van de
verweerster. Desgevallend zullen de agenten van de helpdesk vragen over
gegevensbescherming aan de Group Data Protection Unit, waarvan de functionaris voor
gegevensbescherming deel uitmaakt, doorsturen. Voor wat betreft de informatie over
passende waarborgen voor doorgiftes stelt de verweerster dat zij de relevante doorgiftes
toelicht, alsook gedetailleerde informatie verstrekt over de verwerkers waarmee zij
samenwerkt. Zij bezorgt ook duidelijke informatie aan de betrokkene over hoe contact kan
worden opgenomen met haar en hoe rechten kunnen worden uitgeoefend. In haar
privacyverklaring bevestigt de verweerster ten eerste haar intentie om in bepaalde situaties
persoonsgegevens door te geven aan ontvangers die zich buiten de Europese Economische
Ruimte (kunnen) bevinden, ten tweede in welke landen de verwerkers gevestigd zijn
waardoor desgevallend doorgiftes kunnen plaatsvinden en ten derde dat er voor bepaalde
landen waarnaar doorgiftes kunnen plaatsvinden geen adequaatheidsbesluit van de
Europese Commissie bestaat én dat, in voorkomend geval, een beroep zal worden gedaan
op passende waarborgen waaronder standaardcontractbepalingen, controlemechanismen
om het beschermingsniveau te waarborgen. Tot slot wijst de verweerster erop dat zij wel
Beslissing ten gronde 109/2024 — 19/24
degelijk op gedetailleerde wijze in haar privacyverklaring weergeeft wanneer de
verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is.
II.4.3. Beoordeling door de Geschillenkamer
76. In uitvoering van het transparantiebeginsel uit artikel 5.1.a) AVG neemt de
verwerkingsverantwoordelijke passende maatregelen opdat de betrokkene de in de
artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34
bedoelde communicatie in verband met de verwerking in een beknopte, transparante,
begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal
ontvangt.
77. Rekening houdende met de vaststellingen van de Inspectiedienst en na beoordeling van de
argumentatie van de verweerster en de bij de stukken gevoegde privacyverklaring, oordeelt
de Geschillenkamer dat er geen inbreuk is op artikel 12.1 AVG j° artikel 13.1 en 13.2 AVG.
II.5. Juistheid van de gegevens en recht op rectificatie (artikel 5.1.d) AVG en artikel 16 AVG)
II.5.1. Standpunt van de klager
78. In zijn klacht stelt de klager dat het invullen van de medische vragenlijst verloopt via de
website van de verweerster, waarbij de gebruiker via een reeks schermen door de vragenlijst
wordt geleid. Voorafgaand aan het invullen van de vragenlijst wordt aan de gebruiker
verduidelijkt dat de infobuttons in de vragenlijst steeds gebruikt moeten worden om te
vermijden dat onnodige zaken vermeld worden. Bij elk onderdeel in de vragenlijst is er een
lijst voorzien van aandoeningen die niet vermeld moeten worden. Op het einde resulteert dit
invulproces in een samenvattend document dat ondertekend moet worden. In dit
samenvattend document ontbreekt echter de opsomming van aandoeningen die niet
vermeld moeten worden waardoor de vragenlijst volgens de klager voor discussie vatbaar
wordt. In dit verband stelt de klager dat de vraag kan rijzen of een bepaalde aandoening werd
verzwegen door de aanvrager of dat de verweerster zelf had aangegeven dat het niet nodig
was om die specifieke aandoening te vermelden. Bijgevolg bestaat de mogelijkheid dat er
verschillende interpretaties gegeven kunnen worden aan de ingevulde gegevens. Hierbij
wijst de klager erop dat een eventuele discussie over de ingevulde gegevens tussen de
verweerster als verzekeraar en de begunstigden van de verzekering kan ontstaan na
overlijden van de verzekerde. Deze begunstigden hebben deze lijst echter niet ingevuld, en
zijn ook niet op de hoogte van de oorspronkelijke vragen en het verschil tussen de vragenlijst
en het resulterend samenvattend document. Volgens de klager is de juistheid van de
informatie, gelet op de context van de schuldsaldoverzekering, uiterst belangrijk onder
andere door de hoge financiële inzet. Hoewel de klager hierom heeft verzocht, heeft de
Beslissing ten gronde 109/2024 — 20/24
verweerster volgens hem geen correctie gedaan aan het uiteindelijke document om de
vragenlijst accuraat te reflecteren.
