1/21
Geschillenkamer
Beslissing ten gronde 110/2023 van 9 augustus 2023
Dossiernummer : DOS-2018-03496
Betreft : Klacht tegen een gemeentelijke secundaire school omwille van de publicatie van
tuchtverslagen enerzijds en een leerlingenbevraging anderzijds
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter, en de heren Frank De Smet en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
.
.
heeft de volgende beslissing genomen inzake:
.
De klagers: .
De heer X1, hierna “de eerste klager”; Mevrouw X2 hierna “ de tweede klager”;
.
beiden vertegenwoordigd door Mr. Stijn BUTENAERTS, kantoor houdende te Leopold
.
II-laan 180, 1080 Brussel;
De verweerster: De Gemeente Y, vertegenwoordigd door haar College van Burgemeesters en
Schepenen, hierna “de verweerster”; vertegenwoordigd door mr. Alain BOUTEILLE en
mr. Stephanie NGAY-KATALAY,
Beslissing ten gronde 110/2021 - 2/21
I. Feiten en procedure
1. De verweerster is een gemeente die optreedt als inrichtende macht van de betrokken school in het
voorliggende dossier. In de stukken van het dossier werd in sommige gevallen specifiek de
gemeenteschool als entiteit aangeduid, zonder dat zij specifiek werd geïdentificeerd als onderdeel
van de verweerster als gemeente. De school heeft als educatieve instelling een aantal autonome
beslissingsbevoegdheden, die van belang zijn gedurende het verloop van de feiten die aanleiding
gaven tot deze procedure. In die gevallen, waar de educatieve instelling in het dossier als
afzonderlijke entiteit optreedt of wordt aangeduid, wordt deze benoemd als “school van de
verweerster”.
I.1. De klacht
2. Op 15 juni 2018 dienen de klagers gezamenlijk een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerster. Beide klagers zijn op het moment van de beschreven feiten in de klacht
werkzaam op de school van de verweerster.
3. Het voorwerp van de klacht betreft twee door klagers aangehaalde vermeende inbreuken op de
bepalingen van de AVG, waarbij persoonsgegevens van de klagers zouden betrokken zijn:
- De eerste vermeende inbreuk betreft de publicatie op Smartschool van een reeks van
collegeverslagen, waaronder twee verslagen van het college van Burgemeester en Schepenen
d.d. 12 februari 2015 en 30 maart 2015 die de eerste klager betreffen, in verband met een
incident dat heeft geleid tot diens tijdelijke schorsing. In de verslagen staan belastende
verklaringen van twee leraren en een leerling ten aanzien van de met naam genoemde eerste
klager. In een latere fase zou een beroepsinstantie de beslissing tot tijdelijke schorsing
vernietigd hebben. Het document met deze beslissing werd echter niet gepubliceerd op
Smartschool.
- De tweede vermeende inbreuk betreft de publicatie van een leerlingenbevraging betreffende
de tweede klager op Smartschool. De leerlingenbevraging werd ingevuld door 48 leerlingen en
werd aangemaakt op 15 december 2017. De publicatie van de leerlingenbevraging vond plaats
op 22 januari 2018.
4. Voorafgaand aan deze klacht hebben de klagers via een advocaat hun rechten uitgeoefend door
zich te wenden tot de verweerster, en meer specifiek de betrokken school van de verweerster, per
aangetekend schrijven van 8 mei 2018. De klagers formuleerden hierin hun grieven met betrekking
tot de feiten die hiervoor werden uiteengezet. De klagers verzochten bovendien dat de verslagen
van de eerste vermeende inbreuk die betrekking hebben op de eerste klager binnen de 5
werkdagen verwijderd zouden worden. Verder stelde zij de verweerster in gebreke voor de geleden
schade.
Beslissing ten gronde 110/2021 - 3/21
5. De school van de verweerster antwoordde op dit aangetekend schrijven op 22 mei 2018. Zij stelde
dat het college van burgemeester en schepenen in zitting van 16 mei 2018 kennis nam van het
schrijven van klagers, en vervolgens besliste om onder voorbehoud van alle rechten en zonder
enige nadelige erkentenis de verslagen van Smartschool te verwijderen (met betrekking tot de
eerste vermeende inbreuk).
6. De klagers achtten dit antwoord niet voldoende en gingen vervolgens over tot het indienen van een
klacht bij de GBA. Parallel met deze klachtprocedure schreven de klagers op 5 september 2018
opnieuw een brief aan de verweerster om in het bijzonder een aantal bijkomende vragen te stellen.
Zij vroegen ten eerste of de toenmalige directeur van de school verplicht werd door de inrichtende
macht om de verslagen van het college van Burgemeester en schepenen op Smartschool te zetten.
Ten tweede verwijzen klagers naar het reglement van de verweerster, waar in het kader van de
openbaarheid van het bestuur een schriftelijke aanvraag werd vooropgesteld vooraleer het
inzagerecht (met name tot de verslagen inzake tuchtrecht) kan uitgeoefend worden. De inzage zou
volgens dit reglement ook geweigerd kunnen worden wanneer de bescherming van de persoonlijke
levenssfeer van een betrokken persoon in het gedrag komt.
7. De verweerster antwoordde op dit schrijven op 18 september 2018 door te stellen dat er geen
opdracht werd gegeven om de collegeverslagen op Smartschool te plaatsen. De collegeverslagen
zouden enkel als een “intern” werkdocument aan de directeurs van de gemeentescholen worden
verstrekt ter kennisgeving.
8. De klagers schreven ten slotte op 15 oktober 2018 een laatste brief aan de verweerster. Hierin
stellen zij dat uit het schrijven van 18 september 2018 door de verweerster blijkt dat de
collegeverslagen zonder meer worden verstuurd naar de directeurs van alle gemeentescholen,
zelfs in het geval dat het verslag voor een gemeenteschool geen enkele relevantie heeft. De klagers
benadrukken dat collegeverslagen gevoelige informatie zouden kunnen bevatten (in casu de
tuchtprocedure betreffende de eerste klager), en bijgevolg dus beschermd zouden worden onder
de privacywetgeving en de regels inzake openbaarheid van bestuur. De klagers vragen vervolgens
aan de verweerster hoe de feiten – gelinkt aan de twee vermeende inbreuken in de klacht bij de
GBA – te rijmen vallen met die laatste twee. Ze vragen ten slotte ook wat de reden is om de
collegeverslagen die één school aanbelangen (systematisch) over te maken aan alle
gemeentescholen.
9. Op 4 juli 2018 wordt de klacht door de Gegevensbeschermingsautoriteit ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG. Vervolgens wordt de klacht op grond van art. 62, §1 WOG
door de Eerstelijnsdienst overgemaakt aan de Geschillenkamer.
I.2. Het onderzoek van de Inspectiedienst
10. Op 14 november 2018 beslist de Geschillenkamer op grond van de artikelen 63, 2° en 94, 1° WOG
een onderzoek te vragen aan de Inspectiedienst.
Beslissing ten gronde 110/2021 - 4/21
11. Op 21 november 2018 wordt overeenkomstig art. 96, §1 WOG het verzoek van de Geschillenkamer
tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en
de inventaris van de stukken.
12. Voorafgaand aan het Inspectieverslag werden er door de Inspectiedienst van de GBA vragen
gesteld aan zowel de klagers, als aan de verweerster.
13. Op 11 oktober 2019 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij
het dossier gevoegd en wordt het dossier door de Inspecteur-Generaal overgemaakt aan de
Voorzitter van de Geschillenkamer (art. 91, §1 en §2 WOG).
