1/22
Geschillenkamer
Beslissing ten gronde 136/2023 van 28 september 2023
Dossiernummer : DOS-2022-00360
Betreft : Klacht tegen verwerking van persoonsgegevens in het kader van een
fraudeonderzoek
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: de heer X, hierna “de klager”,
De verweerster: Y, hebbende als raadsman Mr. Bert Beelen, met kantoor te 3000 LEUVEN,
Justus Lipsiusstraat 24, hierna “de verweerster”.
Beslissing ten gronde 136/2023 - 2/22
I. Feiten en procedure
1. Op 20 januari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerster.
De klager stuurde op 22 augustus 2020 een mail naar de diensten van de verweerster waarin
hij meldde dat hij eerder twee brieven van de verweerster heeft ontvangen, namelijk op 29
januari 2020 en 10 maart 2020. Daarbij had de klager vastgesteld dat er een verschil in
gebruik van lettertype en cijfertype zou zijn tussen de beide brieven. De klager bracht de
verweerster hiervan op de hoogte en informeerde of de templates voor de briefwisseling
door de verweerster veranderd waren. Aangezien dit niet het geval was, werd deze e-mail
van de klager door de verweerster beschouwd als een melding van een mogelijk geval van
fraude. Gelet op de wettelijke verplichting om meldingen van mogelijke fraude te
onderzoeken, werd een onderzoek opgestart. Vermits de klager en zijn ex-echtgenote
gekend zijn bij de verweerster, werd tijdens het onderzoek naar de mogelijke fraude ook de
ex-vrouw van de klager gecontacteerd. Op 14 november 2021 diende de klager een klacht
in bij de verweerster omtrent het overmaken van de mails in kwestie – met naam en e-
mailadres van de klager- aan zijn ex-partner. Deze klacht werd door de verweerster als zeer
verwarrend omschreven. Daarom richtten de diensten van de verweerster op 24 november
2021 een antwoord aan de klager met de vraag om zijn klacht te verduidelijken tijdens een
gesprek. Dit gesprek vond plaats op 30 november 2021. Op 14 december 2021 werd de
klager door de verweerster ingelicht dat het onderzoek van zijn klacht nog niet kon worden
afgerond en dat de verweerster hem een antwoord zou bezorgen van zodra dit mogelijk was.
Op 10 januari 2022 werd het antwoord op de klacht van de klager aan hem overgemaakt. Uit
het onderzoek bleek dat het verschil in lettertype in de templates het gevolg was van het
gebruik van een verschillende printer en dat er bijgevolg geen sprake was van fraude.
Bijkomende vragen van klager op 12 januari 2022 en 18 januari 2022 werden beantwoord
door de verweerster op respectievelijk 17 januari 2022 en 24 januari 2022. Aangezien de
klager van oordeel was dat de verstrekte antwoorden van de verweerster onvoldoende
waren, heeft hij onderhavige klacht ingediend.
2. Op 31 januari 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
3. Op 22 februari 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
Beslissing ten gronde 136/2023 - 3/22
4. Op 6 april 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij
het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de
Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit
dat er sprake is van:
1. een inbreuk op artikel 5 van de AVG, artikel 24.1 van de AVG en artikel 25. 1 en 25.2
van de AVG; en
2. een inbreuk op artikel 12.1, 12.2 en 12.6 van de AVG, artikel 13.1 en 13.2 van de AVG en
artikel 14.1 en 14.2 van de AVG, artikel 5.2 van de AVG, artikel 24.1 van de AVG en
artikel 25.1 van de AVG.
Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van:
3. een inbreuk op artikel 30.1 van de AVG; en
4. een inbreuk op artikel 38.1 en 38.3 van de AVG en artikel 39.1 van de AVG.
5. Op 12 april 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG
dat het dossier gereed is voor behandeling ten gronde.
6. Op 12 april 2022 worden de betrokken partijen per mail in kennis gesteld van de bepalingen
zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op
grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te
dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
vastgelegd op 24 mei 2022, deze voor de conclusie van repliek van de klager op 14 juni 2022
en ten slotte deze voor de conclusie van repliek van de verweerster op 5 juli 2022.