II.5.2. Standpunt van de verweerster
79. In haar conclusies voert de verweerster aan dat zij, om de klant te helpen bij het invullen van
de digitale medische vragenlijst en de verzameling van onnodige gegevens te vermijden (en
dus dataminimalisatie te verzekeren), een beperkt aantal ‘informatiebuttons’ voorzien bij
sommige vrije tekstvelden van haar digitale medische vragenlijst. Deze informatiebuttons
geven aandoeningen aan die in elk geval geen invloed hebben op het overlijdensrisico en
daardoor per definitie niet relevant zijn bij het invullen van de vragenlijst.
80. De verweerster benadrukt dat de medische vragenlijst tot doel heeft om het
overlijdensrisico van de verzekerde correct te kunnen inschatten. De verweerster mag op
grond van de verzekeringswetgeving met haar medische vragenlijst voor een
schuldsaldoverzekering enkel informatie vragen omtrent aandoeningen die een verhoogde
kans op overlijden met zich kunnen meebrengen, waarbij zij verwijst naar artikel 5.1° van het
Koninklijk besluit van 10 april 2014 tot regeling van sommige verzekeringsovereenkomsten
tot waarborg van de terugbetaling van het kapitaal van een hypothecair krediet 12 (“KB
Schuldsaldoverzekering"). Dit artikel stelde o.a. de volgende voorwaarde aan de medische
vragenlijst: “de gestelde vragen zijn nauwkeurig en betreffen uitsluitend gebeurtenissen die
de verhoogde aard van een gezondheidsrisico in hoofde van de kandidaat-verzekerde
kunnen staven”.
81. De verweerster voegt hieraan toe dat als waarborg ten aanzien van de verzekerde, de
wetgever de medische vragenlijst van elke verzekeraar onderwerpt aan een extern toezicht.
De vragenlijst die de verweerster gebruikt, is met name aan de voorafgaande goedkeuring
van het Opvolgingsbureau onderworpen, ingevolge artikel 4 van het KB
Schuldsaldoverzekering13.
82. Vervolgens verwijst de verweerster naar artikel 5.1.d) AVG dat stelt dat persoonsgegevens
juist moeten zijn en zo nodig worden geactualiseerd. Alle redelijke maatregelen moeten
worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden
verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren. Ingevolge artikel 16 AVG heeft
de betrokkene het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie
van hem betreffende onjuiste persoonsgegevens te verkrijgen.
12
BS 10 juni 2014.
13
Art. 4 KB Schuldsaldoverzekering: “Een verzekeringsonderneming mag enkel gebruik maken van een medische vragenlijst
bij de behandeling van een aanvraag tot schuldsaldoverzekering op voorwaarde dat de formulering van de vragen
voorafgaandelijk door het Opvolgingsbureau is goedgekeurd.
Het Opvolgingsbureau beslist binnen een termijn van één maand na ontvangst over de goedkeuring van de formulering van
de vragen. De beslissing door het Opvolgingsbureau wordt genomen bij gewone meerderheid van stemmen.”
Beslissing ten gronde 109/2024 — 21/24
83. De verweerster stelt dat de medische vragenlijst, inclusief de informatiebuttons, en de
verstrekte antwoorden worden opgeslagen op haar beveiligd IT-systeem waardoor de
persoonsgegevens ‘juist’ zijn in de zijn van artikel 5.1.d) AVG. De daaropvolgende
mogelijkheid die de verweerster biedt om de vragen en antwoorden in een pdf-document te
downloaden doet aan het voorgaande geen afbreuk en brengt niet met zich mee dat de
persoonsgegevens die in de systemen van verweerster zijn opgeslagen daardoor onjuist
zouden zijn en de klager het recht zouden geven om die gegevens overeenkomstig te
‘rectificeren’ in de zin van artikel 16 AVG.
