1/15
Geschillenkamer
Beslissing ten gronde 132/2025 van 19 augustus 2025
Dossiernummer : DOS-2024-01301
Betreft : het onrechtmatig en niet-transparant verwerken van persoonsgegevens in het
kader van een huurcontract
De Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna ‘GBA’);
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), (hierna ‘AVG’);
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit
(hierna ‘WOG’)1;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”;
De verweerder: Y, vertegenwoordigd door mr. Peter Craddock en mr. Isaline d’Hoop de
Synghem, hierna “de verweerder”.
1
De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van
de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking
zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en
procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link:
https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het
reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-
interne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel
van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze
bestonden vóór deze datum.
Beslissing ten gronde 132/2025 — 2/15
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het onrechtmatig en niet-transparant verwerken van
persoonsgegevens in het kader van een huurcontract.
2. Op 10 maart 2024 diende de klager een klacht in bij de GBA tegen de verweerder.
3. Op 2 april 2024 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van
de artikelen 58 en 60 WOG en werd de klacht op grond van artikel 62, § 1 WOG overgemaakt
aan de Geschillenkamer.
4. Op 10 juni 2024 contacteerde de Geschillenkamer conform artikel 56.3 AVG de
vermoedelijke leidende toezichthoudende autoriteit met het verzoek deze zaak conform
artikel 56.2 AVG lokaal te kunnen behandelen, wat door deze autoriteit op 17 juni 2024 werd
aanvaard. Conform artikel 56.4 AVG, is de procedure artikel 60 AVG bijgevolg niet van
toepassing.
5. Op 17 januari 2025 besliste de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde, werden de betrokken partijen
per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95,
§ 2, alsook van deze in artikel 98 WOG en werden zij op grond van artikel 99 WOG in kennis
gesteld van de termijnen om hun verweermiddelen in te dienen.
De partijen worden gevraagd hun argumenten aangaande de volgende vermeende
inbreuken te formuleren:
▪ inbreuk op artikel 5.1.a juncto 6.1 AVG vanwege het niet beschikken over een
rechtsgrond voor de verwerking van de foto van de identiteitskaart van de klager;
▪ inbreuk op artikel 5.1.c AVG vanwege het verwerken van het rijksregisternummer van
de klager zonder dat daar een noodzaak toe is;
▪ inbreuk op artikel 12 juncto artikel 15 AVG vanwege het niet verlenen van inzage in de
persoonsgegevens van de klager na diens uitdrukkelijke verzoek en
▪ inbreuk op artikel 5.1.a, artikel 12 en artikel 13 AVG vanwege een gebrek aan
transparantie aangaande de verwerking van de persoonsgegevens van de klager met in
het bijzonder de verwerking van de foto van de identiteitskaart, de verwerking van het
rijksregisternummer en de verwerking van de locatiegegevens van de fiets die gebruikt
werd door de klager.
6. Op 7 maart 2025 ontving de Geschillenkamer de conclusie van antwoord vanwege de
verweerder.
7. Op 28 maart 2025 ontving de Geschillenkamer de conclusie van repliek van de klager.
8. Op 18 april 2025 ontving de Geschillenkamer de conclusie van repliek van de verweerder.
Beslissing ten gronde 132/2025 — 3/15
II. Motivering
II.1. Beschrijving van de verwerking en de klacht
9. De verweerder verhuurt fietsen op basis van een abonnement. Een klant moet zich eerst
online registreren. Voor elektrische fietsen wordt de identiteit van de klant na de registratie
geverifieerd door een afbeelding van de identiteitskaart door te zenden aan een verwerker,
die de echtheid van de identiteitskaart en de gegevens op deze kaart controleert. Het doel
van deze verificatie is fraudebestrijding. Pas na de verificatie kan een afspraak gemaakt
worden om een fiets af te halen. Op het moment van afhalen van de fiets2 moet de klant
opnieuw zijn identiteitskaart voorleggen om zijn identiteit te bewijzen, zodat de verweerder
zeker is dat de ontvanger van de fiets de geregistreerde klant is.
10. De klager verzette zich tegen het fotograferen van haar identiteitskaart voor de verificatie
online en door de medewerker in het filiaal van de verweerder. De klager verzette zich in het
bijzonder tegen het fotograferen van de achterkant van haar identiteitskaart, waarop het
rijksregisternummer staat vermeld. Daarenboven werd haar verzoek tot inzage niet
beantwoord en werd ze niet voorafgaand ingelicht omtrent de verwerking van de foto van
haar identiteitskaart, van haar rijksregisternummer en van de locatiegegevens van de
huurfiets.
