1/13
Geschillenkamer
Beslissing ten gronde 115/2022 van 19 juli 2022
Dossiernummer : DOS-2020-01492
Betreft: klacht met betrekking tot de mededeling van gezondheidsgegevens van
werknemers (personeelsbewegingen - verklaring van ongeschiktheid) - berisping
De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke
Hijmans, voorzitter, en de heren Jelle Stassijns en Romain Robert, leden, die de zaak in deze
samenstelling behandelen;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), -hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met
betrekking tot de verwerking van persoonsgegevens, hierna WVG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”;
De verweerder: Y, hierna "de verweerder".
Beslissing ten gronde 115/2022 - 2 /13
I. Feiten en procedure
1. Op 16 maart 2020 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit
(GBA) tegen haar hiërarchische meerdere, de heer Z, directeur bij Y, de verweerder.
2. In haar klacht hekelt de klager de openbaarmaking door haar directeur van
persoonsgegevens betreffende haar gezondheid tijdens een afdelingsvergadering waarbij
zij niet aanwezig was. Concreet gesproken meldt de klager dat toen zij telefonisch werd
gecontacteerd door bepaalde collega's die wilden weten hoe het met haar ging, zij besefte
dat tijdens de vergadering van haar afdeling van 18 februari 2020 - namelijk de afdeling (...)
van Y -, directeur Z haar vertrek had aangekondigd en het door Cohezio aan de verweerder
verstrekte document had voorgelezen waarin stond dat zij niet geschikt was om in de
toekomst bij de verweerder te werken.
3. Uit de stukken van het dossier blijkt dat op 7 februari 2020, een preventieadviseur-
arbeidsgeneesheer van Cohezio de verweerder meedeelde dat de klager ongeschikt was
om een functie in het bedrijf te bekleden. Deze informatie is intern door personeelszaken
aan de algemene directie van de verweerder doorgegeven en deze heeft de directeur van
de betrokken afdeling, de heer Z, ingelicht.
4. Op 29 april 2020 heeft de Eerstelijnsdienst (ELD) van de GBA de klager eraan herinnerd dat
de AVG van toepassing is op de geheel of gedeeltelijk geautomatiseerde verwerking van
persoonsgegevens, alsmede op de niet geautomatiseerde verwerking van gegevens die in
een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Als aan
deze voorwaarden niet wordt voldaan (wanneer bijvoorbeeld, aldus de ELD, er sprake is van
de mondelinge doorgifte van persoonlijke informatie die niet uit een gegevensbank of
bestand komt en die niet bestemd is om daarin te worden opgenomen 1), is de GBA niet
bevoegd. De ELD concludeert in dit stadium dat in het geval van de onderhavige klacht,
waarin de klager mondelinge uitlatingen hekelt, de klacht niet ontvankelijk zal worden
verklaard en het dossier zal worden afgesloten, tenzij een nieuw element door de klager
wordt aangebracht.
5. Op 30 april 2020 meldt de klager bij de ELD dat de informatie die tijdens de
bovengenoemde vergadering was gegeven, was opgenomen in de notulen van de
afdelingsvergadering. Zij legt de notulen voor en voegt eraan toe dat deze per e-mail aan
alle leden van de afdeling zijn toegezonden (aanwezig of afwezig op de vergadering, d.w.z.
1
De Geschillenkamer vestigt hier de aandacht van de lezer op beslissing 143/2021 van 22 december 2021 waarin zij de
nadruk legde op het volgende: "Met het oog op realisatie van het beoogde doel – enkel gevaccineerde sollicitanten
aanwerven – houdt het antwoord op de vraag naar de vaccinatiestatus die wordt gesteld tijdens de sollicitatie bijgevolg
noodzakelijkerwijs een verwerking in van een persoonsgegeven. Het is moeilijk denkbaar dat geen verwerking plaatsvindt,
zeker gelet op de omvang van de ziekenhuisgroep die duizenden medewerkers tewerkstelt." Met andere woorden
preciseert de Geschillenkamer dat de mondeling meegedeelde gegevens moeten worden beschermd door de AVG,
aangezien zij (noodzakelijkerwijs) bestemd zijn om te worden opgenomen in een bestand, bijvoorbeeld in een dossier of de
notulen van de vergadering zoals in het onderhavige geval.
