1/6
Geschillenkamer
Beslissing 115/2023 van 16 augustus 2023
Dossiernummer : DOS-2023-02893
Betreft : Klacht wegens het zich herhaaldelijk voordoen van een datalek
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: Dhr. X, hierna “de klager”
De verweerder: Y, hierna “de verweerder”
Beslissing 115/2023 - 2/6
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het zich herhaaldelijk voordoen van een datalek. Klager
wenste een document te laten registreren op zijn persoonlijke […]-gebruikersprofiel, maar
het betalingsverzoek en de eigenlijke volmacht werden beiden aanvankelijk (verkeerdelijk)
geregistreerd op het account van de vennootschap […] in de plaats van het persoonlijke […]-
gebruikersprofiel van klager als individuele burger.
De persoonsgegevens die beschikbaar waren via het […]-gebruikersprofiel zijn minstens de
namen van de betrokken lastgever en -hebbers van [het document]. Op basis van de stukken
gevoegd bij de klacht is het onduidelijk of tevens de inhoud van [het document]beschikbaar
was (zie infra). Indien dit het geval was, dan waren eveneens het rijksregisternummer en de
adressen van de betrokkenen raadpleegbaar.
2. Op 4 juli 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder.
3. Op 14 augustus 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
II. Motivering
4. Op basis van de elementen in het dossier die de Geschillenkamer bekend zijn, en op basis
van de bevoegdheden die haar door de wetgever op grond van artikel 95, § 1 WOG zijn
toebedeeld, beslist de Geschillenkamer over de verdere opvolging van het dossier; in casu
gaat de Geschillenkamer over tot het seponeren van de klacht overeenkomstig artikel 95,
§ 1, 3° WOG, op basis van de hiernavolgende motivering.
5. Wanneer een klacht geseponeerd wordt, dient de Geschillenkamer haar beslissing
trapsgewijs te motiveren1 en:
- een technische seponering uit te spreken indien het dossier geen of niet voldoende
elementen bevat die tot een veroordeling kunnen leiden, of indien er onvoldoende
uitzicht bestaat op een veroordeling wegens een technische belemmering,
waardoor zij niet tot een beslissing kan komen;
- of een beleidssepot uit te spreken, indien ondanks de aanwezigheid van elementen
die tot een sanctie kunnen leiden, de voortzetting van het onderzoek van het
dossier niet opportuun lijkt in het licht van de prioriteiten van de
1
Hof van Beroep Brussel, Sectie Marktenhof, 19de kamer A, Kamer voor marktzaken, arrest 2020/AR/329, 2 september 2020,
p. 18.
Beslissing 115/2023 - 3/6
Gegevensbeschermingsautoriteit, zoals gespecificeerd en toegelicht in het
sepotbeleid van de Geschillenkamer2.
6. In het voorliggend dossier gaat de Geschillenkamer over tot een seponering van de klacht,
op grond van beleidsmatige sepotgronden3. Wat hierna volgt ligt aan de basis van de
beslissing van de Geschillenkamer waarom zij het onwenselijk acht verder gevolg te geven
aan het dossier en derhalve beslist niet over te gaan tot, inter alia, een behandeling ten
gronde.
7. Vooreerst gaat de Geschillenkamer overeenkomstig haar sepotbeleid na of de ingediende
klacht grieven bevat met een grote maatschappelijke en/of persoonlijke impact 4.
Teneinde voorgaande te evalueren, houdt de Geschillenkamer rekening met de criteria die
Europese gegevensbeschermingsautoriteiten hanteren om verwerkingen met een “hoog
risico” in de zin van artikel 35 AVG te identificeren.
In casu stelt de Geschillenkamer vast dat de betrokken verwerking waarop de klacht
ingediend door de klager betrekking heeft prima facie niet kan worden ondergebracht in
één van de gevallen opgesomd in artikel 35.3 AVG5.