Het verslag bevat vooreerst vaststellingen met betrekking tot het voorwerp van de klacht (binnen
de scope). De Inspectiedienst steunt het standpunt van de verweerster dat de AVG onmogelijk van
toepassing kan zijn op het eerste incident, omdat de feiten dateerden van voor 25 mei 2018.
14. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De
Inspectiedienst stelt, in hoofdlijnen, de volgende zaken vast.
15. Ten eerste, met betrekking tot de documentatieplicht van incidenten in artikel 33, lid 5 AVG en de
op risico gebaseerde aanpak overeenkomstig artikel 32 AVG onderzocht de Inspectiedienst de
wijze van afhandeling van beide incidenten door de verweerster. Zo antwoordt de verweerster op
de vraag van de Inspectiedienst of er intussen een registratie gebeurt van incidenten, dat er “geen
incidenten meer zijn geweest”. De Inspectiedienst stelt dat dit geen antwoord is op de vraag en dat
er derhalve niet kan worden geconcludeerd dat de betrokken school en/of de gemeente inmiddels
een incidentenregistratie hebben opgestart zoals vereist door artikel 33, lid5 AVG
16. Ten tweede, met betrekking tot het onderzoek van incidenten in de zin van artikel 33, lid 5 AVG,
stelt de Inspectiedienst dat gepast onderzoek noodzakelijk is in het belang van betrokkenen. De
Inspectiedienst stelt echter dat zij niet over aanwijzingen beschikt dat de incidenten behoorlijk
werden onderzocht.
17. Ten derde, met betrekking tot de meldingsplicht aan de toezichthoudende autoriteit in de zin van
artikel 33 AVG, stelt de Inspectiedienst dat de incidenten niet werden gemeld aan de
Gegevensbeschermingsautoriteit.
18. Ten vierde, met betrekking tot de informatieplicht in de zin van artikel 13 (specifiek lid 1, punt a)
AVG stelt de Inspectiedienst vooreerst dat de gemeente zich als verwerkingsverantwoordelijke
identificeert in haar communicatie naar de GBA. De Inspectiedienst stelt te dezen van dat er geen
consequente verwijzing is naar één verwerkingsverantwoordelijke en één contactpunt
(bijvoorbeeld voor de functie van functionaris voor gegevensbescherming). Nu de verweerster voor
gegevensbeschermingsrechtelijke aspecten een beroep doet op een “extern e-govsteunpunt”(dit
is de onderneming Z ) en de verwijzingen naar de verweerster en dit steunpunt niet steeds duidelijk
werden weergegeven, leidt dit volgens de Inspectiedienst tot een inbreuk op de informatieplicht.
Beslissing ten gronde 110/2021 - 5/21
19. Ten vijfde, met betrekking tot de aanduiding van een functionaris voor gegevensbescherming
(“DPO”) en de bekendmaking van diens contactgegevens in de zin van respectievelijk artikel 37, lid
1, punt a) en artikel 37, lid 7 AVG stelt de Inspectiedienst als volgt: In de privacyverklaring van de
school van de verweerster werd verwezen naar een privacy e-mailadres van de verweerster (de
gemeente), zonder een specifieke verduidelijking om welke persoon of dienst het gaat. De
Inspectiedienst achterhaalde wel dat de functie van DPO wordt uitgeoefend door het extern e-
govsteunpunt waarbij de verweerster is aangesloten.
20. Ten zesde, met betrekking tot de registratie van de DPO bij de GBA in de zin van artikel 37, lid 7
AVG stelt de Inspectiedienst dat geen DPO is aangemeld voor de verweerster.
21. Ten zevende, in verband met de taken uitgeoefend door de DPO in de zin van artikel 39, lid 1 AVG
had de verweerster een aantal documenten aan de Inspectiedienst bezorgd. Het inspectieverslag
stelt te dezen:
“De Inspectiedienst heeft geen enkele aanwijzing dat de voormelde werkneemster van [het
extern e-govsteunpunt] de taken uitoefent die voorzien [zijn] in artikel 39 1. b), d) en e) AVG
(taken van toezicht op naleving van de AVG, samenwerking met de GBA, optreden als
contactpunt voor de GBA) . . .
In geen enkele correspondentie tussen de [verweerster] . . . en GBA werd gewezen op enig
contact met de DPO. Zo de DPO al is aangeduid stelt de inspectie vast dat minstens de
taken onder artikel 39.1 d) en e) niet werden ingevuld door de DPO.” 1
22. Ten achtste, met betrekking tot de verantwoordingsplicht, documentatieplicht, en de registratie
van en het onderzoek inzake incidenten in de zin van artikelen 5, lid 2 en 33, lid 5 AVG heeft de
Inspectiedienst in haar onderzoek vooreerst kunnen vaststellen dat de ICT-verantwoordelijke van
de gemeente omtrent de twee incidenten op de hoogte werd gesteld. Te dezen stelt de
Inspectiedienst: “Er kan echter niet worden bewezen wanneer dit gebeurde en op welke wijze, daar
de melding volgens de [verweerster] mondeling is gebeurd . . .” 2 Daarnaast kon de verweerster ten
aanzien van de Inspectiedienst geen afspraken toelichten omtrent het tijdig melden en verder
opvolgen (of “afhandelen”) van incidenten die aan de persoonsgegevensbescherming raken. Tot
slot is er ook geen “geen bewijs van registratie, onderzoek en opvolging van de incidenten die aan
de directeur, ICT verantwoordelijke en/of DPO werden gemeld”, zo de Inspectiedienst.
1
Inspectieverslag, blz. 12.
2
Inspectieverslag, blz. 13.
Beslissing ten gronde 110/2021 - 6/21
I.3. De conclusies van de partijen
23. Op 14 oktober 2019 wordt het onderzoeksverslag van de Inspectiedienst afgerond en wordt het
dossier overgemaakt aan de Geschillenkamer. Op 12 november 2019 beslist de Geschillenkamer
op grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde.
De Geschillenkamer beslist op basis van het verslag van de Inspectiedienst het dossier op te delen
in twee afzonderlijke zaken:
1. Enerzijds zal de Geschillenkamer een beslissing ten gronde nemen met betrekking tot het
voorwerp van de klacht;
2. Anderzijds zal de Geschillenkamer een beslissing ten gronde nemen naar aanleiding van de
vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht.
24. Op 13 november 2019 worden de betrokken partijen per aangetekende zending in kennis gesteld
van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden
zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te
dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste
datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 13
december 2019, deze voor de conclusie van repliek van de klager op 31 december 2019 en ten
slotte deze voor de conclusie van repliek van de verweerder op 17 januari 2020.
Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de uiterste
datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 17 januari
2020.
25. Op 16 december 2019 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht.
26. De verweerster stelt ten eerste wat betreft de feiten dat zij enkel weet heeft van het eerste
incident. Volgens verweerster is zij nooit in kennis gesteld over het tweede incident (behalve bij het
mededelen van de klacht en opstart van het onderzoek door de GBA). De aangehaalde middelen
van verweerster zijn:
• De incidenten vallen buiten het toepassingsgebied van de AVG aangezien ze beide
plaatsvonden voor de datum van inwerkingtreding (25 mei 2018). De klacht heeft betrekking
op feiten van voor 25 mei 2018; dus deze feiten zullen moeten worden onderzocht in het licht
van de privacywet. Hiervoor zal dus ook geen administratieve boete kunnen worden opgelegd
volgens de verweerster;
• De verweerster geeft ook toelichting bij de omstandigheden omtrent beide incidenten, alsook
de vermoedelijke (juridische) kwalificatie ervan.
