1/9
Geschillenkamer
Beslissing 135/2023 van 21 september 2023
Dossiernummer : DOS-2023-03073
Betreft : Het beweerdelijke onrechtmatige gebruik van het voormalige zakelijke
e-mailaccount van werknemer
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: Dhr X, hierna “de klager”
De verweerder: Y, hierna “de verweerder”
Beslissing 135/2023 — 2/9
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het beweerdelijke onrechtmatige gebruik van het
voormalige zakelijke e-mailaccount van klager.
2. Klager was een werknemer bij verweerder tot 30 april 2023. Op 9 mei 2023 werd er een e-
mail verzonden vanwege het voormalige zakelijke e-mailaccount (…) van klager naar het
cliënteel van verweerder om hen op de hoogte te stellen van de nieuwe tewerkstelling van
klager en om in dit verband een nieuwe contactpersoon aan te wijzen. De mail werd
verzonden vanuit de hoedanigheid van klager zelf, al geeft deze aan hier niets mee te
maken te hebben, noch zijn toestemming te hebben verleend.
3. Op 17 mei 2023 en op 26 juni 2023 stelt klager beweerdelijk vast dat zijn oude mailbox nog
steeds bestond en dat de inhoud ervan gelezen werd. Antwoord op mails naar dit e-
mailadres zouden beantwoord worden vanuit een ander account (er volgt geen antwoord
vanuit(..) ).
4. Op 8 juli 2023 wordt verweerder in gebreke gesteld door klager. In deze ingebrekestelling
wordt tevens een verzoek tot verwijdering van zijn voormalige zakelijke mailbox
opgenomen. Klager heeft op het moment van het indienen van de klacht nog geen
antwoord van verweerder mogen ontvangen.
5. Op 17 juli 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
de verweerder.
6. Op 20 juli 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
II. Motivering
7. De elementen in casu worden opgedeeld in twee verschillende verwerkingen. Enerzijds is
er sprake van het nalaten de voormalige zakelijke mailbox van klager te verwijderen en de
beweerdelijke toegang hiertoe door verweerder, anderzijds is er sprake van het verzenden
van de e-mail op 9 mei 2023 door verweerder vanuit naam van klager, gebruik makende
van diens zakelijke mailbox.
Voor wat betreft het nalaten van het verwijderen van de mailbox en het zich hier toegang tot
verschaffen door verweerder:
8. Op basis van de elementen in het dossier die de Geschillenkamer bekend zijn, en op basis
van de bevoegdheden die haar door de wetgever op grond van artikel 95, § 1 WOG zijn
toebedeeld, beslist de Geschillenkamer over de verdere opvolging van het dossier; in casu
Beslissing 135/2023 — 3/9
gaat de Geschillenkamer over tot het seponeren van deze aspecten van de klacht
overeenkomstig artikel 95, § 1, 3° WOG, op basis van de hiernavolgende motivering.
9. Wanneer een klacht geseponeerd wordt, dient de Geschillenkamer haar beslissing
trapsgewijs te motiveren1 en:
- een technische seponering uit te spreken indien het dossier geen of niet voldoende
elementen bevat die tot een veroordeling kunnen leiden, of indien er onvoldoende
uitzicht bestaat op een veroordeling wegens een technische belemmering,
waardoor zij niet tot een beslissing kan komen;
- of een beleidssepot uit te spreken, indien ondanks de aanwezigheid van elementen
die tot een sanctie kunnen leiden, de voortzetting van het onderzoek van het
dossier niet opportuun lijkt in het licht van de prioriteiten van de
Gegevensbeschermingsautoriteit, zoals gespecificeerd en toegelicht in het
sepotbeleid van de Geschillenkamer2.
10. In het geval op meer dan één grond wordt geseponeerd, dienen de sepotgronden (resp.
technisch sepot en beleidssepot) in volgorde van belangrijkheid te worden behandeld 3.
11. In het voorliggend dossier gaat de Geschillenkamer over tot een seponering van deze
aspecten van de klacht, op grond van een beleidssepotgrond. De klacht wordt namelijk niet
voldoende ondersteund door bewijsstukken, waardoor de Geschillenkamer het
onwenselijk acht verder gevolg te geven aan deze aspecten van het dossier en derhalve
beslist niet over te gaan tot, inter alia, een behandeling ten gronde.
