1/17
Geschillenkamer
Beslissing ten gronde 127/2022 van 19 augustus 2022
Dossiernummer: DOS-2019-05244
Betreft: klacht tegen een laboratorium voor medische analyse wegens schending van
de beginselen van integriteit, vertrouwelijkheid en transparantie
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Christophe Boeraeve en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van
Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming), hierna "AVG";
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna "WOG";
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
Klager X, hierna "de klager"
Verweerster: Laboratorium voor medische analyse, vertegenwoordigd door Sébastien
Popijn, hierna "de verweerster"
Beslissing ten gronde 127/2022 - 2/17
I. Feiten en procedure
1. Op 4 oktober 2019 diende de klager een klacht in tegen verweerster bij de
Gegevensbeschermingsautoriteit.
2. De klager verdenkt het laboratorium voor medische analyse (hierna: Laboratorium voor
medische analyse) ervan geen gegevensbeschermingseffectbeoordeling te hebben
uitgevoerd, de personen niet correct te hebben geïnformeerd en bijzondere categorieën
van gegevens te verwerken, in casu gezondheidsgerelateerde gegevens, via een niet
beveiligde website.
De klager verklaart dat hij verschillende keren met het laboratorium voor medische analyse
te maken heeft gehad in het kader van medische analyses. Hij kreeg te horen dat zijn arts
elektronisch toegang heeft tot zijn analyseresultaten. Hij stelt echter vast dat de website
van het laboratorium voor medische analyse een pagina bevat voor toegang tot medische
analysegegevens onder de naam "Cyberlab" in een onbeveiligd http-protocol.
3. Op 29 oktober 2019 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van artikelen 58 en 60 van de WOG en wordt de klacht op grond van artikel 62, § 1
van de WOG doorverwezen naar de Geschillenkamer.
4. Op 27 november 2019 beslist de Geschillenkamer om op grond van artikelen 63, 2° en 94,
1° van de WOG een onderzoek bij de Inspectiedienst aan te vragen.
5. Op 29 november 2019 wordt, overeenkomstig artikel 96, § 1 van de WOG, de vraag van de
Geschillenkamer om een onderzoek in te stellen, samen met de klacht en de inventaris van
de stukken, naar de Inspectiedienst doorgestuurd.
6. Op 8 september 2021 wordt het onderzoek van de Inspectiedienst afgesloten, het verslag
wordt bij het dossier gevoegd en dit laatste wordt door de inspecteur-generaal aan de
voorzitter van de Geschillenkamer overgemaakt (art. 91, § 1 en § 2 van de WOG).
Het verslag bevat een aantal bevindingen met betrekking tot het voorwerp van de klacht
en komt tot de volgende vaststellingen:
1. Verweerster kan als verwerkingsverantwoordelijke worden beschouwd
2. Onvoldoende beveiligde gezondheidsgegevens in strijd met artikel 5.1.f), 24, 25 en
32 van de AVG.
3. Geen gegevensbeschermingseffectbeoordeling in strijd met artikelen 35.1 en 35.3
van de AVG.
4. Gebrek aan informatie betreffende de gegevensverwerking in strijd met artikelen
12 tot 14 van de AVG.
Beslissing ten gronde 127/2022 - 3/17
7. Op 21 september 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel
98 van de WOG dat het dossier ten gronde kan worden behandeld.
8. Op 21 september 2021 worden de betrokken partijen per aangetekende brief in kennis
gesteld van de bepalingen van artikel 95, § 2 en van artikel 98 van de WOG. Ze worden ook
in kennis gesteld van de termijnen voor de indiening van hun verweermiddelen,
overeenkomstig artikel 99 van de WOG.
De uiterste datum voor ontvangst van de verweermiddelen van antwoord van verweerster
wordt vastgesteld op 2 november 2021, die voor de verweermiddelen van repliek van
klager op 23 november 2021 en ten slotte die voor de verweermiddelen van repliek van
verweerster op 14 december 2021.
9. Op 27 september 2021 vraagt verweerster om een afschrift van het dossier (art. 95, §2, 3°
van de WOG), dat haar op 6 oktober 2021 wordt toegezonden.
10. Op 2 november 2021 ontvangt de Geschillenkamer de verweermiddelen van antwoord van
verweerster.
11. Op 7 november 2021 ontvangt de Geschillenkamer de verweermiddelen van repliek van
klager.
12. Op 9 december 2021 ontvangt de Geschillenkamer de verweermiddelen van repliek van
verweerster.
13. Op 25 juli 2022 maakt de Geschillenkamer aan verweerster het voornemen kenbaar om
over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag
daarvan teneinde verweerster de gelegenheid te geven zich te verdedigen, voordat de
sanctie effectief wordt opgelegd.
14. Op 15 augustus 2022 ontvangt de Geschillenkamer de reactie van verweerster op het
voornemen om een administratieve geldboete op te leggen, alsmede het bedrag daarvan.
II. Motivering
II.1. Verantwoordelijkheid voor de verwerking
15. In zijn onderzoeksverslag bepaalt de Inspectiedienst (hierna: ID) dat verweerster als
verwerkingsverantwoordelijke kan worden beschouwd. Dat standpunt wordt aanvankelijk
door verweerster betwist, maar uiteindelijk aanvaard in haar syntheseconclusies, volgend
op de verweermiddelen van repliek van klager.
