1/71
Geschillenkamer
Beslissing ten gronde 114/2024 van 6 september 2024
Dossiernummer : DOS-2022-00896
Betreft: : Tijdsregistratie via biometrische gegevens op het werk
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, vertegenwoordigd door Mr. Gert Buelens, kantoorhoudende te 2800
Mechelen, Nekkerspoelstraat 97, hierna “de klager”;
De verweersters: Y1, vertegenwoordigd door Mr. Meester Bernard Dewit, kantoorhoudende te
1050 Brussel, Albert Leemansplein 20, hierna “de eerste verweerster”;
Y2, vertegenwoordigd door Mr. Jos De Wachter en Mr. Charlotte Peeters,
kantoorhoudende te 3600 Genk, Jaarbeurslaan 19, bus 3, hierna “de tweede
verweerster”;
samen “de verweersters” genoemd.
Beslissing ten gronde 114/2024 – 2/71
I. Feiten en procedure
1. Op 3 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de eerste verweerster. Deze was in eerste instantie niet ontvankelijk. De klacht werd
opnieuw neergelegd en ontvankelijk verklaard op 29 maart 2022.
De klager was werkzaam bij de eerste verweerster van maart 2021 t.e.m. 24 februari 2022,
aanvankelijk als uitzendkracht en vanaf juni 2021 als werknemer met een contract van
onbepaalde duur. Op 16 maart 2020 introduceerde de eerste verweerster op haar beide
sites voor alle daar werkzame personeelsleden een systeem van tijdsregistratie met behulp
van vingerafdruk. Volgens de eerste verweerster is het systeem op die manier van
toepassing op een 200-tal werknemers, waarvan 44 bedienden, 74 arbeiders, 29
uitzendkrachten en voor het overige deel “buitenlandse werknemers”. De leverancier van
het systeem (de tweede verweerster) is een dochtervennootschap van een internationale
groep met hoofdvestiging in Japan en activiteiten in o.a. de Verenigde Staten en China. De
klager meent dat de verwerking van zijn vingerafdrukken (één van elke hand) zijn recht op
bescherming van persoonsgegevens schendt doordat hij de vingerafdrukken niet vrijwillig
heeft afgegeven en omdat hij niet op de hoogte is gesteld van de modaliteiten van de opslag
van de gegevens en de bewaartermijn. De klager drukt ten slotte in zijn klacht ook zijn
ongerustheid uit over een eventuele doorgifte naar een derde land dat geen passende
waarborgen biedt, gezien de geografische locatie van de zetel van de moedervennootschap
van de eerste verweerster.
2. Op 29 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
3. Op 21 april 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
4. Op 29 augustus 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het
verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal
overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en doet de
volgende vaststellingen in hoofde van de eerste verweerster:
1. een schending van artikel 5.1, a), 6.1 en 9.1 AVG;
2. een schending van artikel 5.1, b) AVG;
3. geen schending van art. 5.1, c) AVG;
4. een schending van artikel 5.1, a) j° 12.1 en 13 AVG;
Beslissing ten gronde 114/2024 – 3/71
5. een schending van artikel 5.1, a) j° 12.1 en 15 AVG;
6. een schending van artikel 5, lid 2 AVG;
7. een schending van artikel 28, lid 3 AVG;
8. een schending van artikel 28, lid 1 AVG;
9. een schending van artikel 32 AVG;
10. een schending van artikel 35 AVG;
11. geen aanwijzingen voor eventuele doorgiften van de biometrische gegevens naar
derde landen of internationale organisaties.
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht in hoofde
van de tweede verweerster en stelt dat de tweede verweerster haar verplichting krachtens
artikel 28.3 AVG tot het afsluiten van een geldige verwerkingsovereenkomst niet is
nagekomen.
Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat:
1. er sprake is van een inbreuk op artikel 30 AVG in hoofde van de eerste verweerster
wegens het niet houden van een verwerkingsregister voorafgaand aan het
Inspectieonderzoek en wegens de gebrekkige inhoud van het huidige
verwerkingsregister;
2. er sprake is van een schending van de plicht tot het aanstellen van een functionaris
voor gegevensbescherming op grond van artikel 37.1, b) en c) AVG in hoofde van de
tweede verweerster.
5. Op 1 september 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel
98 WOG dat het dossier gereed is voor behandeling ten gronde.
6. Op 1 september 2022 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweersters
vastgelegd op 13 oktober 2022, deze voor de conclusie van repliek van de klager op 3
november 2022 en ten slotte deze voor de conclusie van repliek van de verweersters op 24
november 2022.
Beslissing ten gronde 114/2024 – 4/71
Voor wat betreft de vaststellingen buiten het voorwerp van de klacht werd de uiterste datum
voor ontvangst van de conclusies van antwoord van de tweede verweerster vastgelegd op
13 oktober 2022.
7. Op 9 september 2022 vraagt de tweede verweerster een kopie van het dossier (artikel 95,
§ 2, 3° WOG), dewelke haar werd overgemaakt op 13 september 2022.
8. Op 25 september 2022 vraagt de klager een kopie van het dossier (artikel 95, § 2, 3° WOG),
dewelke hem op 5 oktober 2022 werd overgemaakt.
9. Op 25 september 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak
en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord,
overeenkomstig artikel 98 WOG.
10. Op 28 september 2022 aanvaardt de eerste verweerster elektronisch alle communicatie
omtrent de zaak en vraagt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke
haar werd overgemaakt op 5 oktober 2022 en geeft zij te kennen gebruik te willen maken
van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
11. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
eerste verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van
de klacht. Eerst schetst de eerste verweerster de vertroebelde arbeidsrelatie met de klager.
De vaststellingen van de Inspectiedienst omtrent de rechtmatigheid van de verwerking, het
transparantiebeginsel, het beginsel van doelbinding en het beginsel van minimale
gegevensverwerking worden niet betwist voor de eerste verweerster. Zij stelt deze
inbreuken intussen verholpen te hebben. De verweerster betwist echter de vaststellingen
omtrent het recht op inzage van de klager en stelt dat zij in overeenstemming met de AVG
geantwoord heeft. De eerste verweerster betwist eveneens de vaststelling dat er geen
voldoende veiligheidsmaatregelen genomen werden. Zij heeft een deskundige ter zake
ingeschakeld en voldoende documentatie ontvangen om zich te overtuigen van de ernst van
de maatregelen genomen door de leverancier (de tweede verweerster).
12. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
tweede verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van
de klacht. De tweede verweerster voert aan in staat te zijn om de juiste kennis over het
systeem te delen. Ook stelt zij tijdig de relevante informatie te hebben overgemaakt aan de
eerste verweerster. Voorts voert de tweede verweerster aan dat zij geen
persoonsgegevens, en dus ook geen biometrische persoonsgegevens verwerkt aangezien
de betrokkenen niet identificeerbaar zijn voor haar, aangezien zij slechts beschikt over
versleutelde bestanden. Deze conclusie bevat eveneens de reactie van de tweede
verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten
de scope van de klacht. De tweede verweerster voert aan dat zij noch onder artikel 37.1.b),
Beslissing ten gronde 114/2024 – 5/71
noch onder artikel 37.1.c) van de AVG verplicht was om een functionaris voor
gegevensbescherming aan te stellen. Intussen heeft de tweede verweerster vrijwillig een
functionaris voor gegevensbescherming aangesteld.
13. Op 3 november 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
Vooreerst werpt de klager op dat de situatieschets van de eerste verweerder omtrent de
arbeidsrelatie tussen hen beide niet ter zake doet in deze procedure. Voor wat betreft de
vaststellingen van de Inspectiedienst over het voorwerp van de klacht vraagt hij aan de
Geschillenkamer de bevestiging ervan.
14. Op 24 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de eerste
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht waarin zij de argumenten van haar conclusie van antwoord herneemt.
15. Op 24 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de
tweede verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van
de klacht. De tweede verweerster verwijst naar haar conclusie van antwoord en vraagt
bijkomend aan de Geschillenkamer om rekening te houden met de werkelijke
beweegredenen van de partijen.
16. Op 2 december 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 17 februari 2023.
17. Op 2 december 2022 geeft de klager te kennen dat hij niet meer wenst gehoord te worden.
18. Op 17 februari 2023 worden de aanwezige partijen gehoord door de Geschillenkamer.
19. Op 22 februari 2023 wordt het proces-verbaal van de hoorzitting aan de aanwezige partijen
voorgelegd.
20. Op 28 februari 2023 ontvangt de Geschillenkamer vanwege de tweede verweerster enkele
opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in
haar beraad.
21. Op 4 juni 2024 heeft de Geschillenkamer aan de eerste verweerster het voornemen kenbaar
gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het
bedrag daarvan teneinde haar de gelegenheid te geven zich te verdedigen, voordat de
sanctie effectief wordt opgelegd.
22. Op 26 augustus 2024 ontvangt de Geschillenkamer de reactie van de eerste verweerster
op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag
daarvan.
II. Motivering
Beslissing ten gronde 114/2024 – 6/71
II.1. Rechtmatigheid van de verwerking (art. 5.1, a), 6.1 en 9.2 AVG) t.a.v. de eerste
verweerster
23. De vraag stelt zich of de verwerking van de persoonsgegevens in het kader van de
tijdsregistratie door de eerste verweerster een rechtmatige verwerking uitmaakt.
24. Uitgangspunt van artikel 5.1.a) AVG is dat persoonsgegevens alleen op rechtmatige wijze
mogen worden verwerkt.
II.1.1.1. (Bijzondere) persoonsgegevens
25. Volgens artikel 4, 1) van de AVG betreffen persoonsgegevens alle informatie over een
geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”). Als
identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden
geïdentificeerd, door bijvoorbeeld een of meer elementen die kenmerkend zijn voor de
fysieke of fysiologische identiteit van die natuurlijke persoon.
26. Ingevolge artikel 4, 14) van de AVG zijn biometrische gegevens persoonsgegevens die het
resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke,
fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond
waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd,
zoals gezichtsafbeeldingen of vingerafdrukgegevens.
27. Artikel 9.1 van de AVG definieert bijzondere persoonsgegevens als volgt: “[...]
persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of
levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en
verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke
identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking
tot iemands seksueel gedrag of seksuele gerichtheid [...]”.
De partijen betwisten niet dat de eerste verweerster optreedt als
verwerkingsverantwoordelijke zoals bedoeld in artikel 4, 7) AVG voor wat betreft de
tijdsregistratie van haar werknemers op basis van hun biometrische gegevens.
28. Gelet op het bovenstaande stelt de Geschillenkamer vast dat de vingerafdruk een
biometrisch gegeven in de zin van artikel 4.14) AVG uitmaakt. Aangezien deze door de
eerste verweerster wordt aangewend ter identificatie van de betrokkene in het kader van
tijdsregistratie, vormt dit eveneens een bijzonder persoonsgegeven in de zin van artikel 9.1
AVG in hoofde van de eerste verweerster.
II.1.1.2. Verbod op de verwerking van biometrische gegevens
Beslissing ten gronde 114/2024 – 7/71
29. De Geschillenkamer zal hieronder beoordelen of de eerste verweerster de bijzondere
categorieën van persoonsgegevens op rechtmatige wijze verwerkt heeft in het kader van
de tijdsregistratie van haar werknemers.
30. Persoonsgegevens die bijzonder gevoelig zijn verdienen specifieke bescherming, omdat de
verwerking ervan hoge risico’s kan meebrengen voor grondrechten en fundamentele
vrijheden. De verwerking van bijzondere categorieën van persoonsgegevens is daarom op
grond van artikel 9.1 AVG verboden, tenzij een wettelijke uitzondering van toepassing is.1
31. Indien er een verwerking van categorieën van bijzondere persoonsgegevens
overeenkomstig artikel 9.1 AVG plaatsvindt, dient de verwerkingsverantwoordelijke een
rechtsgrond overeenkomstig artikel 6 AVG én een uitzonderingsgrond uit artikel 9.2 AVG
aan te duiden om te kunnen spreken van een rechtmatige verwerking. Deze cumul van
rechtsgronden uit de artikelen 6.1 en 9.2 AVG is recentelijk bevestigd in het arrest Meta (C-
252/21) van het Hof van Justitie2 waarin uitdrukkelijk wordt geoordeeld door het Hof dat het
verwerken van gevoelige persoonsgegevens slechts is toegelaten indien een dergelijke
verwerking als rechtmatig kan worden aangemerkt onder artikel 6.1 AVG. Ook het advies
2/2019 van de European Data Protection Board (hierna: EDPB) 3 en het advies 06/2014 van
de Groep Gegevensbescherming Artikel 294 verwijzen consequent naar de cumulatieve
toepassing van zowel artikel 6 AVG als artikel 9 AVG in geval van verwerking van bijzondere
persoonsgegevens. Overweging 51 AVG geeft ten slotte duidelijk aan dat artikel 6 AVG
steeds dient te worden toegepast.
32. Het is aan de verwerkingsverantwoordelijke om te bepalen welke rechtsgrond passend is
ten aanzien van het doel van de verwerking. 5 Aangezien uit verschillende rechtsgronden
verschillende gevolgen voortvloeien, met name wat de rechten van de betrokkenen betreft,
is het niet toegestaan dat de verwerkingsverantwoordelijke zich, afhankelijk van de
omstandigheden, op de ene of de andere rechtsgrond beroept. Indien er eenmaal gekozen
is voor een bepaalde rechtsgrond is het niet de bedoeling dat er onderling nog wordt
gewisseld of dat er, wanneer de gekozen rechtsgrond ophoudt te gelden, wordt
teruggevallen op een andere rechtsgrond voor dezelfde verwerkingsactiviteit, voor
dezelfde doeleinden.6 Artikel 5.1.b) AVG vereist immers dat persoonsgegevens “voor
welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld
1
Zie overweging 51 van de AVG.
2
HvJEU Arrest van 4 juli 2023, Meta, C-252/21, ECLI:EU:C:2023:537, para. 90.
3
Advies 2/2019 (EDPB) over de vragen en antwoorden over de wisselwerking tussen de verordening betreffende klinische
proeven (VKP) en de algemene verordening gegevensbescherming (AVG) (artikel 70, lid 1, onder b)) van 23 januari 2019.
4
Advies 06/2014 (WP 29) over het begrip “gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke”
in artikel 7 van Richtlijn 95/46/EG.
5
Zie ook beslissing 77/2023, para 74, van de Geschillenkamer.
6
Zie bijvoorbeeld beslissingen 38/2021, 54/2023 en 77/2023 van de Geschillenkamer.
Beslissing ten gronde 114/2024 – 8/71
en […] vervolgens niet verder op een met die doeleinden onverenigbare wijze worden
verwerkt; […] (“doelbinding”)”. Wanneer één verwerking verschillende doeleinden nastreeft,
moet elk doel gebaseerd zijn op een rechtsgrond.7
33. De vraagt rijst dan ook op welke rechtsgrond uit artikel 6.1 en 9.2 AVG de eerste verweerster
zich beroept voor de litigieuze verwerking van een bijzondere categorie van
persoonsgegevens. De Inspectiedienst komt na onderzoek tot de vaststelling dat uit de
bezorgde documentatie niet eenduidig kan worden opgemaakt op welke rechtsgrond de
eerste verweerster zich precies beroept voor de litigieuze verwerking. Enerzijds beroept de
eerste verweerster zich namelijk in verschillende documenten op verschillende
rechtsgronden, anderzijds beroept zij zich niet op één, maar meerdere rechtsgronden
tegelijk. In ieder geval staat vast dat geen van de ingeroepen rechtsgronden een geldige
rechtsgrond kan zijn voor de litigieuze verwerking, zo stelt de Inspectiedienst vast.
34. De eerste verweerster betwist de vaststellingen van de Inspectiedienst niet. In haar
conclusies stelt de eerste verweerster dat de HR-manager op de verwelkomingsdag van
nieuw personeel de welkomstbrochure uitdeelt en dat de werknemer dan toestemming
geeft voor de tijdsregistratie op basis van de vingerafdruk. De eerste verweerster erkent dat
dit in strijd is met de aanbeveling van het Kenniscentrum van de GBA betreffende de
verwerking van biometrische gegevens dd. 1 december 2021 die stelt dat het
onwaarschijnlijk is dat de betrokkene zijn/haar toestemming voor gegevensverwerking zou
kunnen onthouden zonder angst voor nadelige gevolgen voortkomend uit die weigering
omwille van de wanverhouding in de werkcontext. Als verzachtende omstandigheid voert de
eerste verweerster aan dat bij de invoering van het nieuwe arbeidsreglement geen enkele
werknemer commentaar heeft geleverd op de toevoegingen omtrent het biometrische
systeem. Opmerkingen konden anoniem gemaakt worden. Geen enkele vakbondsdelegatie
maakte opmerkingen. Bovendien hebben de werknemers zelf aangegeven dat zij het
biometrische systeem verkiezen boven een systeem met toegangspasjes.
35. Wat betreft de rechtmatigheid van de verwerking, stelt de Geschillenkamer vast dat de
eerste verweerster in haar conclusie van antwoord niet uitdrukkelijk vermeldt op welke
rechtsgrond ex artikel 6.1 j° artikel 9.2 AVG zij zich beroept voor de litigieuze verwerking. De
Geschillenkamer stelt tevens vast dat in de loop van het onderzoek verschillende
rechtsgronden naar voor werden geschoven voor de litigieuze verwerking van de
persoonsgegevens. Op basis van de conclusies en de hoorzitting stelt de Geschillenkamer
vast dat de eerste verweerster zich uiteindelijk beroept op de toestemming als rechtsgrond.
De Geschillenkamer toetst in het navolgende of de eerste verweerster zich rechtmatig kan
beroepen op de uitzondering van de toestemming zoals begrepen in artikel 9.2.a) AVG.
7
Zie ook beslissing 77/2023, para 77, van de Geschillenkamer
Beslissing ten gronde 114/2024 – 9/71
36. Op grond van artikel 4, 11) van de AVG is toestemming een vrije, specifieke, geïnformeerde
en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of
een ondubbelzinnige actieve handeling een hem betreffende verwerking van
persoonsgegevens aanvaardt.
37. Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene onder
andere geïnformeerd worden over de identiteit van de verwerkingsverantwoordelijke, het
doel van de verwerking, welke (soort) gegevens worden verwerkt en het bestaan van het
recht om toestemming in te trekken.8
38. Een betrokkene moet daarnaast de toestemming vrij kunnen geven. In de Richtsnoeren
inzake toestemming van de EDPB overeenkomstig de AVG wordt hierover opgemerkt:
“Wanverhouding doet zich ook voor in het kader van de arbeidsverhouding. Gezien de
afhankelijkheid die het gevolg is van de relatie tussen werkgever en werknemer, is het
onwaarschijnlijk dat de betrokkene zijn/haar toestemming voor gegevensverwerking zou
kunnen onthouden zonder angst of reële dreiging van nadelige gevolgen als gevolg van een
weigering. Het is onwaarschijnlijk dat de werknemer vrijelijk zou kunnen reageren op een
verzoek voor toestemming van zijn/haar werkgever voor, bijvoorbeeld, het activeren van
toezichtsystemen zoals camera observatie op de werkvloer, of het invullen van
beoordelingsformulieren, zonder druk te voelen om toestemming te verlenen. Daarom is
WP29 van mening dat het voor werknemers problematisch is om persoonsgegevens van
huidige of toekomstige werknemers te verwerken op basis van toestemming, omdat het
onwaarschijnlijk is dat deze vrijelijk wordt verleend. Voor de merendeel van dergelijke
gegevensverwerking op het werk, kan en mag de rechtsgrond geen toestemming van de
werknemers zijn (artikel 6, lid 1, onder a) vanwege de aard van de relatie tussen werkgever
en werknemer. Dit betekent echter niet dat werkgevers nooit kunnen vertrouwen op
toestemming als een rechtsgrond voor verwerking. Er kunnen situaties zijn waarin de
werkgever kan aantonen dat toestemming daadwerkelijk vrijelijk wordt verleend. Gezien de
wanverhouding tussen een werkgever en zijn personeel, kunnen werknemers alleen in
uitzonderlijke omstandigheden vrijelijk toestemming geven, en wel wanneer het geen
negatieve gevolgen heeft als zij al dan niet toestemming geven. [...] Wanverhoudingen zijn
niet beperkt tot overheidsinstanties en werknemers, ze kunnen zich ook voordoen in andere
situaties. Zoals WP29 in verschillende adviezen heeft benadrukt, kan "toestemming" alleen
rechtsgeldig zijn als de betrokkene een werkelijke keuze heeft en er geen sprake is van
bedrog, intimidatie of dwang en de betrokkene ook niet het risico van aanzienlijke negatieve
gevolgen (bijvoorbeeld op aanzienlijke extra kosten) loopt wanneer hij of zij niet toestemt.
8
Zie overweging 42 van de AVG, de Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 dd. 28
november 2017 blz. 15 en artikel 7, derde lid, van de AVG.
Beslissing ten gronde 114/2024 – 10/71
Toestemming is niet vrij in gevallen waar sprake is van enig element van dwang, druk of niet
kunnen uitoefenen van de vrije wil”.
39. De Geschillenkamer benadrukt op grond hiervan dat in een arbeidsrelatie slechts in
uitzonderlijke omstandigheden een verwerking kan worden gebaseerd op toestemming. Zij
gaat na in hoeverre zich hier een dergelijke omstandigheid voordoet.
40. Op grond van artikel 7.1 AVG moet de verwerkingsverantwoordelijke voorts kunnen
aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn
persoonsgegevens.
41. De voorwaarden van artikel 7 van de AVG gelden ook voor het begrip toestemming in artikel
9.2 AVG.9 Om te voldoen aan de voorwaarde van artikel 9.2.a) AVG voor uitzondering op het
verbod van verwerking van biometrische gegevens van artikel 9.1 AVG geldt – bovenop de
voorwaarden die artikel 7 AVG stelt aan de toestemming – dat de betrokkene uitdrukkelijk
toestemming moet geven. Met andere woorden, het afleiden van toestemming uit het feit
dat iemand niet handelt of niet protesteert, is niet toegestaan.
42. De eerste verweerster heeft in haar antwoord van 5 augustus 2022 bevestigd aan de
Inspectiedienst dat eerdere versies van het arbeidsreglement daterend van voor de versie
van juni 2022 geen enkele bepaling omtrent het biometrisch tijdsregistratiesysteem
bevatten. Er is dan ook geen sprake van een geïnformeerde toestemming.
43. De eerste verweerster maakt aan de Geschillenkamer de welkomstbrochure over die aan
nieuwe werknemers werd bezorgd bij initiële indiensttreding alsook het arbeidsreglement.
Door middel van deze documenten wordt de werknemer geïnformeerd over het
tijdsregistratiesysteem. Deze documenten werden ondertekend, doch voor ontvangst en
niet voor akkoord. Hoewel deze documenten de werknemers enige - beknopte - informatie
geven over het tijdsregistratiesysteem, kan op basis hiervan niet worden geconcludeerd dat
er sprake is van een ondubbelzinnige toestemming.
44. Daarnaast heeft de eerste verweerster niet aangetoond dat er sprake is van een vrij gegeven
toestemming. De welkomstbrochure vermeldt het volgende “[j]e verloning wordt gebaseerd
op je tikkingen, vergeet dit dus zeker niet”. Daarnaast stelt artikel 32 van het
arbeidsreglement dat het niet naleven van de regels betreffende het tikken kunnen leiden
tot het opleggen van straffen. Op basis van het Inspectieverslag stelt de Geschillenkamer
vast dat de tijdsregistratie met vingerafdruk het enige middel van tijdsregistratie is dat in
werking is. Dit impliceert dat, indien een betrokkene zou weigeren om diens toestemming te
geven inzake de tijdsregistratie met vingerafdruk, deze zich zou blootstellen aan sancties
zoals bepaald in het arbeidsreglement, aangezien er geen alternatieve methodes voorzien
zijn voor tijdsregistratie. Integendeel, het arbeidsreglement stelt zelfs dat alle
9
Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 d.d. 28 november 2017, p. 23
Beslissing ten gronde 114/2024 – 11/71
personeelsleden verplicht zijn hun arbeidstijd via Z te registreren, en dat er geen ander
systeem bestaat voor de registratie van de arbeidstijd, waardoor er geen keuzevrijheid
bestaat in hoofde van de werknemers. Bijgevolg zijn er negatieve gevolgen gekoppeld aan
het weigeren van het akkoord van de werknemer. De Geschillenkamer merkt eveneens op
dat de klager initieel tewerkgesteld was als uitzendkracht, hetgeen hem in een nog
ongunstigere positie stelt om opmerkingen te maken over het tijdsregistratiesysteem.
45. De eerste verweerster is van mening dat de medewerkers toestemming hebben gegeven
voor het gebruik van hun vingerafdrukken en dat ook nooit iemand daar bezwaar tegen heeft
gemaakt. De eerste verweerster stelt dat het badgesysteem als onhandig werd ervaren voor
werknemers en dat zij enkel goede bedoelingen had. Bovendien konden de werknemers ook
aangeven een alternatieve wijze van tijdsregistratie te wensen, zo betoogt de eerste
verweerster. De eerste verweerster is daarmee van mening dat de werknemers vrijelijk hun
toestemming hebben kunnen geven.