Beslissing ten gronde 115/2022 - 3 /13
17 personen). Zij worden ook openlijk bewaard op de server van de verweerder en zijn dus
toegankelijk voor al zijn personeelsleden, met inbegrip van andere diensten dan die waar de
klager werkte.
6. De door de klager voorgelegde notulen van de vergadering vermelden met name het
volgende over haar: haar afwezigheid gedurende meerdere weken, het feit dat zij het
voorwerp van een verslag van Cohezio heeft uitgemaakt, het feit dat zij door Cohezio
ongeschikt is verklaard om bij de verweerder te werken, en het feit dat zij niet meer bij de
verweerder zal werken.
Bovendien bevat het gedeelte van de notulen over de klager de aankondiging van haar
vertrek en wordt vermeldt dat de collega's zich vragen stellen over de toewijzing van haar
bureau, haar persoonlijke bezittingen, en over de aanstaande aanwerving van een
vervanger voor de functie die zij bekleedde.
7. Op 30 september 2020, na een nieuw onderzoek, wordt de klacht door de ELD ontvankelijk
verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht op grond van
artikel 62, §1, van de WOG overgemaakt aan de Geschillenkamer.
8. Op 13 oktober 2020 beslist de Geschillenkamer op grond van artikel 95, §1, 1°, en artikel 98
van de WOG dat het dossier gereed is voor behandeling ten gronde.
9. Op dezelfde datum worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsmede van deze in artikel 98 van
de WOG. Zij worden eveneens, op grond van artikel 99 van de WOG, in kennis gesteld van
de termijnen voor het indienen van hun conclusies, met name respectievelijk 25 november
2020 en 8 januari 2021 voor de conclusie van antwoord en de conclusie van repliek van de
verweerder enerzijds, en 17 december 2020 voor de conclusie van antwoord van de klager
anderzijds.
10. Een kopie van het dossier (artikel 95, §2, 3°, van de WOG) wordt bij dezelfde brief van 13
oktober 2020 aan de partijen toegezonden.
11. Per e-mail van 13 oktober 2020 stemt de verweerder ermee in alle communicatie over de
zaak via elektronische weg te ontvangen.
12. In deze e-mail, die rechtstreeks aan de Geschillenkamer werd gericht door de door de klager
aan de kaak gestelde directeur Z, staat verder het volgende:
De heer Z geeft aan dat met betrekking tot de tegen hem ingediende klacht, hij de
aandacht van de Geschillenkamer erop wil vestigen dat in het kader van de
genoemde afdelingsvergadering, hij het hele team op de hoogte heeft gebracht van
de personeelsbewegingen. Zich bewust van het gevoelige karakter van de situatie
van de klager en om iedere discussie of geruchten in verband met haar vertrek uit
de directie en, meer in het algemeen bij de verweerder, te vermijden, verklaart hij
Beslissing ten gronde 115/2022 - 4 /13
dat het hem passend leek om dezelfde bewoordingen te gebruiken als het
algemeen secretariaat (algemene directie) van de verweerder.
Hij preciseert dat hij nooit in het bezit is geweest van de medische diagnose van de
klager en dat hij op basis van een nota tussen de dienst personneelszaken en de
algemene directie van de verweerder, en met name de terminologie in artikel 410
van de Ambtenarencode (ongeschiktheid) 2, de medewerkers van zijn dienst had
geïnformeerd.
Hij voegt eraan toe dat het zijn bedoeling was om zo feitelijk mogelijk te blijven,
teneinde elke vorm van interpretatie van de situatie te vermijden, en dat hij
geenszins de bedoeling had om de klager te schaden of vertrouwelijke informatie
over haar te verspreiden. Hij wilde integendeel, zo vervolgt hij, een zo groot
mogelijke sereniteit op de dienst verzekeren.
Op 28 oktober 2020 stuurt de heer Z dezelfde boodschap aan de Geschillenkamer terug,
waarbij deze als "conclusie" gelden voor de verweerder (zie punt 22 e.v. hierboven).