16. De Geschillenkamer beslist dat verweerster als verwerkingsverantwoordelijke kan worden
beschouwd aangezien zij de doeleinden van en de middelen van verwerking bepaalt.
Beslissing ten gronde 127/2022 - 4/17
17. Zij herinnert er evenwel aan dat overeenkomstig het verantwoordelijkheidsbeginsel van
artikel 24 van de AVG verweerster zelf haar verantwoordelijkheden en verplichtingen uit
hoofde van de AVG moet kunnen vaststellen. De Geschillenkamer voegt daar bovendien
aan toe dat de wijzigingen in het standpunt van verweerster in de loop van de procedure tot
een kennelijke verwarring in haar verweer hebben geleid, vermits zij aanvankelijk
bijvoorbeeld aanvoert dat ze niet verplicht was om een GEB uit te voeren omdat zij slechts
een verwerker is1 (en verwerkers niet verplicht zijn om een GEB uit te voeren) en stelde zij
vervolgens dat het niet uitvoeren van een GEB te wijten was aan het feit dat de
verwerkingsactiviteiten aanvankelijk niet voldeden aan de criteria op grond waarvan zij een
GEB moest uitvoeren. 2 Deze standpunten zijn duidelijk niet met elkaar verenigbaar.
II.2. Belang van de klager.
18. Uit het dossier blijkt dat de arts van klager verschillende medische analyses voor zijn
patiënt heeft laten verrichten door verweerster. Verweerster verwerkt dus de
persoonsgegevens van klager of heeft deze verwerkt. De klager heeft er dus belang bij om
in dit dossier op te treden.
II.3. Vaststelling 1: Onvoldoende beveiligde gezondheidsgegevens (artikel 5.1.f), 24, 25 en
32 van de AVG)
19. Uit het onderzoeksverslag blijkt dat verweerster een website heeft. De homepage van deze
website bevat een andere pagina van het laboratorium voor medische analyse onder de
rubriek "Resultaten raadplegen", die verwijst naar het "Cyberlab", de online
resultatenserver van verweerster, waar artsen de resultaten en historieken van de analyses
van hun patiënten in real time kunnen raadplegen.
20. De ID heeft in haar eerste technologisch onderzoeksverslag van 14 januari 2021 (hierna: het
eerste technologisch verslag) vastgesteld dat deze website geen versleuteling bevat (de
verzamelde login en wachtwoord worden onversleuteld verzonden), aangezien die gebruik
maakt van een "http"-protocol in plaats van een versleuteld "https"-protocol.
21. De ID merkt in dat verband op dat "de toegangssite van Cyberlab dus niet beveiligd is en
vatbaar is voor man-in-the-middle-aanvallen. De verzamelde login en wachtwoord worden
onversleuteld verzonden [...]".
22. Naar aanleiding van de antwoorden die verweerster in de loop van het onderzoek heeft
gegeven, wordt op 6 juli 2021 een vervolgverslag op het technologisch onderzoeksverslag
1
Verweermiddelen van verweerster, p. 9
2
Syntheseconclusies van verweerster, p. 7
Beslissing ten gronde 127/2022 - 5/17
opgesteld (hierna: het vervolgverslag). In dat verslag staat onder meer dat het "Cyberlab"
sinds de opstelling van het eerste technologisch verslag beveiligd werd vermits het nu
toegankelijk is via het https-protocol in plaats van het http-protocol. De toepassing van dit
beveiligde protocol verhindert de vrijgave van inloggegevens en voorkomt dus dat iemand
toegang zou krijgen tot de analyseresultaten van patiënten door man-in-the-middle-
aanvallen."
23. Het tweede verslag voegt hieraan toe dat "het encryptieprotocol TLS 1.2 is, dat
verscheidene kwetsbaarheden vertoont" en dat "in vergelijking met het eerste verslag
vooruitgang kan worden vastgesteld [met betrekking tot] de beveiliging van de
doorgegeven informatie, aangezien het TLS 1.2-protocol werd geïmplementeerd in plaats
van een eenvoudige http-verbinding.".
24. Op basis van deze twee technologische verslagen besluit de ID dat er sprake is van een
schending van artikelen 5.1.f), 24, 25 en 32 van de AVG.
25. De argumenten van verweerster kunnen als volgt worden samengevat:
- de klacht tegen haar is niet langer actueel, zoals door de ID wordt opgemerkt en door
de klager in zijn conclusies wordt erkend;
- vóór de invoering van de versleuteling golden er ook al veiligheidsmaatregelen op de
website, aangezien de arts die er toegang toe wenst te krijgen, over een persoonlijke
login en een geheime persoonlijke code moet beschikken;
- bij een man-in-the-middle-aanval wordt ervan uitgegaan dat de hacker eerder de
controle heeft gekregen over de IT-infrastructuur van de arts. In dat geval zou hij toch
alleen maar toegang hebben tot de analyseresultaten van een patiënt;
- dergelijke aanvallen werden niet gedetecteerd en de uitgever van de Cyberlab-
software lijkt geen installatie van een https-certificaat te vereisen;
- de formulering "een passende beveiliging waarborgen" in artikel 5.1.f) van de AVG
veronderstelt dat naar de bestaande omgeving wordt gekeken en dat er niet in
abstracto wordt geredeneerd;
- verweerster heeft beslist om de toegang tot de gegevens beter te beveiligen door een
systeem van "dubbele identificatie van artsen" in te voeren 3, waarbij de artsen vooraf
moeten worden geraadpleegd.