II.2. Verantwoordelijke van de verwerkingen
11. De Geschillenkamer stelt vast dat de verweerder een dochteronderneming is van een
holding die in een buurland is gevestigd. Aangezien het huurcontract op naam van het
Belgische filiaal is, de privacyverklaring de Belgische vestiging aanduidt als
verwerkingsverantwoordelijke, alle contacten tussen klager en verweerder in België
plaatsvonden en de algemene voorwaarden verwijzen naar de toepasbaarheid van het
Belgisch recht, heeft de Geschillenkamer aan de leidende toezichthoudende autoriteit
conform artikel 56.2 AVG verzocht de zaak lokaal te kunnen behandelen, hetgeen door
deze autoriteit werd toegestaan. De verweerder wordt aangaande deze klacht dan ook
beschouwd als de verwerkingsverantwoordelijke voor de verwerking van de
persoonsgegevens van de klager.
II.3. Scope van de klacht
12. De Geschillenkamer stelt samen met de verweerder vast dat de klager in haar conclusie
van repliek haar klacht heeft uitgebreid naar een facturatiegeschil dat bestaat tussen de
klager en de verweerder. Alhoewel dit geschil reeds duidelijk was in de klacht, achtte de
2
Bijlage 2 aan stuk 1, Klachtenformulier van 10 maart 2024.
Beslissing ten gronde 132/2025 — 4/15
Geschillenkamer de elementen van dit geschil niet relevant in het kader van de beoordeling
van de gegevensverwerking conform de AVG. De domiciliëring van het huurcontract en het
inschakelen van een incassobureau door de verweerder vallen bijgevolg niet binnen de
scope van de klacht en evenmin binnen de bevoegdheid van de Geschillenkamer. De
Geschillenkamer zal zich dus niet uitspreken over deze problematieken.
II.4. Rechtmatigheid van de verwerking
13. Om aan het principe van de rechtmatigheid van de verwerking van artikel 5.1.a AVG te
voldoen, moet deze verwerking gebaseerd zijn op één van de gronden die zijn opgesomd in
artikel 6.1 AVG. Daarenboven stelt artikel 5.2 AVG dat de verweerder de naleving van dit
principe moet kunnen aantonen.
14. De verweerder verwijst naar de noodzaak van de verwerking van identiteitsgegevens van
de klant als huurder om te voldoen aan zijn contractuele verplichtingen, conform artikel
6.1.b AVG.
15. Teneinde een verwerking van persoonsgegevens te kunnen baseren op de contractuele
noodzaak, moet er een contract bestaan, moet het contract rechtsgeldig zijn en moet de
verwerking objectief noodzakelijk zijn ter uitvoering van het contract. 3 De European Data
Protection Board (hierna ‘EDPB’) stelt in haar richtsnoeren duidelijk dat “Slechts de
verwijzing of vermelding van gegevensverwerking in een overeenkomst […] niet voldoende
[is] om de betreffende verwerking te laten vallen binnen de reikwijdte van artikel 6, lid 1,
onder b).”4 en dat “noodzakelijk voor de uitvoering van een overeenkomst met de
betrokkene (…) strikt [moet] worden geïnterpreteerd en geen situaties [dekt] waarin de
verwerking niet daadwerkelijk noodzakelijk is voor de uitvoering van een overeenkomst,
maar eerder eenzijdig opgelegd aan de betrokkene door de voor de verwerking
verantwoordelijke.”5
16. De Geschillenkamer stelt vast dat er een contract bestaat en dat dit contract rechtsgeldig
is, hetgeen de klager niet betwist. Het huurcontract bevat de identiteitsgegevens van de
klager, noodzakelijk ter uitvoering van het contract.
17. De Geschillenkamer stelt ook vast dat initieel en na maart 2024 deze identiteitsgegevens
werden gecontroleerd aan de hand van een visuele controle, waarbij de medewerker de
gegevens van de identiteitskaart vergeleek met de registratiegegevens die de klant online
had ingevoerd. Ook de wetgever houdt in de wetgeving rond het gebruik van de
identiteitskaart rekening met dit belang wanneer zij stelt: “Voor de ondernemingen en de
3
EDPB, Richtsnoeren van 8 oktober 2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder
b), van de AVG in het kader van de verlening van onlinediensten aan betrokkenen, versie 2.0, randnummer 26.