Beslissing ten gronde 110/2021 - 7/21
• Concluderend stelt de verweerster dat indien de GBA van oordeel zou zijn dat de klacht gegrond
is, zij verzoekt om de gunst van de opschorting op basis van artikel 100, § 1, 3° WOG.
27. Op 30 november 2019 ontvangt de Geschillenkamer de conclusie van repliek van de klagers,
waarin voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht als enig
middel geconcludeerd wordt betreffende de toepasselijke wetgeving. De klagende partij stelt te
dezen dat de AVG toepasselijk is op alle pertinente feiten, en stelt dat de verweerster niet
aannemelijk maakt dat er gerechtvaardigde doeleinden zijn die de publicaties op Smartschool voor
beide incidenten verantwoorden. Daarnaast wijst de klagende partij onder meer op het gebrek aan
rectificatie van de elementen die betrekking hebben op de tuchtprocedure (het eerste incident), de
ontbrekende pseudonimiseringsmaatregelen, alsook op de gevolgen van de gebeurtenissen en de
volgens hen daardoor geleden schade (volgens klagers “immateriële of reputatieschade”). Tot slot
vragen de klagers ook een schadevergoeding en het opleggen van “de nodige administratieve
geldboetes en sancties”.
28. Op 17 januari 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder voor
wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht:
• Verweerster herhaalt wat betreft de toepasselijke wetgeving dat de AVG niet van toepassing
kan zijn op de feiten die voor 25 mei 2018 plaatsvonden. De feiten vallen onder het
toepassingsgebied van de privacywet;
• Wat betreft het eerste en tweede incident haalt de verweerster dezelfde argumenten aan zoals
uiteengezet in haar conclusie van 16 december 2019;
• Wat betreft de bevoegdheid van de GBA om een schadevergoeding toe te kennen stelt de
verweerster onder voorbehoud van alle rechten en zonder enige nadelige erkentenis in dit
verband dat het niet aan de GBA is om zich uit te spreken over de burgerlijke (of strafrechtelijke)
aansprakelijkheid van de verweerster.
29. Op dezelfde datum ontvangt de Geschillenkamer bovendien de conclusie van repliek van de
verweerster wat betreft de vaststellingen van de Inspectiedienst buiten de scope van de klacht. De
verweerster stelt vooreerst ten algemene dat zij als verwerkingsverantwoordelijke kan gekwalificeerd
worden voor een uiteenlopend aantal “openbare diensten”, waaronder het aanbieden van onderwijs.
Hierbij stelt verweerster dat privacy en persoonsgegevensbescherming een “prioritair” onderwerp
voor haar vormt. Met betrekking tot de specifieke vaststellingen van de Inspectiedienst, stelt de
verweerster het volgende:
• Wat betreft de registratie van de incidenten (documentatieplicht artikel 33, lid 5 AVG en
risico-gebaseerde aanpak artikel 32 AVG) en de meldingsplicht bij de GBA (artikel 33 AVG):
de verweerster wijst erop dat zij enkel geconfronteerd werd met één incident op 15 oktober
2019, met betrekking tot het hacken van een e-mailbox. Dit incident werd volgens verweerster
Beslissing ten gronde 110/2021 - 8/21
onmiddellijk geregistreerd in het incidentenregister en binnen de wettelijke termijn aan de GBA
gemeld. Er werd ook een oplossing gevonden en de wachtwoorden van alle betrokken
gebruikers evenals de wachtwoorden van de servers werden gewijzigd.
• Wat betreft het onderzoeken van incidenten (artikel 33, lid 5 AVG): verweerster stelt dat zij
alle inbreuken in verband met persoonsgegevens documenteert conform artikel 33, lid 5 AVG.
Verweerster stelt dat zij gebruik maakt van een incidentenregister en dat zij incidenten
meedeelt aan de GBA op een gedetailleerde wijze. De verweerster stelt: “Dit toont aan dat
verweerster een effectieve procedure heeft geïmplementeerd die haar in staat stelt om
incidenten snel te detecteren en te reageren in geval van een gegevenslek.” Daarnaast stelt de
verweerster ook een informatiebeveiligingsplan te hebben ontwikkeld, geënt op de activiteiten
van de betrokken school.
• Wat betreft de informatieplicht aangaande de naam en het adres van de
verwerkingsverantwoordelijke (artikel 13, lid 1, punt a) AVG): verweerster erkent in haar
conclusie dat dat “de originele privacyverklaring niet duidelijk en niet volledig was”. De
verweerster stelt de nodige aanpassingen te hebben doorgevoerd – in samenspraak met het
extern e-govsteunpunt die ook de DPO levert – zodat de privacyverklaring ook beter kan
bereikt worden. Op de website van de school van de verweerster staat, zo de verweerster,
voortaan duidelijk het gemeentebestuur als verwerkingsverantwoordelijke aangeduid.
• Wat betreft de vaststellingen met betrekking tot de functionaris gegevensbescherming: In
2015 heeft verweerster de gunning aan het e-govsteunpunt goedgekeurd. De gunning
vermeldt de opdracht voor het aanstellen van een dienstverlener voor het opmaken van een
risicoanalyse met betrekking tot de informatieveiligheid. Wat betreft de taken en functies van
de DPO voor (de betrokken school van) de verweerster, verwijst die laatste ter illustratie naar
de adviezen en presentaties die door het e-govsteunpunt werden voorbereid en overgemaakt.
• Wat betreft de verantwoordingsplicht / Documentatieplicht / Registratie en onderzoek van
incidenten (artikel 5, lid 2 en 33, lid 5 AVG): de verweerster verwijst naar de voorgaande
argumentatie wat betreft deze vaststelling. Verweerster voegt bijkomend de uittreksels uit het
register van verwerkingsactiviteiten overeenkomstig artikel 30 AVG bij.
• Ter conclusie stelt de verweerster dat zij talrijke acties heeft ondernomen en belangrijke
financiële en technische middelen heeft gemobiliseerd om aan de verhoogde plichten van de
AVG te kunnen voldoen. Verweerster stelt dat indien de GBA van oordeel zou zijn dat
verweerster niet op afdoende wijze voldoet aan de verplichtingen van de AVG, zij alleszins de
gunst van de opschorting verzoekt en dit op basis van artikel 100, § 1 3° AVG.
Beslissing ten gronde 110/2021 - 9/21
I.4. De hoorzitting voor de Geschillenkamer
29. Op 21 april 2023 beslist de Geschillenkamer ambtshalve een hoorzitting te organiseren in het
voorliggend dossier. Dit op basis van artikel 52 van het Reglement van Interne Orde van de
Gegevensbeschermingsautoriteit.
30. De hoorzitting vindt plaats op 6 juni 2023. Op de hoorzitting zijn de twee klagers in persoon
aanwezig, net zoals hun advocaat. Voor de verweerster zijn de twee advocaten van verweerster
aanwezig, de DPO van verweerster (vanuit het extern e-govsteunpunt), alsook de huidige directeur
van de betrokken school van verweerster.
31. Op de hoorzitting licht de klagende partij de grieven nogmaals toe. De klagende partij wijst op het
gebrek aan excuses en rechtzettingen.
32. Vervolgens licht de advocaat van de verweerster de conclusies verder toe. De advocaat biedt
hierbij excuses aan namens diens cliënte.