26. Op basis van het onderzoeksverslag en de argumenten van de partijen stelt de
Geschillenkamer vast dat de Cyberlab-website van verweerster ten tijde van de indiening
van de klacht en de inleiding van het onderzoek niet beveiligd was. Na de contactname van
3
Eigen woorden van verweerster.
Beslissing ten gronde 127/2022 - 6/17
de ID met verweerster werd de website beveiligd door uitrol van het TLS 1.2-protocol op
een niet nader bepaalde datum tussen het eerste technologisch verslag van 14 januari 2021
en het tweede technologisch verslag van 6 juli 2021.
27. Afgezien van de door verweerster aangevoerde overwegingen en argumenten, is het TLS-
protocol een basisencryptieprotocol dat sinds 1999 bestaat. Elke entiteit die een
standaardbeveiliging van de gegevens die via haar website worden doorgegeven wil
waarborgen, maakt er gebruik van of zou er gebruik van moeten maken. Deze standaard
wordt zeer algemeen aanbevolen4.
28. Dat geldt zeker voor een platform dat medische analyseresultaten van honderden of
duizenden patiënten verwerkt en toegankelijk maakt5. Deze standaard - en meer bepaald
versie TLS 1.2 - werd pas toegepast nadat de ID contact met verweerster had opgenomen.
29. Het beginsel van integriteit en vertrouwelijkheid, dat is vastgelegd in artikel 5.1.f) van de
AVG, luidt als volgt:
"Persoonsgegevens moeten door het nemen van passende technische of organisatorische
maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging
ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of
onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging
(integriteit en vertrouwelijkheid)."
Dit beginsel wordt verder uitgewerkt in artikel 32 van de AVG.
30. In casu zaak beslist de Geschillenkamer dat een webpagina waarop artsen de resultaten van
medische analyses van patiënten op afstand kunnen raadplegen zonder versleuteling aan
te bieden, in strijd is met het in artikel 5.1.f) en artikel 32 van de AVG vastgelegde
beginsel van integriteit en vertrouwelijkheid.
31. Afgezien van deze artikelen is de ID ook van mening dat verweerster als laboratorium voor
medische analyse dagelijks gezondheidsgegevens verwerkt. Zij was verantwoordelijk voor
het treffen van passende technische en organisatorische maatregelen en voor het
waarborgen van de gegevensbescherming door ontwerp en door standaardinstellingen,
overeenkomstig artikelen 24 en 25 van de AVG en de ID concludeert derhalve dat er sprake
is van een schending van deze artikelen.
32. Verweerster verdedigt zich in verband met vaststelling 1 in haar geheel met de in punt 25
samengevatte argumenten en maakt geen onderscheid tussen de schending van artikelen
5.1.f) en 32 enerzijds en artikelen 24 en 25 anderzijds.
4
Zie bijvoorbeeld de aanbevelingen van de CNIL over de beveiliging van websites; de richtlijnen van de EDPS over de
bescherming van persoonsgegevens die worden verwerkt door webdiensten van EU-instellingen (punt 82).
5
Verweerster heeft in haar verweermiddelen verklaard dat zij vóór het begin van de COVID-pandemie 50 analyses per dag
verwerkte en dat dit cijfer sindsdien fors is gestegen.
Beslissing ten gronde 127/2022 - 7/17
33. De Geschillenkamer is van oordeel dat de vaststelling van een schending van artikelen 5.1.f)
en 32 van de AVG volstaat om de tekortkoming in verband met de beveiliging van de
verwerking te sanctioneren.
34. Voorts verklaart verweerster in haar syntheseconclusies dat "om de beveiliging van de
toegang tot de gegevens verder te versterken, het laboratorium voor medische analyse
heeft beslist een systeem van dubbele identificatie van artsen in te voeren". De
Geschillenkamer leidt uit deze zin af dat verweerster doelt op een
multifactorauthenticatiesysteem. In casu benadrukt de Geschillenkamer het belang van
het opzetten van een robuust authenticatiesysteem, dat met twee authenticatiefactoren
kan werken. Ze voegt eraan toe, hoewel dit aspect geen deel uitmaakt van de vaststellingen
van de ID, dat het ontbreken van een robuust authenticatiesysteem vragen kan doen rijzen
omtrent de naleving van het beginsel van vertrouwelijkheid en integriteit zoals bedoeld in
artikel 5.1.f) en artikel 32 van de AVG.
II.4. Vaststelling 2: Geen gegevensbeschermingseffectbeoordeling (artikelen 35.1 en
35.3 van de AVG)
35. Volgens de Inspectiedienst heeft verweerster artikel 35.1 en 35.3 van de AVG geschonden
door geen gegevensbeschermingseffectbeoordeling uit te voeren, ondanks het feit dat zij
op grote schaal gezondheidsgegevens verwerkt.