46. De Geschillenkamer volgt deze zienswijze niet. Gezien de afhankelijkheid die het gevolg is
van de relatie tussen werkgever en werknemer, is het onwaarschijnlijk dat de werknemer
zijn of haar toestemming vrijelijk kan verlenen. De Geschillenkamer verwijst in deze context
naar de Richtlijnen omtrent toestemming 10 van de EDPB waarin wordt gesteld dat er sprake
kan zijn van een onevenwichtige machtsverhouding in een arbeidscontext. Aangezien het in
casu een werkgever/werknemersrelatie betreft, is het onwaarschijnlijk dat de betrokkene
als werknemer zijn toestemming kan weigeren zonder vrees of reëel risico op schadelijke
gevolgen. De Geschillenkamer merkt ook op dat de welkomstbrochure, noch het
arbeidsreglement ten tijde van de tewerkstelling van de klager, vermelden dat alternatieve
wijzen van tijdsregistratie kunnen worden aangevraagd. Tijdens de hoorzitting maakt de
eerste verweerster evenwel documenten over waaruit blijkt dat het litigieuze
tijdsregistratiesysteem werd stopgezet in navolging van de vaststellingen van de
Inspectiedienst.
47. Op grond van de volgende feiten komt de Geschillenkamer tot de conclusie dat de eerste
verweerster niet heeft aangetoond dat haar werknemers uitdrukkelijk toestemming hebben
gegeven voor de verwerking van hun biometrische gegevens. De vrije, specifieke,
geïnformeerde en ondubbelzinnige wilsuiting is niet vast komen te staan.
48. De Geschillenkamer concludeert dus dat de eerste verweerster het principieel verbod op
het verwerken van bijzondere categorieën persoonsgegevens in onderhavige zaak heeft
geschonden aangezien ze geen beroep kan doen op artikel 6.1.a) j° artikel 9.2.a) van de AVG
voor de litigieuze verwerking van bijzondere categorieën van persoonsgegevens, namelijk
de tijdsregistratie op basis van biometrische gegevens. Bijgevolg is er sprake van een
10
https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent en.pdf.
Beslissing ten gronde 114/2024 – 12/71
schending van artikel 9.1, j° artikel 6.1.a) en artikel 9.2.a) AVG. Het feit dat de litigieuze
verwerkingen werden gestaakt ingevolge de vaststellingen van de Inspectiedienst
verhindert de vaststelling van de historische inbreuk niet.
II.2. Beginsel van doelbinding (artikel 5.1, b) AVG) t.a.v. de eerste verweerster
49. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat persoonsgegevens alleen
mogen worden verzameld en verwerkt voor welbepaalde, uitdrukkelijk omschreven en
gerechtvaardigde doeleinden. Wanneer de gegevens later voor een ander doel worden
gebruikt, dan moet dat nieuwe doel verenigbaar zijn met het oorspronkelijke verzameldoel.
Het beginsel van doelbinding kent dus twee elementen:
a. de doeleinden waarvoor persoonsgegevens worden verwerkt, moeten welbepaald,
uitdrukkelijk omschreven en gerechtvaardigd zijn; en
b. wanneer persoonsgegevens verzameld worden, mogen zij niet verder verwerkt
worden op een manier die onverenigbaar is met die doeleinden.
Op die manier zorgt het beginsel van doelbinding ervoor dat er grenzen worden vastgesteld
voor het gebruik van persoonsgegevens, rekening houdende met de redelijke
verwachtingen van de betrokkenen en het feit dat verder gebruik voor andere doeleinden,
dan die waarvoor de gegevens initieel werden verzameld, ook nuttig kan zijn.
50. Tijdens het Inspectieonderzoek heeft de eerste verweerster verwezen naar vier doeleinden:
- registratie van de arbeidstijd waardoor loonstrookjes kunnen worden opgesteld;
- voorkomen van fraude bij tijdsregistratie;
- veiligheidsredenen, onder meer om te allen tijde te weten hoeveel mensen er op de
productielocatie aanwezig zijn ingeval van brand of in geval van controle van de
wisseling van opeenvolgende ploegen; en
- controle op de toegang tot het gebouw van de werkgever.
51. De Inspectiedienst stelt vast dat het vierde doeleinde (toegangscontrole tot het gebouw) in
geen enkel ander document terug te vinden is en dat uit het schrijven van de eerste
verweerster blijkt dat de verwerking voor dit doeleinde nog niet was gerealiseerd. Het
betreft dus een potentiële verdere verwerking waarvan het doeleinde krachtens artikel
5.1.b) en artikel 6.4 AVG niet onverenigbaar mag zijn met de oorspronkelijke doeleinden. De
Inspectiedienst concludeert dat verwerking voor toegangscontrole slechts in zeer beperkte
gevallen mogelijk zal zijn, gelet op het feit dat het biometrische gegevens betreft, en wijst
erop dat de initiële verzameling reeds onrechtmatig was. De Inspectiedienst verwijst naar
het arbeidsreglement (versie juni 2022) waarin op twee plaatsen wordt verwezen naar
dezelfde drie doeleinden als in het antwoord van de eerste verweerster: tijdsregistratie (incl.
loonadministratie), fraudebestrijding en veiligheid. In het verwerkingsregister is echter
Beslissing ten gronde 114/2024 – 13/71
slechts één doeleinde terug te vinden, nl. tijdsregistratie. In de welkomstbrochure vindt de
Inspectiedienst twee doeleinden terug, nl. tijdsregistratie en veiligheidsredenen. De
Inspectiedienst werpt op dat het doeleinde van fraudebestrijding ontbreekt in de
welkomstbrochure. Dit is van belang voor de Inspectiedienst omdat dit het enige document
is waarvan de eerste verweerster kan aantonen dat het aan de klager ter kennis werd
gebracht voorafgaand aan de verwerking. De Inspectiedienst stelt dan ook vast dat niet
voldaan is aan de voorwaarde van de verzameling voor ‘welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden’.
52. Tot slot concludeert de Inspectiedienst dat geen enkel doeleinde voldoet aan de
voorwaarde van gerechtvaardigdheid zoals bepaald in artikel 5.1.b) AVG. Aangezien de
initiële verwerking onrechtmatig was, is ieder doeleinde waarvoor de gegevens worden
verzameld onrechtmatig. Bijgevolg stelt het Inspectieverslag dan ook dat de door de eerste
verweerster aangehaalde doeleinden in alle gevallen niet gerechtvaardigd zijn, en in
sommige gevallen daarenboven ook niet welbepaald en duidelijk omschreven zijn.
53. De eerste verweerster voert aan dat zij rekening heeft gehouden met deze conclusie en dat
zij voornemens is deze op te volgen. Zij schorste daarom onmiddellijk alle toekomstige
projecten met betrekking tot de biometrische beveiliging van haar bedrijfssite.
54. De Geschillenkamer gaat hieronder na of aan het beginsel van doelbinding voldaan is.
Een welbepaald doeleinde
55. Zoals reeds gesteld dient een doeleinde welbepaald te zijn, wat betekent dat het
verwerkingsdoeleinde moet bepaald zijn vooraleer de gegevens worden verkregen.
Ingevolge artikel 13.1 AVG dient de verwerkingsverantwoordelijke, in geval van verkrijgen
van de persoonsgegevens bij de betrokkene, bij de verkrijging het verwerkingsdoeleinde
mee te delen.11 Bijgevolg voldoen enkel de twee doeleinden “tijdsregistratie” en “veiligheid
van de bedrijfssite” aan deze voorwaarde, aangezien deze aan de klager werden
meegedeeld in de welkomstbrochure.
Een uitdrukkelijk welomschreven doeleinde
56. Het uitdrukken van de doeleinden kan op verschillende manieren gebeuren, zoals een
beschrijving van de doeleinden in een kennisgeving aan de betrokkenen.12 De
Geschillenkamer stelt dat het meedelen van de doeleinden in de welkomstbrochure kan
voldoen aan deze voorwaarde. Daarnaast stelt de Geschillenkamer dat het voor de
gemiddelde burger begrijpelijk is wat de doeleinden “tijdsregistratie” en “veiligheid van de
bedrijfssite” inhouden.
11
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 17.
12
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 18.
Beslissing ten gronde 114/2024 – 14/71
Een gerechtvaardigd doeleinde
57. De persoonsgegevens moeten worden verkregen of verzameld voor gerechtvaardigde
doeleinden. Opdat de doeleinden gerechtvaardigd zouden zijn, moet de verwerking - in alle
verschillende stadia en op elk ogenblik te allen tijde - gebaseerd zijn op ten minste één van
de in artikel 6 genoemde rechtsgronden.13 Aangezien in onderdeel II.1 reeds werd
vastgesteld dat de verwerking niet rechtmatig is, is er ook geen sprake van een
gerechtvaardigd doeleinde.
58. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake is van een inbreuk op
artikel 5.1.b) AVG.
II.3. Beginsel van minimale gegevensverwerking (artikel 5.1.c) AVG t.a.v. de eerste
verweerster
59. Het beginsel van minimale gegevensverwerking zoals bepaald in artikel 5.1.c) AVG stelt dat
de verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot
wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Hieruit volgt dat de
persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet
redelijkerwijs op een andere manier kan worden verwezenlijkt. De verwerking moet
evenredig zijn aan het beoogde doel.
60. De Inspectiedienst stelt vast dat de eerste verweerster geen enkel intern document of
bewijs van beraadslaging of besluitvorming kan voorleggen dat de uitvoering van een
evenredigheidstoets aantoont. De Inspectiedienst komt dan ook tot de conclusie dat de
eerste verweerster niet heeft onderzocht of de nagestreefde doelstelling niet redelijkerwijs
op een andere wijze had kunnen plaatsvinden, zoals bijvoorbeeld met behulp van
multifactorauthenticatie.
61. Voor wat betreft het doeleinde “bestrijding van fraude” stelt de Inspectiedienst vast dat het
systeem van tijdsregistratie niet proportioneel is aan het fraudegeval dat de aanleiding was
tot het invoeren van het litigieuze systeem. Dat incident ging over een werknemer die het
werk voortijdig had verlaten en in het papieren aanwezigheidsregister onterecht had
getekend voor het einde van de dag. De Inspectiedienst voert aan dat een minder ingrijpend
controlesysteem ook had volstaan om dergelijke fraudegevallen op te sporen en te
voorkomen.
62. Voor wat betreft het doeleinde “veiligheid van het personeel”, te weten de zekerheid dat de
machines systematisch door een werknemer worden gevolgd, ziet de Inspectiedienst geen
duidelijk verband tussen het genoemde doeleinde en het middel (de litigieuze
tijdsregistratie) aangezien de aanwezigheid van een werknemer op de bedrijfssite niet
13
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 19.
Beslissing ten gronde 114/2024 – 15/71
gelijkstaat met de systematische bemanning van een bepaalde machine, te meer omdat
uittikken voor pauzes niet nodig is volgens de welkomstbrochure. In de zin dat
brandveiligheid ook begrepen moet worden onder de doelstelling “veiligheid van het
personeel” begrijpt de Inspectiedienst wel het belang van een correct
aanwezigheidsregister. De Inspectiedienst werpt hierbij evenwel op dat het bij een evacuatie
vooral van belang is om te weten hoeveel mensen aanwezig zijn in het gebouw en in
ondergeschikte orde hun identiteit.
63. In haar conclusies verbindt de eerste verweerster zich ertoe om het tijdsregistratiesysteem
op basis van biometrische gegevens onmiddellijk te stoppen. De eerste verweerster licht toe
dat haar klanten veeleisend zijn op het punt van veiligheid, waardoor zij vereisen dat zij een
hele reeks certificeringen verkrijgt, waarvoor tal van voorwaarden inzake veiligheid gelden.
Hiertoe maakt de eerste verweerster twee documenten over. Zij voert aan dat de omgeving
waarin zij moet opereren zeer beperkend is en dat dat haar ertoe gebracht heeft om te
werken met het litigieuze systeem van tijdsregistratie.
64. De Geschillenkamer herinnert eraan dat bij het beoordelen van de noodzaak om gevoelige
persoonsgegevens, zoals biometrische gegevens, te gebruiken om arbeidstijdregistraties
bij te houden, de beschikbare middelen in overweging genomen moeten worden die
hetzelfde doel bereiken met minder inbreuk op de privacy van de werknemers. Aangenomen
kan worden dat werkgevers kunnen beschikken over tal van middelen voor het aan- en
afmelden van werknemers in een loonlijstsysteem dat niet gebaseerd is op biometrische of
andere gevoelige persoonlijke informatie. Voorbeelden zijn prikklokken, personeelskaarten
en toegangscodes. Voorts kunnen de bovengenoemde middelen worden gemengd met een
zogenaamde steekproefsgewijze controle of controle-instantie bij de ingang van de
werkplek. De Geschillenkamer begrijpt dat de eerste verweerster moet voldoen aan hoge
eisen van haar klanten, maar is tegelijkertijd van oordeel dat de verwerking van bijzondere
persoonsgegevens niet noodzakelijk is voor het bereiken van de doeleinden van de eerste
verweerster - namelijk tijdsregistratie, fraudebestrijding of veiligheid van het personeel - en
dat deze doeleinden kunnen worden bereikt door andere en minder strenge maatregelen die
geen systematische verwerking van de biometrische gegevens van de werknemers
vereisen.
65. De Geschillenkamer benadrukt dat het gebruik van biometrische informatie om een
persoon op een unieke manier te identificeren over het algemeen aan zeer strikte
beperkingen is onderworpen. Dit is met name relevant wanneer andere, minder strenge
maatregelen niet volstaan en kan relevant zijn wanneer de verwerking bedoeld is voor
toegangscontrole van bepaalde zones op de werkplek vanwege speciale
veiligheidsoverwegingen, zoals de behandeling van levensmiddelen of gevaarlijke stoffen
Beslissing ten gronde 114/2024 – 16/71
(artikel 9.2.g) AVG). Dergelijke omstandigheden zijn in casu niet aan de orde. Bijgevolg
oordeelt de Geschillenkamer dat er sprake is van een inbreuk op de artikelen 5.1.c) AVG.
II.4. Beginsel van opslagbeperking (artikel 5.1.e) AVG) t.a.v. de eerste verweerster
66. Overeenkomstig artikel 5.1.e) AVG moeten persoonsgegevens "worden bewaard in een
vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de
doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is". Concreet wil
dit zeggen dat eens het doeleinde van de verwerking is vervuld, of wanneer de rechtsgrond
vervalt (bijvoorbeeld door de intrekking van de toestemming door de betrokkenen, of het
wegvallen van het zwaarwegend algemeen belang), de betrokken biometrische gegevens
verwijderd moeten worden. Dit sluit evenwel niet uit dat de gegevens langer worden
bewaard ingevolge een wettelijke verplichting of wanneer deze gegevens noodzakelijk zijn
in het kader van een rechtsvordering.
67. Het Kenniscentrum van de GBA wijst erop dat de ruwe biometrische gegevens die worden
verzameld in het kader van de eerste inzamelingsfase van een biometrisch systeem
(registratiefase) in principe onmiddellijk verwijderd moeten worden zodra de biometrische
template werd aangemaakt. Daarnaast mogen de gegevens die worden verzameld tijdens
de tweede inzamelingsfase niet langer worden bewaard dan de tijd die nodig is om de
ingezamelde gegevens te vergelijken met de referentie-informatie.14
68. Voor wat betreft het beginsel van opslagbeperking, ontvangt de Inspectiedienst geen
verwijzing naar de bewaringstermijn van de eerste verweerster. Uit bijlage 10 bij het
arbeidsreglement (versie juni 2022) en uit het verwerkingsregister leidt de Inspectiedienst
af dat de gegevens worden bewaard zolang de arbeidsverhouding duurt. Deze documenten
maken echter geen onderscheid tussen de ruwe biometrische gegevens en de hieruit
afgeleide templates. Op basis van zijn onderzoek concludeert de Inspectiedienst dat de
bewaartermijnen van de ruwe biometrische gegevens overeen lijken te stemmen met de
door het Kenniscentrum van de GBA vooropgestelde principes. De Inspectiedienst stelt dat
verdergaand onderzoek niet proportioneel is aangezien de litigieuze verwerking al op
verschillende punten onrechtmatig is gebleken.
69. De Geschillenkamer merkt op dat de Inspectiedienst geen inbreuk hieromtrent heeft
vastgesteld en ziet geen reden om hieromtrent een ander standpunt in te nemen. De
Geschillenkamer oordeelt dan ook dat er geen inbreuk is op artikel 5.1.e) AVG.
14
Aanbeveling betreffende de verwerking van biometrische gegevens, p. 35 te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.01-2021-van-1-december-2021.pdf.
Beslissing ten gronde 114/2024 – 17/71
II.5. Informatieverplichtingen (artikel 5.1.a) j° artikelen 12.1 en 13 AVG) t.a.v. de eerste
verweerster
70. De Inspectiedienst stelt tijdens zijn onderzoek vast dat niet voldaan zou zijn aan de
informatievereisten uit artikel 12.1 en artikel 13 AVG, dewelke vereisen dat de informatie
verstrekt moet worden aan de betrokkenen bij de verkrijging van de persoonsgegevens.
71. Op basis van de artikelen 12.1, 13.1 en 13.2 van de AVG is het noodzakelijk dat de eerste
verweerster als verwerkingsverantwoordelijke aan de betrokkenen beknopte, transparante
en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. De
voormelde transparantieverplichtingen vormen een concretisering van de algemene
transparantieverplichting van artikel 5.1.a) van de AVG. De Geschillenkamer zal onderzoeken
of de eerste verweerster haar informatieverplichtingen heeft nageleefd.
72. De Geschillenkamer leest in het Inspectieverslag dat de Inspectiedienst concludeert tot een
schending van artikel 12.1 en 13 AVG aangezien de welkomstbrochure, het enige document
met informatie over de litigieuze verwerking dat bij indiensttreding werd bezorgd aan de
klager, niet alle door de AVG vereiste informatie bevatte. Artikel 13 AVG stipuleert welke
informatie de verwerkingsverantwoordelijke moet verstrekken aan de betrokkene wanneer
deze gegevens bij die persoon worden verzameld, en dit bij de verkrijging van de
persoonsgegevens. Uit de welkomstbrochure kan de Inspectiedienst enkel de volgende
informatie voor de betrokkene afleiden: de categorie van verwerkte persoonsgegevens, één
van de doeleinden van de tijdsregistratie expliciet (nl. tijdsregistratie via vingerafdruk) en
één doeleinde impliciet (nl. de veiligheid van het personeel). Bij een tweede bevraging
hieromtrent heeft de eerste verweerster geen nieuwe elementen aangereikt.
73. Volgens de vaststellingen van de Inspectiedienst verwees het arbeidsreglement (versie
2020), dat aan de klager werd bezorgd bij zijn indiensttreding, enkel naar het gebruik van
“elektronische registratieapparaten” voor de meting en de controle van de arbeid en bevat
deze enkel de volgende verwijzing naar het gegevensbeschermingsrecht:
“De wet ter bescherming van de persoonlijke levenssfeer van 8 december 1992 en/of de
Algemene Verordening Gegevensbescherming (AVG of GDPR) zal worden gerespecteerd
bij de verwerking van persoonlijke gegevens”.
74. Bovenstaande informatieverstrekking voldeed volgens de Inspectiedienst niet aan de
informatieverplichtingen ex artikel 12.1 en 13 AVG. De eerste verweerster voert aan in haar
conclusies dat, van zodra het inspectieonderzoek liep, zij onmiddellijk de maat genomen
heeft van de verplichtingen waaraan zij moest voldoen. Daarom is zij begonnen met het
aanpassen van haar werkregels; zij zal deze blijven corrigeren.
75. De Geschillenkamer zal beoordelen of voldaan is aan de informatieverplichtingen ex artikel
13 AVG j° artikel 12.1 AVG. Na onderzoek van de door de eerste verweerster overgemaakte
Beslissing ten gronde 114/2024 – 18/71
conclusies met bijhorende stukken merkt de Geschillenkamer op dat de eerste verweerster
inderdaad stappen hieromtrent genomen heeft. Dit blijkt uit het feit dat zij bij haar conclusies
een in 2022 gewijzigd arbeidsreglement heeft overgemaakt. Gelet op het Inspectieverslag
stelt de Geschillenkamer vast dat, op het moment van indiensttreding van de klager, de
welkomstbrochure de enige bron van informatie was voor de werknemers, zulks totdat het
arbeidsreglement werd aangepast in juni 2022 (hierna: “arbeidsreglement (versie 2022)”).
De Geschillenkamer zal dus eerst de welkomstbrochure bespreken zoals het van toepassing
was op het moment van indiensttreding van de klager en vervolgens het arbeidsreglement
(versie 2022), onder andere in functie van het litigieuze systeem van tijdsregistratie.
Welkomstbrochure
76. De welkomstbrochure verstrekt de volgende informatie omtrent de litigieuze verwerking:
“We maken gebruik van een tijdsregistratiesysteem via vingerafdruk. Na het
onthaalmoment zal je geregistreerd worden en dan is het de bedoeling bij aanvang en einde
van je shift in en uit te tikken. We hebben een korte shiftoverdracht, waardoor je minstens
voor 5 minuten voor aanvang dient ingetikt te zijn. Je verloning wordt gebaseerd op je
tikkingen, vergeet dit dus zeker niet. Tijdens je pauze dien je niet uit- of in te tikken, behalve
wanneer je het terrein verlaat. Dit is om veiligheidsredenen”.
77. Wat betreft de vermelding van de identiteit van de verwerkingsverantwoordelijke in het
de welkomstbrochure, stelt de Geschillenkamer vast dat de identiteit van de eerste
verweerster als werkgever impliciet naar voor wordt geschoven als
verwerkingsverantwoordelijke, al merkt de Geschillenkamer op dat het tot aanbeveling
strekt om dit expliciet te vermelden. De Geschillenkamer stelt verder vast dat de
welkomstbrochure niet voldoet aan andere informatieverplichtingen. Voor wat betreft
onder andere de bewaartermijnen (artikel 13.2.e) AVG), doeleinden en rechtsgrond (artikel
13.1.c) AVG) stelt de Geschillenkamer vast dat deze niet (op afdoende wijze) werden
opgenomen in de welkomstbrochure. Aangezien de eerste verweerster zich – weliswaar
onrechtmatig – beroept op toestemming op basis van artikel 6.1.a) en artikel 9.2.a) AVG,
diende ook meegedeeld te worden aan de betrokkenen dat zij het recht hadden om hun
toestemming in te trekken (artikel 13.2.c) AVG). Wat betreft de vermelding van de
mogelijkheid om een klacht in te dienen bij de GBA (art. 13.2.d) AVG), stelt de
Geschillenkamer vast dat dit evenmin vermeld is in de welkomstbrochure.
78. Gelet op het bovenstaande concludeert de Geschillenkamer dat de welkomstbrochure niet
voldoet aan de informatieverplichtingen zoals voorgeschreven door artikel 13 AVG en dat
de informatie die in de welkomstbrochure opgenomen is niet op transparante en
begrijpelijke wijze is opgenomen zoals bepaald in artikel 12.1 AVG.
Beslissing ten gronde 114/2024 – 19/71
Arbeidsreglement (versie 2022)
79. De eerste verweerster werpt op reeds stappen ondernomen te hebben om haar
informatieverplichtingen na te leven, door het aanpassen van het arbeidsreglement. De
Geschillenkamer stelt vast dat het arbeidsreglement (versie 2022) een bijlage 10 genaamd
“GDPR en privacybeleid voor werknemers” bevat.
80. In het arbeidsreglement (versie 2022) stelt de Geschillenkamer het volgende vast met
betrekking tot informatieverplichtingen inzake de verwerking van de biometrische
gegevens.
81. Voor wat betreft de doeleinden van en de rechtsgrond voor de verwerking (artikel 13.1.c)
AVG) stelt de Geschillenkamer vast dat het arbeidsreglement (versie 2022) stipuleert dat de
biometrische gegevens en tijdregistratie-informatie via vingerafdrukken worden verwerkt
op basis van artikel 6.1.f) AVG, namelijk “de verwerking is noodzakelijk voor de behartiging
van de gerechtvaardigde belangen van [eerste verweerster], waaronder (i) de bescherming
van het bedrijf door middel van een solide tijdsregistratiesysteem (ii) het waarborgen van de
veiligheid van het personeel, (iii) het controleren en vergemakkelijken van de toegang tot de
bedrijfsruimten. Voor wat betreft de rechtmatigheid van de verwerkingsgrond en de
toepasselijke rechtsgrond verwijst de Geschillenkamer naar onderdeel II.1. Voorts stelt de
Geschillenkamer vast dat het arbeidsreglement (versie 2022) voldoet aan de
informatieverplichtingen ex artikel 13 AVG. De informatie wordt ook schematisch
weergegeven waardoor deze op beknopte, transparante en begrijpelijke wijze toegankelijk
is voor de betrokkene (artikel 12.1 AVG).