33. De leden van de Geschillenkamer richten vervolgens enkele vragen tot de verweerster. Hierbij licht
de DPO van verweerster onder meer toe dat vanuit het steunpunt een pool van privacy-experten
wordt aangeboden, en dat het steunpunt eveneens een informatieveiligheidscel omvat. De DPO
stelt eveneens dat er voor het uitoefenen van de taken voornamelijk contact is met een IT-
medewerker van de verweerster, en dat er 120 voorziene uren per jaar worden aangeboden voor
alle werkzaamheden van de verweerster. Hierbij wordt wel benadrukt dat een aantal aspecten –
bijvoorbeeld kennisaspecten met betrekking tot gemeentelijke privacyverklaringen en het
schrijven ervan – op “groepsniveau” gebeuren. Daarnaast licht de DPO toe dat er geen rechtstreeks
contact heeft plaatsgevonden met het gemeentebestuur zelf voor DPO-gerelateerde activiteiten,
en dat het de gewoonte is in het geval van de verweerster om als DPO rechtstreeks aan de IT-
medewerker te rapporteren.
II. Motivering
II.1. De kwalificatie van de verweerster als verwerkingsverantwoordelijke
34. De verweerster heeft zich gedurende de hele procedure geïdentificeerd als
verwerkingsverantwoordelijke, en is ook steeds in die hoedanigheid omtrent de feiten
aangesproken (door onder meer de Inspectiedienst). Dit geldt ook voor alle verwerkingsactiviteiten
die de school uitvoert. Dit wil echter niet zeggen dat het zonder meer duidelijk is dat de verweerster
als gemeente in elk geval de verwerkingsverantwoordelijke uitmaakt in alle gevallen die de
gemeentelijke school betreffen.
Beslissing ten gronde 110/2021 - 10/21
35. In overeenstemming met de wetgeving (specifiek het artikel 4, lid 7 van de AVG), en naar vaste
rechtspraak van het Hof van Justitie3, dient immers feitelijk4 beoordeeld te worden of een bepaalde
actor (dit kan een natuurlijke persoon of rechtspersoon zijn, maar ook een overheidsinstantie, een
dienst of een ander orgaan) het doel en de middelen voor de verwerking van persoonsgegevens
vaststelt. Het Europees Comité voor gegevensbescherming (“EDPB”) heeft te dezen verduidelijkt
dat het feitelijk zeggenschap van deze actor op de persoonsgegevensverwerking onder meer kan
worden afgeleid uit een wettelijke bepaling, maar ook een feitelijke invloed die de actor op de
verwerkingsactiviteit(en) heeft.5
36. Met betrekking tot de feiten die binnen de scope van de klacht vallen, blijkt dat de directeur van de
school van de verweerster zelf – al dan niet na overleg binnen de school en met instructies die
beperkt bleven tot medewerkers van de school – heeft beslist om bepaalde documenten die deze
persoon aangeleverd kreeg vanwege de verweerster, uit eigen beweging op het Smartschool-
platform te plaatsen. In die zin heeft de directeur van de school van de verweerster gehandeld
zonder instructie om de documenten te publiceren zijdens de verweerster. Meer nog, impliciet had
de directeur uit de inhoud van de documenten kunnen afleiden dat de verweerster deze
documenten liever niet gepubliceerd zag op Smartschool.
37. Dit alles impliceert geenszins dat de verweerster mogelijk geen verwerkingsverantwoordelijkheid
zou dragen omtrent de feiten die zich binnen de scope van de klacht afspeelden. Artikel 4, lid 7 van
de AVG bepaalt immers dat het doel en de middelen alleen of samen met anderen kunnen
vastgesteld worden. Dit zou ook het geval kunnen zijn wanneer de directeur geen expliciet mandaat
had om de documenten te publiceren en uit eigen beweging handelde, zoals de EDPB ook
bevestigde: “Dienovereenkomstig kan een organisatie nog steeds verwerkingsverantwoordelijke
zijn, ook al neemt zij niet alle beslissingen over het doel en de middelen.”6 Het feit immers, dat een
organisatie als verweerster geen algemene of concrete instructies gaf om de integriteit van de
documenten die zij aanleverde te waarborgen, zou (een deel van) de
verwerkingsverantwoordelijkheid bij de verweerster kunnen plaatsen.
38. Hic et nunc is het echter niet opportuun de exacte rollen en verantwoordelijkheden ter zake te
ontleden en vast te stellen, nu de Geschillenkamer zal overgaan tot een seponering van de
3
HvJEU Arrest van 10 juli 2018, Tietosuojavaltuutettu et Jehovan todistajat – uskonnollinen yhdyskunta, C-25/17,
ECLI:EU:C:2018:55; HvJEU Arrest van 13 mei 2014, Google Spain SL t. Agencia Española de protección de Datos (AEPD) e.a., C-131/12,
ECLI:EU:C:2014:317, in het bijzonder par. 34; HvJEU Arrest van 5 juni 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-
Holstein v
Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16, ECLI: EU:C:2017:796, in het bijzonder par. 35.
4 L. A. BYGRAVE & L. TOSONI, “Article 4(7). Controller” in The EU General Data Protection Regulation. A Commentary, Oxford
University Press, 2020, 14.
5
EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021 (versie 2.0),
beschikbaar in het Nederlands via: https://edpb.europa.eu/system/files/2022-
02/eppb_guidelines_202007_controllerprocessor_final_nl.pdf, par. 25 e.v.
6
EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021 (versie 2.0),
beschikbaar in het Nederlands via: https://edpb.europa.eu/system/files/2022-
02/eppb_guidelines_202007_controllerprocessor_final_nl.pdf, par. 31.
Beslissing ten gronde 110/2021 - 11/21
elementen binnen de scope van de klacht. Buiten de scope van de klacht zijn er echter
vaststellingen gedaan door de Inspectiedienst die uitdrukkelijk betrekking hebben op de
verweerster als verwerkingsverantwoordelijke. Om die reden is er ook geen twijfel om te stellen dat
de verweerster voor die elementen als verwerkingsverantwoordelijke optreedt, ook voor
activiteiten die haar school betreffen.
II.2. Wat betreft de vaststellingen binnen de scope van de klacht
39. Steunende op de elementen in het dossier die de Geschillenkamer bekend zijn en op basis van de
bevoegdheden die haar door de wetgever op grond van artikel 100 § 1 WOG zijn toebedeeld, beslist
de Geschillenkamer over de verdere opvolging van het dossier; in casu gaat de Geschillenkamer
over tot het seponeren van een gedeelte van de klacht overeenkomstig artikel 100, §1, 5° WOG,
uitgaande van de hiernavolgende motivering.
40. De Geschillenkamer dient in het geval van een sepot trapsgewijs te onderzoeken en te motiveren:
- Of er onvoldoende uitzicht bestaat op een veroordeling, waarna een technisch sepot volgt;
- Of een succesvolle veroordeling technisch haalbaar zou zijn maar op gronden, aan het
algemeen belang ontleend, een (verdere) opvolging onwenselijk is, waarna een
beleidssepot volgt.
In het geval op meer dan één grond wordt geseponeerd, dienen de sepotgronden (resp. technisch
sepot en beleidssepot) in volgorde van belangrijkheid te worden behandeld.
41. In het voorliggend geval acht de Geschillenkamer het technisch onmogelijk verder gevolg te geven
aan bepaalde elementen uit het dossier die hun basis vinden in de klacht, en beslist zij over te gaan
tot een technisch sepot op basis van de hieronder uiteengezette motieven.
42. Op basis van de vaststellingen in het onderzoek van de Inspectiedienst in casu (cf. bijlage) blijkt dat
de Geschillenkamer ratione temporis onbevoegd is, daar op basis van de feiten en de in de klacht
aangevoerde grieven blijkt dat de klacht betrekking heeft op verwerkingen die begonnen zijn vóór
25 mei 2018 (de datum waarop de AVG in werking is getreden), en de betrokken verwerking ook
voor die datum is beëindigd.