36. Verweerster betwist dat zij destijds op grote schaal gegevens verwerkte en stelt dat zij
slechts ongeveer 50 analyses per dag verwerkte. Zij is van mening dat het begrip
"grootschalig" in artikel 35.3.b) niet voldoende objectief is. Zij baseert zich ook op
informatie op de website van de CNIL waaruit blijkt dat de laboratoria voor medische
analyse naargelang van hun project moeten nagaan of het noodzakelijk is een
gegevensbeschermingseffectbeoordeling uit te voeren, hetgeen er voor verweerster op
wijst dat deze verplichting niet systematisch bestaat6.
37. Zij voegt eraan toe dat het aantal analyses dat het laboratorium voor medische analyse
verwerkt fors is toegenomen als gevolg van de COVID-19-pandemie. Bijgevolg is zij nu van
mening dat zij voldoet aan de voorwaarden om te kunnen spreken van een grootschalige
verwerking van gezondheidsgegevens en heeft zij daarom een GEB laten uitvoeren.
38. Klager meent van zijn kant dat het wel degelijk gaat om verwerkingen van
gezondheidsgegevens op grote schaal. Hij is van mening dat deze verwerkingen vallen
6
https://www.cnil.fr/fr/cnil-direct/question/laboratoire-danalyse-de-biologie-medicale-que-faire
Beslissing ten gronde 127/2022 - 8/17
onder punt 6.5) van de beslissing van het Algemeen Secretariaat van de GBA nr. 01/2019
van 16 januari 20197, dat als volgt luidt:
"Wanneer bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG
[…] systematisch worden uitgewisseld tussen meerdere verwerkingsverantwoordelijken.".
39. Klager is ook van mening dat zelfs indien de verwerkingen niet onder dit punt vallen, het
nog steeds gaat om verwerkingen van gezondheidsgegevens op grote schaal. Klager
betwist dat de definitie van "grootschalig" volledig aan de beoordeling van de
toezichthoudende autoriteit zou worden overgelaten, aangezien deze definitie wordt
afgebakend in overweging 91 van de AVG en in de richtlijnen van de Werkgroep "Artikel
29" (G29) over de functionarissen voor gegevensbescherming8.
40. De vraag die aan de Geschillenkamer voor onderzoek wordt voorgelegd is of verweerster
verplicht was om vóór de indiening van de klacht een GEB uit te voeren op grond van
artikelen 35.1 en 35.3 van de AVG, omdat de gegevensverwerkingen die zij verricht
grootschalige gegevensverwerkingen zijn.
41. De Geschillenkamer merkt om te beginnen op dat niet wordt betwist dat verweerster
gezondheidsgegevens verwerkt in de zin van artikel 9.1 van de AVG. Het onderzoek van de
Geschillenkamer zoomt dus in op het begrip "grootschalig".
42. De Geschillenkamer merkt op dat verweerster het begrip "grootschalig" als zijnde
onnauwkeurig bekritiseert.
43. De Geschillenkamer is het ermee eens dat het begrip "grootschalig" vatbaar is voor
interpretatie, maar betwist dat dit aanleiding geeft tot rechtsonzekerheid. Zowel de AVG 9
als de nationale en Europese aanbevelingen verduidelijken immers de criteria die het
uitvoeren van een GEB verplicht maken. Deze worden uiteengezet in de Handleiding
gegevensbeschermingseffectbeoordeling die de GBA op haar website heeft
gepubliceerd10 en die vier criteria uit de Europese richtlijnen bevat om te bepalen of een
verwerking grootschalig is11. Het gaat om de volgende criteria:
- het aantal betrokkenen, hetzij als een specifiek aantal hetzij als een deel van de
relevante populatie;
7
Beschikbaar op: beslissing-nr.-01-2019-van-16-januari-2019.pdf (gegevensbeschermingsautoriteit.be)
8
Beschikbaar op: https://ec.europa.eu/newsroom/article29/items/612048
9
AVG, overweging 91.
10
Gegevensbeschermingsautoriteit, "Handleiding gegevensbeschermingseffectbeoordeling", versie 4.0 van 21 april 2021,
p. 2-7. (Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/handleiding-
gegevensbeschermingseffectbeoordeling.pdf)
11
Ibidem, p. 6.
Beslissing ten gronde 127/2022 - 9/17
- het volume van gegevens en/of het bereik van verschillende gegevensitems die
worden verwerkt;
- de duur of het permanente karakter van de gegevensverwerkingsactiviteit;
- de geografische omvang van de verwerkingsactiviteit.
44. De Geschillenkamer wijst verweerster er bovendien op dat zij zelf bijdraagt tot een zekere
subjectiviteit van dit begrip door in haar conclusies naar vage elementen te verwijzen en te
oordelen dat haar activiteiten "aanvankelijk" geen grootschalige verwerking inhielden,
maar dat "de door het laboratorium voor medische analyse verwerkte analyses fors zijn
toegenomen als gevolg van de COVID-19-pandemie", waardoor zij meent dat zij nu wel
verwerkingen op grote schaal verricht. Verweerster had haar interpretatie van het begrip
"grootschalig" op basis van het verantwoordelijkheidsbeginsel van artikel 24 moeten
verduidelijken door aan te geven op basis van welke objectieve criteria zij meent dat haar
activiteiten uiteindelijk onder de categorie van grootschalige verwerking vallen, terwijl deze
volgens haar in eerste instantie niet aan dit criterium voldeden.