82. De Geschillenkamer stelt op basis van bovenstaande vast dat de eerste verweerster een
inbreuk heeft gepleegd op artikel 12.1 AVG j° artikelen 13.1.c), 13.2.c), d) en e) AVG voor
het gebrek aan transparantie in de welkomstbrochure en op artikel 12.1 AVG j° artikel
13.1.c) voor wat betreft het arbeidsreglement (2022) vanaf de inwerkingtreding van het
litigieuze tijdsregistratiesysteem tot de stopzetting ervan in december 2022. Het feit dat de
inbreuken op artikel 13.2.c), d) en e) werden verholpen, verhindert de Geschillenkamer niet
om een historische inbreuk vast te stellen.
II.6. Artikel 12.1 en artikel 15 AVG (recht op inzage) t.a.v. de eerste verweerster
Vaststellingen in het Inspectieverslag
83. In het Inspectieverslag concludeert de Inspectiedienst dat er sprake is van een inbreuk op
artikel 5.1.a) j° artikel 12.1 en artikel 15 AVG betreffende het recht op inzage. De
Inspectiedienst stelt vast dat de klager zijn recht op inzage op twee momenten schriftelijk
heeft uitgeoefend. De eerste keer per mail op 21 februari 2022, de tweede keer via
aangetekend schrijven dd. 31 maart 2022. Tijdens het Inspectieonderzoek werpt de eerste
verweerster op dat zij mondeling heeft geantwoord op het eerste verzoek tijdens een
Beslissing ten gronde 114/2024 – 20/71
vergadering met de vakbondsafgevaardigde op 15 maart 2022. Uit het e-mailverkeer tussen
de vakbondssecretaris en de eerste verweerster, met de klager in kopie, kan de
Inspectiedienst afleiden dat de gevraagde informatie deel uitmaakte van de agenda van
deze vergadering en dat het initiatief voor de vergadering uitging van de klager via zijn
vakbondsvertegenwoordiger. Aangezien het initiatief (onrechtstreeks) uitging van de klager
is het volgens de Inspectiedienst krachtens artikel 12.1 in fine AVG mogelijk dat de eerste
verweerster het verzoek op wettige wijze mondeling kon voldoen. Gelet op de in België bij
interprofessionele cao vastgestelde vertegenwoordigingsbevoegdheid van de syndicale
afvaardiging15 en voorafgaande communicatie via de vakbondssecretaris in kwestie, mocht
de eerste verweerster er volgens de Inspectiedienst redelijkerwijze van uitgaan dat het
verzoek tot inzage mondeling via de vakbondssecretaris kon worden voldaan. De
Inspectiedienst concludeert dan ook dat de eerste verweerster het aannemelijk maakt dat
zij binnen de in artikel 12.3 AVG gestelde termijn is ingegaan op het eerste verzoek tot inzage
van 21 februari 2022.
84. In het tweede verzoek tot inzage dd. 31 maart 2022 herhaalt de klager zijn initiële vraag en
verzoekt hij de eerste verweerster alsnog schriftelijk te antwoorden. Dit antwoord volgt bij
aangetekend schrijven op 20 april 2022. De Inspectiedienst stelt dat bepaalde vragen van
de klager betrekking hadden op informatie-elementen die zijn opgenomen in artikel 13 AVG
en niet in artikel 15 AVG. Aangezien de eerste verweerster niet had voldaan aan de
informatieverplichting uit artikel 13 AVG (op het moment van uitoefening van het recht op
inzage), concludeert de Inspectiedienst dat de eerste verweerster ook op deze vragen
diende te antwoorden. Het antwoord van de eerste verweerster is volgens de
Inspectiedienst inhoudelijk onvolledig op volgende punten:
- Er worden slechts 2 van de 3 verwerkingsdoeleinden vermeld. Het doel
fraudebestrijding ontbreekt (artikel 15.1.a) AVG).
- De klager vroeg of hij zijn toestemming voor de verwerking kon weigeren en stelde ook
dat hij deze toestemming nooit vrijwillig had verleend. Het antwoord van de eerste
verweerster gaat niet in op deze vraag, maar verwijst enkel naar het feit dat de
toestemming volgens de eerste verweerster geldig verleend werd en dat de gegevens
intussen gewist werden (sinds de uitdiensttreding). Indien toestemming volgens de
eerste verweerster de toepasselijke rechtsgrond was voor de verwerking had deze de
klager ingevolge artikel 13.2.c) AVG erop moeten wijzen dat deze toestemming steeds
kon worden ingetrokken.
15
Zie cao nr. 5/1. 5.10.2022 collectieve arbeidsovereenkomst nr. 5 van 24 mei 1971 betreffende het statuut van de syndicale
afvaardigingen van het personeel der ondernemingen, gewijzigd en aangevuld door de collectieve arbeidsovereenkomsten
nr. 5 bis van 30 juni 1971, nr.5 van 21 december 1978 en nr. 5 quater van 5 oktober 2011.
Beslissing ten gronde 114/2024 – 21/71
- Indien toestemming volgens de eerste verweerster niet de toepasselijke rechtsgrond
was, had het antwoord ingevolge artikel 13.1.c) AVG moeten verduidelijken op welke
rechtsgrond de verwerking gebaseerd was.
- Afhankelijk van de medegedeelde rechtsgrond (zoals hierboven uiteengezet baseert de
eerste verweerster zich gelijktijdig op verschillende rechtsgronden), had zij vervolgens
respectievelijk moeten meedelen op welke gerechtvaardigde belangen de verwerking
gebaseerd was (art. 13.1.d) AVG) en dat de klager een recht van bezwaar had tegen de
verwerking (art. 15.1.e) AVG) of – indien de eerste verweerster zich op een wettelijke
verplichting beroept – dat een weigering of bezwaar niet mogelijk was aangezien de
verwerking noodzakelijk was met het oog op de uitvoering van een wettelijke
verplichting van de eerste verweerster.
85. De Inspectiedienst merkt op dat de verplichting in hoofde van de eerste verweerster om op
een volledige en correcte manier te antwoorden op het verzoek op inzage is blijven bestaan
ondanks het feit dat tussen het initiële verzoek van de klager dd. 21 februari 2022 en het
antwoord dd. 20 april 2022 de verwerking werd stopgezet (wegens het ontslag van de
klager). De Inspectiedienst kon niet nagaan welke eventuele bijkomende of afwijkende
informatie tijdens de vergadering van 15 maart 2022 via de vakbondssecretaris mondeling
werd bezorgd.
Standpunt van de eerste verweerster
86. In haar conclusies herneemt de eerste verweerster het verzoek tot inzage dd. 21 februari
2022. De eerste verweerster leidt hieruit de volgende vragen van de klager af:
(i) Het beleid over wie er toegang heeft tot het admin-gedeelte van de prikklok;
(ii) De mogelijkheid om het gebruik van het biometrisch systeem te weigeren;
(iii) De verdwijning van deze administratieve toegang en de verantwoordelijke op de
uitdienst;
(iv) De bewaartermijn en de bewaringsmodaliteiten; en
(v) De beveiliging van de gegevens.
87. De eerste twee vragen waren volgens de eerste verweerster niet meer relevant ten tijde van
de tweede brief dd. 31 maart 2022 aangezien de klager op 24 februari 2022 ontslagen was.
Op vraag (i) werd echter wel mondeling en schriftelijk geantwoord. Met betrekking tot vraag
(ii) stelt de eerste verweerster dat het geenszins is aangetoond dat de klager niet het recht
zou hebben gehad om voor een ander systeem van tijdsregistratie te kiezen, aangezien de
klager ontslagen werd op 24 februari 2022. De klager was de enige werknemer die heeft
geklaagd dat hij niet heeft ingestemd met het nemen van zijn vingerafdrukken. Bijgevolg kan
er dus niet worden aangenomen dat de eerste verweerster een dergelijk alternatief zou
Beslissing ten gronde 114/2024 – 22/71
hebben geweigerd indien de klager op de loonlijst was blijven staan. De eerste verweerster
werpt hierbij op dat geen enkele andere werknemer opmerkingen heeft gemaakt over het
biometrische systeem op het moment dat het werd ingevoerd in het nieuwe
arbeidsreglement (versie 2022).
88. Met betrekking tot vraag (iii) bevestigt de eerste verweerster dat er mondeling werd
geantwoord - tijdens de vergadering van 15 maart 2022 met de
vakbondsvertegenwoordiger - dat de klager geen enkel risico zou lopen. De eerste
verweerster beschikte immers niet langer over de biometrische gegevens van de klager. Dit
werd ook schriftelijk bevestigd.
89. Vraag (iv) was volgens de eerste verweerster niet langer relevant aangezien de gegevens
ten tijde van het antwoord op het recht op inzage reeds uit het systeem waren verwijderd.
De eerste verweerster wijst erop dat de verzoeker 3 dagen na de uitoefening van zijn recht
op inzage werd ontslagen. Tegelijkertijd en sinds 3 februari 2022 wordt hij
vertegenwoordigd door de vakbondsafgevaardigde die een afspraak op 15 maart 2022
bevestigt om met name deze specifieke kwesties te bespreken. Ook vraag (v) was volgens
de eerste verweerster niet langer relevant. Aangezien zijn persoonsgegevens reeds waren
gewist, zou de klager in dit opzicht geen risico meer lopen.
90. De eerste verweerster concludeert dan ook dat haar niet kan worden verweten dat zij de
verzoeken van de klager dd. 21 februari 2022 en 31 maart 2022 niet heeft beantwoord voor
zover de uitoefening van dit recht geen rechtmatig belang meer heeft. De
persoonsgegevens van de klager werden immers gewist en hij wist dit of had dit
redelijkerwijze moeten weten, gelet op de bijeenkomst van 15 maart 2022.
Beoordeling door de Geschillenkamer
91. Overeenkomstig het Inspectieverslag stelt de Geschillenkamer vast dat de klager zijn recht
op inzage uitgeoefend heeft, voor de eerste maal, op 21 februari 2022. In het dossier is e-
mailcorrespondentie opgenomen waaruit de Geschillenkamer, overeenkomstig de
vaststellingen van de Inspectiedienst, kan afleiden dat een overleg heeft plaatsgevonden
op 15 maart 2022 tijdens hetwelk een antwoord werd geboden op de vragen van de klager.
De klager zelf was echter niet aanwezig op deze gesprekken maar liet zich
vertegenwoordigen door de vakbondsafgevaardigde, zo wordt ook aangegeven door de
vakbondsafgevaardigde zelf. In zijn Richtsnoeren 01/2022 over de rechten van
betrokkenen — Recht van inzage16 stelt de European Data Protection Board (hierna: EDPB)
dat het recht op inzage doorgaans wordt uitgeoefend door de betrokkene zelf, maar het is
16
EDPB,
Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage v2.0, 17 april 2023,
https://www.edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 nl.pdf. Ten
tijde van het verzoek tot inzage van de klager was de eerste versie van toepassing die beschikbaar is via
https://www.edpb.europa.eu/system/files/2022-01/edpb guidelines 012022 right-of-access 0.pdf.
Beslissing ten gronde 114/2024 – 23/71
niet uitgesloten dat een derde het verzoek uitoefent in naam van de betrokkene. Aangezien
dergelijke vertegenwoordigingsbevoegdheid niet wordt geregeld in de AVG, dient – zoals
ook opgemerkt door de Inspectiedienst – gekeken te worden naar de toepasselijke
nationale regels, in casu de toepasselijke Belgische cao’s zoals toegelicht door de
Inspectiedienst in het inspectierapport. Deze regels staan toe dat de
vakbondsafgevaardigde de klager kan vertegenwoordigen bij de uitoefening van het recht
op inzage. Gezien de mails dd. 28 februari 2022 en 2 maart 2022 van de
vakbondsafgevaardigde gericht aan de eerste verweerster, kon de eerste verweerster er
rechtmatig van uitgaan dat deze de klager zou vertegenwoordigen tijdens het gesprek dd.
15 maart 2022. Tijdens dit gesprek zou ook het systeem van tijdsregistratie via
biometrische gegevens worden besproken. In de mail dd. 28 februari 2022 van de
vakbondsafgevaardigde wordt immers aangegeven dat de klager meer duidelijkheid wenst
over de rechten die hij heeft als werknemer en over de werking van het biometrisch
systeem.
92. Eveneens in de voormelde Richtsnoeren 1/2022 bespreekt de EDPB de wijze waarop inzage
in de persoonsgegevens moet worden verleend. Hoofdzakelijk dient dit te gebeuren door
middel van een kopie van de data, maar andere modaliteiten, zoals mondelinge informatie
kan volstaan indien de betrokkene dit zou verzoeken. Aangezien het voorstel tot een
gesprek uitgegaan is van de vakbondsvertegenwoordiger, kan de eerste verweerster
rechtmatig op mondelinge wijze de gevraagde informatie overmaken en dus rechtmatig het
verzoek tot inzage beantwoorden.
93. Gelet op het bovenstaande, kan de eerste verweerster er rechtmatig van uitgaan dat de
vakbondsafgevaardigde, als vertegenwoordiger van de klager, de informatie verstrekt door
de eerste verweerster tijdens het gesprek dd. 15 maart 2022 aan de klager zou overmaken.
94. Gelet op het bovenstaande en in lijn met vaststellingen van de Inspectiedienst komt de
Geschillenkamer tot het besluit dat de eerste verweerster rechtmatig geantwoord heeft op
het recht op inzage van de klager, dat heeft plaatsgevonden op de wijze zoals verzocht door
de vertegenwoordiger van de klager.
95. De Geschillenkamer wijst erop dat het voormeld gesprek tussen de eerste verweerster en
de vertegenwoordiger van de klager heeft plaatsgevonden op 15 maart 2022.
96. Op 31 maart 2022 heeft de klager een tweede maal zijn recht op inzage uitgeoefend. Hierin
stelt de klager dat de eerste verweerster niet inhoudelijk zou gereageerd hebben op zijn mail
dd. 21 februari 2022. Het uitblijven van dit antwoord zou de klager ertoe gebracht hebben de
onderhavige klacht in te dienen bij de GBA.
97. De Geschillenkamer herinnert eraan dat het recht op inzage niet absoluut is. Artikel 12.5 AVG
stelt dat indien verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met
Beslissing ten gronde 114/2024 – 24/71
name vanwege hun repetitieve karakter, de verwerkingsverantwoordelijke, hetzij een
redelijke vergoeding mag aanrekenen, hetzij mag weigeren gevolg te geven aan het verzoek.
Zoals ook gestipuleerd in overweging 63 van de AVG kan de betrokkene zijn rechtop inzage
eenvoudig en met redelijke tussenpozen uitoefenen. De EDPB identificeert vier criteria aan
de hand waarvan een verwerkingsverantwoordelijke kan bepalen of een uitoefening van het
recht op inzage buitensporig is:
(i) Hoe vaak de persoonsgegevens worden gewijzigd;
(ii) De aard van de persoonsgegevens;
(iii) Het doel van de verwerking, onder andere of de verwerking al dan niet
negatieve gevolgen heeft voor de klager;
(iv) Of de opeenvolgende verzoeken dezelfde gevraagde informatie of
dezelfde verwerking betreffen, dan wel andere.
98. Bij de toepassing van bovenstaande criteria op bovenstaande zaak, komt de
Geschillenkamer tot de volgende vaststellingen. Voor wat betreft het eerste criterium,
merkt de Geschillenkamer op dat de biometrische gegevens eigen zijn aan de betrokkene
en dus niet gewijzigd worden. Ook de priktijden die gebeurd zijn op basis van de
vingerafdrukken wijzigen niet meer en worden ook niet meer aangevuld, gelet op het ontslag
van de klager dd. 24 februari 2022. De aard van de persoonsgegevens, zijnde biometrische
gegevens, is eerder gevoelig, hetgeen de duur van de bovenvermelde “redelijke termijn” kan
verkorten. Het doel van de verwerking, dus het derde criterium, is de veiligheid van het
personeel, tijdsregistratie in functie van de loonberekening en de preventie van prikfraude,
hoewel dit doeleinde niet telkens vermeld wordt door de eerste verweerster. Deze
doeleinden op zich zijn niet van dien aard dat ze een negatieve impact op de betrokkene
hebben. Het verzoek dd. 31 maart 2022 betreft bovendien dezelfde informatie als de
informatie die werd gegeven op 15 maart 2022 ten gevolge van de uitoefening van het recht
op inzage dd. 21 februari 2022 door de klager.
99. De Geschillenkamer merkt op dat de Inspectiedienst heeft gesteld dat het ontslag van de
klager dd. 24 februari 2022 niet verhindert dat de eerste verweerster op een volledige en
correcte manier diende te antwoorden op het verzoek tot inzage. De Geschillenkamer
herinnert eraan dat de verwerkingsverantwoordelijke inderdaad op een volledige wijze dient
te antwoorden; echter, indien het verzoek van de klager tot een specifieke verwerking
beperkt was, kan de informatie verstrekt door de verwerkingsverantwoordelijke ook
beperkt zijn tot die specifieke verwerking.17 Aangezien de klager, bij monde van de
vakbondsafgevaardigde als zijn vertegenwoordiger, het verzoek beperkt heeft tot het
17
EDPB, Guidelines 1/2022 on data subject rights, right of access, dd. 18 januari 2022, para 35. Te raadplegen via
https://edpb.europa.eu/system/files/2022-01/edpb guidelines 012022 right-of-access 0.pdf.
Beslissing ten gronde 114/2024 – 25/71
systeem van tijdsregistratie via biometrische persoonsgegevens en de hieraan verbonden
aspecten zoals de bewaartermijn en de beveiliging van deze persoonsgegevens , is de
Geschillenkamer van oordeel dat de informatie verstrekt door de
verwerkingsverantwoordelijke beperkt kan zijn tot deze specifieke verwerking.
100. Voor wat betreft het standpunt van de eerste verweerster dat zij niet meer hoefde te
antwoorden op vraag 4 en 5 van de klager omdat de persoonsgegevens reeds waren
verwijderd, herinnert de Geschillenkamer eraan dat het recht op inzage de "toegangspoort"
is die de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene
toekent, zoals het recht op rectificatie, het recht op gegevenswissing en het recht op
beperking van de verwerking.18 De redenering dat bepaalde informatie niet meer moet
worden meegedeeld voor het verleden, bijvoorbeeld omdat de gegevens werden gewist,
kan niet worden gevolgd. Dit zou immers verhinderen dat de uitoefening van deze rechten
niet doeltreffend kan gebeuren.19 Aangezien de persoonsgegevens recent voor het ontslag
gewist werden en het systeem van tijdsregistratie via vingerafdruk nog in voege was op het
moment van de inzageverzoeken, is de Geschillenkamer van oordeel dat het geen
onredelijke inspanningen vergde van de eerste verweerster op de vragen 4 en 5 van het
tweede inzageverzoek te antwoorden. Daarnaast wijst de Geschillenkamer er ook op dat,
hoewel artikel 15 AVG niet bepaalt dat in het kader van een inzageverzoek informatie moet
gegeven worden omtrent de beveiligingsmaatregelen, dit niet betekent dat bijgevolg geen
antwoord moet verleend worden op het recht op inzage. De eerste verweerster kon immers
op meer algemene wijze informatie verstrekken over de beveiligingsmaatregelen aan de
klager.
101. Gelet op het bovenstaande stelt de Geschillenkamer vast dat de eerste verweerster
rechtmatig uitvoering heeft gegeven aan het verzoek tot inzage van de klager voor wat
betreft het eerste verzoek tot inzage dd. 21 februari 2022 en op de vragen 1 t.e.m. 3 van het
tweede verzoek tot inzage dd. 31 maart 2022. De Geschillenkamer stelt echter vast dat de
eerste verweerster geen afdoend antwoord heeft gegeven op de vragen 4 en 5 van het
tweede verzoek tot inzage dd. 31 maart 2022 waardoor er sprake is van een inbreuk op
artikel 12.1 j° artikel 15.1.d) AVG.
II.7. Artikel 28.1 AVG t.a.v. de eerste verweerster
102. Overeenkomstig artikel 28.1 AVG en overweging 81 van de AVG, heeft de eerste
verweerster als verwerkingsverantwoordelijke de plicht om “uitsluitend beroep [te doen] op
18
Zie meeste recent HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 38, maar ook HvJEU,
17 juli 2014, YS et al., C-141/12 en C-372/12, EU:C:2014:2081, para 44, en HvJEU 20 december 2017, Nowak, C-434/16,
EU:C:2017:994, para 57, zie ook beslissing 15/2021 dd. 9 februari 2021, para 141, en beslissing 41/2020 dd. 29 juli 2020, para
47
19
HvJ dd. 9 mei 2009, Rijkeboer, C-553/07, ECLI:EU:C:2009:293, para 54.
Beslissing ten gronde 114/2024 – 26/71
verwerkers die afdoende garanties met betrekking tot het toepassen van passende
technische en organisatorische maatregelen bieden”.
103. De Inspectiedienst stelt vast dat de eerste verweerster niet aan de due diligence-
verplichting heeft voldaan, namelijk de geschiktheid van de door de tweede verweerster
genomen technische en organisatorische maatregelen te beoordelen. De Inspectiedienst
stelt dat de eerste verweerster enkel de verkoopbrochure betreffende het
tijdsregistratiesysteem ontvangen heeft van de tweede verweerster in de fase voorafgaand
aan de contractuele relatie. In dit document is de technische informatie in verband met de
beveiliging echter schaars en wordt niets toegevoegd aan de summiere informatie uit de
verwerkingsovereenkomst. Het enige element dat niet was opgenomen in de
verwerkingsovereenkomst en dat wel voorkomt in de brochure is de verduidelijking dat de
encryptie bij verzending van gegevens van de terminal naar de server volgens het HTTPS-
protocol verloopt, zo luidt het Inspectieverslag.
104. Naar aanleiding van de eerste brief van de Inspectiedienst aan de eerste verweerster, heeft
de eerste verweerster bijkomende informatie opgevraagd aan de tweede verweerster om
aan te tonen dat het toegepaste beveiligingsniveau afdoende was. De Inspectiedienst merkt
op dat deze documentatie had moeten worden opgevraagd voorafgaand aan de verwerking
en niet op het moment waarop een controle van de Inspectiedienst zich aankondigt. De
Inspectiedienst wijst erop dat zowel de eerste als de tweede verweerster bevestigen dat
een dergelijke uitwisseling van documentatie niet eerder plaatsvond. Bijgevolg concludeert
de Inspectiedienst dat de eerste verantwoordelijke niet kan aantonen dat zij zich
daadwerkelijk heeft vergewist van de door de verwerker geboden garanties inzake
organisatorische en technische maatregelen die zijn aangepast aan de risico’s verbonden
aan de litigieuze verwerking van biometrische persoonsgegevens, hetgeen een schending
van artikel 28.1 AVG uitmaakt.
II.7.1. Standpunt van de eerste verweerster
105. De eerste verweerster betwist de vaststelling dat er geen voldoende
veiligheidsmaatregelen genomen werden. Zij heeft een deskundige ter zake ingeschakeld
en voldoende documentatie ontvangen om zich te overtuigen van de ernst van de tweede
verweerster als leverancier. Zij stelt dat per vergissing een bijlage bij de
verwerkingsovereenkomst niet werd overgelegd. Deze bijlage maak deel uit van de tussen
de partijen gesloten verwerkingsovereenkomst en bevat zeer specifieke garanties
betreffende de veiligheid van de verwerking. Bijgevolg is de inhoud van de
verwerkingsovereenkomst niet beperkt tot een eenvoudige beschrijving van de algemene
veiligheidsmaatregelen van de tweede verweerster, maar is deze in feite gedetailleerd over
wat er daadwerkelijk wordt uitgevoerd. De categorieën van gegevens worden op de
applicatie weergegeven, gebaseerd op de informatie die eerder aan de Inspectiedienst werd
Beslissing ten gronde 114/2024 – 27/71
verstrekt. De eerste verweerster heeft inderdaad een keuze gemaakt in de verschillende
mogelijkheden die de tweede verweerster biedt. Er is aldus geen sprake van een schending
van artikel 28, lid 1 AVG.
106. Daarnaast heeft de tweede verweerster tijdens het inspectieonderzoek documentatie
overgelegd die sinds het afsluiten van de verwerkingsovereenkomst in het bezit is van de
eerste verweerster. Deze documenten werden overgelegd omdat zij het voorwerp waren
van een uitwisseling tussen de partijen, waaruit zou blijken dat de eerste verweerster wel
een due diligence heeft uitgevoerd. De eerste verweerster werpt op dat uit de
bewijsstukken van de Inspectiedienst niet duidelijk blijkt dat de beveiligingsdocumenten pas
overgedragen zijn aan het einde van het Inspectieonderzoek en niet voorafgaand aan de
gegevensverwerking Bovendien, zo werpt de eerste verweerster op, toont de
Inspectiedienst niet aan dat het enige document met betrekking tot de contractuele
documentatie de “verkoopbrochure” is. De eerste verweerster merkt op dat de
Inspectiedienst geen nota genomen heeft van het volledige antwoord van de eerste
verweerster. In haar antwoord had de eerste verweerster immers aangegeven dat de
commercieel verantwoordelijke van de eerste verweerster niet langer werkzaam is bij het
bedrijf.