4
Ibid, randnummer 27.
5
Ibid, randnummer 28.
Beslissing ten gronde 132/2025 — 5/15
niet-gouvernementele organisaties is het in hun band met de burger belangrijk zekerheid
te hebben over de identiteit van de klanten met wie ze juridisch relaties aanknopen. Een
correcte identiteit is immers een conditio sine qua non voor de rechtszekerheid van de
contractuele en economische relaties.”6 Het louter visueel controleren van de (overvloed
aan) gegevens van de identiteitskaart wordt echter niet beschouwd als een verwerking van
persoonsgegevens in de zin van artikel 2 AVG aangezien deze gegevens niet bedoeld zijn
om te worden opgenomen in een bestand.
18. De Geschillenkamer oordeelt dat de verwerkte identiteitsgegevens van de klager
noodzakelijk zijn voor de uitvoering van het contract en dat de verweerder zich conform
artikel 5.1.a AVG rechtmatig baseert op de rechtsgrond van artikel 6.1.b AVG voor de
verwerking van deze identiteitsgegevens van de klager als huurder van een fiets.
19. Ten tijde van de verwerking van de persoonsgegevens van de klager was er echter een
uitgebreider verificatieproces in voege, waarbij een verwerker, namelijk een bedrijf dat
gespecialiseerd is in software voor identiteitsverificatie, op basis van een afbeelding van de
identiteitskaart de echtheid van deze kaart naging en de identiteitsgegevens dus met
grotere zekerheid kon verifiëren. Dit verificatieproces bracht echter wel een
gegevensverwerking in de zin van artikel 2 AVG met zich mee, namelijk het fotograferen of
scannen, filteren, doorzenden, controleren, bewaren en verwijderen van deze gegevens.
Het doel van dit uitgebreidere verificatieproces was het tegengaan van fraude.
20. Hoewel er een privacyfilter aanwezig was in de toepassing van deze verwerker, vond er
alsnog een verwerking van alle persoonsgegevens op de identiteitskaart plaats, zij het
kortstondig. De verweerder verwoordt het zelf als volgt: “Terwijl een foto van een
identiteitskaart wel op een bepaalde manier en zeer tijdelijk wordt geanalyseerd, is dat
louter om bepaalde informatie daaruit achter te halen (sic) […]”7 en “Hoogstens kan de
klager argumenteren dat er een uiterst tijdelijke ‘verwerking’ gebeurde vooraleer de
maskering effectief plaatsvond” 8. In de bijlage bij zijn conclusies voegt de verweerder een
analyse toe van het gebruik van deze verificatieprocedure. Op basis hiervan stelt de
Geschillenkamer vast dat de foto van de identiteitskaart moet worden opgeladen op de
website van de verweerder, waarna deze foto wordt verzonden naar de verwerker die op
dat moment pas de privacyfilter toepast.9 De verweerder bevestigt dit in zijn conclusies:
6
Belgische Kamer van Volksvertegenwoordigers, Wetsontwerp houdende diverse bepalingen met betrekking tot het
Rijksregister en de bevolkingsregisters van 6 november 2018, Doc 54 3256/003, p. 9.
7
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 30.
8
Ibid, randnummer 34.
9
Bijlage 2, memorandum van landsadcovaat Pels Rijcken van 7 januari 2022 in bijlage aan stuk 16, conclusie van antwoord en
stukken van 7 maart 2025, randnummer 1.2.
Beslissing ten gronde 132/2025 — 6/15
“De abonnee moest een foto van het identiteitsbewijs […] nemen. […] Eens geüpload
verscheen een automatische privacyfilter op de foto[…].” 10
Aangaande de tijdelijkheid van de verwerking argumenteert de verweerder dat dit louter
als een “lezing van datapunten” moet worden beschouwd en dat dit toegestaan is door de
wetgever. De verweerder verwijst hiervoor naar artikel 6, §4 van de wet ID11, waarin echter
duidelijk staat dat het lezen van de elektronische identiteitskaart moet gebeuren “in
overeenstemming met de wettelijke en reglementaire bepalingen inzake de bescherming
van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens.” 12 De
Geschillenkamer oordeelt dat dit lezen van datapunten eveneens een verwerking van
persoonsgegevens betreft en, conform de wetgeving op de identiteitskaarten, dus moet
voldoen aan de principes van gegevensbescherming in de AVG.