45. Meerdere elementen in deze zaak laten de Geschillenkamer toe te besluiten dat
verweerster wel degelijk was onderworpen aan de verplichting om een GEB uit te voeren
alvorens zij besliste om dit effectief te doen.
46. Om te beginnen beschikt de Geschillenkamer niet over enige informatie waaruit blijkt dat
de omvang van de gegevensverwerkingen door verweerster als gevolg van de COVID-19-
pandemie op dergelijke ingrijpende wijze zou zijn geëvolueerd dat er uiteindelijk sprake was
van grootschalige verwerking. Verweerster voert immers aan dat het laboratorium vóór de
COVID-19-pandemie een vijftigtal analyses per dag uitvoerde, zonder echter te vermelden
hoeveel analyses het vandaag uitvoert of tijdens de pandemie uitvoerde.
47. Bovendien komt het GEB-document dat een externe dienstverlener heeft opgesteld 12 tot
het volgende besluit: "De beschreven gegevensverwerking moet worden geacht een
ernstig risico te kunnen meebrengen voor de rechten en vrijheden van natuurlijke
personen. Bij de analyse van de afnames en de weergave van de analyseresultaten worden
er immers op grote schaal bijzondere categorieën van persoonsgegevens verwerkt. Het
laboratorium voor medische analyse moet een GEB uitvoeren."
48. De Geschillenkamer besluit dus dat de verwerkingen op het ogenblik van de klacht en van
het onderzoeksverslag grootschalige verwerkingen zijn.
12
Document bezorgd aan de Geschillenkamer op voorstel van verweerster en volgend op de uitwisseling van
verweermiddelen. Dit document was nog niet opgesteld ten tijde van het onderzoek door de Inspectiedienst.
Beslissing ten gronde 127/2022 - 10/17
49. Ten overvloede is de Geschillenkamer van mening dat de bewuste verwerkingen
beantwoorden aan de definitie van punt 6.5) van beslissing nr. 01/2019 van het Algemeen
Secretariaat van 16 januari 2019 die als volgt luidt:
"Wanneer bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG
[...] systematisch worden uitgewisseld tussen meerdere verwerkingsverantwoordelijken.".
Het staat immers vast dat verweerster analyses uitvoert voor vele artsen die zelf worden
beschouwd als verwerkingsverantwoordelijken en die vervolgens de resultaten van de
analyses kunnen raadplegen. Volgens de Geschillenkamer had de uitvoering van een GEB
dus ook op deze basis verplicht kunnen zijn.
Tot slot wijst de Geschillenkamer erop dat, krachtens artikel 35.1 van de AVG, een
effectbeoordeling moet worden uitgevoerd vóór de beoogde verwerking wordt
gerealiseerd13.
50. Op basis van bovenstaande elementen komt de Geschillenkamer tot het besluit dat
verweerster al een GEB had moeten uitvoeren vóór de klacht werd ingediend en dat
verweerster, door dat niet te hebben gedaan, artikelen 35.1 en 35.3 van de AVG heeft
geschonden.
II.5. Vaststelling 3: Gebrek aan informatie betreffende de gegevensverwerking (artikelen
12 tot 14 van de AVG)
51. Uit het verslag van het technologisch onderzoek van 14 januari 2021 blijkt dat er op die
datum geen privacybeleid beschikbaar was op de website van het laboratorium voor
medische analyse.
52. Volgens zijn juridisch adviseur zou het laboratorium voor medische analyse in zijn eigen
afnamecentra hebben voorzien in een aanplakking van de AVG-informatie. Dit gezegd
zijnde, erkent hij dat dit betrekking heeft op slechts een klein deel van de patiënten voor
wie het laboratorium voor medische analyse belast is met het uitvoeren van analyses.
53. Uit het verslag van 6 juli 2021 betreffende de opvolging van het verslag van het
technologisch onderzoek bleek dat er nu wel een privacybeleid te vinden was op de website
van het laboratorium voor medische analyse.
54. De Inspectiedienst concludeert dat er sprake is van een inbreuk op de
informatieverplichting krachtens de artikelen 12 tot 14 van de AVG, daar er ten tijde van het
eerste technologisch verslag geen privacybeleid op de website stond.
13
De Geschillenkamer onderstreept.
Beslissing ten gronde 127/2022 - 11/17
55. In eerste instantie betwist verweerster deze inbreuk en stelt zij dat zij zichzelf destijds als
verwerker beschouwde. Daar verweerster in haar syntheseconclusies uiteindelijk heeft
erkend dat zij de hoedanigheid van verwerkingsverantwoordelijke heeft, voert zij aan dat er
sinds maart 2021 wel degelijk een privacybeleid op de website staat.