II.7.2. Beoordeling door de Geschillenkamer
107. De verwerkingsverantwoordelijke heeft de plicht om gebruik te maken van "alleen
verwerkers die voldoende waarborgen bieden voor de uitvoering van passende technische
en organisatorische maatregelen", zodat de verwerking voldoet aan de vereisten van de
AVG - met inbegrip van de beveiliging van de verwerking - alsook de bescherming van de
rechten van de betrokkene waarborgt. 20 De verwerkingsverantwoordelijke is derhalve
verantwoordelijk voor de beoordeling van de maatregelen genomen door de verwerker en
moet kunnen aantonen dat deze alle in de AVG genoemde elementen serieus in overweging
heeft genomen, de zogenoemde due diligence-verplichting. Dit zal meestal een uitwisseling
van documenten met zich meebrengen, zoals bijvoorbeeld het privacybeleid, de algemene
voorwaarden en het register van verwerkingsactiviteiten.
108. De bovenvermelde beoordeling moet door de verwerkingsverantwoordelijke casuïstisch
gebeuren en zal sterk afhangen van het soort verwerking dat aan de verwerker is
toevertrouwd, rekening houdend met de aard, de omvang, de context en de doeleinden van
de verwerking en de risico's voor de rechten en vrijheden van natuurlijke personen.
109. De volgende elementen moeten door de verwerkingsverantwoordelijke in aanmerking
worden genomen om de garanties te beoordelen: de deskundigheid van de verwerker (bv.
technische deskundigheid met betrekking tot beveiligingsmaatregelen en inbreuken op
20
Artikel 28, lid 1 AVG en overweging 81 AVG.
Beslissing ten gronde 114/2024 – 28/71
gegevens), de betrouwbaarheid van de verwerker, en de middelen van de verwerker.21 De
reputatie van de verwerker op de markt kan ook een relevante factor zijn voor de
verwerkingsverantwoordelijke om in overweging te nemen. Voorts kan het onderschrijven
van een goedgekeurde gedragscode of certificeringsmechanisme worden gebruikt als een
element waarmee voldoende garanties kunnen worden aangetoond.
110. De in artikel 28.1 AVG opgenomen verplichting om alleen beroep te doen op verwerkers die
"voldoende waarborgen bieden" is een permanente verplichting. Zij eindigt niet op het
moment dat de verwerkingsverantwoordelijke en de verwerker een overeenkomst of een
andere rechtshandeling sluiten. De verwerkingsverantwoordelijke moet veeleer met
passende tussenpozen de garanties van de verwerker verifiëren, onder meer door middel
van audits en inspecties indien nodig. 22
111. De Geschillenkamer stelt vast dat de verwerkingsovereenkomst bestaat uit drie delen, zoals
aangegeven in de conclusies van de tweede verweerster, de hoofdovereenkomst zelf met 2
bijlagen (Enclosure 1 en Enclosure 2). Bij Bijlage 2 bij de hoofdovereenkomst, behoorden 2
annexen, namelijk de Z IT Guide, en een document genaamd “data processing agreement”.
Zoals ook aangegeven door de tweede verweerster merkt de Geschillenkamer op dat de Z
IT Guide ontbrak in het dossier van de Inspectiedienst, waardoor hiermee bij het onderzoek
geen rekening werd gehouden.
112. De Geschillenkamer is van oordeel dat de beschrijving van deze beveiligingsmaatregelen de
eerste verweerster in staat stellen de nodige due diligence uit te voeren omtrent de
deskundigheid van de tweede verweerster als verwerker. Zowel de eerste verweerster als
de tweede verweerster geven aan dat er verschillende uitwisselingen zijn geweest tussen
beide partijen voorafgaand aan het afsluiten van de verwerkingsovereenkomst, maar dat de
betrokken personen niet langer werkzaam zijn in de ondernemingen. Bijgevolg kan niet meer
informatie verstrekt worden omtrent deze uitwisselingen. Voor zoveel als nodig merkt de
Geschillenkamer op dat, in het kader van de verantwoordingsplicht, dergelijke
uitwisselingen idealiter gedocumenteerd worden zodat hieromtrent duidelijkheid is, ook na
vertrek van de betrokken personen.
113. Gelet op het bovenstaande stelt de Geschillenkamer vast dat uit de overgemaakte
documenten waaronder de verwerkingsovereenkomst met bijlagen blijkt dat de eerste
verweerster de nodige inspanningen heeft kunnen doen om de toereikendheid van de
tweede verweerster als verwerker te beoordelen. Bijgevolg is er geen inbreuk op artikel
28.1 AVG.
II.8. Artikel 32 AVG t.a.v. de eerste verweerster
21
Overweging 81 AVG.
22
Artikel 28, lid 3, h) AVG.
Beslissing ten gronde 114/2024 – 29/71
II.8.1. Vaststellingen in het Inspectieverslag
114. De Inspectiedienst stelt tijdens zijn onderzoek vast dat dat er sprake is van een inbreuk op
artikel 32 AVG in hoofde van de eerste verweerster als verwerkingsverantwoordelijke.
115. Artikel 5.1.f) AVG schrijft voor dat “[persoonsgegevens] door het nemen van passende
technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat
een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen
ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging”.
116. In verdere uitwerking van artikel 5.1.f) AVG stelt artikel 32.1 AVG dat de
verwerkingsverantwoordelijke passende technische en organisatorische maatregelen
moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hierbij moet
rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, alsook met
de aard, de omvang, de context, de verwerkingsdoeleinden en de waarschijnlijkheid en ernst
van de uiteenlopende risico’s voor de rechten en vrijheden van personen.
117. Artikel 32.1 van de AVG stipuleert eveneens dat bij de beoordeling van het passende
beveiligingsniveau rekening moet worden gehouden met de verwerkingsrisico’s, vooral als
gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of
ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens,
hetzij per ongeluk hetzij onrechtmatig.
118. De Inspectiedienst stelt dat de eerste verweerster niet kan aantonen dat zij beschikt over
enig schriftelijk vastgesteld informatieveiligheidsbeleid of over procedures betreffende de
bescherming van persoonsgegevens. De bijlage 10 bij het arbeidsreglement versie 2022
was niet voorzien in de versie van het arbeidsreglement dat gold ten tijde van de litigieuze
verwerking en werd opgesteld na het eerste contact met de Inspectiedienst. Ook de hierin
opgenomen veiligheidsmaatregelen zijn volgens de Inspectiedienst onvoldoende concreet
om de Inspectiedienst enige aanwijzing te geven van de gepastheid ervan.
119. Het register van verwerkingsactiviteiten dat eveneens werd opgesteld na het eerste
contact met de Inspectiedienst bevat voor de litigieuze verwerking enkel de omschrijving
dat “alleen HR toegang [heeft] tot deze gegevens. De personeelsdossiers zijn beveiligd op
de server en staan fysiek in een afgesloten kast waar alleen HR een sleutel van heeft. De
tijdsregistratie wordt verwerkt op een aparte computer waar alleen HR toegang toe heeft”.
In een tweede schrijven van de Inspectiedienst aan de eerste verweerster werd een tweede
maal verduidelijking gevraagd over de geïmplementeerde technische en organisatorische
informatieveiligheidsmaatregelen. Een tweede bewijsstuk werd door de eerste verweerster
aangeleverd, maar de Inspectiedienst stelde vast dat dit bewijsstuk enkel aantoont dat de
software van de tweede verweerster toelaat om het niveau van toegang binnen de eerste
Beslissing ten gronde 114/2024 – 30/71
verweerster te verfijnen aan de hand van verschillende rollen. Hoe de toegang binnen de
eerste verweerster concreet werd geïmplementeerd, kan niet worden vastgesteld door de
Inspectiedienst, waardoor een intern beleid betreffende het logisch toegangsbeheer tot de
gegevens van het tijdsregistratiesysteem niet wordt aangetoond. De Inspectiedienst voegt
hieraan toe dat een algemeen informatieveiligheidsbeleid in ieder geval ontbreekt. Bijgevolg
is er volgens de Inspectiedienst sprake van een inbreuk op artikel 32 AVG.
II.8.2. Beoordeling door de Geschillenkamer
120. De eerste stap om het gepaste beveiligingsniveau van de verwerking van
persoonsgegevens te bepalen is om de risico’s van die verwerking in kaart te brengen en
hiervan een afweging te maken. Op basis daarvan moet worden bepaald welke maatregelen
nodig zijn om een voldoende beveiliging tegen deze risico’s te voorzien. Uit de AVG vloeit
voort dat bij de afweging van de gegevensbeveiligingsrisico’s de nodige aandacht dient te
worden besteed aan risico’s die zich kunnen voordoen bij persoonsgegevensverwerking,
zoals ongeoorloofde verstrekking van of ongeoorloofde toegang tot verwerkte gegevens.
Bij het inventariseren en beoordelen van de risico’s zijn vooral de gevolgen relevant die
personen kunnen ondervinden van een onrechtmatige verwerking van persoonsgegevens.
Naarmate de gegevens een gevoeliger karakter hebben, of de context waarin deze worden
gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden
zwaardere eisen gesteld aan de beveiliging van de persoonsgegevens.
121. Op basis van het Inspectieverslag stelt de Geschillenkamer vast dat er geen algemeen
informatieveiligheidsbeleid met betrekking tot de verwerking van de biometrische
gegevens voorhanden was. Na een eerste contact met de Inspectiedienst, heeft de eerste
verweerster haar register van verwerkingsactiviteiten aangepast en daarin de
beveiligingsmaatregelen opgenomen.
122. Voor wat betreft de technische maatregelen stelt de Geschillenkamer vast dat de tweede
verweerster, als leverancier van het systeem de nodige versleuteling (ISO gecertificeerd)
voorziet. Op basis van het Inspectieverslag stelt de Geschillenkamer vast dat er
verschillende organisatorische maatregelen genomen zijn zoals de beperking van de
medewerkers die toegang hebben tot die persoonsgegevens, het beperken van de
toegangsruimte waarin de persoonsgegevens zich bevonden, het bewaren van
persoonsgegevens op een server in een afgesloten ruimte en het bewaren van de papieren
personeelsdossiers in een afgesloten ruimte.
123. Voor wat betreft de vaststellingen omtrent het beleid inzake de opvolging van de
beveiligingsmaatregelen, wijst de Geschillenkamer erop dat een onderscheid moet worden
gemaakt tussen de beveiligingsmaatregelen zelf en de documentatie ervan in het kader van
de verantwoordingsplicht. Voor wat betreft de beveiligingsmaatregelen zelf stelt de
Beslissing ten gronde 114/2024 – 31/71
Geschillenkamer vast dat deze voldoen aan de vereisten van artikel 32 AVG. Gelet op het
bovenstaande stelt de Geschillenkamer geen inbreuk op artikel 32 AVG vast.
II.9. Gegevensbeschermingseffectbeoordeling (artikel 35 AVG) t.a.v. de eerste
verweerster
124. De Inspectiedienst komt in zijn Inspectieverslag tot de conclusie dat het onduidelijk is of de
eerste verweerster stelt dat zij geen gegevensbeschermingseffectbeoordeling (hierna:
GEB) moest uitvoeren omdat de verwerking niet waarschijnlijk een hoog risico inhield in de
zin van artikel 35.1 AVG, dan wel of zij een GEB uitvoerde waarvan het resultaat was dat er
geen hoog restrisico bestond in de zin van artikel 36 AVG. In beide gevallen stelt de
Inspectiedienst vast dat de eerste verweerster niet conform de AVG handelde.
125. De eerste verweerster heeft hieromtrent geen standpunt ingenomen.
126. Overeenkomstig artikel 35.1 AVG zal de verwerkingsverantwoordelijke vóór de verwerking
een beoordeling moeten uitvoeren van het effect van de beoogde verwerkingsactiviteiten
op de bescherming van persoonsgegevens wanneer de verwerking, in het bijzonder
wanneer er nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context
en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en
vrijheden van natuurlijke personen.
127. Zoals blijkt uit punt 6 van de beslissing nr. 01/2019 zal er steeds een
GEB uitgevoerd moeten worden wanneer de verwerking gebruik maakt van biometrische
gegevens met het oog op de unieke identificatie van betrokkenen die zich in een openbare
ruimte bevinden of in privéruimten die toegankelijk zijn voor het publiek. Het Kenniscentrum
van de GBA benadrukt in haar aanbeveling echter dat ook de verwerking van biometrische
gegevens voor andere doeleinden dan deze die uitdrukkelijk opgenomen zijn in de beslissing
01/2019 van het Algemeen Secretariaat desgevallend onderworpen is aan de verplichting
van het uitvoeren van een GEB. Sterker nog, gezien het hoge inherente risico voor de
rechten en vrijheden van de betrokkenen die de verwerking van biometrische gegevens
impliceert, zal het nalaten een GEB uit te voeren slechts in uitzonderlijke gevallen
gerechtvaardigd zijn.
128. In overeenstemming met artikel 35 van de AVG moet een GEB worden uitgevoerd wanneer
een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de
rechten en vrijheden van betrokkenen. Bij het beoordelen van de noodzaak van een GEB
moet rekening worden gehouden met verschillende factoren, zoals de aard, de omvang, de
context en de doeleinden van de verwerking, evenals de potentiële risico's voor de rechten
en vrijheden van betrokkenen.
129. Om een concretere reeks verwerkingen te geven die een GEB vereisen op grond van hun
inherente hoge risico, rekening houdend met de bijzondere elementen van artikel 35.1, en
Beslissing ten gronde 114/2024 – 32/71
artikel 35.3, onder a) tot en met c) AVG, de lijst die op nationaal niveau moet worden
vastgesteld overeenkomstig artikel 35.4 AVG en de overwegingen 71, 75 en 91, en andere
verwijzingen in de AVG naar verwerkingen die "waarschijnlijk een hoog risico inhouden",
heeft de Groep 29 de volgende negen criteria ontwikkeld die in aanmerking moeten worden
genomen.23
130. De Geschillenkamer is van oordeel dat aan meerdere van deze criteria voldaan is, te weten:
- Eerste criterium : evaluatie met inbegrip van profielbepaling en voorspelling, met name
van "kenmerken betreffende beroepsprestaties”. Aan deze voorwaarde is voldaan
aangezien de registratie van de werktijden van een werknemer een kenmerk
betreffende een beroepsprestatie is.
- Tweede criterium: geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar
wezenlijk gevolg. Zoals reeds uiteengezet was er geen aangetoond aangeboden
alternatief qua tijdsregistratie voorhanden voor de werknemers van de eerste
verweerster en kon geen loon worden uitbetaald indien er geen tijdsregistratie was door
de werknemers.
- Vierde criterium (gevoelige gegevens of gegevens van zeer persoonlijke aard). Dit
betreft onder andere de bijzondere categorieën van persoonsgegevens zoals
omschreven in artikel 9 AVG, waaronder biometrische gegevens die gebruikt worden
met het oog op de identificatie.
- Vijfde criterium (op grote schaal verwerkte personen). De AVG bevat geen definitie van
het begrip “grootschalig” maar Groep 29 raadt aan om volgende factoren in aanmerking
te nemen waaronder het aantal betrokkenen, hetzij als specifiek aantal, hetzij als deel
van de relevante populatie. 24 De tijdsregistratie via vingerafdruk betreft in onderhavige
zaak alle werknemers van de eerste verweerster waardoor er sprake kan zijn van een
grootschalige verwerking.
- Zevende criterium: gegevens met betrekking tot kwetsbare betrokkenen. Zoals gesteld
zijn werknemers in casu kwetsbare betrokkenen omdat ze in een afhankelijke
verhouding staan van de eerste verweerster als hun werkgever.
131. In de meeste gevallen kan een verwerkingsverantwoordelijke ervan uitgaan dat voor een
verwerking die aan twee criteria voldoet een GEB moet worden uitgevoerd, zo stelt Groep
29. Zoals hierboven uiteengezet is voldaan aan vijf van de vooropgestelde criteria. De
Geschillenkamer voegt hieraan toe dat het gebruik van biometrische gegevens voor de
23
Werkgroep 29, “Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely
to result in a high risk’ for the purposes of Regulation 2016/679, goedgekeurd op 4 oktober 2017 (WP 248 rev. 01), p. 9 e.v.
24
Zie de WP29-richtlijnen voor functionarissen voor gegevensbescherming 16/EN WP 243
Beslissing ten gronde 114/2024 – 33/71
tijdregistratie van werknemers aanzienlijke risico's met zich kan meebrengen voor de
privacy van betrokkenen, zoals het hoog risico op onbevoegde toegang, hacking en
identiteitsdiefstal. Gelet op het bovenstaande oordeelt de Geschillenkamer dat de eerste
verweerster een GEB had moeten uitvoeren waardoor er sprake is van een inbreuk op
artikel 35 AVG.
II.10. Doorgifte naar derde landen of internationale organisaties (hoofdstuk V AVG) t.a.v. de
eerste verweerster
II.10.1. Vaststellingen in het Inspectieverslag
132. De Inspectiedienst stelt vast dat uit de stukken blijkt dat de gebruikte servers zich alleen op
Belgisch grondgebied bevinden. Ook de eerste verweerster stelt in haar antwoord en
register van verwerkingsactiviteiten dat er geen doorgiften plaatsvinden. Templates
kunnen volgens het antwoord van de tweede verweerster ook niet door de eerste
verweerster worden geëxtraheerd, wat het risico van een eventuele doorzending van deze
bestanden door de eerste verweerster lijkt uit te sluiten. Bijgevolg concludeert de
Inspectiedienst dat er geen aanwijzingen zijn voor eventuele doorgiften van biometrische
gegevens naar derde landen of internationale organisaties.
II.10.2. Beoordeling door de Geschillenkamer
133. Zoals reeds gesteld heeft de Inspectiedienst geen aanwijzingen omtrent eventuele
doorgiften van de biometrische gegevens naar derde landen of internationale organisaties.
De Geschillenkamer beschikt niet over aanwijzingen om hierover anders te oordelen.
Bijgevolg stelt de Geschillenkamer vast dat er geen inbreuk is op hoofdstuk V van de AVG.
II.11. Register van verwerkingsactiviteiten (artikel 30 AVG) t.a.v. de eerste verweerster
II.11.1. Vaststellingen van de Inspectiedienst
134. De Inspectiedienst stelt vast dat het bezorgde register van verwerkingsactiviteiten dateert
van na het eerste contact met de Inspectiedienst. De Inspectiedienst komt tot deze
conclusie op basis van de volgende elementen. Het register van verwerkingsactiviteiten
vermeldt het e-mailadres [email protected] als contactadres van de
verwerkingsverantwoordelijke. Echter, dit adres werd pas aangemaakt na het eerste
contact met de Inspectiedienst. Aangezien de eerste verweerster tijdens het
Inspectieonderzoek aangeeft dat dit de enige versie is van het register van
verwerkingsactiviteiten, concludeert de Inspectiedienst dat de eerste verweerster
voorafgaand aan het Inspectieonderzoek niet beschikte over een register van
Beslissing ten gronde 114/2024 – 34/71
verwerkingsactiviteiten. De Inspectiedienst stelt vast dat dit een inbreuk op artikel 30 AVG
uitmaakt, aangezien de eerste verweerster minstens ten aanzien van de verwerkingen
betreffende haar personeel een register van verwerkingsactiviteiten moet bijhouden. De
verwerkingen kunnen immers niet als incidenteel in de zin van artikel 30.5 AVG beschouwd
worden. Bovendien verwerkt de eerste verweerster bijzondere categorieën van
persoonsgegevens en strafrechtelijke gegevens, zo stelt de Inspectiedienst vast.
135. Bovendien is het register van verwerkingsactiviteiten volgens de vaststellingen van de
Inspectiedienst op verschillende punten gebrekkig. De CEO en de HR-manager van de
eerste verweerster worden als functionaris voor gegevensbescherming voorgesteld (artikel
30.1.a) AVG). De verwerkingsdoeleinden in het register van verwerkingsactiviteiten wijken
op verschillende punten af van de verwerkingsdoeleinden die voor deze verwerkingen zijn
opgenomen in het arbeidsreglement (versie juni 2022) (artikel 30.1.b) AVG). De tien
categorieën van persoonsgegevens die voorkomen in het arbeidsreglement (versie juni
2022) zijn niet of niet volledig terug te vinden in het verwerkingsregister (artikel 30.1.c) AVG)
en interne medewerkers worden als verwerker voorgesteld terwijl bijvoorbeeld de
verwerker voor het biometrisch tijdsregistratiesysteem onvermeld blijft (artikel 30.1.d)
AVG).
II.11.2. Beoordeling door de Geschillenkamer
136. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden
van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd.
Artikel 30.1, a) - g) AVG bepaalt dat, met betrekking tot de in de hoedanigheid van
verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar
moet zijn:
a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele
gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor
gegevensbescherming;
b) de verwerkingsdoeleinden;
c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;
d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een
internationale organisatie, met inbegrip van de vermelding van dat derde land of die
Beslissing ten gronde 114/2024 – 35/71
internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea AVG,
bedoelde doorgiften, de documenten inzake de passende waarborgen;
f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van
gegevens moeten worden gewist;
g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32.1 AVG.
137. Voor wat betreft de naam en contactgegevens van de functionaris voor de
verwerkingsverantwoordelijke (artikel 30.1.a) AVG) stelt de Geschillenkamer,
overeenkomstig het Inspectieverslag, vast dat het register van verwerkingsactiviteiten
inderdaad de gegevens van de CEO en de HR-manager vermeldt bij de functionaris voor
gegevensbescherming.
138. Voor wat betreft de verwerkingsdoeleinden (artikel 30.1.b) AVG), stelt de Geschillenkamer
vast dat de doeleinden die zijn opgenomen in het register van verwerkingsactiviteiten, niet
overeenstemmen met de doeleinden opgenomen in het arbeidsreglement (versie juni 2022).
Het register van verwerkingsactiviteiten vermeldt als verwerkingsdoeleinde voor de
vingerafdruk: “wordt geregistreerd voor de tijdregistratie. Op begin en einde van de werkdag
dienen de werknemers in en uit te tikken d.m.v. vingerafdruk”. Het arbeidsreglement (versie
juni 2022) vermeldt niet alleen tijdsregistratie, maar ook fraudebestrijding en veiligheid van
de personeelsleden. Ook voor wat betreft de camerabewaking stelt de Geschillenkamer een
discrepantie vast tussen de verwerkingsdoeleinden. Het register voor
verwerkingsactiviteiten stelt “veiligheid en gezondheid” voorop, terwijl het
arbeidsreglement (juni 2022) “controle op de werkplek: om de veiligheid van al het personeel
te garanderen, bestrijding van mogelijke fraude, misdrijven en mogelijke inbreuken door
derden; en bescherming van bedrijfsactiva” als verwerkingsdoeleinden vooropstelt.
139. Voor wat betreft de categorieën van persoonsgegevens (artikel 30.1.c) AVG) stelt de
Geschillenkamer vast dat het arbeidsreglement verschillende categorieën van verwerkte
persoonsgegevens vermeldt, die niet opgenomen zijn in het register van
verwerkingsactiviteiten. Het betreft volgende categorieën: contactgegevens van eventuele
contactpersonen in noodgevallen, (vroegere en) huidige functie van de betrokkenen bij de
eerste verweerster, salaris bonus en voordelen, bedrijfsmiddelen in het bezit van de
betrokkene (mobiele telefoon, bedrijfsauto, laptop etc.), informatie over de betrokkene in
het kader van prestatiebeheer, leren en ontwikkeling, gezondheid op het werk en
arbeidsongevallen, informatie die door de betrokkene of over de betrokkene is verstrekt in
het kader van de interne klokkenluidersprocedure en tot slot informatie over bepaalde
overtredingen, bijvoorbeeld verkeersongevallen waardoor de betrokkene of de eerste
verweerster aansprakelijk kan worden gesteld. De categorieën “beeldopnamen door het
gebruik van bewakingscamera’s en door de betrokkene of over de betrokkene verstrekte
Beslissing ten gronde 114/2024 – 36/71
informatie in het kader van pensioenrekeningen, pensioenen, hospitalisatieverzekering en
andere uitkeringsinformatie” zijn onvolledig opgenomen in het register van
verwerkingsactiviteiten.
140. Tot slot stelt de Geschillenkamer vast dat de tweede verweerster in haar hoedanigheid van
verwerker in het kader van het biometrisch tijdsregistratiesysteem niet wordt vermeld als
ontvanger in het register voor verwerkingsactiviteiten (artikel 30.1.d) AVG).
141. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van
essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht
hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook
in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de
naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert. De
Geschillenkamer is van oordeel dat het verwerkingsregister een essentieel instrument is in
het kader van de reeds vermelde verantwoordingsplicht (artikel 5.2 en artikel 24.1 AVG) en
dat dit register ten grondslag ligt aan alle verplichtingen die de AVG aan de
verwerkingsverantwoordelijke oplegt. Het is dan ook van belang dat het register volledig en
juist is.
142. De Geschillenkamer oordeelt dat het verwerkingsregister dat werd overgemaakt door de
eerste verweerster onvolledig en deels onjuist is, zoals vastgesteld in het Inspectieverslag.
In dit kader merkt de Geschillenkamer op dat, hoewel de eerste verweerster weliswaar
momenteel stappen onderneemt om deze inbreuken recht te zetten, er te weinig
inspanningen zijn geleverd om het verwerkingsregister op punt te stellen zoals bepaald in
artikel 30 AVG. Aldus oordeelt de Geschillenkamer dat er sprake is van een inbreuk op
artikel 30.1. a), b) c), d) AVG.
