1/7
Geschillenkamer
Beslissing ten gronde 125/2021 van 10 november 2021
Dossiernummer : DOS-2020-00292
Betreft : doorgifte persoonsgegevens van lid sportclub aan een derde
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Jelle Stassijns en Frank De Smet;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
De klager: Mevrouw X, hierna “de klager”; .
.
.
De verweerder: Sportclub Y, hierna “de verweerder”
Beslissing ten gronde 125/2021 - 2/7
I. Feiten en procedure
1. Op 29 december 2019 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder.
Het voorwerp van de klacht betreft het doorgeven van de persoonsgegevens van klager waaronder
haar naam, adres, geboortedatum, e-mailadres en data van haar laatste bezoeken aan de
fitnessclub van verweerder, aan een derde. Klager is lid van de fitnessclub van verweerder. Op enig
moment is klager gecontacteerd door een persoon die aangaf in het bezit te zijn van de
persoonsgegevens van klager. Deze derde die eveneens lid is van de fitnessclub geeft daarbij te
kennen persoonsgegevens betreffende klager te hebben ontvangen van verweerder. Nadat deze
derde een ingebrekestelling ontving waarna kwam vast te staan dat zijn echtgenote ten onrechte
de abonnementskosten van klager betaalde (i.p.v. de eigen abonnementskosten), zijn de
persoonsgegevens van klager door verweerder aan deze derde verstrekt. Op 23 januari 2020 wordt
de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG
en wordt de klacht op grond van art. 62, §1 WOG overgemaakt aan de Geschillenkamer.
2. Op 12 augustus 2020 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
3. Op 12 augustus 2020 worden de betrokken partijen per aangetekende zending in kennis gesteld
van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden
zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te
dienen.
4. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij
vastgelegd op 9 september 2020, deze voor de conclusie van repliek van de klager op 23
september 2020 datum] en deze voor de conclusie van repliek van de verweerder op 7 oktober
2020.
5. De partijen hebben niet verzocht om te worden gehoord op een hoorzitting.
6. Op 8 september 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. De verweerder erkent dat er sprake is geweest van het verstrekken van
persoonsgegevens van klager aan een derde door een van haar medewerkers in de fitnessclub te
Y. Deze medewerker kon niet worden ondervraagd door verweerder omdat hij momenteel niet
werkzaam is wegen persoonlijke omstandigheden.
7. Verweerder geeft te kennen de gang van zaken te betreuren en wijst erop dat het volgens de
interne richtlijnen in geen geval is toegestaan dat medewerkers persoonsgegevens verstrekken
aan derden. In aanvulling hierop stelt verweerder dat de rol van clubmedewerkers steeds kleiner
wordt aangezien leden worden aangespoord om gebruik te maken van het principe van “self
service” waarbij leden zelf steeds bepaalde gegevens kunnen controleren en indien nodig wijzigen.
Beslissing ten gronde 125/2021 - 3/7
Daarnaast zijn de volgende maatregelen genomen: De leden kunnen desgewenst ondersteuning
van de klantenservice krijgen; de regiomanagers en teamleiders zijn over dit voorval geïnformeerd
en hun is verzocht dit te bespreken met alle medewerkers; er worden nieuwe flyers uitgedeeld aan
de medewerkers met daarop de verplichtingen uit de AVG waaraan zij zich dienen te houden; deze
flyers zullen steeds een update krijgen en opnieuw worden verspreid teneinde het bewustzijn voor
privacy op niveau te houden; de clubmedewerker die de persoonsgegevens verstrekte zal worden
aangesproken op het moment dat hij terugkeert; de interne procedure wordt verbeterd om
soortgelijke situaties in geval van foutieve rekeningnummers te vermijden.
8. Op 17 december 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Zij
geeft daarin aan dat de voorgestelde maatregelen teneinde het voorkomen van herhaling van
dergelijke gebeurtenissen haar positief stemmen. Zij benadrukt echter dat er bij de verwerking van
persoonsgegevens in december 2019 klaarblijkelijk strijdig met de AVG werd gehandeld. Klager
verzoekt de Geschillenkamer een passende sanctie op te leggen aan verweerder.
II. Motivering
9. Iedere verwerking van persoonsgegevens dient op grond van artikel 6 AVG te berusten op een
rechtsgrond. Klager was lid van de fitnessclub van verweerder en had derhalve in het kader van de
uitvoering van het contract haar persoonsgegevens verstrekt aan verweerder, welke deze
gegevens in het kader van diezelfde overeenkomst mocht verwerken (artikel 6.1 onder b AVG).