12. De Geschillenkamer stelt vast dat de verweerder prima facie niet alle voorschriften van de
Geschillenkamer inzake het beheer van e-mailaccounts van voormalige medewerkers
nageleefd lijkt te hebben4, al is een verwerking van de zakelijke mailbox in principe
rechtmatig5. Zo is het volgens de Geschillenkamer aan de verwerkingsverantwoordelijke om
de houder van de mailbox die zijn functie heeft beëindigd, uiterlijk op de dag van zijn feitelijke
vertrek te voorzien van een automatisch bericht. Beslissing 133/2021 geeft uitdrukkelijk
mee dat “dit automatische bericht waarschuwt voor alle volgende correspondenten dat de
betrokkene zijn functie binnen het bedrijf niet meer uitoefent en verstrekt de
contactgegevens van de persoon (of het algemene e-mailadres) die in zijn plaats moet
worden gecontacteerd en dit gedurende een redelijke periode (a priori 1 maand). Afhankelijk
1
Hof van Beroep Brussel, Sectie Marktenhof, 19de kamer A, Kamer voor marktzaken, arrest 2020/AR/329, 2 september 2020,
p. 18.
2
In dit verband verwijst de Geschillenkamer naar haar sepotbeleid zoals uitvoerig uiteengezet op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf
3
Cf. Titel 3 – In welke gevallen zal mijn klacht waarschijnlijk worden geseponeerd door de Geschillenkamer? van het
sepotbeleid van de Geschillenkamer.
4
Cf. beslissingen 64/2020 en 133/2021.
5
Cf. beslissing 46/2020, ro. 29 e.v. en beslissing 133/2021 ro. 56 e.v.
Beslissing 135/2023 — 4/9
van de context en met name de mate van verantwoordelijkheid die de betrokkene uitoefent,
kan een langere periode worden toegestaan, idealiter niet langer dan drie maanden. De
verlenging moet gebeuren met instemming van de betrokken persoon of ten minste nadat
deze van de verlenging op de hoogte is gesteld.”
13. Samenvattend kan dus gesteld worden dat de verwerkingsverantwoordelijke een
overgangsperiode van principieel een maand geniet waarna deze het e-mailadres en de
mailbox van de betrokkene dient te verwijderen, tenzij er onderling tussen
verwerkingsverantwoordelijke en ex-werknemer andere afspraken zijn gemaakt in dit
verband6. Klager geeft ter ondersteuning van de bewering twee stukken mee die zouden
moeten aantonen dat in casu de mailbox niet tijdig werd afgesloten en hier bovendien zelfs
nog toegang tot was door verweerder op 17 mei 2023 en 26 juni 2023. De Geschillenkamer
merkt echter op dat deze stukken niet in een afdoende mate de Geschillenkamer in staat
stellen te beslissen of er al dan niet sprake is van een inbreuk op de AVG. Dit omwille van de
volgende reden; het gaat over mailverkeer waarin niet alle e-mails zijn opgenomen (klager
lijkt extracten van mails onder elkaar te hebben geplakt). Uit de mails kan opgemaakt worden
dat het cliënteel van verweerder verward was over wie zij dienden aan te spreken. Echter,
hieruit kan de Geschillenkamer niet zonder meer concluderen dat de mailbox nog bestond
en er kennis werd genomen van de inhoud ervan door verweerder. Enkele van de stukken
die zijn toegevoegd door klager zouden e-mails zijn die gericht waren aan (…) , waarna
verweerder vanuit een ander e-mailadres gereageerd zou hebben. Echter moet de
Geschillenkamer vaststellen dat noch de oorspronkelijke e-mail, noch de verzender(s)
hiervan werden meegegeven door klager in de stukken, waardoor de complete uitwisseling
en een concrete aanwijzing dat er antwoord volgde vanuit verweerder op een e-mail die
louter gericht was aan de zakelijke mailbox van klager ontbreekt. De Geschillenkamer acht
deze stukken te suggestief en niet afdoende overtuigend om te kunnen vaststellen dat er
zich een schending van de AVG heeft voorgedaan.
14. Omwille van dit gebrek aan ondersteunend bewijs is de Geschillenkamer genoodzaakt om
de klacht, voor wat betreft het momenteel nog bestaan van de voormalige zakelijke mailbox
6
In zijn aanbeveling CM/Rec (2015)5 over de verwerking van persoonsgegevens in het kadervan de arbeidsverhouding stelt
het Comité van Minister van de Raad van Europa in principe 14.5 het volgende: wanneer een werknemer zijn of haar baan
verlaat, moet de werkgever technische en organisatorische maatregelen nemen om ervoor te zorgen dat de e-mail van de
werknemer automatisch wordt gedeactiveerd. Indien de inhoud van de e-mail moet worden opgevraagd voor het goed
functioneren van de organisatie, dient de werkgever passende maatregelen te nemen om de inhoud van de e-mail op te halen
voor het vertrek van de werknemer en, indien mogelijk, in diens aanwezigheid. In de toelichting bij de aanbeveling staat verder
(punt 122) dat in deze situaties waarin de werknemer de organisatie verlaat, de werkgever het account van de voormalige
werknemer dient te deactiveren, zodat er geen toegang meer is tot de communicaties van de voormalige werknemer na zijn
vertrek. Indien de werkgever de inhoud van de account van de werknemer wil recuperenen, dient de werkgever de nodige
stappen te ondernemen voor het vertrek van de werknemer, bij voorkeur in zijn aanwezigheid. Deze sectorale aanbeveling die
en vervollediging is van het Vedrag tot bescherming van personen met betrekking tot de gautomatiseerde verwerking van
persoonsgegevens (STE 108), illustreert op welke manier de beginselen inzake doelbinding, minimale gegevensverwerkinge n
proportionele bewaring, die zowel worden bevestigd in dit Verdrag als in de AVG, moeten worden toegepast.