84. Uit de tekst van de AVG volgt daarnaast dat de juistheid van de persoonsgegevens dient te
worden beoordeeld in het licht van de doeleinden waarvoor zij worden verwerkt, zo stelt de
verweerster. Het feit dat de medische vragenlijst ertoe strekt om de verweerster toe te laten
om het overlijdensrisico van de kandidaat-verzekeringnemer te beoordelen – waarvoor
aandoeningen zonder invloed op het overlijdensrisico die worden aangegeven in de
informatiebutton irrelevant zijn – betekent dat de persoonsgegevens zoals weergegeven in
het downloadbare pdf-document eveneens als juist dienen te worden beschouwd in het licht
van het voormeld doeleinde van de verwerking.
85. Bijgevolg, zo concludeert de verweerster, kan er bezwaarlijk sprake zijn van een miskenning
van het recht op rectificatie van de klager aangezien ten eerste de persoonsgegevens wel
degelijk als juist beschouwd moeten worden en ten tweede de verweerster binnen de door
de AVG voorziene termijn heeft geantwoord op het verzoek van de klager en daaromtrent
verduidelijking heeft verzocht, waarop zij van de klager geen antwoord heeft mogen
ontvangen.
II.5.3. Beoordeling door de Geschillenkamer
86. Op basis van de elementen aangereikt door de verweerster in de conclusies, met verwijzing
naar de stukken, besluit de Geschillenkamer dat de verweerster de vereiste inspanningen
heeft geleverd om aan te tonen dat de juistheid van de persoonsgegevens worden
gewaarborgd en dat ze tijdig en correct het verzoek tot rectificatie van de klager
beantwoord heeft, zodat er geen inbreuk is op artikel 5.1.e) AVG en artikel 16 AVG.
II.6. Integriteit en vertrouwelijkheid (artikel 5.1.f) AVG)
II.6.1. Standpunt van de klager
87. De klager stelt dat na het invullen van de voormelde vragenlijst bij de aanvraag voor de
schuldsaldoverzekering een document ter ondertekening wordt aangeboden, het hierboven
samenvattend document. Deze ondertekening dient te gebeuren via de mobiele applicatie
van de verweerster en vormt een essentieel onderdeel om de integriteit van de
Beslissing ten gronde 109/2024 — 22/24
persoonsgegevens te waarborgen. De klager voert aan dat, zonder deugdelijke
ondertekening, de mogelijkheid bestaat dat de verweerster de gegevens nadien wijzigt. De
klager wijst er eveneens op dat de verweerster als verzekeraar een tegengesteld belang
heeft ten aanzien van de betrokkenen (de begunstigden).
88. Bij de beoordeling of de beveiliging passend is, dient volgens de klager rekening te worden
gehouden met de gevoeligheid van de persoonsgegevens in kwestie en met de impact van
een wijziging, zijnde een schending van de integriteit, van de gegevens. De klager betoogt
dat hoewel gepaste technologie beschikbaar is om de integriteit van de gegevens te
waarborgen en het bewijs hiervan aan derden te leveren, de verweerster hiervan geen
gebruik maakt. De integriteit van het document is volgens de klager niet gewaarborgd door
een digitale handtekening op basis van publieke sleutel cryptografie, of deze handtekening
is in ieder geval niet zichtbaar voor de klager. Bij gebrek aan dergelijke handtekening is de
integriteit van het document niet afdoende gewaarborgd.
II.6.2. Standpunt van de verweerster
89. De verweerster betwist de aantijgingen van de klager en stelt dat zij wel degelijk passende
technische en organisatorische maatregelen heeft genomen “om een op het risico
afgestemd beveiligingsniveau te waarborgen”, overeenkomstig wat artikel 5.1.f) AVG en
artikel 32 AVG vereisen. Uit artikel 32 AVG blijkt bovendien uitdrukkelijk dat de AVG niet één
specifieke beveiligingsmaatregel voorschrijft, maar dat voor de beoordeling van het
beveiligingsniveau het geheel aan getroffen technische én organisatorische maatregelen
relevant is, evenals dat er rekening dient te worden gehouden met “de stand van de
techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de
verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de
rechten en vrijheden van personen”.