56. Zij onderstreept ook dat de AVG niet voorschrijft dat deze informatie op de website moet
worden gepubliceerd. Zij is ook van mening dat, gezien het geringe aantal verwerkingen
vóór de COVID-crisis, een aanplakking van de informatie in haar afnamecentra voldoende
was. Zij voegt toe dat de forse toename van haar activiteiten sinds de pandemie de
aanplakking van deze informatie op haar website rechtvaardigt.
57. Om te beginnen stelt de Geschillenkamer vast dat verweerster niet aantoont dat het
vertrouwelijkheidsbeleid was aangeplakt in haar afnamecentra. Tevens meent de Kamer
dat de website van verweerster niet kan worden beschouwd als een gewoon commercieel
uitstalraam, zoals verweerster stelt in haar conclusies. Deze website bevat namelijk een link
naar de website van het Cyberlab waar resultaten van analyses kunnen worden
geraadpleegd. Op die laatste website was er evenmin een vertrouwelijkheidsbeleid te
vinden. Beide websites zijn dus een belangrijk operationeel instrument voor de activiteiten
van verweerster en niet alleen maar een commercieel uitstalraam.
58. In haar richtsnoeren inzake transparantie bepaalt de G29 wat volgt: "Elke onderneming met
een website zou op die site een verklaring of een mededeling over de bescherming van de
persoonlijke levenssfeer moeten publiceren. Een rechtstreekse link naar deze verklaring of
mededeling over de bescherming van de persoonlijke levenssfeer zou duidelijk zichtbaar
moeten zijn op elke pagina van de website, onder een algemeen gebruikte term (bv.
"Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" of "Mededeling inzake de bescherming van
de persoonlijke levenssfeer"). 14 Bovendien bepaalt deze werkgroep dat "alle informatie die
aan een betrokkene wordt toegestuurd, ook toegankelijk zou moeten zijn op een enkele
plaats of in eenzelfde document (op papier of in elektronisch formaat) dat vlot kan worden
geraadpleegd door deze persoon indien hij alle informatie die hem wordt toegestuurd
wenst te raadplegen."15.
59. Op basis van bovenstaande elementen beslist de Geschillenkamer dat, door haar
vertrouwelijkheidsbeleid niet op haar website te publiceren, verweerster artikelen 12, 13
en 14 van de AVG heeft geschonden.
60. De Kamer stelt vast dat er vandaag wel een vertrouwelijkheidsbeleid te vinden is op de
website van verweerster.
14
Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en
op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11.
15
Ibidem, punt 17.
Beslissing ten gronde 127/2022 - 12/17
II.6. Sanctie
61. De Geschillenkamer beslist om een administratieve geldboete op te leggen. In overweging
148 van de AVG wordt immers duidelijk bepaald dat straffen, met inbegrip van
administratieve geldboeten, worden opgelegd voor elke ernstige inbreuk - dus met
inbegrip van de eerste vaststelling van een inbreuk -, naast of in plaats van passende
maatregelen die worden opgelegd.16 De Geschillenkamer toont hierna aan dat de inbreuken
op de artikelen 5.1.f), 12, 13, 14 en 32 en 35.1 en 35.3 van de AVG die verweerster heeft
begaan, in geen geval kleine inbreuken zijn en dat de geldboete geen onevenredige last zou
berokkenen aan een natuurlijk persoon in de betekenis van overweging 148 van de AVG,
i.e. twee gevallen die zouden toelaten af te zien van een geldboete. Het feit dat het een
eerste vaststelling van een door verweerster gepleegde inbreuk op de AVG betreft, doet
aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een
administratieve geldboete op te leggen. De Geschillenkamer legt een administratieve
geldboete op bij toepassing van artikel 58.2 i) van de AVG. Het instrument van de
administratieve geldboete is in geen geval bedoeld om een einde te maken aan een
gepleegde inbreuk, wel om de regels van de AVG daadwerkelijk te doen naleven. Om een
einde te stellen aan een inbreuk voorzien de AVG en de WOG in meerdere corrigerende
maatregelen, waaronder de bevelen zoals vermeld in artikel 100, § 1, 8° en 9° van de WOG.
62. Gelet op artikel 83 van de AVG en de rechtspraak 17 van het Marktenhof motiveert de
Geschillenkamer het opleggen van een administratieve sanctie op concrete wijze:
De Geschillenkamer neemt onderstaande verzwarende omstandigheden in aanmerking:
- Het feit dat de verwerkte gegevens gezondheidsgegevens zijn en dat ze op grote
schaal worden verwerkt (artikel 83.2.g) van de AVG);
- Het gebrek aan samenhang in de uitleg van verweerster, die niet in staat was te bepalen
of zij verwerkingsverantwoordelijke of verwerker was 18 en bijgevolg de verplichtingen
16
Overweging 148 bepaalt wat volgt: "Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd.
Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een
natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te
worden gehouden met de aard, de ernst en de duur van de inbreuk, met het karakter van de inbreuk, met schadebeperkende
maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk
ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen
de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende
of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn
aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest,
waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [wij onderstrepen]
17
Hof van beroep van Brussel (afdeling Marktenhof), X t. GBA, Arrest 2020/1471 van 19 februari 2020.
18
Zie punt 17 supra.