43. Het is juist dat de klacht aanvankelijk door de Eerstelijnsdienst van de GBA ontvankelijk werd
verklaard, en dat er vervolgens ook een onderzoek door de Inspectiedienst is gebeurd met
betrekking tot de feiten. Dit neemt niet weg dat de Geschillenkamer steeds heeft geoordeeld dat
zij niet bevoegd is om handhavend op te treden voor feiten die uitsluitend plaatsvinden vóór 25 mei
2018.
44. Opdat de Geschillenkamer bevoegd zou zijn, is het noodzakelijk dat de AVG van toepassing is op
de verwerkingen die het voorwerp uitmaken van de klacht. Volgens art. 4, lid 2 AVG betekent het
verwerken van persoonsgegevens: “elke bewerking of elk geheel van bewerkingen met betrekking
Beslissing ten gronde 110/2021 - 12/21
tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via
geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren,
opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van
doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren,
afschermen, wissen of vernietigen van gegevens”.
45. De verwerkingen in deze zaak en hun tijdstip kunnen als volgt worden samengevat:
- Het eerste incident: een publicatie van persoonsgegevens op Smartschool op 23 november
2017 om 10u58. Het betreft een publicatie van een reeks van collegeverslagen, waaronder
twee verslagen die dateerden van 12 februari 2015 en 30 maart 2015 en die eerste klager
betreffen. Het verslag dd. 12 februari 2015 betreft informatie over het tuchtonderzoek dat
werd opgestart in hoofde van eerste klager en bevat belastende verklaringen. Na vraag van
de klager om de verslagen te verwijderen, werden deze verwijderd van Smartschool op 9
mei 2018;
- Het tweede incident: een publicatie van een leerlingenenquête dd. 15 december 2017 op
Smartschool (datum van publicatie: 22 januari 2018). Tweede klager zou de publicatie
diezelfde dag nog hebben vastgesteld en heeft onmiddellijk een e-mail gestuurd aan de
toenmalige directeur. Uit communicatie tussen de Inspectiedienst en klagers blijkt dat
diezelfde dag de gepubliceerde leerlingenenquête werd verwijderd.
46. De Geschillenkamer stelt vast dat de voormelde verwerkingen hebben plaatsgevonden vóór de
inwerkingtreding van de AVG op 25 mei 2018. Bovendien blijkt uit de vaststellingen van de
Inspectiedienst dat de verwerkingen van persoonsgegevens gerelateerd aan beide incidenten niet
meer plaatsvonden na de inwerkingtreding van de AVG op 25 mei 2018.7 De publicaties werden
immers verwijderd van Smartschool op 9 mei 2018 en 22 januari 2018. Op basis van het
Inspectieverslag en de stukken kan de Geschillenkamer niet vaststellen dat er na 25 mei 2018 nog
verwerkingen hebben plaatsgevonden die betrekking hebben op het voorwerp van deze klacht.
47. Gelet op het voorgaande gaat de Geschillenkamer over tot een technisch sepot8 waardoor aan
deze klacht geen verder gevolg kan worden gegeven aangezien er geen sprake is van een inbreuk
op de AVG. Voor de volledigheid vermeldt de Geschillenkamer dat het niet tot haar bevoegdheden
behoort schadevergoedingen toe te kennen.
7
Zie artikel 99 AVG.
8
Zie punt 3.1.1.4 van het Sepotbeleid van de Geschillenkamer, gepubliceerd op haar website op 16 juni 2021,
(https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-19-2020.pdf).
Beslissing ten gronde 110/2021 - 13/21
II.3. Wat betreft de vaststellingen buiten de scope van de klacht
48. Niettegenstaande het technisch sepot wat betreft het voorwerp van de klacht, onderzoekt de
Geschillenkamer de vaststellingen van de Inspectiedienst buiten de scope van de klacht.
49. Het is immers niet uitgesloten dat een klacht aanleiding geeft tot een meer integrale en
substantiële controle door de Inspectiedienst in het geval van een klacht, zo bevestigde ook het
Marktenhof.9
50. In dit kader erkent de Geschillenkamer – in positieve zin – vooreerst de medewerking van de
verweerster gedurende de volledige procedure voor de Gegevensbeschermingsautoriteit, waarbij
de verweerster op een constructieve wijze enerzijds erkent dat er bepaalde fouten plaatsvonden in
het verleden dan wel dat bepaalde aspecten (bijvoorbeeld met betrekking tot het privacybeleid en
de privacyverklaring) niet volledig overeenkomstig de wetgeving verliepen, en anderzijds ook
aangeeft op welke manier zij dit heeft bijgestuurd dan wel zou bijsturen naar de toekomst toe.
Hierbij zij onder meer gewezen op de incidentenregistratie en het onderzoek van incidenten (zie ook
infra).
51. Desalniettemin stelt de Geschillenkamer ten algemene vast dat er een aantal elementen in het
dossier wijzen op een structureel gebrek aan aandacht en middelen voor
gegevensbeschermingsrechtelijke waarborgen. Hoewel een extern e-govsteunpunt de nodige
expertise (in dezen met het gebruik van pools van experten) aanbiedt voor het uitoefenen van de
DPO-gerelateerde taken en een externe DPO levert, zijn de beschikbare tijd en (personele)
middelen nodig om de taken terdege te kunnen uitoefenen te beperkt.
II.3.1. De aanwijzing van de DPO en het uitoefenen van de in de wet voorziene taken van de
DPO (artikel 37 en artikel 39 AVG)
II.3.1.1. Met betrekking tot de aanstelling van een functionaris voor
gegevensbescherming overeenkomstig artikel 37 AVG
52. De Inspectiedienst wees in haar verslag op een aantal onduidelijkheden omtrent de identiteit van
de DPO:
- De advocaat van de klagers stelde dat er geen functionaris voor gegevensbescherming
werd aangesteld;
9
“Bedrijven . . . moeten er zich echter van bewust zijn dat één bepaald incident . . . aanleiding kan geven tot een integrale inspectie en
substantiële controle van de AVG-naleving van een onderneming of organisatie, die op zijn beurt dan weer kan leiden tot sancties
wegens de niet-naleving van bepaalde AVG-verplichtingen die initieel niet de trigger waren van de inspectie.” Cfr. Arrest van 14 juni
2023, Hof van Beroep Brussel (Kamer 19A, Sectie Marktenhof), nr. 2023/4583, 29-30.
Beslissing ten gronde 110/2021 - 14/21
- Artikel 4.2.6. van het schoolreglement stelde dat het gemeentebestuur een extra
consulent had aangeduid om op te treden als informatieveiligheidsconsulent en
functionaris voor gegevensbescherming;
Na 2 juni 2019 werd deze bepaling geschrapt uit het reglement, zonder te verduidelijken
waarom deze schrapping nodig was;
- Er werd ook verwezen naar een werknemer van het Z die zou aangeduid zijn als DPO.