II.12. Verantwoordingsplicht (artikel 5.2 AVG) van de eerste verweerster
143. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de
grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel
5.1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de
verantwoordingsplicht in artikel 5.2 van de AVG juncto artikel 24.1 van de AVG zoals
bevestigd door de Geschillenkamer.25
144. Op basis van de artikelen 24 en 25 van de AVG moet de verwerkingsverantwoordelijke
passende technische en organisatorische maatregelen nemen om te waarborgen en te
kunnen aantonen dat de verwerking plaatsvindt conform de AVG. Hij moet daarbij de
gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen
25
Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.
Beslissing ten gronde 114/2024 – 37/71
beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk
specifiek doel van de verwerking.
145. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de eerste
verweerster de nodige technische en organisatorische maatregelen heeft genomen om te
voldoen aan deze beginselen uit artikel 5.1 AVG en in het bijzonder de beginselen van
rechtmatigheid en transparantie, doelbinding, minimale gegevensverwerking en
opslagbeperking (zie II.1-II.6).
146. Verder stelt de Geschillenkamer vast dat uit de omschrijving van de getroffen
beveiligingsmaatregelen onder onderdeel II.8 niet blijkt hoe een adequaat toezicht op deze
maatregelen wordt georganiseerd, noch wordt gespecifieerd in welke mate er door de
eerste verweerster wordt geverifieerd of de maatregelen doeltreffend zijn en hoe frequent
dit nagegaan wordt. Tot slot is er ook geen beleid opgesteld voor het doeltreffend
behandelen van informatieveiligheidsincidenten. De Geschillenkamer is van oordeel dat het
gevoelige karakter van de door de eerste verweerster op grote schaal verwerkte
biometrische gegevens, haar er al eerder had moeten toe aanzetten de bovengenoemde
beginselen van de AVG beter na te leven (waaronder gegevensbeveiliging), met name door
het anticiperen op de risico's die aan dergelijke inbreuken zijn verbonden.
147. Uit het bovenstaande blijkt dat de installatie en ingebruikneming van het systeem van
tijdsregistratie via biometrische gegevens erop wijst dat de technische en organisatorische
maatregelen niet geschikt waren om de naleving van de grondbeginselen van de AVG te
waarborgen, en meer bepaald de beginselen van rechtmatigheid, doelbinding, transparantie
en dataminimalisatie. De eerste verweerster, als verwerkingsverantwoordelijke, heeft geen
of onvoldoende passende maatregelen getroffen om te waarborgen en te kunnen aantonen
dat de litigieuze verwerking in overeenstemming met de AVG is uitgevoerd, hetgeen leidt
tot een schending van artikel 5.2 AVG.
II.13. Artikel 28.3 AVG t.a.v. de tweede verweerster
II.13.1. Vaststellingen in het Inspectieverslag
148. De Inspectiedienst stelt in zijn verslag vast dat de verwerkingsovereenkomst tussen de
eerste en de tweede verweerster niet voldoet aan de voorwaarden van artikel 28.3 AVG,
aangezien deze enkel een omschrijving van de algemene beveiligingsmaatregelen zou
bevatten, en geen gedetailleerde omschrijving die is toegespitst op de hoge
veiligheidsvereisten bij de verwerking van biometrische gegevens. De
verwerkingsovereenkomst zelf herneemt volgens de Inspectiedienst enerzijds de wettelijke
bepalingen uit artikel 32.1 AVG en verwijst naar de bijlage voor meer details. Deze bijlage B
bevat volgens de Inspectiedienst een concrete, maar nog steeds summiere en onvoldoende
op de specifieke aard van de verwerkte gegevens toegespitste omschrijving. Deze
Beslissing ten gronde 114/2024 – 38/71
algemeenheid en beperkte graad van detail in de bijlage B, laat niet toe om uitsluitsel te
krijgen over bijvoorbeeld het toegepaste niveau van versleuteling van de ruwe of als
template bewaarde biometrische gegevens, het gebruik van een verificatiefunctie, dan wel
identificatiefunctie in de vergelijkingsfase van het biometrisch authenticatieproces, het
door de verwerker gebruikte systeem voor de verwijdering en vernietiging van de
biometrische gegevens na afloop van de bewaartermijn, en de precieze modaliteiten van het
door de verwerker toegepaste logisch en fysiek toegangsbeleid.
149. De verwerkingsovereenkomst is volgens het Inspectieverslag verder ook gebrekkig voor
wat betreft de in artikel 28.3 AVG voorgeschreven omschrijving van de aard en het doel van
de verwerking en het soort persoonsgegevens dat wordt verwerkt.
150. Voor wat betreft de aard en het doel van de verwerking, stelt de Inspectiedienst vast dat het
onmogelijk is om deze na te gaan op basis van de bepalingen van de
verwerkingsovereenkomst. Als enige doeleinde valt de uitvoering van het dienstencontract
tussen beide verweersters af te leiden. Uit het dienstencontract zelf kan de Inspectiedienst
hoogstens afleiden dat er sprake is van de verwerking van vingerafdrukken en
tijdsregistratiegegevens van werknemers. De verwerkingsovereenkomst laat de
Inspectiedienst niet toe duidelijkheid te verkrijgen over het soort persoonsgegevens dat
door de tweede verweerster wordt verwerkt in opdracht van de eerste verweerster. De
overeenkomst bevat enkel een open keuzelijst met naast de keuzelijst 20 vrij door de klant
in te vullen velden. De klant heeft ook geen keuze van de te verwerken categorieën
aangegeven.
151. De Inspectiedienst hecht bijzonder belang aan de rol van de verwerker bij het invullen van
deze gezamenlijke verplichting uit artikel 28.3 AVG omdat de verwerker als enige van beide
partijen beschikt over de technische kennis die een volledige beschrijving van de verwerking
toelaat. Zonder deze volledige beschrijving kan noch de verwerkingsverantwoordelijke,
noch de toezichthoudende autoriteit een correcte inschatting maken van de inhoud en de
risico’s van de aan de verwerker toevertrouwde verwerking.
152. De Inspectiedienst stelt vast dat, zelfs op zijn expliciete vraag, de verwerker (de tweede
verweerster) niet in staat is om een volledige technische beschrijving te bezorgen van de
haar toevertrouwde verwerking. Dit blijkt uit het minimalistisch antwoord op de vraag van de
Inspectiedienst over de werking van het tijdsregistratiesysteem. Vervolgens blijkt de
tweede verweerster geen verdere informatie te kunnen verschaffen over bepaalde
elementen zoals: de versleuteling van de ruwe biometrische gegevens en de templates, de
aanwezigheid van een integriteitscontrole gekoppeld aan biometrische gegevens, precieze
technische modaliteiten van de inzamelings- en vergelijkingsfase van het biometrisch
authenticatieproces en de gebruikte techniek voor de verwijdering en vernietiging van de
gegevens na afloop van de bewaartermijn.
Beslissing ten gronde 114/2024 – 39/71
153. De Inspectiedienst verwijst in zijn verslag eveneens naar paragraaf 103 van de Richtsnoeren
07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG 26
van de EDPB waarin wordt gesteld dat zowel de verwerkingsverantwoordelijke als de
verwerker de verantwoordelijkheid hebben om ervoor te zorgen dat er een overeenkomst
of een andere rechtshandeling is die de verwerking regelt. De toezichthoudende overheid
kan zowel aan de verwerkingsverantwoordelijke als aan de verwerker een administratieve
boete opleggen, rekening houdend met artikel 83 AVG en de individuele omstandigheden
van elk geval. Overeenkomsten gesloten voor de datum van toepassing van de AVG hadden
moeten worden bijgewerkt in de zin van artikel 28.3 AVG. Wanneer dit niet gebeurd is, vormt
dit een inbreuk op laatstgenoemde bepaling.
154. Tenslotte, zo stelt de Inspectiedienst, trekt de tweede verweerster de juridische kwalificatie
van de door haar verwerkte persoonsgegevens als biometrische persoonsgegevens (in het
kader van de litigieuze verwerking) in twijfel. Nochtans verwijst de
verwerkingsovereenkomst naar de biometrische templates van persoonsgegevens
verwerkt door de tweede verweerster. De Inspectiedienst is niet akkoord met deze stelling.
De Inspectiedienst heeft dan ook twijfels over de door de tweede verweerster getroffen
technische en organisatorische maatregelen, vermits deze op basis van artikel 32.1 AVG
dienen afgestemd te zijn op het verwerkingsrisico dat kennelijk door de tweede verweerster
verkeerd werd ingeschat.
155. De Inspectiedienst concludeert dan ook dat de verwerkingsovereenkomst niet voldoet aan
artikel 28.3 AVG, doordat de verwerkingsovereenkomst niet voldoet aan de minimale
vereisten van deze bepaling, met name de omschrijving van de aard en het doel van de
verwerking, het soort persoonsgegevens en de door de verwerker toegepaste technische
en organisatorische maatregelen.
II.13.2.Standpunt tweede verweerster
156. De tweede verweerster betoogt in haar conclusies dat zij wel in staat is om de juiste kennis
over het systeem te delen. Zij heeft aan de eerste verweerster tijdig de relevante informatie
verschaft. Bij contractsluiting beschikte de eerste verweerster over uitgebreide
documentatie en informatie in de verwerkingsovereenkomst en beschikte zij over toegang
tot het online platform, en kreeg zij ook meerdere opleidingen. Bovendien is het de eerste
verweerster die op het systeem de personen gaat registreren. De verwerking van
persoonsgegevens begon dus maar zodra de eerste verweerster daarmee begon. Bijgevolg
kon de eerste verweerster zich alle beschikbare informatie betreffende de processen eigen
maken alvorens de verwerking aan te vatten. Voor wat betreft haar minimalistisch antwoord
26
EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, v.2.0, 7 juli
2021, te raadplegen via https://www.edpb.europa.eu/system/files/2023-
10/edpb guidelines 202007 controllerprocessor final nl.pdf
Beslissing ten gronde 114/2024 – 40/71
aan de Inspectiedienst merkt de tweede verweerster op dat de Inspectiedienst onmiddellijk
na de eerste bevraging van de tweede verweerster het onderzoek heeft afgesloten en het
Inspectieverslag heeft opgemaakt; nochtans werd de eerste verweerster meer dan eenmaal
bevraagd.
157. Voorts werpt de tweede verweerster op dat de Inspectiedienst een onvolledig dossier heeft
samengesteld. De Inspectiedienst heeft enkel bij de eerste verweerster de
verwerkingsovereenkomst opgevraagd, dewelke de eerste verweerster heeft
overgemaakt, maar zonder de Z IT Guide. Deze Z IT Guide maakt als bijlage integraal deel uit
van de verwerkingsovereenkomst. De tweede verweerster was niet op de hoogte van het
feit dat een onvolledige verwerkingsovereenkomst werd overgemaakt en er werd haar ook
niets over gevraagd. Bovendien stelt de tweede verweerster aan de kaak dat de
Inspectiedienst haar niet alleen bevraagt omtrent de haar toevertrouwde verwerking, maar
ook omtrent de taken en verwerkingen van de eerste verweerster. De tweede verweerster
betoogt dat de Inspectiedienst haar verwijt bij gebreke aan antwoord (quod non, aldus de
tweede verweerster) dat zij geen volledige technische beschrijving geeft van de
verwerkingen door de eerste verweerster, wat zij ook niet hoeft te geven. De verwijzing van
de Inspectiedienst naar paragraaf 103 van de Richtsnoeren 07/2020 werd pas in juli 2021
goedgekeurd, terwijl deze paragraaf nog niet aanwezig was in de versie van 2020. Hierbij is
het van belang om op te merken dat de verwerkingsovereenkomst gesloten werd op 14
februari 2020. Bijgevolg kan een gebrek in antwoorden door de eerste verweerster, indien
dat gebrek al zou worden vastgesteld, niet worden verweten aan de tweede verweerster
maar moet de Inspectiedienst de eerste verweerster hierover bevragen.
158. Verder wijst de tweede verweerster erop dat haar wordt verweten geen informatie te
verstrekken over de gebruikte techniek voor de verwijdering en vernietiging (bv.
overschrijven, demagnetiseren, cryptografisch wissen etc.) van de gegevens na afloop van
de bewaartermijn, met een verwijzing naar Aanbeveling 03/2020 van de GBA. De
Inspectiedienst komt tot deze conclusie na een antwoord van de tweede verweerster op de
vraag “Welk systeem wordt er gebruikt voor de verwijdering en vernietiging van de
biometrische gegevens/templates na afloop van de bewaartermijn. Wie staat in voor deze
wissing [eerste verweerster] of [tweede verweerster]?”. De tweede verweerster heeft
hierop geantwoord dat er geen ruwe biometrische gegevens worden bewaard . De
versleutelde templates worden opgeslagen op de ST25-terminal en in de SQL-cloud
database zolang de werknemer bestaat in de SQL-cloud database. Distributie op één of
meer ST25-terminals wordt uitgevoerd op basis van configuratie in de Z Web Application
T&A-toepassing. Dit antwoord werd schijnbaar niet als sluitend opgevat door de
Inspectiedienst, zo stelt de tweede verweerster vast. De tweede verweerster wijst erop dat
de Inspectiedienst hieromtrent een bijkomende vraag had kunnen stellen, mocht deze het
gegeven antwoord als onvoldoende beschouwen.
Beslissing ten gronde 114/2024 – 41/71
159. De juridische kwalificatie van de gegevens verwerkt door de verwerker is een twistpunt
tussen de tweede verweerster en de Inspectiedienst. De tweede verweerster meent dat zij
onder Z geen biometrische gegevens en ook geen andere bijzondere categorie van
persoonsgegevens verwerkt. De tweede verweerster wijst erop dat biometrische gegevens
(artikel 4.14 AVG) slechts een bijzondere categorie onder artikel 9 AVG uitmaken indien zij
worden verwerkt met het doel tot unieke identificatie. Op het online platform dat de tweede
verweerster ter beschikking stelt, wordt geen vergelijking uitgevoerd, zo stelt de tweede
verweerster. De vergelijking van de biometrische gegevens vindt alleen in de specifieke
reader plaats, die gekoppeld is aan de terminals bij de klant, i.c. de eerste verweerster. Alleen
de reader, als een afgescheiden module, bevat bedrijfseigen software met geheime
algoritmes waarvan de werking enkel gekend is bij de leverancier van de module; de
toegepaste techniek maakt een bedrijfsgeheim uit. De fabrikant onthult niet op welke wijze
de templates tot stand komen, noch welke sleutel voor encryptie wordt toegepast. De
fabrikant bevestigt wel dat deze nooit worden vrijgegeven. De tweede verweerster voegt
hieraan toe dat het voor eenieder onmogelijk is om met de gegevens die door de
biometrische reader worden vrijgegeven bij de registratie van een gebruiker een
identificatie van een persoon te doen. Het enige wat het bestand mogelijk maakt, is om dit
aan een reader van dezelfde fabrikant binnen het systeem terug te geven met als doel de
verificatie van een identiteit (match of geen match) als antwoord te bekomen. Het enige
antwoord dat een reader dus zal geven is een overeenkomst met een gekend ID of geen
overeenkomst. Wie onrechtmatig het versleutelde bestand van de gegevens uit de
biometrische reader kan bekomen na registratie van een gebruiker, kan met dit bestand in
geen enkel ander type van biometrische tool terecht omdat men de unieke sleutel(s) niet
heeft. De tweede verweerster besluit dan ook dat zij een online opslagsysteem aanbiedt,
maar niet kiest welke terminals ter plaatse bij de eerste verweerster bepaalde gegevens
verbonden aan biometrie opslaan, en al zeker organiseert zij niet de vergelijkingsfase op
haar eigen (online) platform. Zij is enkel de dienstverlener van opslag voor een bestand
waarvan niemand de ontsleuteling kan bekomen zonder dat men de reader van de fabrikant
zou hacken.
160. De tweede verweerster voert eveneens aan dat het voor haar redelijkerwijze onmogelijk is
om aan de informatie tot ontcijfering te geraken, waardoor zij zich de vraag stelt of de
bestanden wel persoonsgegevens in de zin van artikel 4.14 AVG uitmaken.
II.13.3. Beoordeling door de Geschillenkamer
161. Elke verwerking van persoonsgegevens door een verwerker moet worden beheerst door
een overeenkomst of een andere rechtshandeling onder EU- of lidstaatwetgeving tussen de
verwerkingsverantwoordelijke en de verwerker, zoals vereist bij artikel 28.3 AVG.
Beslissing ten gronde 114/2024 – 42/71
162. De Inspectiedienst stelt meerdere inbreuken op artikel 28.3 AVG vast: (i) de
verwerkingsovereenkomst tussen de eerste verweerster als verwerkingsverantwoordelijke
en de tweede verweerster als verwerker voldoet niet aan de vereisten ex artikel 28.3 AVG,
in het bijzonder voor wat betreft de minimale vereisten inzake de omschrijving van de aard
en het doel van de verwerking, het soort persoonsgegevens en de door de verwerker
toegepaste en technische en organisatorische maatregelen; (ii) het niet-voldoen aan de
verplichtingen in hoofde van de tweede verweerster in het kader van artikel 28.3 AVG gelet
op het feit dat zij als enige beschikte over technische kennis over het systeem en
desondanks de verwerking onvoldoende zou hebben beschreven en tot slot de juridische
kwalificatie van biometrische gegevens in twijfel zou trekken.
(i) Omschrijving aard en doel van de verwerking, soort persoonsgegevens en
de toegepaste technische en organisatorische maatregelen
163. Ten eerste beoordeelt de Geschillenkamer in hoeverre de verwerkingsovereenkomst
tussen de eerste verweerster als verwerkingsverantwoordelijke en de tweede verweerster
als verwerker voldoet aan de vereisten ex artikel 28.3 AVG, in het bijzonder voor wat betreft
de minimale vereisten inzake de omschrijving van de aard en het doel van de verwerking, het
soort persoonsgegevens en de door de verwerker toegepaste en technische
organisatorische maatregelen.27
164. De Geschillenkamer stelt vast dat de verwerkingsovereenkomst bestaat uit meerdere
delen, zoals aangegeven in de conclusies van de tweede verweerster, de
hoofdovereenkomst zelf met 2 bijlagen (Enclosure 1 en Enclosure 2). Bij Enclosure 2 aan de
hoofdovereenkomst, behoorden opnieuw 2 annexen, namelijk de Attachment 1: “Z IT Guide”
en Attachment 2 ”Data processing agreement”, met daarbij opnieuw 3 bijlagen: Attachment
A (desciption of the processing), Attachment B (technical en organizational security
measures) en Attachment C (subprocessors).
165. Verwijzend naar de Richtsnoeren 07/2020 over de begrippen
“verwerkingsverantwoordelijke” en “verwerker” in de AVG 28 herinnert de Geschillenkamer
eraan dat de verwerkingsovereenkomst o.a. de volgende elementen moet omvatten:
omschrijving van de aard en het doel van de verwerking, en het soort persoonsgegevens.
Voor wat betreft de aard en het doel van de verwerking stelt de EDPB dat deze beschrijving
zo volledig mogelijk dient te zijn, afhankelijk van de specifieke verwerkingsactiviteit zodat
externe partijen (zoals een toezichthoudende overheid) de inhoud en de risico’s van de aan
27
Zie vaststelling 12 van het Inspectieverslag.
28
EDPB, Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG v2.0, dd. 7 juli
2021, te raadplegen via
https://edpb.europa.eu/sites/default/files/consultation/edpb guidelines 202007 controllerprocessor en.pdf.
Beslissing ten gronde 114/2024 – 43/71
de verwerker toevertrouwde verwerking kunnen begrijpen. 29 De “desciption of the
processing” zoals bepaald in Attachment 2 van de verwerkingsovereenkomst bepaalt dat de
overeenkomst betrekking heeft op het opslaan van verschillende categorieën
persoonsgegevens en gevoelige gegevens. Op indirecte wijze kan uit de
verwerkingsovereenkomst met alle bijlagen worden afgeleid dat er sprake is van de
verwerking van vingerafdrukken en tijdsregistratie van werknemers, namelijk uit Enclosure
1 bij de verwerkingsovereenkomst waarin melding wordt gemaakt van Fingerprint licenses
en waarin wordt vermeld dat alle informatie die wordt aangebracht door de klant (i.c. de
verwerkingsverantwoordelijke) met betrekking tot de tijdsregistratie voor een bepaalde
periode wordt opgeslagen in de database van Z.
166. De EDPB stelt dat de soorten persoonsgegevens zo gedetailleerd mogelijk moeten worden
gespecifieerd. Het louter preciseren of het gaat over persoonsgegevens in de zin van artikel
4.1 AVG of bijzondere categorieën van persoonsgegevens overeenkomstig artikel 9 AVG
volstaat niet.30 De Geschillenkamer stelt vast dat de verwerkingsovereenkomst in de
voormelde Enclosure 2 “Description of the processing” de mogelijkheid laat om aan te
duiden welke persoonsgegevens specifiek worden verwerkt op basis van de
verwerkingsovereenkomst [“Please select the categories you intend to use with the
Services”]. Daaronder voorziet de verwerkingsovereenkomst eveneens vier categorieën
van bijzondere persoonsgegevens die door de tweede verweerster worden verwerkt op
basis van de verwerkingsovereenkomst. Ook hier wordt gevraagd om de relevante
categorieën aan te duiden [“Please select the categories you intend to use with the
services”]. De Geschillenkamer stelt vast dat noch bij de persoonsgegevens, noch bij de
bijzondere persoonsgegevens de relevante categorieën werden aangeduid. De
Geschillenkamer stelt vast dat deze inbreuk door de Inspectiedienst enkel werd verweten
aan de tweede verweerster terwijl de verplichtingen uit artikel 28.3 AVG rusten op beide
contractspartijen. Nochtans zou het gebrek aan aanduiding ook kunnen worden verweten
aan de eerste verweerster, aangezien zij als verwerkingsverantwoordelijke het doel en de
middelen van de verwerking bepaalt.
167. Concluderend stelt de Geschillenkamer vast dat de vereiste informatie uit artikel 28.3.
eerste lid (de aard en het doel van de verwerking en soort persoonsgegevens) kan worden
afgeleid door de totale lezing van de verwerkingsovereenkomst, maar dat het aanbevolen
is, met oog op duidelijkheid, dat de verwerkte (categorieën van) al dan niet bijzondere
persoonsgegevens worden aangeduid in de bijlage zoals voorzien.
29
EDPB, Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG v2.0, dd. 7 juli
2021, para 114, te raadplegen via
https://edpb.europa.eu/sites/default/files/consultation/edpb guidelines 202007 controllerprocessor en.pdf.
30
EDPB, Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG v2.0, dd. 7 juli
2021, para 114, te raadplegen via
https://edpb.europa.eu/sites/default/files/consultation/edpb guidelines 202007 controllerprocessor en.pdf.
Beslissing ten gronde 114/2024 – 44/71
168. De Inspectiedienst stelde eveneens vast in zijn verslag dat er sprake is van een inbreuk op
artikel 28.3.c) AVG gelet op de algemeenheid en beperkte graad van detail van de
opsomming van de toegepaste en technische organisatorische maatregelen.
169. Artikel 28.3.c) AVG vereist dat alle krachtens artikel 32 AVG vereiste
beveiligingsmaatregelen tot uiting komen in de verwerkingsovereenkomst. Deze
verwerkingsovereenkomst mag niet gewoon de bepalingen van de AVG herhalen, maar
moet informatie over de beveiligingsmaatregelen, of verwijzingen daarnaar, bevatten. De
mate van gedetailleerdheid moet de verwerkingsverantwoordelijke in staat stellen om de
geschiktheid van de maatregelen overeenkomstig artikel 32.1 AVG te beoordelen. 31
170. Artikel 32.1 van de AVG bepaalt dat bij de beoordeling van het passende beveiligingsniveau
rekening moet gehouden worden met de verwerkingsrisico’s, vooral als gevolg van de
vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde
toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per
ongeluk hetzij onrechtmatig. Hierbij dient dus ook rekening te worden gehouden met de al
dan niet bijzondere aard van de verwerkte persoonsgegevens, hetgeen een twistpunt vormt
tussen de Inspectiedienst en de tweede verweerster.
171. Voor wat betreft de kwalificatie van de door de tweede verweerster verwerkte
persoonsgegevens, herinnert de Geschillenkamer aan de definitie van biometrische
gegevens en aan de verwerking van een eventuele bijzondere categorie van
persoonsgegevens. Zoals de tweede verweerster ook stelt in haar conclusies vormen
biometrische gegevens niet meteen een bijzondere categorie van persoonsgegevens onder
artikel 9 AVG. Daarvoor is het doel tot unieke identificatie vereist. Zoals reeds gesteld is het
doel tot identificatie aanwezig in hoofde van de eerste verweerster als
verwerkingsverantwoordelijke in het kader van de tijdsregistratie, maar niet bij de tweede
verweerster. Zij ontvangt gegevens van de eerste verweerster die zij verwerkt (i.e. bewaart)
zonder het doel van identificatie of authenticatie, waardoor er geen sprake is van de
verwerking van bijzondere persoonsgegevens zoals begrepen in artikel 9 AVG. De
toepasselijke beveiligingsmaatregelen dienen dan ook hierop te zijn afgestemd.