10. Een medewerker van verweerder heeft - zoals hierboven reeds omschreven - de
persoonsgegevens van klager waaronder haar naam, adres, geboortedatum, GSM nummer, e-
mailadres en de data van de laatste bezoeken aan de fitnessclub verstrekt aan een derde, omdat
deze - weliswaar ten onrechte - de kosten van het abonnement betaalde voor klager. Uit de
overgelegde e-mails tussen een medewerker van verweerder en de derde blijkt dat de medewerker
de derde heeft geadviseerd om aangifte te doen bij de politie jegens klager wegens diefstal en het
bewijs van de aangifte aan verweerder te bezorgen. Dat advies is door de derde opgevolgd en hij
heeft aangifte tegen klager gedaan.
11. Artikel 5, lid 1 onder b van de AVG voorziet in het doelbindingsbeginsel, dat vereist dat
persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden
moeten worden verzameld en vervolgens niet verder op een met die doeleinden onverenigbare
wijze mogen worden verwerkt.1 De klager heeft haar persoonsgegevens verstrekt in het kader van
Artikel 5 lid 1,b) AVG: Persoonsgegevens moeten : voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden
worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere
verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden
wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); belang,
wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar
met de oorspronkelijke doeleinden beschouwd („doelbinding”);
Beslissing ten gronde 125/2021 - 4/7
een contractuele relatie, in het vertrouwen dat de gegevens alleen worden verwerkt als
noodzakelijk onderdeel van die relatie. De Geschillenkamer is van oordeel dat de verweerder door
het doorgeven van die persoonsgegevens van klager aan een derde, heeft gehandeld in strijd met
de beginselen van gegevensverwerking . Zij heeft immers, zonder daartoe een geldige rechtsgrond
te hebben, de persoonsgegevens doorgegeven aan een derde. Dat de derde ten onrechte de
abonnementsgelden voor klager heeft betaald, rechtvaardigt geenszins de doorgifte van de
persoonsgegevens aangaande klager aan die derde. Klager heeft haar persoonsgegevens immers
verstrekt ter uitvoering van de overeenkomst tussen haarzelf en de fitnessclub, met als enig doel
om gebruik te kunnen maken van de sportfaciliteiten. Het had op de weg van verweerder gelegen
om de administratieve fout te verhelpen door allereerst zelf contact op te nemen met klager en niet
door haar persoonsgegevens door te geven aan de derde.
12. Door op de hierboven omschreven wijze te handelen heeft verweerder de persoonsgegevens die
zij heeft verkregen in het kader van de uitvoering van de overeenkomst, doorgegeven en derhalve
verwerkt voor doeleinden die in strijd waren met het oorspronkelijke doel bij de verkrijging van die
persoonsgegevens, namelijk voor het uitvoeren van de overeenkomst. Het is volgens artikel 6 lid 4
AVG in bepaalde gevallen toch toegestaan om persoonsgegevens die aanvankelijk werden
verzameld om te verwerken voor een bepaald doel, te verwerken voor andere verenigbare
doeleinden (zonder dat daarvoor een afzonderlijke rechtsgrond is vereist). Bij de bepaling van
voorgaande wordt rekening gehouden met: een verband tussen de doeleinden waarvoor de
persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking; het
kader waarin de persoonsgegevens zijn verzameld en verhoudingen tussen de betrokkenen en de
verwerkingsverantwoordelijke; de aard van de persoonsgegevens; de gevolgen van de verdere
verwerking voor de betrokkene; en het bestaan van passende waarborgen. De Geschillenkamer is
van oordeel dat de toetsing aan bovengenoemde elementen geen aanleiding biedt om in casu aan
te nemen dat er sprake was van een verdere en verenigbare verwerking overeenkomstig artikel 6
lid 4 AVG. Er kan noch enig verband worden vastgesteld tussen de doeleinden waarvoor de
gegevens werden verzameld en de doeleinden voor verdere verwerking, noch kan er enige ander
aanknopingspunt worden gevonden die de verdere verwerking zou kunnen rechtvaardigen.
Vermits het hier dus gaat over een niet met de oorspronkelijke doeleinden verenigbare verwerking,
zal de Geschillenkamer in wat volgt onderzoeken of er eventueel een aparte rechtsgrond is
waaronder de verdere verwerking toch zou zijn toegestaan geweest. De enige rechtsgrond die in
casu daarvoor nog in aanmerking zou kunnen komen is gerechtvaardigd belang. Immers, het staat
vast dat de betrokkene geen toestemming heeft verleend.