Beslissing ten gronde 127/2022 - 13/17
die voortvloeien uit de AVG niet correct in acht heeft genomen, zoals blijkt uit de
vaststellingen van inbreuk (artikel 83.2.k) van de AVG);
- De vastgestelde inbreuken lijken weliswaar niet opzettelijk te zijn, maar wijzen op grote
nalatigheid wat betreft de naleving van de wetgeving inzake gegevensbescherming
(artikel 83.2.b) van de AVG);
- Dit aspect wordt nog versterkt door het feit dat er pas na het optreden van de
Inspectiedienst heel wat actie is ondernomen om zich te schikken naar de regelgeving
(artikel 83.2.a) van de AVG).
De Geschillenkamer neemt onderstaande verzachtende omstandigheden in aanmerking:
- Het feit dat verweerster in het verleden geen inbreuken heeft begaan die werden
vastgesteld door de Geschillenkamer (artikel 83.2.e) van de AVG);
- Verweerster heeft de vastgestelde tekortkomingen verholpen alvorens de
Geschillenkamer haar beslissing heeft verleend (artikel 83.2.f) van de AVG).
63. Op 25 juli 2022 stelt de Geschillenkamer verweerster in kennis van haar voornemen om
een administratieve geldboete van € 25.000 op te leggen. Op 15 augustus 2022 ontvangt
de Geschillenkamer de reactie van verweerster op het voornemen om een administratieve
geldboete op te leggen, alsmede het bedrag daarvan. Verweerster voert de volgende
elementen aan:
a. de eiser noch enige andere persoon heeft nadeel ondervonden van de beweerde
inbreuken;
b. verweerster heeft alle passende corrigerende acties ondernomen zonder de
uitkomst van de huidige procedure af te wachten;
c. de beweerde inbreuken zijn het gevolg van nalatigheid;
d. verweerster heeft in het verleden geen inbreuken begaan;
e. het vermeende gebrek aan coherentie in de uitleg van verweerster kan haar niet
worden verweten, daar het te wijten is aan slecht advies en men een persoon hoe
dan ook niet de manier waarop hij of zij zich verdedigt kan verwijten;
f. de hoofdactiviteit bestaat in het vervullen van een opdracht van algemeen belang,
i.e. bijdragen tot de volksgezondheid door middel van biomedische analyses;
g. de omzet van verweerster voor deze activiteit bedraagt weliswaar (€ ...) maar er is
reden om rekening te houden met het verlies van (€ ...) om de financiële middelen
van verweerster vast te stellen.
Beslissing ten gronde 127/2022 - 14/17
64. In verband hiermee stelt de Geschillenkamer dat argumenten b en d van verweerster reeds
in aanmerking werden genomen als verzachtende omstandigheden bij het toesturen van
het formulier van geldboete (zie "verzachtende omstandigheden" in punt 62).
65. Wat betreft argument a wijst de Geschillenkamer erop dat het recht op bescherming van
de gegevens een fundamenteel recht is van eender welke persoon en als zodanig is
opgenomen in artikel 8 van het EU-Grondrechtenhandvest. De
verwerkingsverantwoordelijke heeft niet de minste beoordelingsbevoegdheid wat betreft
de draagwijdte van dit recht in functie van de vermeende beperkte impact van de inbreuk,
terwijl de AVG positieve verplichtingen oplegt. Voor veel van de in de AVG opgenomen
verplichtingen, zoals de aanstelling van een functionaris voor gegevensbescherming, het
verstrekken van informatie op transparante wijze, het uitvoeren van een GEB enzovoort
heeft het gebrek aan uitvoering immers zelden tot gevolg dat een betrokkene directe
schade oploopt. Dit betekent echter niet dat de verwerkingsverantwoordelijken deze
verplichtingen niet in acht dienen te nemen, des te meer daar de AVG het opleggen van een
geldboete aan de verwerkingsverantwoordelijke niet afhankelijk stelt van het feit of er al
dan niet sprake is van schade.
De Geschillenkamer wijst erop dat argument c van verweerster, dat in verband staat met
argument e, door de Geschillenkamer in aanmerking werd genomen als verzwarende
omstandigheden. De vastgestelde tekortkomingen wijzen immers op ernstige nalatigheid
vanwege de verwerkingsverantwoordelijke wat betreft zijn verplichtingen inzake
gegevensbescherming. Het belang van deze nalatigheid wordt nog versterkt door de
tegenstrijdige argumenten van verweerster in haar conclusies. Hoewel het een
verweerster natuurlijk vrij staat om de argumenten te kiezen die zij naar voren brengt, kan
de tegenstrijdige uitleg erop wijzen dat zij onvoldoende rekening heeft gehouden met haar
verantwoordelijkheden in het licht van de AVG. De Geschillenkamer is eerder al ingegaan
op de tegenstrijdige aspecten in de uitleg van verweerster (punt 17).
De Geschillenkamer oordeelt dat argument f in casu niet relevant is. Alleen
overheidsinstanties zijn immers vrijgesteld van de mogelijkheid dat hun een geldboete
wordt opgelegd, krachtens artikel 221, §2 van de wet van 30 juli 2018 betreffende de
bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens. Daar verweerster geen overheidsinstantie is, is dit artikel niet op haar
van toepassing. Bovendien zou het feit dat verweerster op grote schaal
gezondheidsgegevens verwerkt, haar ertoe moeten aanzetten des te zorgvuldiger te
handelen bij de bescherming van die gegevens, en dus gaat het om een verzwarende en
geen verzachtende omstandigheid met betrekking tot de vastgestelde inbreuken.