13. Op 15 december 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
De klager wijst erop dat niet kan worden betwist dat de heer Z enerzijds het door Cohezio
toegestuurde document waarin wordt vermeld dat zij ongeschikt is om haar functie uit te
oefenen, tijdens de afdelingsvergadering heeft voorgelezen, en dat hij tevens toestemming
geeft gegeven, overeenkomstig de interne procedure die dit voorschrijft, om de notulen van
de vergadering op de server van de verweerder beschikbaar te stellen. De klager voegt
eraan toe dat haar directeur haar vertrek aan haar collega's had kunnen aankondigen
zonder de reden voor dat vertrek te vermelden, of haar eventuele toestemming had kunnen
vragen voor de mededeling van deze gevoelige gegevens.
14. De Geschillenkamer heeft geen conclusie van repliek van de verweerder ontvangen, en
geen van beide partijen heeft verzocht te worden gehoord in de zin van artikel 93 van de
WOG en van artikel 51 van het reglement van interne orde (RIO) van de GBA, zoals hen in
bovengenoemde brief van 13 oktober 2020 van de Geschillenkamer was voorgesteld om
te doen indien zij dit wensten.
II. Motivering
2
Art. 410. §1. Onder voorbehoud van artikel 412 en in afwijking van artikel 405, wordt het verlof wegens ziekte zonder
tijdsbeperking toegestaan : 1° naar aanleiding van een ziekte veroorzaakt door een arbeidsongeval, een ongeval op de weg
van en naar het werk of een beroepsziekte; 2° indien de ambtenaar van zijn arbeidsplaats is verwijderd ten gevolge van een
uitvoerbare beslissing van de arbeidsgeneesheer die vaststelt dat de ambtenaar ongeschikt is om een plaats te bekleden
(bedoeld in artikel 2 van het koninklijk besluit van 28 mei 2003 betreffende het gezondheidstoezicht op de werknemers -
AGW van 18 oktober 2012, art. 31) en hem geen enkel vervangend werk toegewezen kan worden. (...) Versie die van kracht
is sinds 1 januari 2020.
Beslissing ten gronde 115/2022 - 5 /13
Wat betreft de identificatie van de betrokken gegevensverwerking
15. Zoals de ELD vermeldt in zijn brief van 29 april 2020 aan de klager (punt 4), is de AVG -
waarvan de correcte naleving door de GBA moet worden gewaarborgd - van toepassing
"op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens,
alsmede op de verwerking van niet geautomatiseerde persoonsgegevens die in een
bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen»3 (artikel 2,
lid 1, van de AVG).
16. Het lijdt geen twijfel dat zowel de mondelinge verklaringen van directeur Z tijdens de
afdelingsvergadering als hun vastlegging in de notulen van die vergadering
persoonsgegevens van de klager zijn. Artikel 4, lid 1, van de AVG definieert het begrip
persoonsgegeven als "alle informatie over een geïdentificeerde of identificeerbare
natuurlijke persoon". De informatie dat de klager (met naam en toenaam genoemd - zie
punt 6) meerdere weken afwezig was, dat zij het voorwerp van een verslag van Cohezio
uitmaakte, dat zij arbeidsongeschikt was verklaard en in de toekomst niet meer bij de
verweerder zou werken, is inderdaad informatie die het mogelijk maakt haar te
identificeren, in dit geval rechtstreeks.
17. De Geschillenkamer wijst er voorts op dat de informatie dat de klager arbeidsongeschikt is
verklaard door de dienst voor welzijn en preventie op het werk, ook gegevens over
gezondheid zijn in de zin van artikel 4, lid 15, van de AVG.
18. De Geschillenkamer herinnert er in dit verband aan dat de AVG heeft gekozen voor een
ruime definitie van gezondheidsgerelateerde gegevens. Artikel 4, lid 15, van de AVG
definieert “gegevens over gezondheid” als “persoonsgegevens die verband houden met de
fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over
verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt
gegeven". Overweging 35 van de AVG, waarin deze definitie wordt verduidelijkt, bevestigt
de keuze voor een ruim en niet-beperkend begrip4. De informatie dat de klager
arbeidsongeschikt is verklaard door beroepsbeoefenaars die tot taak hebben met name de
geschiktheid van werknemers voor de uitoefening van hun functie te beoordelen, onthult
3
De Geschillenkamer onderstreept.