Z. Zij levert volgens haar website “objectief advies” via haar DPO’s.
Volgens de Inspectiedienst waren er een aantal resterende onduidelijkheden wat betreft de
aanstelling van een werkneemster van het extern e-govsteunpunt als DPO:
- Er werd geen aanstellingsbeslissing van het college van Burgemeester en Schepenen
bezorgd zodat de GBA kan nagaan vanaf welke datum de verweerster een opdracht gaf
aan Z, of deze opdracht tijdelijk is, en welke taken al dan niet werden opgenomen in de
dienstverlening;
- Er werd geen registratiecode bezorgd voor de aanmelding van de DPO;
- De GBA kreeg geen nadere informatie over de competenties van de voormelde
werkneemster van het e-govsteunpunt zoals vereist door artikel 37, lid 5 AVG;
- Volgens artikel 37, lid 3 AVG kan een verwerkingsverantwoordelijke een DPO
aanstellen voor verschillende instanties en organen. De AVG vereist wel dat de
verwerkingsverantwoordelijke hierbij de “organisatiestructuur en omvang” mee in
rekening neemt. De vraag is of in deze concrete casus de DPO van een gemeente met
15.000 tot 20.000 inwoners ook voldoende onafhankelijk en deskundig kan
functioneren als DPO van zowel twee gemeentescholen als het gemeentebestuur. De
verwerking wordt uitgevoerd binnen de context van een scholengemeenschap van
3.000 tot 4.000 leerlingen die de gemeente overstijgt, wat gevolgen kan hebben voor
de afhandeling van incidenten en het efficiënter gebruik van middelen waaronder de
affectatie van leerkrachten;
53. Verweerster verwijst wat betreft de aanstelling van de DPO naar de gunningsopdracht voor het e-
govsteunpunt (stuk 5 stukkenbundel van verweerster). Stuk 6 van verweerster bewijst concreet de
aanstelling van een DPO voor de verweerster, zoals goedgekeurd tijdens een zitting van haar
Gemeenteraad van 25 november 2019. Uit stuk 7 blijkt dat de verweerster een aanvraag heeft
ingediend voor de goedkeuring van een werkneemster bij het e-govsteunpunt als
veiligheidsconsulent bij de Vlaamse toezichtcommissie voor het elektronische bestuurlijke
gegevensverkeer (hierna “VTC”).
54. De Geschillenkamer wijst naar artikel 37, lid 1, punt a) AVG dat stelt dat
verwerkingsverantwoordelijken verplicht zijn om een functionaris voor gegevensbescherming aan
Beslissing ten gronde 110/2021 - 15/21
te duiden in het geval dat de verwerking wordt verricht door een overheidsinstantie of
overheidsorgaan10, wat in casu het geval is. Uit de aangevoerde stukken door de verweerster kan
worden afgeleid dat verweerster vóór 25 november 2019 geen DPO had aangesteld . Aangezien er
reeds een verplichting was voor het aanstellen van een DPO sinds de inwerkingtreding van de AVG
(25 mei 2018), is het bijgevolg niet aanvaardbaar dat verweerster een jaar later pas een DPO
aanstelt.
55. Wat betreft de bekendmaking van de contactgegevens en het delen van deze contactgegevens
met de toezichthoudende autoriteit stelt de Geschillenkamer dat verweerster ten tijde van het
onderzoek van de Inspectiedienst naliet enig bewijs te leveren van een registratie van de DPO bij
de GBA.
56. Om al deze redenen stelt de Geschillenkamer een inbreuk vast op zowel artikel 37 lid 1, punt a) als
artikel 37, lid 7 AVG, nu de verplichte aanduiding van de eigenlijke DPO niet correct gebeurde
(blijkens het ontbrekende aanduidingsbesluit of andere administratieve beslissing ter zake), en ook
niet correct gemeld werd aan de Gegevensbeschermingsautoriteit.
II.3.1.2. Met betrekking tot de taken van de functionaris voor gegevensbescherming
overeenkomstig artikel 39 AVG
57. De Geschillenkamer stelt vast er een aantal problemen bestonden en verder blijven bestaan met
betrekking tot de functionaris voor gegevensbescherming en (de mogelijkheid tot) het uitoefenen
van bepaalde taken door die persoon.
58. De kern van meerdere problemen die de Inspectiedienst heeft kunnen vaststellen, lijkt dan ook
terug te brengen naar het feit dat de DPO – of tenminste de dienst die de DPO-taken de facto
waarneemt – in dit geval niet voldoende middelen krijgt om de verwerkingsverantwoordelijke te
adviseren om de nodige gegevensbeschermingsrechtelijke waarborgen te nemen die dienen
voorzien te worden om betrokkenen in hun rechten bij te staan en te sterken enerzijds, en inbreuken
op gegevensbeschermingsgerelateerde wetgeving te vermijden anderzijds.
59. Uit de vaststellingen van de Inspectiedienst in dezen blijkt dat de Inspectiedienst geen enkele
aanwijzing vindt of aangeleverd krijgt die erop wijst dat de taken in de zin van meer bepaald artikel
39, lid 1 punten b), d) en e) AVG correct worden opgevolgd. Er is ook een gebrek aan duidelijke
afspraken te vinden, zo stelt de Inspectiedienst, tussen het bestuur van de verweerster en het
10
Zie voor de definitie van “overheid” de artikel 5 van de kaderwet van 30 juli 2018 betreffende de bescherming van natuurlijke
personen met betrekking tot de verwerking van persoonsgegevens waarbij overheid wordt gedefinieerd als 1° de Federale Staat, de
deelstaten en de lokale overheden, 2° de rechtspersonen van publiek recht die van de Federale Staat, de deelstaten of lokale
overheden afhangen, 3° de personen ongeacht hun vorm en aard die opgericht zijn met het specifieke doel te voorzien in behoeften
van algemeen belang die niet van industriële of commerciële aard zijn; en rechtspersoonlijkheid hebben; en waarvan hetzij de
activiteiten in hoofdzaak door de overheden of instellingen vermeld in de bepalingen onder 1° of 2°, worden gefinancierd, hetzij het
beheer onderworpen is aan toezicht door deze overheden of instellingen, hetzij de leden van het bestuursorgaan, leidinggevend
orgaan of toezichthoudend orgaan voor meer dan de helft door deze overheden of instellingen zijn aangewezen. 4° de verenigingen
bestaande uit één of meer overheden als bedoeld in de bepalingen onder 10, 2° of 3°.
Beslissing ten gronde 110/2021 - 16/21
extern e-govsteunpunt. Meer nog, er blijkt uit het dossier dat er geen enkel rechtstreeks contact is
geweest tussen het bestuur van de verweerster en het extern e-govsteunpunt. Enkel met de IT-
verantwoordelijke van de verweerster zou er structureel contact zijn.
60. Ten overvloede – doch zonder dat dit enige impact heeft op de beoordeling van de vaststelling van
de Inspectiedienst buiten scope – kan hierbij gesteld worden dat zelfs de feiten die binnen de scope
van de klacht plaatsvonden, wijzen op situaties met een suboptimale structurele aanpak en zorg
voor gegevensbescherming .
61. Hoewel de verweerster terecht aanhaalt op de hoorzitting dat het dossier een lange doorlooptijd
kent, tonen haar verklaringen – en die van haar DPO – op de hoorzitting aan dat de structurele
tekortkomingen op het gebied van gegevensbescherming nog steeds bestaan:
a. Het aantal uren dat de externe DPO ter beschikking heeft om de taken uit te oefenen die de
AVG voorziet is volstrekt onvoldoende, teneinde te voldoen aan de vereisten van de AVG.