21. Daarenboven was deze filter aanpasbaar door de betrokkene, wat evenmin een garantie
was dat de verwerker niet meer gegevens verwerkte dan de naam, de voornaam en de
geboortedatum van de klant. Het komt de verwerkingsverantwoordelijke toe te
garanderen dat enkel die persoonsgegevens verwerkt worden die noodzakelijk zijn voor
het doel van de verwerking.
22. De Geschillenkamer oordeelt bijgevolg dat de verwerking van de persoonsgegevens op de
identiteitskaart een aparte verwerking van persoonsgegevens is en dat het gebruik van de
privacyfilter geen afdoende technische maatregel was om te verzekeren dat er niet meer
persoonsgegevens van de identiteitskaart werden verwerkt dan de naam, de voornaam en
de geboortedatum, die contractueel noodzakelijk zijn.
23. Deze aparte verwerking had als doeleinde het bestrijden van fraude. Zoals georganiseerd
in het verificatieproces is deze verwerking geen noodzaak binnen de contractuele relatie,
aangezien ze initieel niet noodzakelijk was en in maart 2024 ook niet meer werd uitgevoerd.
Bovendien is ze ook niet noodzakelijk voor de minder dure contracten van gewone fietsen.
Deze aparte verwerking kan dus niet gebaseerd worden op enige noodzaak voor de
uitvoering van de overeenkomst van artikel 6.1.b AVG. De Geschillenkamer stelt eveneens
vast dat de verwerking van persoonsgegevens gedurende het verificatieproces niet is
gebaseerd op toestemming (artikel 6.1.a AVG), niet wordt uitgevoerd in het kader van een
wettelijke noodzaak (artikel 6.1.c AVG) of een algemeen belang (artikel 6.1.e AVG) en dat
van vitaal belang (artikel 6.1.d AVG) geen sprake kan zijn. Fraudebestrijding kan
daarentegen wel kaderen in het gerechtvaardigd belang (artikel 6.1.f AVG) van de
verweerder, met name het vermijden van economische schade.
10
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 5.
11
Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de
verblijfsdocumenten.
12
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 36.
Beslissing ten gronde 132/2025 — 7/15
24. De privacyverklaring verwijst uitdrukkelijk naar dit gerechtvaardigd belang door te stellen:
“<<citaat uit privacyverklaring>>”13 en bij de doeleinden van de verwerking: “<<citaat uit
privacyverklaring>>”14 Ook wijst de verweerder in zijn conclusie op dit belang: “Deze
verificatie is essentieel voor fraudepreventie en, gezien de hoge waarde van de e-bikes […],
om ervoor te zorgen dat een fiets aan de juiste persoon wordt overhandigd. [verweerder]
ondervindt regelmatig dat er abonnementen op de naam van een derde worden afgesloten,
resulterend in het niet betalen van facturen of het verdwijnen van fietsen.” 15
25. Overeenkomstig de rechtspraak van het Hof van Justitie 16 aangaande de rechtsgrond
gerechtvaardigd belang van artikel 6.1.f AVG, dient de verweerder aan te tonen dat:
▪ De belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen worden
erkend (de “doeltoets”);
▪ De beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de
“noodzakelijkheidstoets”);
▪ De afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden
en grondrechten van de klager doorweegt in het voordeel van de verweerder of van
een derde (de “afwegingstoets”).
26. De Geschillenkamer stelt vast dat de verweerder geen belangenafweging aantoont
aangaande deze verwerking. Ambtshalve doet de Geschillenkamer deze
belangenafweging wel om na te gaan of het gerechtvaardigd belang van artikel 6.1.f AVG
een gepaste rechtsgrond voor de verwerking zou zijn.
Doeltoets
27. Gezien de fietsen slechts verhuurd worden en dus in eigendom van de verweerder blijven,
oordeelt de Geschillenkamer dat het bestrijden van fraude en het verzekeren dat de fiets
aan de juiste persoon wordt overhandigd een gerechtvaardigd belang van de verweerder
is.
13
Bijlage 7 aan stuk 1, klachtenformulier van 10 maart 2024, p. 3.
14
Bijlage 7 aan stuk 1, klachtenformulier van 10 maart 2024, p. 4.
15
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 3.