4
Overweging (35): Persoonsgegevens over gezondheid dienen alle gegevens te omvatten die betrekking hebben op de
gezondheidstoestand van een betrokkene en die informatie geven over de lichamelijke of geestelijke gezondheidstoestand
van de betrokkene in het verleden, het heden en de toekomst. Dit omvat informatie over de natuurlijke persoon die is
verzameld in het kader van de registratie voor of de verlening van gezondheidszorgdiensten als bedoeld in Richtlijn
2011/24/EU van het Europees Parlement en de Raad aan die natuurlijke persoon; een aan een natuurlijke persoon toegekend
cijfer, symbool of kenmerk dat als unieke identificatie van die natuurlijke persoon geldt voor gezondheidsdoeleinden;
informatie die voortkomt uit het testen of onderzoeken van een lichaamsdeel of lichaamseigen stof, met inbegrip van
genetische gegevens en biologische monsters; en informatie over bijvoorbeeld ziekte, handicap, ziekterisico, medische
voorgeschiedenis, klinische behandeling of de fysiologische of biomedische staat van de betrokkene, ongeacht de bron,
zoals bijvoorbeeld een arts of een andere gezondheidswerker, een ziekenhuis, een medisch hulpmiddel of een in-
vitrodiagnostiek.
Beslissing ten gronde 115/2022 - 6 /13
geenszins de lichamelijke of geestelijke aandoening waaraan de klager lijdt. Een dergelijke
dienst mag geen medische diagnose of enige andere overweging van medische aard
bekendmaken, aangezien alleen de informatie dat de werknemer niet of niet meer in staat
is zijn functie uit te oefenen, voldoende is voor het beoogde doel: d.w.z. de werkgever in
staat stellen er de consequenties uit te trekken op het vlak van de rechten van de
werknemer, eventueel vertrek/herplaatsing, personeelsbewegingen enz. Deze informatie
over ongeschiktheid onthult niettemin informatie over de gezondheidstoestand van de
klager en moet derhalve worden beschouwd als een persoonsgegeven over haar
gezondheid in de zin van artikel 4, lid 15, van de AVG.
19. In dezelfde zin vormen andere inlichtingen in de notulen (zoals vermeld in punt 15) met
betrekking tot de lange afwezigheid van de klager en het feit dat zij het voorwerp heeft
uitgemaakt van een verslag van Cohezio, eveneens en om dezelfde redenen, gegevens
over gezondheid.
20. Het materiële toepassingsgebied van de AVG vereist voorts dat er een "verwerking" van
persoonsgegevens plaatsvindt in de zin van artikel 4, lid 2, van de AVG, waarbij die
verwerking wordt gedefinieerd als "een bewerking of een geheel van bewerkingen met
betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet
uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen (...),
verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking
stellen, (...)."
21. In het onderhavige geval is de Geschillenkamer dan ook van mening dat de schriftelijke
vastlegging van de bovengenoemde informatie over de klager (punt 15) - waaronder met
name haar ongeschiktheid - in de notulen van een vergadering (als stuk aan de
Geschillenkamer meegedeeld) een verwerking van persoonsgegevens is in de zin van
artikel 4, lid 2, van de AVG, die onder de toepassing hiervan valt ingevolge haar artikel 2.
22. Het ter beschikking stellen van de notulen van de afdelingsvergadering wordt op zich niet
betwist door de heer Z in de geschreven stukken die hij de Geschillenkamer toezond (punt
12). De Geschillenkamer heeft echt nog niet materieel kunnen verifiëren of deze notulen
van de vergadering inderdaad via e-mail en op de server ter beschikking van het personeel
van de verweerder waren gesteld. Indien dit zo is, is het ter beschikking stellen van de
persoonsgegevens van de klager een aanvullende verwerking bij de vastlegging van deze
gegevens in de elektronisch opgestelde en bewaarde notulen, en gelden de
hiernavolgende bevindingen van schending ook hiervoor.
Wat betreft de identificatie van de verwerkingsverantwoordelijke
Beslissing ten gronde 115/2022 - 7 /13
23. De Geschillenkamer merkt op dat in het ingediende klachtenformulier, de klager haar klacht
rechtstreeks richt tot haar hiërarchische meerdere, de heer Z. Zij vermeldt niettemin de
hoedanigheid van directeur van deze laatste bij de verweerder.
24. De Geschillenkamer wees er al eerder5 op dat het voor een klager vaak ingewikkeld is om
de verwerkingsverantwoordelijke correct te identificeren met betrekking tot de
verwerking(en) waarover hij zich beklaagt, omdat deze begrippen in artikel 4, lid 7, van de
AVG, op een juridische wijze zijn gedefinieerd die ongetwijfeld moeilijk te begrijpen is voor
iemand die niet thuis is in de materie.