172. Zoals reeds uiteengezet bestaat de verwerkingsovereenkomst uit de hoofdovereenkomst
met 2 bijlagen (Attachment 1 en Attachment 2). Zoals ook aangegeven door de tweede
verweerster merkt de Geschillenkamer op dat de Z IT Guide (Attachment 2) ontbrak in het
dossier van de Inspectiedienst, waardoor bij het onderzoek hiermee geen rekening werd
gehouden.
31
EDPB, Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG v2.0, dd. 7 juli
2021, para 126, te raadplegen via
https://edpb.europa.eu/sites/default/files/consultation/edpb guidelines 202007 controllerprocessor en.pdf.
Beslissing ten gronde 114/2024 – 45/71
173. Deze Z IT Guide zet in 13 pagina’s de veiligheidsaspecten van de Z applicatie uiteen, met
concrete informatie over de genomen beveiligingsmaatregelen voor de haar toevertrouwde
verwerking, namelijk het opslaan van de gegevens in de Z. Deze gids bevat informatie over
de servers waarop de gegevens worden opgeslagen, de beveiligingsmaatregelen (zoals anti-
virussystemen, firewalls, SSL certificaten en monitoringdiensten). De Geschillenkamer stelt
vast dat de graad van gedetailleerdheid van de omschrijving van de beveiligingsmaatregelen
voldoet aan de vereisten opgelegd in artikel 28.3.c) AVG.
(ii) het niet-voldoen aan de verplichtingen in hoofde van de tweede
verweerster in het kader van artikel 28.3 AVG gelet op het feit dat zij als
enige beschikte over technische kennis over het systeem en zou de
verwerking onvoldoende beschreven hebben en de tweede verweerster
zou de juridische kwalificatie van biometrische gegevens in twijfel trekken.
174. De Geschillenkamer merkt op dat deze vaststellingen geen betrekking hebben op de inhoud
van de verwerkingsovereenkomst zoals bepaald in artikel 28.3 AVG, maar eerder op de
precontractuele informatie-uitwisselingen met de eerste verweerster (bijvoorbeeld op basis
van artikel 28.1 AVG) of op de verantwoordingsplicht ex artikel 5.2 AVG.
175. Voor wat betreft de vaststelling dat de tweede verweerster de verwerking onvoldoende
beschreven zou hebben, verwijst de Geschillenkamer naar onderdeel II.7 waarin zij vaststelt
dat de verwerkingsovereenkomst niet in haar geheel werd overgemaakt aan de
Inspectiedienst door de eerste verweerster. De tweede verweerster werd niet gevraagd om
de verwerkingsovereenkomst over te maken aan de Inspectiedienst.
176. Zoals uiteengezet bevat de Z IT Guide informatie over de technische kennis van het
systeem. De tweede verweerster maakte al deze informatie over aan de eerste verweerster,
de verwerkingsverantwoordelijke, op basis waarvan deze de vereiste analyse kon uitvoeren
hieromtrent (zie onderdeel II.8). Daarnaast bood de tweede verweerster ook opleidingen aan
omtrent de werking van de Z. Daarnaast stelt de Geschillenkamer vast dat er ook
bijkomende documentatie, een portaal en helpfunctie online beschikbaar was, alsook een
helpdesk. Zoals de tweede verweerster ook aanvoert, start de registratie van de
werknemers pas op het moment dat de eerste verweerster hiermee start. Bijgevolg kon zij
bijkomende informatie opvragen indien nodig alvorens te starten met de tijdsregistratie. De
Geschillenkamer stelt dan ook vast dat de verwerking voldoende is beschreven en dat de
tweede verweerster de nodige informatie heeft verschaft aan de eerste verweerster.
177. Verder stelt de Inspectiedienst vast dat de tweede verweerster, zelfs op expliciete vraag
van de Inspectiedienst, niet in staat is om een volledige technische beschrijving te bezorgen
van de haar toevertrouwde verwerking. Hiervoor verwijst de Inspectiedienst naar de
minimalistische antwoorden van de tweede verweerster en naar het feit dat deze geen
verdere informatie kon verschaffen over bepaalde elementen.
Beslissing ten gronde 114/2024 – 46/71
178. De Geschillenkamer merkt vooreerst op dat een eventueel minimalistisch antwoord aan de
Inspectiedienst twee jaar na het sluiten van de verwerkingsovereenkomst geen invloed
heeft op de al dan niet correcte naleving van artikel 28.3 AVG, dat enkel inhoudelijke
vereisten van de verwerkingsovereenkomst stipuleert.
179. De Geschillenkamer stelt verder vast dat de Inspectiedienst in zijn brief dd. 6 juli 2022 heeft
verzocht aan de tweede verweerster de technische werking van het systeem toe te lichten
en in het bijzonder hoe wordt omgegaan met de via het systeem verzamelde biometrische
gegevens. Hierbij verzoekt de Inspectiedienst om deze toelichting te laten vergezellen van
een zo schematisch mogelijk overzicht van de verschillende fases van de verwerking van
inzameling tot wissing. Voorts verzoekt de Inspectiedienst om te verduidelijken welke
technische en organisatorische beveiligingsmaatregelen de tweede verweerster treft ter
bescherming van de integriteit, beschikbaarheid en vertrouwelijkheid van de gegevens,
waar het eigenlijk de eerste verweerster is op wie deze verplichtingen rusten. Vervolgens
stelde de Inspectiedienst 12 bijkomende vragen. Deze vragen betreffen eveneens de
verschillende fases van de tijdsregistratie.
180. De Geschillenkamer stelt vast dat de tweede verweerster op de 12 vragen heeft geantwoord
maar niet op elke vraag inhoudelijk kon antwoorden. Bepaalde informatie is immers niet
gekend door de tweede verweerster, aangezien zij geen verwerkingsverantwoordelijke is
voor de volledige keten van de verwerkingen in het kader van de tijdsregistratie in kwestie.
De tweede verweerster heeft een antwoord geformuleerd op de vragen die betrekking
hadden op de haar toevertrouwde verwerkingen in haar hoedanigheid van verwerker. Hierbij
gaf de tweede verweerster ook aan waarom zij de andere vragen niet kon beantwoorden,
bijvoorbeeld omdat zij bepaalde aspecten van de keten van de tijdsregistratie niet
behandelde.
181. Gelet op het bovenstaande concludeert de Geschillenkamer dat er geen inbreuk is op
artikel 28.3 AVG in hoofde van de tweede verweerster.
II.14. Functionaris voor gegevensbescherming (artikel 37.1, b) en c) AVG) t.a.v. de tweede
verweerster
II.14.1. Vaststellingen in het Inspectieverslag
182. De Inspectiedienst stelt in het Inspectieverslag vast dat de tweede verweerster niet voldoet
aan de verplichtingen inzake de aanstelling van een functionaris voor gegevensbescherming
zoals begrepen in artikel 37.1.b) en c) AVG. In eerste instantie stelt de Inspectiedienst dat
voldaan is aan de vereisten om een functionaris voor gegevensbescherming aan te stellen
zoals begrepen in artikel 37.1.c) AVG aangezien zij biometrische gegevens verwerkt, dat het
een grootschalige verwerking betreft en dat zij hiermee hoofdzakelijk belast is. Bijgevolg
Beslissing ten gronde 114/2024 – 47/71
concludeert de Inspectiedienst dat een functionaris voor gegevensbescherming had
moeten worden aangesteld.
183. Vooreerst volgt de Inspectiedienst de zienswijze van de tweede verweerster niet omtrent
het feit dat zij geen biometrische gegevens zou verwerken (zie II.13). Voorts verwijst de
Inspectiedienst naar de standaardclausule in bijlage A van de verwerkingsovereenkomst
waarin de tweede verweerster zich als verwerker ook openstelt voor de verwerking van
andere categorieën van persoonsgegevens. Ten tweede, voor wat betreft het grootschalig
karakter van de verwerking stelt de Inspectiedienst vast dat uit het verslag van de raad van
bestuur van de tweede verweerster blijkt dat Z wordt verdeeld in 9 Europese landen, waaruit
de Inspectiedienst een grote geografische omvang begrijpt. De Inspectiedienst stelt geen
zicht te hebben op het aantal betrokkenen of de hoeveelheid verwerkte gegevens, maar
stelt verder wel vast dat de aan een systeem van werktijdregistratie inherente duur en
permanentie van de gegevensverwerking een bijkomend element vormt ter beoordeling
van de grootschaligheid van de verwerking. Ten derde, voor wat betreft het
hoofdzakelijkheidscriterium stelt de Inspectiedienst dat het duidelijk is dat
gegevensverwerking een hoofdactiviteit van de onderneming vormt en geen noodzakelijke
ondersteuningsfunctie van de hoofdactiviteit van de organisatie.
184. Tot slot merkt de Inspectiedienst op dat de tweede verweerster ook op basis van artikel
37.1.b) AVG geacht kan worden verplicht te zijn tot het aanstellen van een functionaris voor
gegevensbescherming aangezien de dagelijkse registratie van de tijdstippen van aankomst
en vertrek van werknemers op een bepaalde arbeidsplaats een regelmatige en
stelselmatige observatie van betrokkenen uitmaakt.
II.14.2. Standpunt tweede verweerster
185. De tweede verweerster voert in haar conclusies aan dat er geen verplichting tot aanstelling
van een functionaris voor gegevensbescherming op haar rust, noch op basis van artikel
37.1.c) AVG, noch op basis van artikel 37.1.b) AVG.
186. Voor wat betreft de toepasselijkheid van artikel 37.1.c) AVG voert de tweede verweerster
aan dat de argumentatie van de Inspectiedienst niet is gestoeld op objectieve vaststellingen
maar dat diens analyse voortvloeit uit halve veronderstellingen en foute interpretaties. Voor
wat betreft de verwerking van een bijzondere categorie van persoonsgegevens herhaalt de
tweede verweerster haar stelling dat er ernstig in twijfel kan worden getrokken of er wel
sprake is van een verwerking van biometrische gegevens en van een bijzondere categorie
van persoonsgegevens in de context van de verwerking voor de eerste verweerster. De
tweede verweerster voegt hieraan toe dat de Inspectiedienst zijn bevindingen heeft
geëxtrapoleerd naar de volledige werking en alle activiteiten van de tweede verweerster. De
tweede verweerster wijst erop dat haar activiteiten worden opgedeeld tussen diensten
Beslissing ten gronde 114/2024 – 48/71
inzake parkeersystemen en tijdsregistratie. De cijfers van het boekjaar 2021 geven weer dat
74,29% van de omzet aan de diensten inzake parkeersystemen wordt toegeschreven
tegenover 25,71% voor tijdsregistratie. Tijdsregistratie op zich gaat ook breder dan de Z-
diensten. Het aandeel in de totale omzet van de tweede verweerster voor Z bedroeg in 2021
slechts 8,50%. De tweede verweerster stelt aan de kaak dat de Inspectiedienst
veronderstelt dat de tweede verweerster voor Z altijd zou teruggrijpen naar biometrische
readers en dat zij dus voor andere klanten een Z oplossing zou opzetten gebruik makende
van biometrische readers. Zij wijst erop dat slechts 10,93% van de omzet specifiek wordt
gegenereerd door aan Z gerelateerde projecten waar ook biometrische readers worden
gebruikt. De tweede verweerster stelt zich de vraag of er ernstige aanwijzingen zijn dat er in
deze projecten waarin biometrische readers worden gebruikt sprake is van een verwerking
van een bijzondere categorie van gegevens. Als er al sprake zou zijn van verwerking van een
verwerking van een bijzondere categorie van persoonsgegevens, hetgeen de tweede
verweerster in twijfel trekt, dan hoeft dat niet zo te zijn voor andere klanten die gebruik
maken van de Z toepassing.
187. Voor wat betreft het grootschalig karakter stelt de tweede verweerster aan de kaak dat de
Inspectiedienst de grootschaligheid o.a. afleidt uit het feit dat de Z wordt
gecommercialiseerd in 9 landen. De tweede verweerster wijst erop dat niet alle Z
oplossingen werken met biometrische readers en dat voor de beoordeling van het
grootschalig karakter enkel rekening kan worden gehouden met die oplossingen die wel
bijzondere categorieën van gegevens verwerken. De tweede verweerster betwist dat, op
basis van een onderzoek waarin de Inspectiedienst concludeert geen zicht te hebben op het
aantal betrokkenen of op de hoeveelheid verwerkte gegevens maar wel vaststelt dat de
duur en permanentie van gegevensverwerking inherent aan werktijdregistratie een
bijkomend element vormt ter beoordeling van de grootschaligheid van de verwerking, tot
grootschaligheid besloten kan worden.
188. De tweede verweerster verwijst tot slot naar de vaststelling van de Inspectiedienst dat het
hoofdzakelijkheidscriterium betrekking heeft op de hoofdactiviteit van de verwerker en niet
op een nevenactiviteit. Zij stelt zich de vraag of de verwerking van opslag van de bijzondere
categorie binnen haar activiteiten als een kerntaak moet worden gezien. Hiervoor verwijst
zij naar de voorbereidende werken van de AVG waarin wordt aangegeven dat met
hoofdactiviteiten wordt bedoeld: “activiteiten in het kader waarvan 50% van de jaarlijkse
omzet resulterend uit de verkoop van gegevens of inkomsten met het gebruik van deze
gegevens wordt verdiend”. A contrario betekent dit dat gegevensverwerkingsactiviteiten
die niet meer dan 50% van de omzet van een onderneming uitmaken, als nevenactiviteiten
worden beschouwd. De tweede verweerster wijst erop dat de omzet voortvloeiend uit Z en
waar biometrische readers aan te pas komen slechts 0,93% van haar omzet
vertegenwoordigde in 2021. Bijgevolg is er geen sprake van een kerntaak.
Beslissing ten gronde 114/2024 – 49/71
189. Voor wat betreft de vermeende verplichting om een functionaris voor
gegevensbescherming aan te stellen op basis van artikel 37.1.b) AVG wijst de tweede
verweerster erop dat de cumulatieve voorwaarden van hoofdzakelijkheid en
grootschaligheid niet opnieuw worden getoetst. Daarnaast wijst de tweede verweerster
erop dat zij niet diegene is die de regelmatige en stelselmatige observatie uitvoert in het
kader van de litigieuze verwerkingen, als daar al sprake van is.
II.14.3. Beoordeling door de Geschillenkamer
190. Krachtens artikel 37.1 AVG is de aanwijzing van een functionaris voor
gegevensbescherming in drie specifieke gevallen verplicht:
a) wanneer de verwerking door een overheidsinstantie of overheidsorgaan wordt verricht;
b) wanneer de kerntaken van de verwerkingsverantwoordelijke of de verwerker bestaan uit
verwerkingen die regelmatige en stelselmatige observatie op grote schaal van betrokkenen
vereisen; of
c) wanneer de kerntaken van de verwerkingsverantwoordelijke of de verwerker bestaan uit
verwerking op grote schaal van speciale categorieën van gegevens of van
persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten.
191. Artikel 37 AVG geldt voor de aanwijzing van een functionaris voor gegevensbescherming
voor zowel verwerkingsverantwoordelijken als verwerkers. Afhankelijk van wie aan de
criteria voor verplichte aanwijzing voldoet, is het in sommige gevallen alleen de
verwerkingsverantwoordelijke of alleen de verwerker die een functionaris voor
gegevensbescherming moet aanwijzen, terwijl dat in andere gevallen voor allebei geldt.
192. De vraag stelt zich of de tweede verweerster onder een van deze 3 gevallen valt zodat er op
haar de verplichting tot aanstelling van een functionaris voor gegevensbescherming rust.
193. Aangezien de tweede verweerster geen overheid is, is artikel 37.1.a) AVG niet van
toepassing.
194. Voor wat betreft artikel 37.1.c) AVG herinnert de Geschillenkamer eraan dat drie
cumulatieve voorwaarden van toepassing zijn: (i) verwerking van bijzondere categorieën,
van gegevens of van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen
en strafbare feiten, (ii) op grote schaal en (iii) hoofdzakelijk/kerntaak.
195. Zoals hierboven reeds vastgesteld, volgt de Geschillenkamer de stelling van de tweede
verweerster dat zij geen bijzondere categorieën van persoonsgegevens zoals bepaald in
artikel 9 verwerkt in het kader van de verwerkingsovereenkomst gesloten met de eerste
verweerster. Het feit dat de tweede verweerster de mogelijkheid biedt om biometrische
gegevens te verwerken in het kader van de Z, betekent niet automatisch dat de tweede
verweerster voor al haar klanten biometrische gegevens verwerkt. Bovendien betekent de
Beslissing ten gronde 114/2024 – 50/71
verwerking van biometrische persoonsgegevens niet automatisch dat er sprake is van een
verwerking van een bijzondere categorie van persoonsgegevens ex artikel 9 AVG,
aangezien niet wordt aangetoond dat er sprake is van een identificatie of een verificatie. Het
is bijgevolg niet aangetoond dat aan de eerste voorwaarde voldaan is.
196. Voor wat betreft de voorwaarde inzake grootschaligheid voorziet de AVG geen definitie.
Volgens overweging 91 betreft dit "grootschalige verwerkingen die bedoeld zijn voor de
verwerking van een aanzienlijke hoeveelheid persoonsgegevens op regionaal, nationaal of
supranationaal niveau, waarvan een groot aantal betrokkenen gevolgen zou kunnen
ondervinden en die [...] een hoog risico met zich kunnen brengen". De Geschillenkamer stelt
vast dat de Inspectiedienst niet aantoont dat de verwerking van bijzondere categorieën van
persoonsgegevens op grote schaal geschiedt. Het feit dat Z wordt verdeeld in 9 Europese
landen toont niet aan dat bijzondere categorieën van persoonsgegevens ex artikel 9 AVG op
grote schaal worden verwerkt. Tot slot, wat het hoofdzakelijkheidscriterium betreft, stelt de
Geschillenkamer vast dat de omzet van de tweede verweerster, voortvloeiend uit Z en waar
biometrische readers aan te pas komen slechts 0,93% van de omzet van de tweede
verweerster vertegenwoordigde in 2021. De Geschillenkamer oordeelt dat dit onvoldoende
is om te spreken van een kerntaak.
197. Voorts werpt de Inspectiedienst op dat de tweede verweerster ook op basis van artikel
37.1.b) AVG kan worden geacht om verplicht te zijn een functionaris voor
gegevensbescherming aan te stellen aangezien de dagelijkse registratie van de tijdstippen
van aankomst en vertrek van de werknemers op de arbeidsplaats een regelmatige en
stelselmatige observatie van betrokkenen uitmaakt. In dit kader volgt de Geschillenkamer
de stelling van de tweede verweerster dat de eventuele regelmatige en stelselmatige
observatie wordt uitgevoerd door de eerste verweerster in het kader van de tijdsregistratie,
en niet door de tweede verweerster. Zij biedt immers enkel een opslag aan voor versleutelde
(persoons)gegevens.
198. Gelet op het bovenstaande stelt de Geschillenkamer dan ook vast dat er geen inbreuk is op
de verplichting op basis van artikel 37.1.b) en c) AVG om een functionaris voor
gegevensbescherming aan te stellen.
III. Corrigerende maatregelen
III.1. Ten aanzien van de eerste verweerster
III.1.1. Vastgestelde inbreuken en maatregelen genomen door de Geschillenkamer
III.1.1.1. Vastgestelde inbreuken
199. De Geschillenkamer heeft de volgende inbreuken vastgesteld. Vooreerst heeft de
Geschillenkamer vastgesteld dat de eerste verweerster op onrechtmatige wijze bijzondere
Beslissing ten gronde 114/2024 – 51/71
categorieën van persoonsgegevens verwerkte in het kader van het tijdsregistratiesysteem
en hierbij ook de beginselen van doelbinding en dataminimalisatie schond (artikel 5.1.a)
AVG, artikel 9.1, j° artikel 6.1 AVG, artikel 9.2 AVG 5.1.b) AVG, artikel 5.1.c) AVG).
200. Vervolgens heeft de Geschillenkamer geoordeeld dat de welkomstbrochure de
betrokkenen onvoldoende geïnformeerd heeft omtrent de litigieuze verwerking. Meer
bepaald schoot de welkomstbrochure tekort voor wat betreft, in het algemeen, de
verplichting ingevolge artikel 12.1 AVG die stelt dat de verwerkingsverantwoordelijke
passende maatregelen moet nemen om de in artikel 13 AVG bedoelde informatie in een
beknopte, transparantie, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke taal
te ontvangen, en in het bijzonder stelt de Geschillenkamer dat de bewaartermijnen (artikel
13.2.e) AVG), doeleinden en rechtsgrond (artikel 13.1.c) AVG) niet (op afdoende wijze)
werden opgenomen in de welkomstbrochure. Aangezien de eerste verweerster zich –
weliswaar onrechtmatig – beroept op artikel 6.1.a) en artikel 9.2.a) AVG, diende ook te
worden meegedeeld aan de betrokkenen dat zij het recht hadden om hun toestemming in te
trekken (artikel 13.2.c) AVG). Wat betreft de vermelding van de mogelijkheid om een klacht
in te dienen bij de Gegevensbeschermingsautoriteit (artikel 13.2.d) AVG), stelt de
Geschillenkamer vast dat dit evenmin vermeld is in de welkomstbrochure.
201. Verder heeft de Geschillenkamer geconstateerd dat de eerste verweerster geen voldoende
informatie heeft verschaft op het tweede inzageverzoek, namelijk informatie over de
bewaartermijn en de bewaringsmodaliteiten en de beveiliging van de gegevens, hetgeen in
strijd is met de verplichting die op de eerste verweerster rust om de betrokkene in een
begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal te
informeren, zoals vervat in artikel 15.1.d) j° artikel 12.1 van de AVG.
202. Voorts oordeelde de Geschillenkamer dat er meerdere inbreuken zijn op de
documentatieverplichtingen van de eerste verweerster. Voor de verwerking van bijzondere
persoonsgegevens in het kader van de tijdsregistratie heeft de eerste verweerster geen
GEB uitgevoerd alvorens met de litigieuze verwerkingen aan te vangen (artikel 35 AVG).
203. De eerste verweerster heeft eveneens nagelaten om de identiteit van de functionaris voor
gegevensbescherming op te nemen in het verwerkingsregister (artikel 30.1.a) AVG). De
eerste verweerster heeft eveneens artikel 30.1.b) en c) AVG geschonden door niet alle
doeleinden en categorieën van persoonsgegevens in het kader van de tijdsregistratie zoals
vermeld in het arbeidsreglement versie 2022 op te nemen in het register van
verwerkingsactiviteiten. Tot slot stelt de Geschillenkamer vast dat de tweede verweerster
als ontvanger van de persoonsgegevens in haar hoedanigheid als verwerker in het kader van
het biometrisch tijdsregistratiesysteem niet wordt vermeld in het register voor
verwerkingsactiviteiten (artikel 30.1.d) AVG).
Beslissing ten gronde 114/2024 – 52/71
204. Tot slot heeft de Geschillenkamer, gelet op bovenstaande inbreuken, vastgesteld dat de
eerste verweerster een inbreuk heeft begaan op de verantwoordingsplicht ex artikel 5.2
AVG.
III.1.1.2. Maatregelen genomen door de Geschillenkamer
205. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° de klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel,
die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
206. Voor wat betreft de bovenvermelde vastgestelde inbreuken met betrekking tot de
documentatieverplichtingen ingevolge artikel 30.1.a), b), c) en d) AVG en artikel 35 AVG
beslist de Geschillenkamer om een berisping op te leggen op basis van artikel 100, 5° WOG.
Het belang van het opstellen van een GEB ingevolge artikel 35 AVG mag niet worden
onderschat. De verplichting tot het uitvoeren van een GEB is bedoeld om het proces van
verwerking van persoonsgegevens te beschrijven, zodat niet alleen de noodzaak en de
evenredigheid van de verwerking in kaart worden gebracht, maar ook de risico’s voor de
rechten en vrijheden van betrokkenen bij de verwerking van persoonsgegevens. Het niet
uitvoeren van een GEB is daarmee op zichzelf (dus) al een overtreding van de AVG, terwijl
het bovendien de kans vergroot op nieuwe overtredingen van de AVG omdat risico’s op
mogelijke (andere) inbreuken van de AVG niet tijdig worden onderkend.
Beslissing ten gronde 114/2024 – 53/71
207. Voor wat betreft de verplichtingen inzake het opstellen van een verwerkingsregister ex
artikel 30 AVG wijst de Geschillenkamer erop dat, om de in de AVG vervatte verplichtingen
doeltreffend te kunnen toepassen, het van essentieel belang is dat de
verwerkingsverantwoordelijke en de verwerkers een volledig en accuraat overzicht
bijhouden van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register van
verwerkingsactiviteiten is dan ook in de eerste plaats een instrument om de
verwerkingsverantwoordelijke of verwerker te helpen bij de naleving van de AVG voor de
verschillende gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste
kenmerken ervan zichtbaar maakt. De Geschillenkamer is van oordeel dat dit
verwerkingsregister een essentieel instrument is in het kader van de reeds vermelde
verantwoordingsplicht (artikel 5.2 AVG en artikel 24 AVG) en dat dit register ten grondslag
ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke en de
verwerker oplegt. Het is dienvolgens van uiterst belang dat dit volledig en juist is.