8. De Geschillenkamer neemt bovendien in rekening dat de lastgever van [het document] (Z)
zelf geen klacht indient en dat het gebruikte email-adres van klager verwijst naar de
vennootschap ter zake (…) wat de oorzaak van de fout/vergissing kan verklaren. Hoewel
een dergelijke vergissing (in het bijzonder wanneer zij zich tweemaal voordoet)
betreurenswaardig is, meent de Geschillenkamer dat de klacht niet valt onder een van de
in aanmerking genomen criteria ter identificatie van de gegevensverwerkingen met grote
maatschappelijke en/of persoonlijke impact, zoals door de
Gegevensbeschermingsautoriteit omschreven in zijn sepotbeleid. De Geschillenkamer
weegt dus de persoonlijke gevolgen van de omstandigheden van de klacht voor de
fundamentele rechten en vrijheden van de klager af tegen de doeltreffendheid van haar
optreden, wanneer zij beslist of zij het opportuun acht de klacht verder te behandelen.
9. Dit betekent niet dat de Geschillenkamer wettig vaststelt dat er geen schending heeft
plaatsgevonden, maar dat de middelen die nodig zijn om de klacht in behandeling te nemen
2
In dit verband verwijst de Geschillenkamer naar haar sepotbeleid zoals uitvoerig uiteengezet op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf
3
Het betreft 3.2.1 (Algemene criteria voor gr“Uw klacht is niet voldoende gedetailleerd of wordt niet ondersteund door bewijs
dat de Geschillenkamer in staat zou kunnen stellen te beslissen of er al dan niet sprake is van een inbreuk op de AVG EN uw
klacht heeft geen grote maatschappelijke en/of persoonlijke impact.”
4
Ibid, afdeling 3.2.1. p. 9.
5
A) Een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op
geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke
persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
b) Grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens
met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of
c) Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
Beslissing 115/2023 - 4/6
(mogelijk) buitensporig zijn, aangezien de klacht geen grote maatschappelijke en/of
persoonlijke impact heeft6.
10. Daarnaast is de Geschillenkamer van oordeel dat de sepotgrond B.5 van toepassing is.
Aangezien reeds is aangetoond dat er geen sprake lijkt te zijn van een grote
maatschappelijke en/of persoonlijke impact, gaat de Geschillenkamer enkel nog na of er in
casu voldoende gedetailleerd bewijs voorhanden is om een beslissing van de
Geschillenkamer mogelijk te maken.
11. De klager deelt mede aan de Geschillenkamer dat via het […]-gebruikersprofiel toegang
mogelijk zou zijn geweest tot [het] ingevulde [document], maar dit blijkt niet als dusdanig
uit de stukken – hier wordt enkel een blanco [document] gelinkt aan het […]
gebruikersprofiel. De Geschillenkamer verneemt tevens dat klager contact heeft
opgenomen met verweerder via het online klachtenformulier van […], maar dat hier geen
verder gehoor aan werd gegeven. Klager heeft echter geen kopie van deze klacht gevoegd
en bijgevolg is het voor de Geschillenkamer onduidelijk of klager in deze klacht rechten
onder de AVG uitoefent of louter melding maakt van het vermeende datalek en bijkomstige
maatregelen vraagt (het ontslag van de medewerkster in kwestie), losstaand van de AVG.
12. Ondanks het feit dat de Geschillenkamer prima facie kan vaststellen dat er zich wel degelijk
inbreuken op de AVG hebben voorgedaan, moet de Geschillenkamer rekening houdend met
het gebrek aan bewijsstukken en het gebrek van een bestaan van een hoge
persoonlijke/maatschappelijke impact concluderen dat de klacht in casu geen behandeling
ten gronde vereist. De Geschillenkamer beslist om opportuniteitsredenen geen gevolg te
geven aan het dossier. Onder artikel 77 AVG geniet elke betrokkene wiens
persoonsgegevens worden verwerkt binnen het territoriaal toepassingsgebied van de AVG,
van een klachtenrecht. Dit objectief klachtenrecht impliceert echter niet dat elke klacht ook
grondig kan en zal onderzocht worden door de bevoegde autoriteit, gezien het intrinsiek
gebrek aan middelen.7 De Belgische wetgever heeft te dezen “de nood voor de
Gegevensbeschermingsautoriteit om selectief te kunnen optreden met het oog op een
effectief en efficiënt handhavingsbeleid” uitdrukkelijk erkend8.