25. De Geschillenkamer hierinnert er hier aan dat een verwerkingsverantwoordelijke wordt
gedefinieerd als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een
dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de
middelen voor de verwerking van persoonsgegevens vaststelt" (artikel 4, lid 7, van de AVG).
Het is een autonoom begrip, eigen aan de regelgeving inzake gegevensbescherming, dat
moet worden beoordeeld aan de hand van de criteria die daarin zijn vastgesteld: de
vaststelling van de doeleinden van de betrokken gegevensverwerking en van de middelen
voor die verwerking.
26. In zijn richtsnoeren 07/2020 wijst het Europees Comité voor gegevensbescherming (EDPB)
erop dat de verwerkingsverantwoordelijke, volgens de eerder genoemde definitie van
artikel 4, lid 7, van de AVG, weliswaar een natuurlijke persoon kan zijn, maar dat het in de
praktijk over het algemeen de organisatie als zodanig is, en niet een persoon binnen de
organisatie (zoals de algemeen directeur, een werknemer of een lid van de raad van
bestuur), die als verwerkingsverantwoordelijke in de zin van de AVG optreedt 6. Ook al
beschikt hij over een zekere autonomie bij de uitoefening van zijn werkzaamheden, toch is
het in casu niet directeur Z als zodanig die het doel van en de middelen voor de verwerking
vaststelt, maar wel de organisatie waar hij werkt. Tenzij hij zijn boekje te buiten gaat -
hetgeen hier niet is aangetoond -, is hij geen verwerkingsverantwoordelijke. De
Geschillenkamer is dan ook van mening dat de verweerder, en niet een van zijn directeurs,
verwerkingsverantwoordelijke is, aangezien het aan de verweerder is om het doel van en de
middelen voor de binnen zijn organisatie verrichte verwerkingen vast te stellen.
27. De Geschillenkamer heeft bijgevolg de uitnodiging tot indiening van conclusies van 8 april
2020 zowel aan de klager als aan de verweerder in zijn hoedanigheid van
verwerkingsverantwoordelijke, gericht.
Wat betreft de overeenstemming van de verwerking met de AVG
5
Zie bijvoorbeeld de beslissingen 81/2020 en 76/2021 van de Geschillenkamer.
6
Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen
"verwerkingsverantwoordelijke" en "verwerker" in de AVG, vastgesteld op 7 juli 2021 (versie hieronder na openbare
raadpleging), en hier beschikbaar: https://edpb.europa.eu/system/files/2022-
02/eppb_guidelines_202007_controllerprocessor_final_nl.pdf
Beslissing ten gronde 115/2022 - 8 /13
28. Elke verwerking van persoonsgegevens moet steunen op een rechtmatigheidsgrond in de
zin van artikel 6, lid 1, van de AVG. Wat de verwerking van bijzondere categorieën van
gegevens betreft, zoals de gegevens over gezondheid in het onderhavige geval (punten 16-
17), is het rechtmatigheidsvereiste in artikel 6, lid 1, van de AVG alleen van toepassing
indien artikel 9, lid 2, van de AVG voorziet in een specifieke afwijking van het algemene
verbod op de verwerking van bijzondere categorieën van gegevens van artikel 9, lid 1. Met
andere woorden, wanneer gegevens in de zin van artikel 9 van de AVG worden verwerkt,
moet de verwerking ervan gebaseerd zijn op artikel 9, lid 2, van de AVG, gelezen in
samenhang met artikel 6, lid 1, van de AVG.
29. Aangezien de verweerder gegevens over de gezondheid van de klager heeft verwerkt,
moet de verwerking van dergelijke gegevens dus gebaseerd zijn op artikel 9, lid 2, van de
AVG, gelezen in samenhang met artikel 6, lid 1, van de AVG.
30. In casu betwist de klager de rechtmatigheid niet van de verwerking door de verweerder van
de informatie dat zij in het verslag van Cohezio arbeidsongeschikt was verklaard. De
Geschillenkamer herinnert eraan dat naast het feit dat de rechtmatigheid van de
verwerking moet steunen op een gecombineerde lezing van artikel 6, lid 1, en artikel 9, lid
2, van de AVG, in dat geval ook artikel 9 van de WVG van toepassing is wanneer gegevens
over gezondheid worden verwerkt.