208. De Geschillenkamer is van oordeel dat er voldoende elementen zijn om een berisping op te
leggen voor de inbreuken op artikel 5.2, artikel 30 en artikel 35 AVG, hetgeen een lichte
sanctie uitmaakt en volstaat in het licht van de in dit dossier vastgestelde schendingen van
de AVG. Bij het bepalen van de sanctie houdt de Geschillenkamer rekening met het feit dat
de eerste verweerster al verschillende stappen heeft gezet om te voldoen aan haar
verplichtingen zoals voorgeschreven door de AVG en hiervan bewijsstukken overmaakt.
209. Voor wat betreft de inbreuk ingevolge het onvolledig uitvoering gegeven aan het tweede
verzoek tot inzage (in artikel 15.1.d) j° artikel 12.1 van de AVG) waarschuwt de
Geschillenkamer de eerste verweerster voor de toekomst op basis van artikel 100, 5° WOG
enerzijds dat het feit dat de persoonsgegevens van de betrokkene niet langer worden
verwerkt door de verwerkingsverantwoordelijke, niet betekent dat geen uitvoering meer
moet worden gegeven aan het recht op inzage, en anderzijds dat indien de gevraagde
informatie niet valt onder de opsomming uit artikel 15.1 AVG zulks niet betekent dat geen
antwoord moet worden geformuleerd op een verzoek tot inzage, aangezien de verplichting
om op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie
te verstrekken ook slaat op de informatieverplichtingen uit artikel 13 AVG. Het feit dat deze
informatie wordt gevraagd in een verzoek tot inzage betekent niet dat er geen gevolg moet
worden gegeven aan dit verzoek om informatie. De Geschillenkamer is van oordeel dat een
waarschuwing volstaat, gelet op het feit dat het niet zo is dat de eerste verweerster het de
klager in het geheel onmogelijk heeft gemaakt om zijn recht op inzage uit te oefenen.
Integendeel, de eerste verweerster had reeds geantwoord op het eerste verzoek tot inzage
van de klager, hetgeen deels werd herhaald in haar antwoord op het tweede verzoek tot
inzage van de klager.
Beslissing ten gronde 114/2024 – 54/71
210. Voor wat betreft de inbreuken op de artikel 5.1.a) AVG, artikel 6.1 AVG, artikel 9.1 en 9.2
AVG, artikel 5.1.b) AVG, artikel 5.1.c) AVG) inzake de beginselen van rechtmatigheid,
doelbinding en dataminimalisatie en de inbreuk op artikel 13.1.c), 13.2.c), 13.2.d) en 13.2.e)
AVG inzake de informatieverplichtingen, beslist de Geschillenkamer om over te gaan tot het
opleggen van een administratieve geldboete ingevolge haar bevoegdheden op basis van
artikel 83 AVG en artikel 100, §1, 13° WOG.
III.1.1.3. Berekening van de geldboete
211. De EDPB heeft op 24 mei 2023 de Richtsnoeren 04/2022 voor de berekening van
administratieve geldboeten krachtens de AVG 32 (hierna: de Richtsnoeren) aangenomen. De
Richtsnoeren zijn onmiddellijk van toepassing, omdat deze niet voorzien in overgangsrecht
voor procedures die al liepen op het moment van instemming met de Richtsnoeren. De
Geschillenkamer zal deze Richtsnoeren dan ook toepassen op deze zaak.
212. De Richtsnoeren beschrijven een methodiek om de omvang van de boete te bepalen als
volgt:
Stap 1: welke en hoeveel handelingen en inbreuken liggen voor ter beoordeling;
Stap 2: welk bedrag vormt het uitgangspunt bij de berekening van de boete voor de
vastgestelde inbreuken (uitgangsbedrag);
Stap 3: welke verzachtende of verzwarende omstandigheden doen zich desgevallend voor
die nopen tot aanpassing van het bedrag uit stap 2;
Stap 4: welke maximumbedragen gelden voor de overtredingen en of eventuele
verhogingen uit de vorige stap dit bedrag niet te boven gaan;
Stap 5: de beoordeling of het uiteindelijke bedrag van de berekende boete voldoet aan de
vereisten van doeltreffendheid, afschrikking en evenredigheid, en zo nodig daaraan wordt
aangepast.
213. De Geschillenkamer zal de omvang van de administratieve boete bepalen aan de hand van
deze methodiek.
III.1.1.4. Stap 1: Vaststellen van de handelingen en bepalen van de inbreuken
214. Om het startbedrag van de boete te bepalen, moet zoals in de Richtsnoeren is beschreven
allereerst worden bezien of sprake is van één of meerdere sanctioneerbare gedragingen. De
Geschillenkamer heeft vastgesteld dat de eerste verweerster op onrechtmatige wijze
bijzondere categorieën van persoonsgegevens verwerkte in het kader van het
32
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
Beslissing ten gronde 114/2024 – 55/71
tijdsregistratiesysteem en hierbij ook de beginselen van doelbinding en dataminimalisatie
schond (artikel 5.1.a) AVG, artikel 6.1 AVG, 9.2 AVG, artikel 5.1.b) AVG, artikel 5.1.c) AVG).
215. Verder heeft de Geschillenkamer geoordeeld dat de welkomstbrochure de betrokkenen
onvoldoende heeft geïnformeerd omtrent de litigieuze verwerking. Meer bepaald schoot de
welkomstbrochure tekort voor wat betreft onder andere de bewaartermijnen (artikel
13.2.e) AVG), doeleinden en rechtsgrond (artikel 13.1.c) AVG). De Geschillenkamer meent
dat deze niet (op afdoende wijze) werden opgenomen in de welkomstbrochure. Aangezien
de eerste verweerster zich – weliswaar onrechtmatig – beroept op artikel 6.1.a) en artikel
9.2.a) AVG, diende ook aan de betrokkenen te worden meegedeeld dat zij het recht hadden
om hun toestemming in te trekken (artikel 13.2.c) AVG). Wat betreft de vermelding van de
mogelijkheid om een klacht in te dienen bij de GBA (artikel 13.2.d) AVG), stelt de
Geschillenkamer vast dat dit evenmin is vermeld in de welkomstbrochure.
216. Naar het oordeel van de Geschillenkamer gaat het in dit geval om één sanctioneerbare
gedraging. In dit kader verwijst de Geschillenkamer naar de Richtsnoeren die stellen dat bij
het beoordelen van “dezelfde of daarmee verband houdende verwerkingsactiviteiten” niet
mag worden vergeten dat de toezichthoudende autoriteit voor haar beoordeling van
inbreuken rekening kan houden met alle verplichtingen die wettelijk zijn voorgeschreven
voor de rechtmatige verrichting van de verwerkingsactiviteiten, met inbegrip van
transparantieverplichtingen (bv. artikel 13 AVG). Dit wordt ook onderstreept door de
formulering “met betrekking tot dezelfde of daarmee verband houdende
verwerkingsactiviteiten”, waaruit blijkt dat deze bepaling geldt voor alle inbreuken die
betrekking hebben op en gevolgen kunnen hebben voor dezelfde of daarmee verband
houdende verwerkingsactiviteiten.33 De Geschillenkamer stelt vast dat de hierboven
vastgestelde inbreuken met betrekking tot de beginselen rechtmatigheid, doelbinding,
dataminimalisatie, de informatieverplichtingen en de verantwoordingsplicht verband
houden met dezelfde verwerkingsactiviteit, namelijk het tijdsregistratiesysteem door
middel van vingerafdrukken. Bijgevolg stelt de Geschillenkamer vast dat de
omstandigheden een enkele gedraging uitmaken waardoor één geldboete zal worden
opgelegd voor de inbreuken die voortvloeien uit de gedraging in kwestie.
III.1.1.5. Stap 2: bepalen van het uitgangsbedrag
217. Zoals in de Richtsnoeren is beschreven, dient vervolgens het uitgangsbedrag van de
boetehoogte te worden bepaald. Dit startbedrag vormt het uitgangspunt voor de verdere
berekening in latere stappen, waarbij alle relevante feiten en omstandigheden in aanmerking
worden genomen. In de Richtsnoeren is vermeld dat het uitgangsbedrag wordt bepaald aan
de hand van drie elementen: i) de categorisatie van de inbreuken volgens artikel 83, vierde
33
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 13, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
Beslissing ten gronde 114/2024 – 56/71
tot en met zesde lid, van de AVG (stap 2.1); ii) de ernst van de inbreuk (stap 2.2) en iii) de omzet
van de onderneming (stap 2.3).
III.1.1.5.1. Stap 2.1: Categorisatie van de inbreuken volgens artikel 83,
vierde tot en met zesde lid
218. Zoals vermeld in de Richtsnoeren zijn vrijwel alle verplichtingen van de
verwerkingsverantwoordelijke gecategoriseerd in de bepalingen van artikel 83, vierde tot
en met zesde lid, van de AVG. De AVG maakt onderscheid tussen twee soorten inbreuken.
Enerzijds de inbreuken die sanctioneerbaar zijn op grond van artikel 83.4 van de AVG en
waarvoor een maximumboete geldt van 10 miljoen EUR (of in geval van een onderneming,
2% van de jaaromzet, indien dat hoger is), anderzijds de inbreuken die sanctioneerbaar zijn
op grond van artikel 83, vijfde en zesde lid, van de AVG en waarvoor een maximumboete
geldt van 20 miljoen EUR (of in geval van een onderneming, 4% van de jaaromzet, indien dat
hoger is). Met dit onderscheid heeft de wetgever voorzien in een eerste indicatie in abstracto
van de ernst van de inbreuk: hoe ernstiger de inbreuk, hoe hoger de boete.
219. Voor de thans voorliggende overtredingen van artikel 5.1.a) AVG, artikel 6.1 AVG, artikel
9.1 en 9.2 AVG, artikel 5.1.b) AVG, artikel 5.1.c) AVG, artikel 13.1.c, 13.2.c), d) en e) AVG j°
artikel 12.1 AVG, kan een bestuurlijke boete worden opgelegd van maximaal 20 miljoen
euro, of in geval van een onderneming, 4% van de wereldwijze jaaromzet, indien dat hoger is
(artikel 83.5 AVG). Uit deze categorisering volgt dat de inbreuken van deze bepalingen door
de wetgever als ernstig worden beschouwd.
III.1.1.5.2. Ernst van de inbreuken in de voorliggende zaak
220. Ter bepaling van de ernst van de inbreuk moet op grond van de Richtsnoeren rekening
worden gehouden met de aard, de ernst en de duur van de overtreding, alsmede met de
opzettelijke of nalatige aard van de inbreuk en de categorieën van betrokken
persoonsgegevens.
221. Aard van de inbreuk - De Richtsnoeren bepalen dat de toezichthoudende autoriteit kan
nagaan welk belang de geschonden bepaling moet beschermen en welke plaats deze
bepaling heeft in het kader voor gegevensbescherming. De AVG bepaalt omtrent de
rechtmatigheid dat er zes grondslagen zijn voor een rechtmatige verwerking van
persoonsgegevens. Wanneer de verwerkingsverantwoordelijke een verwerking van
persoonsgegevens uitvoert of plant uit te voeren, moet deze de nodige aandacht besteden
aan de meest geschikte rechtsgrondslag voor de voorgenomen verwerking. 34 De
toepasselijke rechtsgrond heeft bovendien ook invloed op de toepasselijke rechten van
betrokkenen of op de toepasselijke informatieplichten. Inbreuken op deze kernbeginselen
34
EDPB – Guidelines 5/2020 on consent under Regulation 2016/679 (5 mei 2020) p. 5
https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent en.pdf
Beslissing ten gronde 114/2024 – 57/71
vormen derhalve ernstige inbreuken, die met de hoogste administratieve boetes waarin de
AVG voorziet kunnen worden bestraft. Bijgevolg concludeert de Geschillenkamer dat de
rechtmatigheid een centrale plaats inneemt in het kader van gegevensbescherming en dus
het opleggen van een boete rechtvaardigt.
222. Aard, ernst en duur van de overtreding (artikel 83.2.a) AVG) — Met betrekking tot de ernst
van de overtreding merkt de Geschillenkamer op dat het beginsel van rechtmatigheid
(artikel 5.1.a) en artikel 6 AVG), in samenhang met de beginselen van doelbinding (artikel
5.1.b) AVG) en dataminimalisatie (artikel 5.1.c) AVG) fundamentele beginselen zijn van de
bescherming die door de AVG worden gegarandeerd. Verder dient de
verwerkingsverantwoordelijke de betrokkene de informatie te verstrekken die noodzakelijk
is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen,
met inachtneming van de specifieke omstandigheden en de context waarin de
persoonsgegevens worden verwerkt.
223. Voor wat betreft de aard van de verwerking merkt de Geschillenkamer op dat een geldige
rechtsgrond en transparante informatie tot de kernelementen van het grondrecht op
gegevensbescherming behoren. Inbreuken op deze kernbeginselen vormen derhalve
ernstige inbreuken, die met de hoogste administratieve boetes waarin de AVG voorziet
kunnen worden bestraft.
224. In haar reactie op het sanctieformulier betwist de eerste verweerster de ernst van de
overtreding niet, maar wijst erop dat de ernst moet worden beoordeeld in het licht van alle
onderstaande omstandigheden, specifiek aan deze zaak. Zij wijst erop dat de aard van de
verwerking geen hoog risico inhield aangezien het door de tweede verweerster ingevoerde
systeem het enkel mogelijk maakte om een code te koppelen aan de gevoelige gegevens,
waarbij de digitale vingerafdruk in de hardware bleef. Bijgevolg kon bij de verwerking van
gevoelige gegevens enkel een code worden gecreëerd die vervolgens werd gekoppeld aan
het individuele dossier van de werknemer waarin enkel de gewerkte uren werden
geregistreerd. De gevoelige gegevens worden niet gereproduceerd, gecommuniceerd of
geanalyseerd. Alleen kloktijden worden genomen en gekoppeld aan een code, de digitale
vingerafdruk blijft in de hardware van de tweede verweerster dat, zo werpt de eerste
verweerster op, niet lijkt te zijn bekritiseerd door de Geschillenkamer. De Geschillenkamer
houdt met deze omstandigheden rekening in stap 3 bij de beoordeling van eventuele
verzwarende of verzachtende omstandigheden, zoals voorgeschreven door de
Richtsnoeren.35 Overeenkomstig de Richtsnoeren mag elk criterium van artikel 83.2 AVG
slechts eenmaal in aanmerking genomen worden.
35
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 29.
Beslissing ten gronde 114/2024 – 58/71
225. Met betrekking tot het doel van de verwerking stelt de Geschillenkamer vast dat de
verwerking tot doel had om de werktijden van de werknemers te registreren en op basis
daarvan het loon te berekenen en uit te betalen. Zoals ook aangegeven kon geen uitbetaling
gebeuren als er geen tikkingen geregistreerd werden waardoor er maatregelen met
negatieve gevolgen konden worden genomen. Overeenkomstig de Richtsnoeren kent de
Geschillenkamer meer gewicht toe aan deze factor gelet op de verhouding tussen
betrokkenen als werknemers en de eerste verweerster als werkgever. 36
226. In haar reactie op het sanctieformulier voert de eerste verweerster aan dat zij actief is in de
productie van lichte metalen verpakkingsproducten (aluminium blikjes). In die hoedanigheid
verwerkt zij alleen gegevens over werktijden, die worden verkregen door biometrisch in- en
uitklokken. De gevoelige gegevens blijven immers beveiligd en opgenomen in het systeem
van de tweede verweerster. De periferie van de hoofdactiviteit is daarom beperkt tot de
salarisberekening die gebaseerd is op de registratie van de werktijd.
227. De Geschillenkamer merkt immers op dat het vooropgesteld doel van de litigieuze
verwerking ook mogelijk was geweest zonder de verwerking van de biometrische
persoonsgegevens in kwestie. De verwerking van persoonsgegevens maakt geen
kernactiviteit van de eerste verweerster uit, maar het is wel een belangrijke nevenactiviteit
bij het vervullen van haar kerntaak. De Geschillenkamer kent een zwaar gewicht toe aan deze
factor.
228. Omtrent de zwaarte van de inbreuk neemt de Geschillenkamer in overweging dat de
onrechtmatige verwerking in het kader van de tijdsregistratie in kwestie van toepassing was
op alle werknemers. Hetzelfde geldt ook voor de informatieverplichtingen voor de
werknemers, althans tot de aanname van het arbeidsreglement 2022. Vervolgens betrekt
de Geschillenkamer bij de beoordeling van de zwaarte van de inbreuk weliswaar de
hierboven vermelde begane overtredingen. Het is evenwel niet zo dat de eerste verweerster
op geen enkele wijze gevolg heeft gegeven aan haar verplichtingen ingevolge de AVG. De
eerste verweerster heeft, op onrechtmatige wijze, de toestemming ingeroepen als
rechtsgrond voor de litigieuze verwerking. Hoewel de Geschillenkamer meerdere inbreuken
heeft vastgesteld inzake de informatieverplichtingen omtrent de litigieuze verwerking, kan
niet worden gezegd dat de eerste verweerster volledig heeft nagelaten haar werknemers
op de hoogte te brengen van de litigieuze verwerking. Verder blijkt ook niet dat de
werknemers substantiële schade hebben geleden door de litigieuze verwerking en de
gebrekkige informatieverstrekking. De Geschillenkamer kent een licht gewicht toe aan deze
factor.
36
EDPB – Guidelines 5/2020 on consent under Regulation 2016/679 (5 mei 2020) p. 20
https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent en.pdf
Beslissing ten gronde 114/2024 – 59/71
229. Betreffende de duur werd vastgesteld dat het litigieuze systeem voor tijdsregistratie werd
ingevoerd op 16 maart 2020 en werd stopgezet naar aanleiding van het Inspectieverslag
einde 2022, hetgeen een relatief korte periode uitmaakt. Voor wat betreft de duur van de
overtreding voert de eerste verweerster in haar reactie op het sanctieformulier aan dat zij
een relatief nieuw bedrijf is dat een fout heeft gemaakt in het systeem voor registratie van
werkuren. Zij voert eveneens aan dat zij het tijdsregistratiesysteem onmiddellijk heeft
stopgezet. De Geschillenkamer kent een licht gewicht toe aan deze factor.
230. Met betrekking tot de reikwijdte van de verwerking voert de eerste verweerster aan dat de
gevoelige gegevens in kwestie, i.e. vingerafdrukken, vergrendeld en veilig blijven in het
hardware-systeem van de tweede verweerster. De omvang van de verwerking is dus zeer
lokaal en toont aan dat het risico zeer laag of zelfs onbestaand is, aangezien de gevoelige
gegevens in het systeem van de tweede verweerster blijven, dat beveiligd en versleuteld is.
De eerste verweerster zelf beschikt niet over de vingerafdruk, maar alleen over de
versleutelde code die aan de vingerafdruk en de registratiegegevens van de werktijden is
gekoppeld. De eerste verweerster merkt op dat deze code zelf door de apparatuur van de
tweede verweerster wordt geproduceerd en dat de coderingssleutel niet bekend is bij de
eerste verweerster mocht zij de digitale vingerafdruk als zodanig willen verkrijgen. De
omvang van de lokale verwerking maakte het onmogelijk om elke associatie tussen de code
en de vingerafdrukken die in de hardware van de tweede verweerster waren opgeslagen uit
te sluiten, zodat het risico van de verspreiding zeer klein was. De Geschillenkamer houdt met
deze omstandigheden rekening in stap 3 bij de beoordeling van eventuele verzwarende of
verzachtende omstandigheden, zoals voorgeschreven door de Richtsnoeren. 37
Overeenkomstig de Richtsnoeren mag elk criterium van artikel 83.2 AVG slechts eenmaal
in aanmerking genomen worden.
231. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.b) AVG) — De
Geschillenkamer herinnert eraan dat “opzet” doorgaans zowel kennis als moedwil met
betrekking tot de kenmerken van een strafbaar feit omvat, terwijl “onopzettelijk” betekent
dat er geen opzet was om de inbreuk te veroorzaken, hoewel de
verwerkingsverantwoordelijke of de verwerker de in de wet voorgeschreven zorgplicht
heeft geschonden38. Er zijn met andere woorden twee cumulatieve elementen vereist om
een inbreuk als opzettelijk te beschouwen, i.e., de kennis van de schending en de
opzettelijkheid met betrekking tot deze handeling. 39
37
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 29.
38
Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor de toepassing en vaststelling van administratieve
geldboeten
in de zin van Verordening (EU) 2016/679 (WP253, 3 oktober 2017), p. 12.
39
Zie ook EDPB – Binding Decision 1/2023 on the dispute submitted by the IE SA on data transfers by Meta Platforms Ireland
Beslissing ten gronde 114/2024 – 60/71
232. Met betrekking tot de opzettelijkheidscomponent herinnert de Geschillenkamer er ook aan
dat het Hof van Justitie een hoge drempel heeft vastgesteld om een handeling als opzettelijk
te beschouwen. Zo heeft het Hof van Justitie in strafzaken geoordeeld dat er sprake is van
“ernstige nalatigheid” veeleer dan “opzet” wanneer “de aansprakelijke persoon een
gekwalificeerde schending begaat van zijn zorgvuldigheidsplicht die hij in acht had moeten
en had kunnen nemen rekening gehouden met zijn hoedanigheid, zijn kennis, zijn
vaardigheden en met zijn individuele situatie”40. Ook al wordt van een onderneming, waarvan
de verwerking van persoonsgegevens niet de kern van de bedrijfsactiviteiten vormt,
verwacht dat het voldoende maatregelen treft om persoonsgegevens te beschermen
alsook dat het zijn plichten in dit opzicht grondig onderkent, een dergelijke gekwalificeerde
schending toont niet noodzakelijk aan dat er sprake is van een opzettelijke overtreding. 41
233. Dit betekent met andere woorden dat een verwerkingsverantwoordelijke ook kan worden
bestraft met een administratieve geldboete op grond van artikel 83 AVG wegens een binnen
de werkingssfeer van de AVG vallende gedraging, wanneer deze
verwerkingsverantwoordelijke niet onkundig kon zijn van het feit dat zijn gedraging een
inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG
schond.42 Er is volgens de Geschillenkamer geen — klaarblijkelijke — intentie in hoofde van
de eerste verweerster om met opzet de AVG te overtreden in het kader van de invoer van
het tijdsregistratiesysteem door middel van biometrische gegevens, noch in het kader van
de gebrekkige informatieverplichtingen. Naar het oordeel van de Geschillenkamer is er wel
sprake van nalatigheid bij het begaan van de overtredingen. De vastgestelde inbreuken zijn
te wijten aan een verkeerde inschatting van de eerste verweerster. Zij heeft
fraudebestrijding in het kader van tijdsregistratie als leidende uitgangspunt gehanteerd,
hetgeen een legitiem doel uitmaakt, maar in dat verband had de eerste verweerster ook de
naleving van de AVG dienen te beoordelen. Van een professionele partij als de eerste
verweerster mag, mede gelet op de bijzondere aard van de persoonsgegevens, worden
verwacht dat zij zich terdege van de voor haar geldende normen vergewist en deze naleeft.
234. In haar reactie op het sanctieformulier volgt de eerste verweerster het standpunt van de
Geschillenkamer en herinnert eraan dat zij wenste een systeem in te voeren om fraude met
arbeidstijden te voorkomen, aangezien dit probleem in het kader van de onderhavige
Ltd (Facebook), randnr. 103, raadpleegbaar op https://www.edpb.europa.eu/our-work-tools/our-documents/binding-
decision-board-art-65/binding-decision-12023-dispute-submitted en.
40
HvJEU, 3 juni 2008, C-308/06, Intertanko e.a. (ECLI:EU:C:2008:312), randnr. 77
41
Zie ook EDPB – Binding Decision 2/2022 on the dispute arisen on the draft decision of the Irish Supervisory Authority
regarding Meta Platforms Ireland Limited (Instagram) under Article 65(1)(a) GDPR, 28 juli 2022, randnr. 204.
42
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), randnr. 76.
Zie ook HvJEU, 18 juni 2013, C-681/11, Schenker & Co. e.a. (ECLI:EU:C:2013:404), randnr. 37; HvJEU, 25 maart 2021,
Lundbeck t. Commissie, C-591/16 P (ECLI:EU:C:2021:243), randnr. 156; en HvJEU 25 maart 2021, C-601/16 P, Arrow Group
en Arrow Generics t. Commissie (ECLI:EU:C:2021:244), randnr. 97.
Beslissing ten gronde 114/2024 – 61/71
procedure wel degelijk aanwezig was en werd aangetoond). De eerste verweerster erkent
dat zij gebruik had moeten maken van een ander systeem voor de registratie van arbeidstijd.
235. De Geschillenkamer erkent de nood van de eerste verweerster om eventuele fraude aan te
pakken en/of te voorkomen en kent een gemiddeld gewicht toe aan deze factor.
236. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g)
AVG) — De Richtsnoeren wijzen erop dat de AVG duidelijk de soorten gegevens vermeldt
die bijzondere bescherming nodig hebben en ten aanzien waarvan derhalve strenger moet
worden opgetreden in verband met geldboeten. Het gaat hierbij in ieder geval om de in de
artikelen 9 en 10 AVG bedoelde soorten gegevens. Over het algemeen geldt dat om hoe
meer van deze categorieën gegevens het gaat of hoe gevoeliger de gegevens zijn, des te
meer gewicht de toezichthoudende autoriteit aan deze factor kan toekennen. 43 De
Geschillenkamer heeft de persoonsgegevens die de eerste verweerster verwerkt als
bijzonder in de zin van artikel 9 AVG aangemerkt. De vastgestelde inbreuken betreffende de
rechtmatigheid en de informatieverplichtingen betreffen dan ook de bijzondere
persoonsgegevens ex artikel 9 AVG, waardoor de Geschillenkamer aan deze factor meer
gewicht toekent.
III.1.1.5.3. Omzet van de onderneming
237. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het
sanctieformulier d.d. 4 juni 2024 nog niet beschikte over de omzetcijfers voor het jaar 2023
en dus bijgevolg de omzetcijfers van 2022 in aanmerking zou moeten nemen. Na verzending
van het sanctieformulier werd de jaarrekening van boekjaar 2023 gepubliceerd op de
website van de Nationale Bank van België waarin een omzet van [/] EUR werd genoteerd.
i. Conclusie uitgangsbedrag
a. Theoretisch uitgangsbedrag (op basis van de zwaarte van de inbreuk)
238. Op grond van artikel 83.5 van de AVG bedraagt het boetemaximum 20 miljoen EUR of, voor
een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar,
indien dit cijfer hoger is, hetgeen in casu niet het geval is. Bijgevolg bedraagt het wettelijk
maximumbedrag 20 miljoen EUR.
239. Op basis van de evaluatie van de hierboven uiteengezette criteria dient de Geschillenkamer
te bepalen of de inbreuk geacht wordt van geringe, middelmatige of hoge ernst te zijn. Deze
43
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 22, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
Beslissing ten gronde 114/2024 – 62/71
categorieën doen geen afbreuk aan de vraag of er al dan niet een boete kan worden
opgelegd.44
240. Deze beoordeling is geen mathematische berekening waarin de bovengenoemde factoren
afzonderlijk worden beschouwd, maar eerder een grondige evaluatie van de concrete
omstandigheden van het geval, waarin alle bovengenoemde factoren onderling met elkaar
verbonden zijn. Daarom moet bij het beoordelen van de zwaarte van de inbreuk worden
gekeken naar de inbreuk als geheel.45
▪ Bij de berekening van de administratieve geldboete voor inbreuken van geringe ernst, zal
de toezichthoudende autoriteit het basisbedrag voor verdere berekening vaststellen op een
bedrag tussen 0 en 10% van het toepasselijke wettelijke maximum.
▪ Bij het berekenen van de administratieve geldboete voor inbreuken van middelmatige
ernst zal de toezichthoudende autoriteit het startbedrag voor verdere berekening
vaststellen op een bedrag tussen 10 en 20% van het toepasselijke wettelijke maximum.
▪ Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere berekening
vaststellen op een bedrag tussen 20 en 100% van het toepasselijke wettelijke maximum. 46
241. In de regel geldt dat hoe zwaarder de inbreuk is binnen de betreffende categorie, des te
hoger het uitgangsbedrag waarschijnlijk zal zijn. 47
242. In haar reactie op het sanctieformulier voert de eerste verweerster aan dat, gelet op de
bovenstaande criteria, de mate van inbreuk als laag zou kunnen worden beschouwd. Zij
verwijst hierbij naar de hierboven besproken elementen zoals de aard van de verwerking, de
reikwijdte van de verwerking, het doel van de verwerking, de omvang van de schade en de
duur van de inbreuk.
243. De Geschillenkamer stelde vast dat er sprake was van een inbreuk op artikel 5.1.a), b) en c)
AVG, artikel 9.1 j° 6.1 en 9.2 AVG enerzijds en anderzijds een inbreuk op artikel 13.1, c) en
13.2, c), d), e) AVG j° artikel 12.1 die bij de inbreuken van artikel 83.5 AVG zijn opgenomen.
Vervolgens maakte de Geschillenkamer een analyse van de aard van de inbreuk, het doel, de
omvang en de duur van de verwerking, alsook van de categorieën van de verwerkte
persoonsgegevens en de nalatige aard van de inbreuk.48
44
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
45
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23, https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
46
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
47
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
48
Zie para 95 t.e.m. 102 van deze beslissing.
Beslissing ten gronde 114/2024 – 63/71
244. Steunend op de voorgaande beoordelingen van de bovenstaande omstandigheden oordeelt
de Geschillenkamer dat de gedraging vallend onder artikel 83.5 AVG op zichzelf van
gemiddelde ernst is. Hierbij houdt de Geschillenkamer enerzijds in het bijzonder rekening
met de gevoelige aard van de biometrische persoonsgegevens en het karakter ervan, de
professionele hoedanigheid van de eerste verweerster als werkgever ten aanzien van de
klager en de ruime omvang, gelet op het feit dat het tijdsregistratiesysteem van toepassing
is op alle werknemers.
245. Anderzijds houdt de Geschillenkamer ook rekening met de eerder relatief beperkte duur van
de inbreuk, het onopzettelijk karakter van de nalatigheid in hoofde van de eerste
verweerster en het feit dat zij de betrokkenen, zij het onvolledig, op de hoogte heeft
gebracht van de litigieuze verwerking.
246. Bijgevolg dient het uitgangsbedrag voor verdere berekening te worden vastgesteld op een
bedrag tussen 10% en 20% van het toepasselijke wettelijke maximum. De Geschillenkamer
besluit om een theoretisch uitgangsbedrag te bepalen van 2 miljoen EUR per overtreding,
i.e. 10 % van het toepasselijke wettelijke maximumbedrag van 20 miljoen EUR (art. 83.5
AVG).
b. Aanpassing van het uitgangsbedrag op basis van de omvang van de
onderneming
247. Vervolgens dient de Geschillenkamer na te gaan of het uitgangsbedrag dient aangepast te
worden op basis van de omvang van de onderneming. Deze aanpassing is enkel van
toepassing op ondernemingen waarop het statische wettelijke bereik van toepassing is,
namelijk wanneer de onderneming een omzet van minder dan 500 miljoen EUR gerealiseerd
heeft in het voorgaande boekjaar. Aangezien dit in casu het geval is, dient de boete te
worden aangepast op basis van het statisch wettelijk bereik.
248. De Geschillenkamer heeft reeds uiteengezet dat de hierboven vastgestelde gedraging valt
onder artikel 83.5 AVG en van een gemiddelde ernst is. Voor inbreuken vermeld in artikel
83.5 AVG, met een gemiddelde ernst, toegepast op een onderneming met een omzet tussen
50 miljoen EUR en 100 miljoen EUR bedraagt de boete 8 tot 20 % van het uitgangsbedrag,
waarbij de boete niet minder dan 160.000 EUR en niet meer dan 800.000 EUR mag
bedragen.49
249. Rekening houdende met de in de Richtsnoeren vastgestelde minimum- en
maximumbedragen per niveau enerzijds, en de relevante jaaromzet van de
verwerkingsverantwoordelijke anderzijds, besluit de Geschillenkamer om het uiteindelijk
uitgangsbedrag van elk van de vastgestelde inbreuken (vallend onder artikel 83.5 AVG met
49
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 52.
Beslissing ten gronde 114/2024 – 64/71
gemiddelde ernstgraad) te verlagen naar een aangepast uitgangsbedrag van 160.000 EUR,
i.e. 8% van het theoretische uitgangsbedrag van 2 miljoen EUR.
III.1.1.6. Stap 3 : beoordeling van verzwarende en verzachtende
omstandigheden
i) Beoordeling toepassing van eventuele verzwarende of verzachtende
omstandigheden
250. Zoals vermeld in de Richtsnoeren dient vervolgens te worden beoordeeld of in de
omstandigheden van het geval aanleiding wordt gevonden om de boete hoger of lager vast
te stellen dan het hiervoor bepaalde uitgangsbedrag. De in aanmerking te nemen
omstandigheden zijn vermeld in artikel 83, tweede lid, aanhef en onder a tot en met k, van
de AVG. De in die bepaling vermelde omstandigheden mogen elk slechts eenmaal worden
beoordeeld. 50 In de vorige stap is reeds rekening gehouden met de aard, de zwaarte en de
duur van de overtreding51, de opzettelijke of nalatige aard van de inbreuk 52 en de categorieën
van persoonsgegevens53. Daardoor resteren nog de onderdelen c tot en met f en h tot en
met k.
251. Maatregelen genomen om de door betrokkenen geleden schade te beperken (artikel
83.2.c) AVG) – Zoals vermeld in de richtsnoeren WP 253 van de Groep 2954 zijn
verwerkingsverantwoordelijken en verwerkers reeds verplicht “technische en
organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau
te waarborgen, effectbeoordelingen inzake gegevensbescherming uit te voeren en de
risico’s voor de rechten en vrijheden van personen die voortvloeien uit de verwerking van
persoonsgegevens, te beperken”. In het geval van een inbreuk dient de
verwerkingsverantwoordelijke of de verwerker dus “al het mogelijke” te doen om de
gevolgen van de inbreuk voor de betrokkene(n) te beperken. De eerste verweerster had in
dit geval moeten nalaten om de biometrische gegevens van haar werknemers te verwerken.
Door dit wel te doen, heeft de eerste verweerster de essentie van deze verplichting
geschonden. Doordat de werknemers van de eerste verweerster onvoldoende waren
geïnformeerd over de verwerking en niet vaststaat dat zij (in vrijheid) de uitdrukkelijke
toestemming hebben gegeven, heeft de eerste verweerster met deze verwerking afbreuk
gedaan aan de bescherming van de persoonsgegevens van haar werknemers.
50
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 23.
51
Zie para 95-98 van deze beslissing.
52
Zie para. 99-101 van deze beslissing.
53
Zie para. 102 van deze beslissing.
54
Groep Gegevensbescherming 29, Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de
zin van Verordening (EU) 2016/679 (3 oktober 2017).
Beslissing ten gronde 114/2024 – 65/71
252. De mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is
gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32 AVG (artikel 83.2.c) AVG) – De Geschillenkamer
heeft in II.8 vastgesteld dat de eerste verweerster verschillende organisatorische
maatregelen heeft genomen om de persoonsgegevens in kwestie te beveiligen. Verder
heeft de eerste verweerster een beroep gedaan op de tweede verweerster voor wat betreft
de technische beveiliging van de persoonsgegevens. De Geschillenkamer heeft vastgesteld
in deel II.7 en II.8 dat er geen sprake is van een inbreuk op artikel 32 AVG. Bijgevolg houdt de
Geschillenkamer rekening met het feit dat de eerste verweerster wel de intentie toonde om
de verwerkte bijzondere persoonsgegevens afdoende te beschermen en hiertoe ook een
verwerkersovereenkomst heeft gesloten met de tweede verweerster. Hierbij houdt de
Geschillenkamer in het bijzonder rekening met het feit dat de vingerafdrukken an sich niet
de beveiligde omgeving van de tweede verweerster verlaten hebben en de eerste
verweerster slechts beschikte over een code die gekoppeld kon worden aan de
tijdsregistratie als verzachtende omstandigheid.
253. Eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker
(artikel 83.2.e) AVG) – De Geschillenkamer houdt er rekening mee dat er op heden geen
andere procedures tegen de eerste verweerder bij haar aanhangig werden gemaakt.
Overeenkomstig de Richtsnoeren dient deze factor dus als neutraal te worden
beschouwd.55
254. De wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk
(artikel 83.2.h) Aangezien de Geschillenkamer kennis heeft gekregen van de inbreuk als
gevolg van een klacht, wordt dit element als neutraal beschouwd overeenkomstig de
Richtsnoeren.56
255. De mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk
te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken (artikel 83.2.f)
AVG) — De Geschillenkamer merkt op dat de eerste verweerder zich coöperatief heeft
opgesteld ten opzichte van haar. Overeenkomstig de Richtsnoeren beschouwt de
Geschillenkamer de gewone verplichting tot samenwerking als neutraal gelet op de
algemene verplichting tot medewerking ex artikel 31 AVG.
256. In haar reactie op het sanctieformulier wijst de eerste verweerster dat zij niet alleen haar
volledige medewerking verleend heeft, maar dat zij ook het gebruik van het biometrische
werktijdregistratiesysteem onmiddellijk heeft stopgezet zonder een beslissing van de
55
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 32.
56
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 33.
Beslissing ten gronde 114/2024 – 66/71
Geschillenkamer af te wachten. Hierdoor werd de duur van de inbreuk, die zich had kunnen
uitstrekken tot de duurtijd van hele procedure, beperkt.
257. De Geschillenkamer erkent dat de eerste verweerster het biometrisch
werktijdregistratiesysteem onmiddellijk heeft stopgezet, maar wijst erop dat zij hiermee
reeds heeft rekening gehouden bij de beoordeling van de duur van de inbreuk (zie supra).
Overeenkomstig de Richtsnoeren mag elk criterium van artikel 83.2 AVG slechts eenmaal
in aanmerking genomen worden in het kader van de algehele beoordeling van artikel 83.2
AVG.57
258. Elke andere omstandigheid van de zaak toepasselijk als verzwarende of verzachtende
factor (artikel 83.2.k) AVG) – De Geschillenkamer houdt rekening met het feit dat er uit de
litigieuze verwerking geen financiële winsten voortvloeien voor de eerste verweerster,
hetgeen de Geschillenkamer als verzachtende factor in aanmerking neemt bij de bepaling
van de hoogte van het boetebedrag. De Geschillenkamer heeft als overige omstandigheid
eveneens meegenomen het lange tijdsbestek tussen het afronden van het
onderzoeksrapport en de hoorzitting enerzijds en (de publicatie van) deze beslissing
anderzijds. Dit onderdeel is als verzachtende factor aangemerkt ten aanzien van de
boetehoogte.
259. De eerste verweerster werpt op dat bij het bepalen van de hoogte van de boete in het
sanctieformulier rekening werd gehouden met de haar omzetcijfers. Zij wijst er echter op dat
het bedrijf sinds haar oprichting in 2019 geen winst gemaakt heeft, maar dat zij zelfs
verliezen boekt die te wijten zijn aan de aard van de investeringen. Bij de redactie van de
reactie op het sanctieformulier wijst de eerste verweerster erop dat de jaarrekeningen van
2023 nog niet afgerond waren, maar dat de financiële vooruitzichten niet positief zijn.
Bijgevolg heeft zij eind 2023 en begin 2024 om economische redenen een reeks ontslagen
moeten doorvoeren. De eerste verweerster verduidelijkt dat haar omzet zeer hoog is, gezien
de aard van haar investeringen en activiteiten, namelijk groothandelsverkoop aan
professionals. Aan de andere kant is de winst van het bedrijf bescheiden, of zelfs negatief
gezien het economische klimaat. De eerste verweerster stelt nog niet de resultaten bereikt
te hebben die het nastreefde toen zij haar activiteiten in België opgestart heeft. Daarnaast
genereert zij een aanzienlijk aantal jobs in Vlaanderen, waarvan een deel in het gedrang kan
komen door de voorgestelde boete van 90.000 EUR.
260. De Geschillenkamer wijst erop dat zij ingevolge de Richtsnoeren van de EDPB de omvang
van de voorgenomen boete dient te berekenen op basis van de omzetcijfers van voorgaande
boekjaar waarbij geen afwijkingen op deze berekeningswijze worden voorzien. De
Geschillenkamer erkent echter het moeilijk economisch klimaat en het feit dat de
57
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),),
p. 29.
Beslissing ten gronde 114/2024 – 67/71
voorgenomen boete een aanzienlijk aantal jobs op de helling zou zetten als verzachtende
factoren in deze zaak. De Geschillenkamer houdt ook hierbij in het bijzonder rekening met
het feit dat de eerste verweerster reeds van in het begin van de procedure de inbreuk erkend
heeft en haar verantwoordelijkheid hieromtrent gedurende de volledige onderhavige
procedure genomen heeft.
261. Overige verzachtende of verzwarende omstandigheden - De overige omstandigheden
missen in dit geval toepassing omdat de omstandigheden waarnaar zij verwijzen zich in dit
geval niet voordoen.
ii) Invloed op het boetebedrag
262. Bovenstaand werd het concreet uitgangsbedrag bepaald van 160.000 EUR. Daaropvolgend
werden eventuele verzachtende of verzwarende omstandigheden onderzocht. De
Geschillenkamer oordeelde dat er verschillende omstandigheden met een verzachtende
factor in aanmerking kunnen worden genomen. Bijgevolg werd de boete in het
sanctieformulier dan ook bijgesteld naar 90.000 EUR.
263. Ingevolge de hierboven uiteengezette elementen, inclusief de argumenten aangedragen
door de eerste verweerster in haar reactie op het sanctieformulier, beslist de
Geschillenkamer om de voorgenomen boete te verlagen van 90.000 naar 45.000 euro.
III.1.1.7. Stap 4: Controle overschrijding van de maximumbedragen
264. Zoals reeds uiteengezet geldt voor de geconstateerde overtreding een maximum
boetehoogte van 4% van de wereldwijze jaaromzet van de onderneming. Gelet op de omzet
van de eerste verweerster ([/] EUR) is het wettelijk maximum van de op te leggen boete
derhalve 3.417.778,64 EUR. Het bepaalde boetebedrag in het sanctieformulier voor de
geconstateerde overtredingen werd bepaald op 90.000 EUR, hetgeen onder het wettelijk
maximumbedrag lag. Het verlaagde bedrag van de boete van 45.000 EUR ligt eveneens
ruim onder het bovenvermeld wettelijk maximum waardoor er zich geen overschrijding
daarvan voordoet.
III.1.1.8. Stap 5: Beoordeling van het doeltreffend, evenredig en
afschrikwekkend karakter
265. Voor wat betreft het onevenredig karakter van de voorgestelde boete, verwijst de eerste
verweerster in haar reactie op het sanctieformulier naar eerdere beslissingen van de
Geschillenkamer betreffende de verwerking van biometrische gegevens, waaronder de
beslissingen omtrent het gebruik van warmtebeeldcamera’s op de luchthavens van Brussel
Zaventem en Charleroi. De eerste verweerster stelt dat de door de Geschillenkamer
opgelegde boetes door het Marktenhof als onevenredig beschouwd werden. Het is volgens
de eerste verweerster duidelijk dat de twee arresten in voormelde zaken van toepassing zijn
op onderhavige zaak aangezien ze betrekking hebben op de onrechtmatige verwerking van
Beslissing ten gronde 114/2024 – 68/71
biometrische gegevens. Vooral volgende punten zijn volgens de eerste verweerster van
belang: (i) de eerste verweerster voert geen marketingreclame, in tegenstelling tot de
luchthavens in bovenstaande zaken, en zij verwerkt geen persoonsgegevens in het kader
van haar hoofdactiviteit, (ii) de verweerster heeft de vingerafdruk als dusdanig nooit
geregistreerd omdat deze binnen het systeem van de tweede verweerster is gebleven en zij
alleen een code kreeg om de informatie met betrekking tot de werkuren te genereren,
hetgeen fundamenteel verschilt van de methode die gebruikt werd op Brussels Airport, en
(iii) de omzet van de eerste verweerster is veel lager dan die van de luchthavens van Brussel
en Charleroi. Gelet op deze omstandigheden zou het voorgestelde bedrag van 90.000
onevenredig zijn, aldus de eerste verweerster.
266. De Geschillenkamer wijst er vooreerst op dat overeenkomstig artikel 83.2 AVG alsook de
richtsnoeren van de Groep 29 en de Richtsnoeren van de EDPB 58 ter zake geldboetes
worden opgelegd “naargelang de omstandigheden van het concrete geval”. Bovendien wijst
de Geschillenkamer in dit verband op de rechtspraak van het Hof van Beroep te Brussel,
sectie Marktenhof, volgens dewelke “het Belgische rechtssysteem geen bindende
precedentwaarde [toekent] noch aan administratieve, noch aan rechterlijke beslissingen.
Elke beslissing van een rechter (en dit geldt evenzo voor elke beslissing van een
administratieve overheid, mits het gelijkheidsbeginsel niet wordt geschonden) is specifiek
en strekt zich niet uit tot een ander dan het behandelde geval”.59 Met betrekking tot de
hoogte van de opgelegde administratieve geldboete wees het Marktenhof tevens op de
appreciatiemarge van de Geschillenkamer: “Dit betekent in de praktijk dat de GBA niet alleen
kan beslissen om aan de overtreder geen boete op te leggen maar ook dat, als zij beslist een
boete op te leggen, deze zich situeert tussen het minimum, gaande van 1 EUR, en het
voorziene maximum. Welke geldboete wordt opgelegd, wordt beslist door de GBA met
inachtneming van de criteria die worden opgesomd door artikel 83, lid 2 AVG”.60 De
Geschillenkamer is dus niet gebonden door bedragen van eerdere boetes die zij in eerdere
zaken heeft opgelegd.
267. Vervolgens verwijst de Geschillenkamer naar het feit dat de EDPB Richtsnoeren inzake de
berekening van administratieve boetes heeft uitgevaardigd, hetgeen nog niet het geval was
toen de voormelde beslissingen inzake warmtecamera’s op de luchthavens genomen
werden. Deze Richtsnoeren leggen de berekening van deze boetes vast aan de hand van
verschillende factoren die de Geschillenkamer in rekening moet nemen. Derhalve kan de
berekening van de administratieve boete voorafgaand aan de uitvaardiging van de
58
Groep Gegevensbescherming Artikel 29, Guidelines on the application and setting of administrative fines for the purposes
of Regulation 2016/679, 3 oktober 2017, EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten
krachtens de AVG (v2.1, 24 mei 2023),), p. 34.
59
Hof van Beroep Brussel (sectie Marktenhof), NV N.D.P.K. t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 12.
60
Hof van Beroep Brussel (sectie Marktenhof), NV N.D.P.K. t. GBA, Arrest 2021/AR/320 van 7 juli 2021, p. 42.
Beslissing ten gronde 114/2024 – 69/71
Richtsnoeren van de EDPB niet worden vergeleken met de berekening van de
administratieve boete op basis van deze Richtsnoeren.
268. Op grond van artikel 83.5, aanhef en onder b, AVG kan de Geschillenkamer voor de
hierboven beschreven overtredingen een administratieve boete opleggen. Zoals in de
Richtsnoeren omschreven, kan het opleggen van een boete als doeltreffend worden
beschouwd als deze het doel bereikt waarvoor deze is opgelegd. De Geschillenkamer stelt
dat het beoogde doel tweeërlei is: enerzijds het bestraffen van onrechtmatige gedragingen
en anderzijds het bevorderen van naleving van de geldende voorschriften. De
Geschillenkamer is van oordeel dat aan de vereiste van doeltreffendheid is voldaan. Voor
wat betreft de evenredigheid verwijst de Geschillenkamer naar de aard, de ernst en de duur
van de inbreuk, alsmede de overige factoren uit artikel 83, tweede lid, AVG zoals beoordeeld
in onderdeel III.1.1.2 tot III.1.1.6 van deze beslissing. De afweging van bovenstaande factoren
in combinatie met het in rekening brengen van de omzet van de eerste verweerster, leidt de
Geschillenkamer ertoe vast te stellen dat de opgelegde geldboete voldoet aan de vereiste
van evenredigheid. Tot slot, voor wat betreft het afschrikwekkend effect, brengt de boete
de eerste verweerster ertoe herhaling in de toekomst te vermijden, alsook heeft de
opgelegde boete een afschrikwekkend karakter ten aanzien van andere
verwerkingsverantwoordelijken. 61 Bijgevolg acht de Geschillenkamer dan ook dat de
opgelegde boete van 45.000 EUR voldoet aan de vereisten van doeltreffendheid,
evenredigheid en afschrikwekkend karakter.
III.1.1.9. Overige grieven
269. De Geschillenkamer gaat over tot een sepot voor wat betreft de overige grieven en
vaststellingen van de Inspectiedienst omdat zij op basis van de feiten en de stukken uit het
dossier niet tot de conclusie kan komen dat er ter zake sprake zou zijn van inbreuken op de
AVG.
III.2. Ten aanzien van de tweede verweerster
270. De Geschillenkamer gaat over tot een sepot voor wat betreft de grieven en vaststellingen
van de Inspectiedienst ten aanzien van de tweede verweerster omdat zij op basis van de
feiten en de stukken uit het dossier niet tot de conclusie kan komen dat er ter zake sprake
zou zijn van inbreuken op de AVG.
IV. Publicatie van de beslissing
271. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
61
Het afschrikkend karakter moet de eerste verweerster als anderen ervan weerhouden om in de toekomst dezelfde inbreuk
te plegen, zie Europees Comité voor Gegevensbescherming (EDPB), Richtsnoeren 04/2022 voor de berekening van
administratieve geldboeten krachtens de AVG (versie 2.1), 24 mei 2023, randnr. 142.
Beslissing ten gronde 114/2024 – 71/71
verzoekschrift op tegenspraak moet worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.63, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
63
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.