13. De Geschillenkamer wijst er evenwel op dat, in geval van de ontvangst van herhaaldelijke
gelijkaardige klachten betreffende eenzelfde praktijk en/of verwerkingsverantwoordelijke,
een gericht onderzoek betreffende de betrokken verwerkingsverantwoordelijke kan
worden verzocht aan de Inspectiedienst van de Gegevensbeschermingsautoriteit. Het zich
6
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf, afdeling 3.2.2, punt
B.5., p. 15.
7
Vgl. Hof van Justitie EU, arrest van 16 juli 2020, DPC t. Facebook Ireland & Maximillian Schrems, C-311/18, par. 112.
8
Eigen benadrukking in citaat, cfr. Belgische Kamer van Volksvertegenwoordigers, Memorie van Toelichting bij het
Wetsontwerp tot oprichting van de Gegevensbeschermingsautoriteit, Doc. 2648/001 (Zittingsperiode 54), beschikbaar via:
https://www.dekamer.be/kvvcr/showpage.cfm?section=/flwb&language=nl&cfm=/site/wwwcfm/flwb/flwbn.cfm?lang=N&leg
islat=54&dossierID=2648, 51.
Beslissing 115/2023 - 5/6
herhaaldelijk voordoen van een dergelijk incident kan immers wijzen op een eerder
systemische overtreding van de artikelen 25 en/of 32 AVG, wegens het gebrek aan
passende technische en organisatorische maatregelen, om de vertrouwelijkheid en
beveiliging van de persoonsgegevens te waarborgen.
14. Bijkomend wijst de Geschillenkamer op de algemene verplichting cf. artikel 33 AVG van de
Y om datalekken te melden aan de Gegevensbeschermingsautoriteit via het daartoe
voorziene kanaal in het geval dat het incident risico’s inhoudt voor de fundamentele
rechten en vrijheden van betrokkenen, al kan de Geschillenkamer niet meteen vaststellen
dat er in de voorliggende zaak sprake is van dergelijke risico’s. Ieder incident dient
daarentegen wel opgenomen te worden in het daarvoor voorziene incidentenregister,
overeenkomstig artikel 33.5 AVG.
III. Publicatie en mededeling van de beslissing
15. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Hierbij zullen de persoonsgegevens van klager worden
geanonimiseerd.
16. Overeenkomstig haar sepotbeleid, zal de Geschillenkamer de beslissing aan de verweerder
overmaken9. De Geschillenkamer heeft immers besloten om haar sepotbeslissingen
ambtshalve ter kennis te brengen van verweerders. De Geschillenkamer ziet echter af van
een dergelijke kennisgeving wanneer de klager om anonimiteit heeft verzocht ten opzichte
van de verweerder( en de kennisgeving van de beslissing aan de verweerder, zelfs indien
deze gepseudonimiseerd is, het niettemin mogelijk maakt om de klager te
(her)identificeren10. Dit is evenwel niet het geval in de onderhavige zaak.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,
om de voorliggende klacht te seponeren op grond van artikel 95, § 1, 3° van de WOG.
9
Cf. Titel 5 – Zal de sepot van mijn klacht worden gepubliceerd? Zal de tegenpartij hiervan op de hoogte worden gebracht?
van het sepotbeleid van de Geschillenkamer.
10
Ibidem.
Beslissing 115/2023 - 6/6
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten11. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.12, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
Om de klager in staat te stellen andere mogelijke rechtsmiddelen te overwegen, verwijst de
Geschillenkamer de klager naar de toelichting in haar sepotbeleid13.
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
11
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
12
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.
13
Cf. Titel 4 – Wat kan ik doen als mijn klacht wordt afgesloten? van het sepotbeleid van de Geschillenkamer.