De nationale wetgever heeft bepaald dat in uitvoering van artikel 9, lid 4, van de AVG 7 de
verwerkingsverantwoordelijke de volgende biijkomende maatregelen moet nemen, met
name bij het verwerken van gegevens over gezondheid:
1° de verwerkingsverantwoordelijke of, in voorkomend geval, de verwerker, wijst
de categorieën van personen die toegang hebben tot de persoonsgegevens aan,
waarbij hun hoedanigheid ten opzichte van de verwerking van de betrokken
gegevens nauwkeurig wordt omschreven. Deze vereiste weerspiegelt het beginsel
"need to know" volgens hetwelk alleen de personen voor wie de verwerking van
deze gegevens nodig is voor de uitvoering van hun taken, gemachtigd zijn dit te
doen;
2° de verwerkingsverantwoordelijke of, in voorkomend geval, de verwerker, houdt
de lijst van de aldus aangewezen categorieën van personen ter beschikking van de
bevoegde toezichthoudende autoriteit;
3° hij zorgt ervoor dat de aangewezen personen door een wettelijke of statutaire
verplichting, of door een evenwaardige contractuele bepaling, ertoe gehouden zijn
het vertrouwelijke karakter van de betrokken gegevens in acht te nemen.
7
Artikel 9, lid 4: De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking
van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren.
Beslissing ten gronde 115/2022 - 9 /13
31. Wat de klager aanvecht, is de verdere mededeling van informatie over haar gezondheid aan
de collega's van haar afdeling en alle personeelsleden van de verweerder, door de notulen
van de vergadering op de server beschikbaar te stellen.
32. Net zoals zij dat reeds in andere beslissingen 8 heeft gedaan, wijst de Geschillenkamer er
hier op dat de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor
de persoonsgegevens aanvankelijk zijn verzameld, enkel is toegestaan overeenkomstig
artikel 5, lid 1, punt b), van de AVG, indien zij verenigbaar is met de doeleinden waarvoor de
persoonsgegevens oorspronkelijk zijn verzameld.
33. Rekening houdend met de criteria in artikel 6, lid 4, van de AVG en in overweging 50 9, moet
worden nagegaan of de verdere verwerking - d.w.z. in casu de mededeling van de betrokken
informatie aan andere personeelsleden om hen in te lichten over personeelsbewegingen -
al dan niet verenigbaar is met het doel van de oorspronkelijke verwerking.
34. In het onderhavige geval merkt de Geschillenkamer op dat deze verdere mededeling een
ander doel nastreeft dan het eerste doel, dat erin bestond informatie te ontvangen en deze
te verwerken op het niveau van de dienst personeelszaken met het oog op het
personeelsbeheer (beëindiging van de arbeidsverhouding, toekenning van rechten,
eventuele herplaatsing/mobiliteit enz.). In dit verband zijn slechts bepaalde personen, bij de
uitvoering van hun specifieke taken, gerechtigd om deze informatie te ontvangen, met
name gelet op de gevoeligheid van de informatie en de gevolgen ervan voor de betrokkene,
en het beginsel van minimale gegevensverwerkig (evenredigheid - artikel 5, lid 1, punt c),
van de AVG).
35. De Geschillenkamer concludeert in casu dat deze verdere mededeling niet verenigbaar is
met het oorspronkelijke doel. Deze mededeling valt niet binnen de redelijke verwachtingen
van de betrokkene. Gezien het specifieke rechtskader waarbinnen de verwerking van
informatie door Cohezio (persoonsgegevens over gezondheid) plaatsvindt (beperking van
de ontvangers, ontbreken van precieze diagnose), kan de betrokkene - hier de klager - niet
verwachten, integendeel, dat deze gegevens daarentegen op veel grotere schaal zullen
worden meegedeeld dan enkel aan de personen die er functioneel kennis van moeten
nemen. De gevoeligheid van de gegevens is ook in strijd met een ruim opgevatte
verenigbaarheid.
8
Zie bijvoorbeeld beslissing 80/2022 van de Geschillenkamer en de genoemde referenties.
9
Overweging 50 van de AVG: [...] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor
de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften
inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele
koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens
zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de
verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van
de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de
voorgenomen verdere verwerkingen.