In verband met punt g wijst de Geschillenkamer erop dat het wel degelijk de omzet en niet
de resultatenrekening is die in de AVG aanmerking wordt genomen als criterium om het
Beslissing ten gronde 127/2022 - 15/17
maximumbedrag van de geldboeten te bepalen. Dit is een bewuste keuze van de Europese
wetgever om te voorkomen dat variaties in de resultatenrekening de mogelijkheid van de
toezichthoudende autoriteiten beperken om effectieve geldboeten op te leggen. De
Geschillenkamer is echter gevoelig voor de moeilijke financiële situatie van verweerster
tijdens het referentiejaar en voor de grote verliezen die ze heeft geleden, wat een
verzachtende omstandigheid kan zijn in de zin van artikel 83.2.k) van de AVG. Bijgevolg
besluit zij om het bedrag van de geldboete te verlagen tot € 20.000.
66. Volledigheidshalve wenst de Geschillenkamer te verwijzen naar de richtsnoeren
(Guidelines 04/2022 on the calculation of administrative fines under the GDPR), die de
EDPB op 16 mei 2022 ter raadpleging op haar website heeft gepubliceerd.
Daar deze richtsnoeren nog niet definitief zijn, heeft de Geschillenkamer beslist er geen
rekening mee te houden bij de bepaling van het bedrag van de geldboete in de huidige
procedure.
67. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie zoals bedoeld in artikel 83 van de AVG, rekening
houdend met de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst er ook nog
op dat de andere criteria van artikel 83.2 van de AVG in casu niet relevant zijn en dus geen
aanleiding geven tot een andere administratieve geldboete dan die welke de
Geschillenkamer in deze beslissing heeft vastgesteld.
68. Overeenkomstig het voorgaande stelt de Geschillenkamer vast dat zij zich kan baseren op
de jaarcijfers van het laboratorium voor medische analyse om het bedrag te bepalen van de
administratieve geldboete die zij aan verweerster wil opleggen.
69. De Geschillenkamer verwijst naar de jaarrekening die op 26 juli 2021 is neergelegd bij de
Nationale Bank van België (NBB) en waaruit voor het boekjaar 2020 een omzet blijkt van (€
...).
70. De beoogde administratieve geldboete van € 20.000,00 komt in dit geval neer op 0,07%
van de jaaromzet van verweerster voor het jaar 2020. De Geschillenkamer verwijst naar de
jaarrekening die op 26 juli 2021 is neergelegd bij de Nationale Bank van België (NBB) en
waaruit voor het boekjaar 2020 een omzet blijkt van (€ ...).
71. De Geschillenkamer stelt dat het maximumbedrag van de administratieve geldboete voor
een inbreuk wordt bepaald door de artikelen 83.4 en 83.4 van de AVG. Het bedrag van de
in de huidige beslissing opgelegde geldboete is aanzienlijk lager dan het voorziene
maximumbedrag (dat tot maximaal € 20.000.000 had kunnen oplopen), daar de
Geschillenkamer rekening heeft gehouden met alle relevante criteria van artikel 83.2 van
de AVG. Bovendien beoordeelt de Geschillenkamer de concrete elementen van elke zaak
afzonderlijk om een passende sanctie op te leggen.
Beslissing ten gronde 127/2022 - 16/17
III. Publicatie van de beslissing
72. Gelet op het belang van transparantie van het besluitvormingsproces van de
Geschillenkamer wordt deze beslissing bekendgemaakt op de website van de
Gegevensbeschermingsautoriteit. Daartoe is het evenwel niet noodzakelijk dat de
identificatiegegevens van de partijen rechtstreeks worden meegedeeld.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit na beraadslaging:
- krachtens artikelen 100, §1°, 13° en 101 van de WOG een geldboete van € 20.000 op te
leggen wegens inbreuken op de artikelen 5.1.f), 12, 13, 14, 32, 35.1 en 35.3 van de AVG
- krachtens artikel 100, §1, 1° van de WOG het dossier te seponeren wat betreft de
resterende vaststellingen.
Overeenkomstig artikel 108, §1 van de WOG kan tegen deze beslissing binnen 30 dagen na de
kennisgeving ervan beroep worden ingesteld bij het Marktenhof (hof van beroep van Brussel),
met de Gegevensbeschermingsautoriteit als verwerende partij.
Een dergelijk beroep kan worden ingesteld door middel van een verzoekschrift dat de informatie
moet bevatten zoals opgesomd in artikel 1034ter van het Gerechtelijk Wetboek19. Het
verzoekschrift moet worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel
19
Het verzoekschrift bevat op straffe van nietigheid:
1° de aanduiding van dag, maand en jaar;
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn
rijksregisternummer of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet
worden opgeroepen;
4° het onderwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
Beslissing ten gronde 127/2022 - 17/17
1034quinquies van het G.W.20 of via het informatiesysteem e-Deposit van het ministerie van
Justitie (artikel 32ter van het G.W.).
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer
20
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij
aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.