90. Wat de integriteit van de digitale medische vragenlijst betreft, heeft de verweerster een
gepaste combinatie aan technische en organisatorische maatregelen geïmplementeerd.
Nadat de digitale medische vragenlijst is ingevuld, worden alle door de kandidaat-
verzekeringnemer ingevoerde antwoorden door het systeem automatisch overgenomen in
het document dat ter ondertekening aan de betrokkene wordt aangeboden. Na
ondertekening zijn deze gegevens in de systemen van de verweerster niet meer aanpasbaar.
Dit is technisch zo ingebouwd in de database. Zelfs als een medewerker onder het strenge
toegangsbeleid toegang krijgt tot de opgeslagen medische vragenlijst, dan kan die
medewerker de opgeslagen antwoorden van de kandidaat-verzekeringnemer op de
medische vragenlijst niet aanpassen in het systeem.
91. Vervolgens zet de verweerster de voornaamste beveiligingsmaatregelen inzake de
integriteit van de gegevens uit de medische vragenlijst uiteen. Het betreft o.a. een sterke
Beslissing ten gronde 109/2024 — 23/24
authenticatie binnen de sterk beveiligde bankomgeving van de verweerster, de
ondertekening met geheime pincode of via gezichtsherkenning, de tijdsstempel van de
ondertekening, de geïsoleerde opslagsystemen waarbij de ingevulde vragenlijsten worden
opgeslagen in een geïsoleerde databank, afzonderlijk van andere bestanden en
verwerkingssystemen van de verweerster, toegangscontrole voor medewerkers met een
zeer strikt toegangsbeleid, geen wijzigingsmogelijkheden van de ingevulde antwoorden
voor medewerkers; de ingevulde medische vragenlijsten zijn nooit raadpleegbaar door
agentschappen of kantoren, en het intern beleid omvat concrete richtlijnen voor de
verwerking van medische gegevens binnen de verweerster zoals het beheer van de toegang
tot medische gegevens en van de machtiging tot bepaalde applicaties en het bewaren van
medische gegevens. De verweerster benadrukt dat deze technische en organisatorische
maatregelen nauwgezet worden opgevolgd en indien nodig worden bijgesteld.
92. De verweerster wijst er eveneens op dat, los van alle voorgaande maatregelen, de
kandidaat-verzekeringnemer de ingevulde medische vragenlijst ook zelf kan opslaan op
zijn/haar eigen toestel. Het vermeende – en louter hypothetische – risico op wijziging door
de verweerster dat de klager aanhaalt, kan hiermee eenvoudigweg worden tegengegaan, zo
stelt de verweerster. In een dergelijk scenario, zou de klager door de gedownloade kopie
immers in staat zijn om een wijziging aan te tonen en het tegenbewijs te leveren, zo
verduidelijkt de verweerster. Desgewenst kan de betrokkene ook aan de verweerster
nadien om een kopie van de medische vragenlijst vragen, zoals ook de klager in casu heeft
gedaan.
93. Tot slot betoogt de verweerster dat er voor de ondertekening van medische vragenlijsten
geen bijzondere wettelijke voorschriften gelden inzake het type handtekening dat wordt
vereist, noch onder de EU eIDAS-verordening14, noch onder het Belgisch recht, noch onder
de AVG. Het geheel van de getroffen organisatorische en technische maatregelen
waarborgen een afdoende op het risico afgestemd beveiligingsniveau overeenkomstig de
vereisten uit artikel 5.1.f) AVG j° artikel 32 AVG, besluit de verweerster.
II.6.3. Beoordeling door de Geschillenkamer
94. Op basis van de elementen aangereikt door de verweerster in de conclusies, met verwijzing
naar de stukken, besluit de Geschillenkamer dat de verweerster de vereiste inspanningen
heeft geleverd om aan te tonen dat de vereiste technische en organisatorische maatregelen
zijn genomen om een beveiligde gegevensverwerking te waarborgen, zodat er geen inbreuk
is op artikel 5.1.f) AVG j° artikel 32 AVG.
14
Voluit: Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische
identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn
1999/93/EG.