Beslissing 135/2023 — 5/9
te seponeren, al beveelt zij verweerder om, indien dit in tussentijd nog niet gebeurd is, zich
alsnog in regel te stellen.
Voor wat betreft de e-mail d.d. 9 mei 2023 die verzonden werd vanuit naam van de klager:
15. Uit de stukken van dit dossier blijkt dat het voormalige zakelijke e-mailadres van de klager
nog steeds actief was binnen de organisatie van verweerder op 9 mei 2023, terwijl de
samenwerking reeds was beëindigd op 30 april 2023 en de klager geen informatie had
gekregen over het verdere gebruik van zijn mailbox en mailadres. Hoewel de indicatieve
periode van een maand na beëindiging van de werkzaamheden van de klager op het ogenblik
van verzending van de betreffende e-mail nog niet was verstreken, waardoor eventueel kan
worden gesteld dat het beginsel van opslagbeperking werd nageleefd (het tegendeel wordt
alleszins niet aangetoond), dient de Geschillenkamer niettemin vast te stellen dat zowel het
doelbindingsbeginsel als het beginsel van minimale gegevensverwerking geenszins werd
gerespecteerd doordat na het vertrek van de klager de verweerder zich toegang kon
verschaffen tot de mailbox van de klager, daarvan ook gebruik heeft gemaakt en aan de
hand van het mailadres van de klager nog berichten werden verzonden aan externe
personen.
16. Dit brengt de Geschillenkamer tot het vermoeden dat verweerder een inbreuk heeft
gepleegd op artikel 5.1.b) en artikel 5.1.c) AVG.
17. Bovendien moet de Geschillenkamer vaststellen dat er geen rechtsgrond voor deze
verwerking was. Weliswaar kan de mailbox, met het oog op het gerechtvaardigd belang van
verweerder in overeenstemming met de voorwaarden van artikel 6.1.f) van de AVG,
gedurende een bepaalde periode na de ontslagname van klager nog actief blijven in zoverre
dit beperkt blijft tot de automatische verzending van standaardcommunicatie omtrent het
vertrek van de medewerker, met het oog op het waarborgen van de goede werking van de
onderneming en de continuïteit van haar diensten. Dit kan vanzelfsprekend enkel mits de
overige bepalingen van de AVG inzake de rechtsgrond eveneens worden gerespecteerd,
inzonderheid artikel 13.1.c) AVG, waaruit volgt dat voordat begonnen wordt met de
verwerkingsactiviteiten moet bepaald worden welke rechtsgrondslag van toepassing is, en
in verband met welk specifiek doel5, met de verplichting voor de
verwerkingsverantwoordelijke om de klager hiervan in kennis te stellen 7.
18. Uit het dossier blijkt prima facie niet dat verweerder klager op de hoogte heeft gebracht van
de rechtsgrond en op grond van diens toestemming heeft verwerkt. Bijgevolg heeft
verweerder de persoonsgegevens van klager verwerkt tegen zijn verwachtingen in. In dit
verband moet eveneens verwezen worden naar het arrest van het Hof van Cassatie d.d. 20
mei 2019 waarin wordt bepaald dat niemand met opzet kennis mag nemen van het bestaan
7
In dit verband kan ook gewezen worden op een arrest van het Hof van Cassatie.
Beslissing 135/2023 — 6/9
van informatie van alle aard die via elektronische weg is verstuurd en die niet persoonlijk
voor hem bestemd is, indien men daartoe geen toestemming heeft gekregen van alle
andere, direct of indirect betrokken personen8.
19. Ten slotte moet ook gewezen worden op de rechtsgrond die vervat ligt in artikel 6.1.b) AVG,
op basis waarvan verwerkingen kunnen plaatsvinden indien zij noodzakelijk zijn voor de
uitvoering van een overeenkomst. In casu kan hier eveneens niet op worden teruggevallen,
aangezien klager zijn contractuele arbeidsverhouding met verweerder reeds had stopgezet
op 30 april 2023.