13. In artikel 6 lid 1 f) AVG is de rechtsgrond gerechtvaardigd belang neergelegd. De Geschillenkamer
zal dus nagaan of de verdere verwerking van de persoonsgegevens van klager in casu eventueel
Beslissing ten gronde 125/2021 - 5/7
rechtmatig was onder voornoemde bepaling. 2 Om dit te kunnen bepalen dient de
verwerkingsverantwoordelijke overeenkomstig de rechtspraak van het Hof van Justitie aan te
tonen dat:
1) de belangen die zij met de verwerking nastreven, als gerechtvaardigd kunnen worden
erkend (de “doeltoets”)
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen
(de“noodzakelijkheidstoets”)
3) een afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijken of van een derde (de “afwegingstoets”).
14. Allereerst is de vraag welk belang en doeleinde de verwerkingsverantwoordelijke met de verdere
verwerking van de persoonsgegevens nastreefde (doeltoets). Door de persoonsgegevens van
klager aan een derde door te geven is de verwerkingsverantwoordelijke tegemoet gekomen aan
het verzoek van de derde die wilde weten in wiens plaats zij de abonnementsgelden had betaald om
er vervolgens voor te zorgen dat die fout kon worden rechtgezet. Het belang van de
verwerkingsverantwoordelijke was om de wijziging in het lidmaatschap door te kunnen voeren in
het systeem zodat de betaling voortaan ten behoeve van de juiste persoon zou gebeuren en de
klant kon worden behouden. Het behoud van de klant kan worden aangemerkt als een
gerechtvaardigd belang.
15. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk was voor de verwezenlijking van de nagestreefde doeleinden
(noodzakelijkheidstoets). Dit betekent dat de vraag dient te worden gesteld of met andere
middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of
zonder een onnodig ingrijpende verwerking voor de betrokkenen. De persoonsgegevens van klager
die zijn doorgegeven door verweerder aan de derde betreffen zoals reeds aangegeven onder
andere de naam, het mobiele telefoonnummer, het e-mailadres, de geboortedatum als ook de data
van de laatste bezoeken aan de vestigingen van verweerder. Het doeleinde dat werd nagestreefd
was het identificeren van de persoon namens wie de abonnementsgelden waren betaald, in plaats
van die van henzelf. De Geschillenkamer stelt vast dat het geenszins noodzakelijk was om de
persoonsgegevens van klager (met onder meer de data waarop en de vestigingen die klager
bezocht) door te geven aan de derde vermits verweerder zelf contact had kunnen opnemen met de
klager. Aan de tweede voorwaarde is derhalve niet voldaan.
2
Artikel 6 lid 1, f AVG: De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden
is voldaan: de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke
of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot
bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
Beslissing ten gronde 125/2021 - 6/7
16. De derde voorwaarde betreft de “afwegingstoets” tussen de belangen van de
verwerkingsverantwoordelijke enerzijds, en de fundamentele vrijheden en grondrechten van
betrokkene, anderzijds. Overeenkomstig overweging 47 AVG dient bij de bepaling hiervan te
worden nagegaan of de “betrokkene op het tijdstip en in het kader van de verzameling van de
persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”
17. Het voorgaande wordt benadrukt door het Hof in zijn arrest “TKt/ Asociaţia de Proprietari bloc
M5A-ScaraA” van 11 december 2019, waarin het stelt:
“Ook relevant voor deze afweging zijnde redelijke verwachtingen van de betrokkene dat zijn of haar
persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het
geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”.
18. De Geschillenkamer stelt vast dat de klager niet had kunnen verwachten dat haar
persoonsgegevens inclusief gegevens betreffende haar verplaatsingen doorgegeven zouden
kunnen worden aan een derde. Aan de derde voorwaarde is derhalve niet voldaan. Gezien het
bovenstaande stelt de Geschillenkamer vast dat gerechtvaardigd belanggeen geldige rechtsgrond
was voor de verdere verwerking van de gegevens van klager. Derhalve is volgens de
Geschillenkamer komen vast te staan dat er sprake is van inbreuken op de artikelen 5 lid 1, b en 6
AVG.
19. Gelet op het feit dat het hier om een eenmalige onrechtmatige verwerking gaat, die mogelijk zelfs
toe te schrijven is aan een menselijke fout, en gelet op het feit dat er inmiddels maatregelen zijn
genomen die geschikt lijken om herhaling te voorkomen, beslist de Geschillenkamer dat het niet
nodig is in dit geval een geldboete op te leggen en dat een eenvoudige berisping volstaat.
III. Publicatie van de beslissing
20. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens
van de partijen rechtstreeks worden bekendgemaakt.
Beslissing ten gronde 125/2021 - 7/7
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- De verweerder een berisping te geven op grond van artikel 100.1.5°, van de WOG.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get). Hielke Hijmans
Voorzitter van de Geschillenkamer