Beslissing ten gronde 115/2022 - 10 /13
36. Bijgevolg is er geen sprake van verenigbare verdere verwerking, zodat een afzonderlijke
rechtsgrond vereist was om de genoemde mededeling als rechtmatig te kunnen
beschouwen10.
37. Een verwerking van persoonsgegevens, met inbegrip van een onverenigbare verdere
verwerking zoals in dit geval, is immers slechts rechtmatig indien deze gestoeld is op een
specifieke rechtmatigheidsgrond. Overweging 50 van de AVG 11 is in dit opzicht
uitdrukkelijk. Deze afzonderlijke rechtsgronden zijn die welke in artikel 6, lid 1, van de AVG
worden gedefinieerd en, in voorkomend geval, wanneer het gaat om gegevens over
gezondheid, zoals hier, in artikel 9, lid 2, van de AVG, gelezen in samenhang met artikel 6, lid
1.
38. De verweerder maakt zelf geen gewag van enige rechtmatigheidsbasis en de
Geschillenkamer zou zich tot deze vaststelling kunnen beperken. De Geschillenkamer is
echter van mening dat de mededeling van de gegevens (over gezondheid) van de klager in
het onderhavige geval op geen enkele specifieke rechtmatigsheidsgrond kan steunen.
39. De Geschillenkamer twijfelt zeker niet aan de wens en de legitimiteit van de verweerder om
zijn medewerkers in te lichten over personeelsbewegingen. In die zin heeft de
Geschillenkamer in haar beslissing 63/2021 uitgesproken dat het in het kader van het
personeelsbeleid passend is om de medewerkers over dergelijke bewegingen in te lichten.
Om te voldoen aan het beginsel van minimale gegevensverwerking (evenredigheid), is het
echter voldoende dat deze mededeling beperkt blijft tot de feitelijke mededeling van het
feit dat de betrokkene, de klager hier, niet meer in dienst is.
40. Met betrekking tot de gevallen in artikel 9, lid 2, gelezen in samenhang met artikel 6, lid 1,
van de AVG, stelt de Geschillenkamer het volgende vast:
- de genoemde mededeling aan andere personeelsleden en de vastlegging ervan in de
notulen van de vergadering berusten niet op de toestemming van de klager,
integendeel (artikel 9, lid 2, punt a) van de AVG), zelfs indien zij een geldige
rechtmatigheidsgrond zou kunnen vormen in de context van de professionele relatie
tussen haar en de verweerder, quod non;
- de genoemde mededeling aan de andere personeelsleden en de vastlegging ervan in
de notulen van de vergadering kunnen niet als noodzakelijk worden aangemerkt voor
de uitvoering van de verplichtingen en de uitoefening van de specifieke rechten van
de verwerkingsverantwoordelijke of de klager op het gebied van het arbeidsrecht en
10
Zie in dezelfde zin beslissing ten gronde 03/2021 van 13 januari 2021 van de Geschillenkamer, punt 14
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-03-2021.pdf.
11
Overweging 50 van de AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de
doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke
rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. [...]
Beslissing ten gronde 115/2022 - 11 /13
het socialezekerheids- en socialebeschermingsrecht (artikel 9, lid 2, punt b), van de
AVG);
- deze mededeling aan de andere personeelsleden en de vastlegging ervan in de
notulen van de vergadering zijn niet noodzakelijk voor de bescherming van de vitale
belangen van de klager (artikel 9, lid 2, punt c), van de AVG);
- de mededeling en de vastlegging in de notulen van de vergadering zijn niet verricht
door een stichting, een vereniging of een andere instantie zonder winstoogmerk die
op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in
het kader van hun gerechtvaardigde activiteiten (artikel 9, lid 2, punt d), van de AVG);
- de mededeling en de vastlegging in de notulen van de vergadering hebben geen
betrekking op persoonsgegevens die kennelijk door de klager openbaar zijn gemaakt
(artikel 9, lid 2, punt e), van de AVG);
- de mededeling en de vastlegging in de notulen van de vergadering zijn niet
noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechsvordering
of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid;
- de mededeling en de vastlegging in de notulen van de vergadering zijn niet
noodzakelijk om redenen van zwaarwegend algemeen belang (artikel 9, lid 2, punt g),
van de AVG);
- de mededeling aan de andere personeelsleden en de vastlegging in de notulen van de
vergadering zijn niet noodzakelijk voor doeleinden van preventieve of
arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de
werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale
diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -
diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht,
of uit hoofde van een overeenkomst met een gezondheidswerker (artikel 9, lid 2, punt
h), van de AVG);
- deze mededeling en vastlegging in de notulen van de vergadering zijn niet
noodzakelijk om redenen van algemeen belang op het gebied van de
volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren
voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid
van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen (artikel
9, lid 2, punt i), van de AVG);
- de mededeling en de vastlegging in de notulen van de vergadering zijn niet
noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of
historisch onderzoek of statistische doeleinden (artikel 9, lid 2, punt j), van de AVG).