20. Op grond van bovenstaande analyse veronderstelt de Geschillenkamer dat door de
verweerder een inbreuk op de bepalingen van de AVG werd gepleegd, dewelke
rechtvaardigt dat in casu wordt overgegaan tot het nemen van een beslissing op grond van
artikel 95, §1, 4° van de WOG, meer bepaald een waarschuwing te formuleren ten aanzien
van de verweerder met betrekking tot de e-mail d.d. 9 mei 2023 die verzonden werd vanuit
naam van de klager. Uit de voorgelegde stukken blijkt geenszins dat verweerder op
systematische en doelbewuste wijze persoonsgegevens van betrokkenen verwerkt zonder
gepaste rechtsgrond en zonder de betrokkenen hiervan te informeren. Bijgevolg acht de
Geschillenkamer het niet nodig om andere sanctiemaatregelen op te leggen aan
verweerder. De Geschillenkamer stelt vast dat verweerder een inbreuk op de artikelen
5.1.a), b) en c), en artikelen 6.1 AVG juncto artikel 13.1.c) AVG heeft gepleegd.
21. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klaagster ingediende
klacht, in het kader van de “procedure voorafgaand aan de beslissing ten gronde”9 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
De Geschillenkamer heeft aldus beslist om op grond van artikel 58.2.a) AVG en artikel 95, §1,
4° van de WOG, een waarschuwing te formuleren ten aanzien van verweerder, voor wat
betreft de onrechtmatige verwerkingen van persoonsgegevens die plaatsvonden in het
kader van het uitzenden van de e-mail d.d. 9 mei 2023 die verzonden werd uit naam van de
klager.
22. Onderhavige beslissing heeft tot doel verweerder in kennis te stellen van het feit dat deze
een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de mogelijkheid te
stellen zich alsnog te conformeren met voornoemde bepalingen.
23. Indien verweerder evenwel niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van oordeel is dat deze feitelijke en/of juridische argumenten kan laten gelden
die tot een andere beslissing zouden kunnen leiden, kan deze via het e-mailadres
8
Zie arrest HvC, S.17.0089.F, 20 mei 2019, ECLI:BE:CASS:2019:ARR.20190520.5.
9
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
Beslissing 135/2023 — 7/9
[email protected] een verzoek tot behandeling ten gronde van de zaak richten
aan de Geschillenkamer en dit binnen de termijn van dertig dagen na de kennisgeving van
de beslissing. De tenuitvoerlegging van onderhavige beslissing wordt desgevallend
gedurende voormelde periode geschorst.
24. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 van de
WOG10.
III. Publicatie en mededeling van de beslissing
25. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is daarentegen niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
26. Overeenkomstig haar sepotbeleid, zal de Geschillenkamer de beslissing aan de verweerder
overmaken11. De Geschillenkamer heeft immers besloten om haar sepotbeslissingen
ambtshalve ter kennis te brengen van verweerders. De Geschillenkamer ziet echter af van
een dergelijke kennisgeving wanneer de klager om anonimiteit heeft verzocht ten opzichte
van de verweerder en de kennisgeving van de beslissing aan de verweerder, zelfs indien
10
Artikel 100, §1 WOG: “De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem.
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg
dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.
11
Cf. Titel 5 – Zal de sepot van mijn klacht worden gepubliceerd? Zal de tegenpartij hiervan op de hoogte worden gebracht?
van het sepotbeleid van de Geschillenkamer.
Beslissing 135/2023 — 8/9
deze gepseudonimiseerd is, het niettemin mogelijk maakt om de klager te
(her)identificeren12. Dit is evenwel niet het geval in de onderhavige zaak.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,
om:
- de voorliggende klacht voor de mate waarin deze betrekking heeft op de verwijdering
van de mailbox te seponeren op grond van artikel 95, § 1, 3° van de WOG.
- een waarschuwing te formuleren ten aanzien van de verwerkingsverantwoordelijke
voor wat betreft het gebrek aan de beginselen van doelbinding en minimale
gegevensverwerking, zoals gesteld in de artikelen 5.1.b) en c) AVG, en een
waarschuwing te formuleren voor wat betreft het gebrek aan rechtsgrond, zoals
gesteld in de artikelen 6.1 en 5.1.a) juncto artikel 13.1.c) AVG.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten13. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.14, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
12
Ibidem.
13
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
14
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.
Beslissing 135/2023 — 9/9
Om de klager in staat te stellen andere mogelijke rechtsmiddelen te overwegen, verwijst de
Geschillenkamer de klager naar de toelichting in haar sepotbeleid15.
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
15
Cf. Titel 4 – Wat kan ik doen als mijn klacht wordt afgesloten? van het sepotbeleid van de Geschillenkamer.