Het gaat hierbij naar eigen zeggen om 120 uur op jaarbasis voor de volledige gemeente en
al haar diensten.
b. De DPO heeft (nog steeds) nauwelijks of geen contact met het gemeentebestuur van de
verweerster, laat staan dat het gemeentebestuur haar structureel raadpleegt of uitnodigt
om adviezen neer te leggen. Nochtans maakt de verweerster een overheidsinstantie uit,
waar de wetgever in het artikel 37, lid 1, punt a) AVG expliciet de aanwijzing van een
functionaris voor gegevensbescherming verplicht stelt, wat erop wijst dat de wetgever de
functie primordiaal acht in de context van overheidsdiensten, en dient een DPO toegang te
hebben tot de hoogste leidinggevenden zodat de taken terdege uitgevoerd kunnen
worden.
c. Daarenboven stelt de verweerster zélf in haar conclusie dat zij als gemeente veel meer
aanbiedt dan enkel onderwijs, hetgeen betekent dat zij een groot aantal
persoonsgegevens verwerkt van een groot aantal betrokkenen. Zij verwijst naar
dienstverlening op sociaal en cultureel gebied, maar ook inzake sport, jeugd, huisvesting en
milieu.11 Het kan hierbij ook gaan om gevoelige persoonsgegevens. De beperkte
tijdsbesteding en de beperkte toegang tot het bestuur voor de DPO is in deze context
problematisch.
d. De verweerster gedraagt zich als verwerkingsverantwoordelijke voor de activiteiten van de
betrokken school (en andere educatieve instellingen), maar biedt in beginsel enkel toegang
door de DPO tot haar IT-verantwoordelijke aan. In het geval van incidenten zou er dan
echter wel overleg zijn met de betrokken medewerkers of verantwoordelijken. Een heel
aantal aspecten betreffende gegevensbescherming gaan voorbij aan
informaticagerelateerde aspecten, waarbij incidenten op meer structureel niveau moeten
11
Repliekconclusie verweerster, blz. 5.
Beslissing ten gronde 110/2021 - 17/21
onderzocht, geanalyseerd en rechtgezet worden. Zo kan een DPO die geen toegang heeft
tot bepaalde instellingen (die vallen onder de verantwoordelijkheid van de verweerster)
door een gebrek aan contactpunten bij die instellingen en een gebrek aan tijd om op eigen
initiatief contacten te leggen met zulke instellingen, bezwaarlijk de aan het
gegevensbeschermingsrecht gerelateerde risico’s van zulke instellingen op een
toereikende manier in kaart brengen en aanpakken (en waar nodig helpen mitigeren).
62. Elk van de in de voorgaande paragraaf opgesomde elementen geven aanleiding om een inbreuk
vast te stellen op artikel 39, lid 1 AVG, gezien uit deze punten blijkt dat de
verwerkingsverantwoordelijke ontoereikend het adequaat uitoefenen van taken door de DPO
waarborgt. De Geschillenkamer stelt dan ook – mede op basis van de vaststellingen van de
Inspectiedienst op dit punt – vast dat de verweerster de in deze bepaling neergelegde
verplichtingen niet heeft nagekomen, en dat zij onvoldoende waarborgt dat haar DPO de taken
terdege kan uitvoeren, zoals deze taken zijn opgelijst in artikel 39, lid 1.
63. Om die reden beveelt de Geschillenkamer dat de verweerster binnen drie maanden een actieplan
(infra) opstelt, waarbij de verweerster rekening houdt met de inbreuken die in de voorliggen
beslissing worden vastgesteld, en waarbij zij meer bepaald rekening houdt met de specifieke
aspecten van haar dienstverlening alsook specifieke contactpunten ter zake.
II.3.2. Vaststellingen van de Inspectiedienst betreffende het opvolgen, documenteren en
melden van incidenten (artikelen 5, lid 2, artikel 32 en artikel 33 AVG)
64. De verplichting tot het nemen van beveiligingsmaatregelen – met aandacht voor de risico’s ter zake
– die een verwerkingsverantwoordelijke dient te nemen voor bepaalde verwerkingsactiviteiten, ligt
vervat in het artikel 32 AVG. De registratie- en meldingsplicht van incidenten in verband met
persoonsgegevens ligt vervat in artikel 33 van de AVG. De verantwoordingsplicht voor een
verwerkingsverantwoordelijke ligt vervat in het artikel 5, lid 2 van de AVG.
65. De Inspectiedienst gaat in haar inspectieverslag in op de wijze van afhandeling van beide incidenten
door (de school van) de verweerster. Rekening houdend met het feit dat de Geschillenkamer ratione
temporis onbevoegd is om zich uit te spreken over feiten die vóór 25 mei 2018 plaatsvonden, kan
zij geen uitspraak doen over de wijze van afhandeling van de twee incidenten die plaatsvonden voor
de datum van inwerkingtreding van de AVG.
De Geschillenkamer is zich bewust van het feit dat de rechtsvoorganger van de GBA (de Commissie
voor de bescherming van de persoonlijke levenssfeer, hierna de “CBPL”) sinds 10 juni 2014 voorzag
in een meldformulier via dewelke inbreuken in verband met persoonsgegevens (buiten de
telecomsector want daarvoor bestond reeds een wettelijke meldingsplicht) konden worden
Beslissing ten gronde 110/2021 - 18/21
gemeld.12 De CBPL had bovendien in een persbericht gesteld dat het “meer dan raadzaam is” om
gebruik te maken van dit meldformulier. De Geschillenkamer wijst echter op het facultatief karakter
van de meldingsplicht vóór de inwerkingtreding van de AVG.
66. De Inspectiedienst stelde hiernaast dat uit de communicatie met de verweerster blijkt dat zij
gedurende een bepaalde periode na 25 mei 2018 nog steeds geen registratie deed van incidenten.
De Geschillenkamer acht zich bevoegd hierover uitspraak te doen, aangezien de AVG hierop wel
toepassing vindt. Een behoorlijke registratie van incidenten is van groot belang, zeker in het licht
van de omvang van de educatieve instelling (met 3.500 tot 4.000 leerlingen), maar ook in het licht
van de risicogebaseerde aanpak onder artikel 32 AVG. Er is namelijk in casu ook sprake van een
verwerking van gevoelige persoonsgegevens in de zin van artikel 9 AVG (bv. gegevens over
(mentale) gezondheid en seksueel grensoverschrijdend gedrag,…)13. De verwerking betreft ook
gegevens van kwetsbare natuurlijke personen (met name minderjarigen)14 en het gaat om een
verwerking van gegevens waarvan de verwerking een hoger risico inhoudt met het oog op de
rechten en vrijheden van de betrokken personen (prestaties, evaluaties en eventuele
tuchtbeoordelingen op leraars,…).
67. De verweerster verduidelijkt in haar conclusie dd. 17 januari 2020 dat ze sinds de inwerkingtreding
van de AVG maar te maken heeft gehad met één incident. Het ging hierbij om een geval van het
hacken van één e-mailadres, waarbij de gegevens van mogelijks 500 personen gelekt konden zijn.
Verweerster stelt dat dit incident onmiddellijk werd geregistreerd in het incidentenregister en werd
gemeld aan de GBA binnen de wettelijke termijn. Zij brengt hierbij bewijsstukken aan om dit
argument te staven. Hieruit blijkt de registratie van het incident in het incidentenregister, de
melding van dit incident op 16 oktober 2019 en de gevonden oplossing (namelijk de wijziging van
de wachtwoorden van alle betrokken gebruikers voor 17 oktober 2019).
68. De Geschillenkamer kan door gebrek aan bewijs niet verifiëren of de verweerster effectief maar te
maken heeft gehad met één incident sinds de inwerkingtreding van de AVG. Bovendien kan de
Geschillenkamer ook niet verifiëren sinds wanneer verweerster effectief gebruik maakt van een
incidentenregister. De Geschillenkamer kan enkel oordelen dat verweerster wat betreft het ene
incident dat heeft plaatsgevonden na de inwerkingtreding van de AVG de verplichtingen in artikel
33 AVG correct heeft nageleefd.
69. Dit neemt niet weg dat verweerster gebrekkig had geantwoord op de vraag van de Inspectiedienst
van 6 september 2019 wanneer zij vroeg of er intussen een registratie van incidenten gebeurt met
het oog op de meldingsplicht onder de AVG. Verweerster antwoordde namelijk dat “er geen
incidenten meer geweest zijn”. Dit kan inderdaad juist zijn aangezien verweerster in haar conclusie
12
https://www.gegevensbeschermingsautoriteit.be/burger/autoriteit-lanceert-meldingsformulieren-voor-gegevenslekken.