16
HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023,
Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74.
Beslissing ten gronde 132/2025 — 8/15
Noodzakelijkheidstoets
28. Opdat een verwerking noodzakelijk is, moet ze ten eerste geschikt zijn, ten tweede
toereikend zijn en ten derde noodzakelijk zijn voor de beoogde doelen. 17
29. Het leidt geen twijfel dat de identiteitskaart bij uitstek geschikt is om de identiteit van een
persoon te controleren en ook toereikend is om deze identiteit met zekerheid vast te
stellen. Een identiteitskaart is immers net met dit doel ontworpen en beveiligd. De
verwerking door middel van de analyse van datapunten van een foto of scan van de
identiteitskaart is bijgevolg eveneens geschikt en toereikend.
30. Deze analyse vergt echter het fotograferen of inscannen van de identiteitskaart en het
doorzenden van deze foto of scan via internet, waarna ze wordt opgeslagen, geanalyseerd
en opnieuw verwijderd na een bepaalde termijn. Elk van deze handelingen verhoogt het
risico op fouten en eventuele inbreuken tegen de vertrouwelijkheid of de integriteit van alle
gegevens op de identiteitskaart. Deze verwerkingen zijn niet noodzakelijk aangezien er een
evenwaardig alternatief bestaat. De verweerder had reeds een procedure die eruit bestond
de registratiegegevens die door de klant online werden ingegeven in de winkel fysiek te
vergelijken met de gegevens op de identiteitskaart, alvorens de fiets te overhandigen. Deze
procedure werd ook terug ingevoerd sinds maart 2024, aangezien de verwerking via de
foto of scan van de identiteitskaart geen voldoende meerwaarde betekende voor het doel
van de verwerking, namelijk de fraudebestrijding.18
31. Gezien de drie voorwaarden van artikel 6.1.f AVG cumulatief zijn 19 en de verwerking niet
noodzakelijk is, oordeelt de Geschillenkamer dat de verweerder de verwerking van de
persoonsgegevens op de identiteitskaart van de klager niet kon verwerken op grond van
een gerechtvaardigd belang van artikel 6.1.f AVG.
32. De Geschillenkamer oordeelt bijgevolg dat de verweerder een inbreuk maakt op artikel
5.1.a juncto 6.1 AVG vanwege het niet beschikken over een rechtsgrond voor de
verwerking van de persoonsgegevens op de identiteitskaart van de klager.
II.5. Minimale gegevensverwerking
33. De klager verzet zich tegen het fotograferen en uploaden van haar identiteitskaart en
beschouwt vooral het verwerken van haar rijksregisternummer als overbodig. Daarbij
verzet de klager zich echter niet tegen het controleren van haar identiteitskaart om de
17
EDPB, Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0
vastgesteld op 29 januari 2020, randnummer 24.
18
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 8.
19
HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 75.
Beslissing ten gronde 132/2025 — 9/15
gegevens te vergelijken met de gegevens waarover de verweerder beschikt via de
registratie. De klager is van mening dat deze consultatie voldoende is.
34. De Geschillenkamer stelt vast dat het vermeende verwerken van het rijksregisternummer
van de klager deel uitmaakt van de verwerking van de identiteitskaart in de
verificatieprocedure van de verweerder. Aangezien deze verificatieprocedure in
randnummer 32 als niet-rechtmatig werd geoordeeld, is het eventueel verwerken van het
rijksregisternummer evenmin rechtmatig en is een beoordeling op basis van het principe
van de minimale gegevensbescherming niet meer ter zake dienend.
II.6. Transparantie van de verwerking
35. De klager beweert nooit rechtstreeks geïnformeerd te zijn over de verwerking van haar
persoonsgegevens en stelt dat ze zelf de privacyverklaring heeft moeten opzoeken via
internet om informatie over de verwerkingen te bekomen.
36. De verweerder toont aan dat er een link naar het privacybeleid te vinden is in het
huurcontract met de klager en dat de privacyverklaring beschikbaar is via de website van
de verweerder, dezelfde website via dewelke de klager zich moest registreren voor de huur
van een fiets.
37. De Geschillenkamer oordeelt dat de klager voorafgaand aan de verwerking van haar
persoonsgegevens in het kader van het huurcontract voldoende werd gewezen op het
bestaan van de privacyverklaring en van de vindplaats van deze privacyverklaring.