Beslissing ten gronde 115/2022 - 12 /13
41. Bij gebrek aan een rechtmatigheidsgrond ter rechtvaardiging van de betwiste
(onverenigbare verdere) verwerking van de gegevens van de klager, concludeert de
Geschillenkamer dat de verweerder artikel 5, lid 1, punt b), juncto de artikelen 6, lid 4, en 9,
lid 2, gelezen in samenhang met artikel 6, lid 1 12, van de AVG, heeft geschonden. De
gegevens van de klager hebben immers het voorwerp uitgemaakt van een verdere
verwerking die onverenigbaar is met de welbepaalde, rechtmatige en gerechtvaardigde
doeleinden waarvoor ze oorspronkelijk waren verzameld 13, zonder zich te kunnen beroepen
op een specifieke rechtmatigheidsbasis.
Wat betreft de corrigerende maatregelen en sancties
42. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die
het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
43. Het is belangrijk om de inbreuken waarvoor de verweerder verantwoordelijk is in de juiste
context te plaatsen om de meest geschikte corrigerende maatregelen en sancties vast te
stellen.
12
Zie voetnoot 11 hierboven.
13
Artikel 5, lid 1, punt b), van de AVG.
Beslissing ten gronde 115/2022 - 13 /13
44. Gezien de in punt 41 vastgestelde inbreuk op artikel 5, lid 1, punt b), juncto de artikelen 6, lid 4,
en 9, lid 2, gelezen in samenhang met artikel 6, lid 1, van de AVG, is de Geschillenkamer van
mening dat het een passende corrigerende maatregel is om de verweerder een berisping te
geven. Aangezien de verweerder een overheidsinstantie is in de zin van artikel 221, §2, van de
WVG, is de Geschillenkamer niet bevoegd om hem enige boete op te leggen. De
Geschillenkamer verzoekt de verweerder overigens zijn personeelsleden bewust te maken van
de situatie, zodat soortgelijke situaties zich in de toekomst niet meer zullen voordoen.
45. Bovendien merkt de Geschillenkamer op dat gezien de onderhavige beslissing vastgestelde
schendingen, het aan de verweerder is om in zijn hoedanigheid van
verwerkingsverantwoordelijke, de nodige maatregelen te treffen om de verspreiding van de in
de punten 17 en 19 bedoelde informatie over de gezondheid van de klager onder derden te
beperken of zelfs op te heffen. Overeenkomstig hetgeen in punt 39 hierboven wordt vermeld,
gaat het alleen om de informatie in het door Cohezio afgeleverde attest met betrekking tot de
afwezigheid en de reden van de afwezigheid (ongeschiktheid); de vermelding - in voorkomend
geval geherformuleerd - dat de klager niet meer in dienst van de verweerder zal zijn, mag blijven
staan.
III. Publicatie van de beslissing
Gelet op het belang van transparantie met betrekking tot het besluitvormingsproces van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daarvoor de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging:
- op grond van artikel 100, §1, 5° van de WOG, de verweerder een berisping te geven.
Overeenkomstig artikel 108, §1, van de WOG, kan tegen deze beslissing beroep worden
aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen
vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder.
Beslissing ten gronde 115/2022 - 14 /13
Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat
de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 14. Het
interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend
overeenkomstig artikel 1034 quinquies van het Ger.W., of via het informatiesysteem e-Deposit van
het ministerie van Justitie (artikel 32 ter van het Ger.W.).
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer
14
Het verzoekschrift vermeldt op straffe van nietigheid :
1° de dag, de maand en het jaar;
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn
rijksregister- of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.