13
Zie hiervoor bijlage 6 bij het Inspectieverslag.
14
Overweging 75 AVG.
Beslissing ten gronde 110/2021 - 19/21
van 17 januari 2019 aangeeft dat er maar één incident was na inwerkingtreding van de AVG
(namelijk op 16 oktober 2019). Uit dit antwoord kon echter niet worden afgeleid dat de verweerster
inmiddels een incidentenregistratie heeft die beantwoordt aan de vereisten van het artikel 33, lid
5 AVG. Doordat de verweerster niet toereikend kan verantwoorden dat zij de verplichting tot het
adequaat registreren van incidenten heeft nageleefd, stelt de Geschillenkamer een inbreuk vast
op de verantwoordingsplicht in de zin van artikel 5, lid 2 AVG. Er zijn echter niet voldoende
elementen in het dossier aanwezig om een inbreuk vast te stellen op hetzij artikel 32, hetzij artikel
33 AVG.
II.3.3. Vaststellingen van de Inspectiedienst betreffende de informatieplicht (artikel 13, lid 1,
punt a) AVG)
70. Artikel 13, lid 1, punt a) van de AVG vereist dat de verwerkingsverantwoordelijke informatie
verstrekt aan de betrokkene over de identiteit en contactgegevens van de
verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de
verwerkingsverantwoordelijke. In richtsnoeren van de groep gegevensbescherming artikel 29 over
de informatievereiste werd gesteld dat deze informatie dient voor een gemakkelijke identificatie
van de verwerkingsverantwoordelijke en bij voorkeur ook andere vormen van communicatie met
de verwerkingsverantwoordelijke mogelijk te maken.15
71. De Inspectiedienst wijst de Geschillenkamer op een combinatie van aanwijzingen waaruit op het
moment van het onderzoek van de Inspectiedienst blijkt dat de verweerster haar informatieplicht
schendt aangaande de aanduiding van de verwerkingsverantwoordelijke:
- Zo is er sprake van verschillende bepalingen in verschillende documenten die telkens
verwijzen naar andere personen en diensten.
- Het schoolreglement van de litigieuze school bevat op zich geen verduidelijkingen.
- De link “privacybeleid” op de website van de litigieuze school: De gebruiker wordt
automatisch doorverwezen naar de “privacyverklaring [gemeente]” op de website van de
verweerster.
- Punt 2 in de privacyverklaring “tot wie kan je je wenden voor vragen” verwijst naar het
gemeentebestuur . Deze privacyverklaring stelt echter ook “Met vragen over het
gevoerde privacybeleid en de genomen maatregelen kan je terecht bij de algemeen
directeur V via het e-mailadres […] voor zowel de gemeente als het OCMW en/of bij onze
functionaris voor de gegevensbescherming via het e-mailadres […]”.
15
Groep Gegevensbescherming Artikel 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, 11 april
2018, p. 41.
Beslissing ten gronde 110/2021 - 20/21
72. De verweerster geeft in haar conclusie toe dat de originele privacyverklaring onduidelijk en
onvolledig was wat betreft de informatieplicht onder artikel 13, lid 1, punt a) van de AVG. Op 22
november 2019 werd dit echter rechtgezet door de publicatie van een nieuw privacybeleid op de
website van de school van de verweerster. In dit nieuw privacybeleid wordt nu duidelijk in artikel 2
het gemeentebestuur van de verweerster als verwerkingsverantwoordelijke aangeduid. Het
rechtzetten van de inbreuk op artikel 13, lid 1 punt a) AVG, neemt echter niet weg dat er in het
verleden een inbreuk kan hebben plaatsgevonden.
73. Gelet op voorgaande overwegingen stelt de Geschillenkamer dat de verweerster vóór 22
november 2019 niet aan de informatieverplichtingen voldeed wat betreft artikel 13, lid 1, punt a) van
de AVG. Bijgevolg stelt de Geschillenkamer een inbreuk vast op de informatieverplichting in
artikel 13, lid 1, punt a) AVG.
II.4. Actieplan
74. De Geschillenkamer beveelt middels deze beslissing aan de verweerster om een actieplan op te
stellen, teneinde haar verwerkingen in overeenstemming te brengen met de Algemene
Verordening Gegevensbescherming. Dit actieplan dient te worden voorgelegd aan de
Gegevensbeschermingsautoriteit binnen de drie maanden na de kennisgeving van deze beslissing.
75. De Geschillenkamer heeft hierboven een aantal inbreuken vastgesteld op de AVG. Een actieplan
dat verwerkingen in overeenstemming brengt met de wetgeving, in navolging van deze beslissing,
dient dan ook ten minste de volgende aspecten te behandelen:
a. Met betrekking tot de inbreuken op artikel 37, lid 1, punt a) en artikel 37, lid 7 AVG: de manier
waarop de DPO wordt aangesteld, op welke wijze deze aanstelling wordt gemonitord en de
toebedeling van de verantwoordelijkheid voor de aanmelding van deze DPO bij de GBA;
b. Met betrekking tot de inbreuk op artikel 39, lid 1 AVG: de analyse van een adequaat en
toereikend werkkader voor de DPO, wat betreft de uitoefening van haar taken voor de
verweerster, waarbij in het bijzonder wordt rekening gehouden met de tijdsbesteding van
deze DPO voor de specifieke activiteiten van de verweerster en haar diensten. Daarnaast
dient ook te worden onderzocht op welke wijze een adequate rechtstreekse toegang kan
worden verleend voor de DPO tot het hoogste beslissingsniveau, waar nodig in het kader
van rapportering of adviesverlening zodat deze taken terdege kunnen worden uitgeoefend;
c. Met betrekking tot de inbreuk op artikel 5, lid 2 AVG: het opstellen van interne
beleidsmaatregelen teneinde op adequate wijze toegang te kunnen verlenen aan de
Gegevensbeschermingsautoriteit en haar diensten, wanneer dit wettelijk verplicht gesteld
is en met bijzondere aandacht voor de medewerking in het geval van inbreuken in verband
met persoonsgegevens;
Beslissing ten gronde 110/2021 - 21/21
d. Met betrekking tot de inbreuk op artikel 13 AVG: het opstellen van beleidsmaatregelen die
ertoe dienen de informatieplicht terdege uit te voeren, met structurele beleidsmaatregelen
wat betreft de periodieke monitoring van (gegevensbeschermings- of privacy-
)verklaringen en andere documenten ter zake, alsook het verzekeren van de inhoudelijke
kwaliteit van de verklaringen en andere documenten.
II.5. Publicatie van de beslissing
Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens
van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel van art. 100, §1, 1° WOG, de elementen die deel uitmaken van de klacht te
seponeren .
- Op grond van artikel 100, §1, 9° WOG, en gelet op de inbreuken op de artikelen 5, lid 2; 13; 37, lid
1, punt a); 37, lid 7 en 39, lid 1 AVG, de verweerster te bevelen haar verwerkingen in
overeenstemming te brengen met de AVG, en hiertoe een actieplan voor te leggen aan de GBA
binnen de drie maanden na de kennisgeving van deze beslissing.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(Get). Hielke Hijmans
Voorzitter van de Geschillenkamer