38. Alhoewel de privacyverklaring de verwerking van de identiteitsgegevens vermeldt, wordt
het gebruik van de identiteitskaart in de verificatieprocedure niet opgenomen terwijl het
wel een aparte verwerking betrof20. Evenmin wordt de verwerker die deze controle via de
identiteitskaart uitvoert, vermeld in de privacyverklaring. Deze spreekt immers enkel van
verwerkers in het kader van “<<citaat uit privacyverklaring>>”21.De Geschillenkamer stelt
vast dat deze verwerking wel expliciet staat vermeld in de algemene voorwaarden. Gezien
het echter een ander document betreft, gaat dit in tegen artikel 12.1 AVG. Dit artikel bepaalt
dat de informatie aangaande de gegevensverwerking beknopt en makkelijk toegankelijk
moet zijn, wat niet het geval is indien men deze informatie opsplitst en verdeeld over
enerzijds de privacyverklaring en anderzijds de algemene voorwaarden. Daarenboven
leiden discrepanties tussen informatie in de privacyverklaring en de algemene
voorwaarden tot verwarring en onduidelijkheid, wat de transparantie negatief beïnvloedt.
39. Inzake de verwerking van het rijksregisternummer, dat op de achterkant van de
identiteitskaart van de klager staat, is geen informatie terug te vinden in de
20
Zie hiervoor randnummer 19.
21
Bijlage 7 aan stuk 1, Klachtenformulier van 10 maart 2024, p. 6.
Beslissing ten gronde 132/2025 — 10/15
privacyverklaring. Dit ligt in lijn met de argumentatie van de verweerder die stelt dat hij
enkel de voorkant van de identiteitskaart verwerkt. Daarenboven toont de klager niet aan
dat de achterkant van de identiteitskaart is verwerkt en kan dit evenmin nog geverifieerd
worden aangezien alle persoonsgegevens bij de verwerker zouden verwijderd zijn sinds
maart 202422.
40. Inzake de verwerking van de locatiegegevens van de fiets vermeldt de privacyverklaring de
verwerking van de laatst bekende locatie in het kader van het terughalen van een verloren
of gestolen fiets of in het kader van wanbetaling. De privacyverklaring verduidelijkt daarbij:
“<<citaat uit privacyverklaring>>.”23 De privacyverklaring laat daarbij echter in het midden
of er locatiegegevens eventueel punctueel, steekproefsgewijs of discontinue worden
verzameld. Het feit dat de locatiegegevens continu kunnen worden gevolgd, impliceert dat
er een locatie tracker aanwezig is in de fiets. Door enkel te communiceren over een continu
gebruik bij problemen, is de verweerder niet transparant over het gebruik zonder dat er
problemen zijn vastgesteld.
41. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen het
transparantiebeginsel van artikel 5.1.a juncto artikelen 12 en 13 AVG aangezien de
verwerking van de identiteitskaart door een verwerker niet aan bod kwam in de
privacyverklaring en aangezien het niet duidelijk was of de locatie tracker in de
verhuurde fiets ook locatiegegevens verzamelde zonder dat er problemen werden
vastgesteld.
II.7. Recht van inzage
42. Artikel 15.1 AVG bepaalt dat de betrokkene het recht heeft om van de
verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van
de persoonsgegevens die op hem betrekking hebben en, indien dat het geval is, om inzage
te verkrijgen van die persoonsgegevens. Verder stelt artikel 15.3 AVG dat de
verwerkingsverantwoordelijke een kopie dient te voorzien van de persoonsgegevens die
hij verwerkt.
43. Daarnaast regelt artikel 12 AVG de wijze waarop de betrokkenen hun rechten kunnen
uitoefenen en bepaalt artikel 12.2 AVG dat de verwerkingsverantwoordelijke de
uitoefening van die rechten moet faciliteren, en onverwijld en in ieder geval binnen een
maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar
aanleiding van zijn verzoek zijn genomen. Afhankelijk van de complexiteit van de verzoeken
en het aantal verzoeken kan die termijn, indien nodig, met nog eens twee maanden worden
22
Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer 8.
23
Bijlage 7 aan stuk 1, Klachtenformulier van 10 maart 2024, p. 2.
Beslissing ten gronde 132/2025 — 11/15
verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na
ontvangst van het verzoek in kennis van een dergelijke verlenging (artikel 12.3 AVG).
Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de
betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van
het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem
over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep
bij de rechter in te stellen (artikel 12.4 AVG).
44. In de bijlage bij de klacht voert de klager een e-mail van 14 januari 2024 toe, waarin zij inzage
vraagt in alle persoonsgegevens die ooit over haar werden verzameld en verwerkt 24. De
Geschillenkamer stelt vast op basis van de stukken dat er geen inzage werd verleend
binnen de voorziene periode, nog dat de verweerder enige verlening van deze periode heeft
gevraagd.
45. De verweerder argumenteert dat het verzoek tot inzage in de spam terecht was gekomen
en slechts werd ontdekt na de uitnodiging tot conclusies van de Geschillenkamer op 17
januari 2025, één jaar later dus. De verweerder voegt daaraan toe dat dit een uitzonderlijk
geval betreft.
46. De Geschillenkamer stelt vast dat de laattijdigheid van de reactie van de verweerder op het
correcte verzoek tot inzage van de klager als gevolg heeft dat het voor de klager
onmogelijk was te controleren of haar rijksregisternummer effectief verwerkt is geweest,
of de foto van haar identiteitskaart is verwijderd en of er locatiegegevens van haar
fietsverplaatsingen werden verwerkt.
47. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen het
recht van inzage van artikel 12 juncto artikel 15 AVG omwille van het niet verlenen van
inzage in de persoonsgegevens van de klager na diens uitdrukkelijke verzoek binnen de
voorziene termijn van 1 maand.
III. Corrigerende maatregelen en sancties
III.1. De ernst van de inbreuk
48. Betreffende de ernst van de inbreuk oordeelt de Geschillenkamer dat het beginsel van
rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG
gewaarborgd wordt. Het wordt eveneens opgenomen in artikel 8.2 van het Handvest van
de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat inbreuken op dit
kernbeginsel derhalve zwaarwegende inbreuken vormen. Door daarenboven deze
24
Bijlage 5 aan stuk 1, Klachtenformulier van 10 maart 2024.
Beslissing ten gronde 132/2025 — 12/15
litigieuze verwerking niet op te nemen in de privacyverklaring en door het recht van inzage
van de klager niet te respecteren binnen de voorziene termijn, kon de klager onmogelijk
nagaan of haar persoonsgegevens afdoende werden beschermd, wat deze klacht
onvermijdelijk maakte.
49. De Geschillenkamer neemt echter in rekening dat de litigieuze verwerking slechts tijdelijk
werd uitgevoerd en reeds in maart 2024 op eigen initiatief werd stopgezet, inclusief het
verwijderen van de gegevens die naar aanleiding van deze verwerking werden verzameld.
Daarenboven had de verweerder technische maatregelen genomen om de verwerking te
beperken, zij het dat deze technische maatregelen niet afdoende waren.
50. De Geschillenkamer neemt tenslotte ook in rekening dat het verzoek tot inzage uiteindelijk
wel werd ingewilligd door de verweerder en dat de verwerking van de locatiegegevens wel
vermeld staat in de privacyverklaring, zij het niet afdoende om zekerheid te geven over
deze verwerking.
III.2. Corrigerende maatregelen
51. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° de klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn
rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het
veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of
verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de
kennisgeving ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
Beslissing ten gronde 132/2025 — 13/15
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere
Staat of een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings van
Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de
website van de Gegevensbeschermingsautoriteit.
52. De Geschillenkamer beslist om op grond van artikel 100, 5° WOG de verweerder te
berispen:
• vanwege het verwerken van de persoonsgegevens van de identiteitskaart van de
klager zonder rechtsgrond;
• vanwege het niet beantwoorden van een rechtmatig verzoek tot inzage van de
klager binnen de voorziene termijn en
• vanwege het gebrek aan transparantie aangaande de verwerking van de
persoonsgegevens van de identiteitskaart van de klager door een verwerker.
53. De Geschillenkamer beslist om op grond van artikel 100, 5° van de WOG de verweerder te
waarschuwen vanwege het gebrek aan transparantie aangaande de locatiegegevens die
worden verwerkt in het kader van het verhuren van fietsen, aangezien het voor de klager
wel duidelijk was dat er locatiegegevens werden verwerkt, maar niet duidelijk was of deze
permanent werden verwerkt.
Beslissing ten gronde 132/2025 — 15/15
overeenkomstig artikel 1034quinquies van het Ger.W.26, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
26
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.