De uiterste datum voor ontvangst van de conclusie van antwoord voor de vaststellingen die
verder gaan dan het voorwerp van de klacht van de verweerster werd vastgesteld op 24 mei
2022.
7. Op 19 april 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
8. Op 2 mei 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak.
9. Op 23 mei 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. Vooreerst betwist de verweerster de bevoegdheid van de
Gegevensbeschermingsautoriteit (hierna: GBA) door te stellen dat de Vlaamse
Toezichtscommissie (hierna: VTC) bevoegd is om deze zaak te behandelen, dan wel dat een
Beslissing ten gronde 136/2023 - 4/22
prejudiciële vraag hieromtrent gesteld dient te worden aan het Grondwettelijk Hof. Ten
gronde betwist de verweerster de vaststellingen van de Inspectiedienst niet, maar wijst zij
erop dat de opgeworpen inbreuken intussen reeds verholpen werden. Deze conclusie bevat
eveneens de reactie van de verweerster omtrent de vaststellingen die door de
Inspectiedienst werden gedaan buiten de scope van de klacht. Ook deze vaststellingen
betwist de verweerster niet, maar zij wijst er eveneens op dat zij intussen het nodige gedaan
heeft om deze inbreuken te verhelpen.
10. Op 27 juni 2022 ontvangt de Geschillenkamer de melding van de klager dat hij geen
conclusies van repliek zal indienen.
11. Vervolgens heeft ook de verweerster geen conclusies van dupliek overgemaakt.
12. Op 8 mei 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden
op 23 juni 2023.
13. Op 23 juni 2023 worden de partijen gehoord door de Geschillenkamer.
14. Op 28 juni 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
15. Op 3 juli 2023 en op 5 juli 2023 ontvangt de Geschillenkamer vanwege de klager enkele
opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in
haar beraad.
16. De Geschillenkamer ontvangt vanwege de verweerster geen opmerkingen met betrekking
tot het proces-verbaal.
II. Motivering
II.1. Bevoegdheid van de Geschillenkamer
17. De verweerster voert aan dat de Gegevensbeschermingsautoriteit, met inbegrip van haar
organen en dus ook met inbegrip van de Geschillenkamer, onbevoegd zou zijn in deze zaak.
De verweerster stelt immers dat de VTC bevoegd is om toezicht uit te oefenen op de
naleving van de (grond)wettelijke en andere regelgevende bepalingen inzake
persoonsgegevensbescherming uitgevoerd door een instantie zoals bedoeld in artikel 10/1,
§1 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke
gegevensverkeer1 (hierna: het “decreet van 18 juli 2008”) wanneer dit toezicht kadert in een
deelstatelijke bevoegdheid.
1
Cf. artikel 10/1 van het decreet van 18 juli 2008 “betreffende het elektronische bestuurlijke gegevensverkeer”, zoals
ingevoegd bij artikel 20 van het decreet van 8 juni 2018 “houdende de aanpassing van de decreten aan de verordening (EU)
2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen
in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking
van richtlijn 95/46/EG (algemene verordening gegevensbescherming)” (hierna het “AVG-decreet”). B.S. 26 juni 2018.
Beslissing ten gronde 136/2023 - 5/22
18. Ingevolge artikel 57.1.f) AVG en artikel 51.1 AVG bepalen alle lidstaten welke
overheidsinstantie de toezichthoudende taken zal uitvoeren en dat het mogelijk is om meer
dan één toezichthoudende overheid aan te duiden. In navolging van de AVG werd de wet van
3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit 2 (hierna: “WOG”)
aangenomen.
19. De GBA is aldus opgericht op grond van artikel 4, §1, eerste lid WOG. Het klopt dat, zoals
artikel 4, § 1, tweede lid WOG uitdrukkelijk bevestigt, ook de deelstaten zelf
gegevensbeschermingsautoriteiten kunnen oprichten, zoals ook reeds aangegeven door de
Raad van State in haar advies nr. 61.267/2/AV van 27 juni 2017 3 (zie infra) . In uitvoering van
dit artikel heeft de Vlaamse wetgever de Vlaamse Toezichtcommissie (hierna: “VTC”)
opgericht bij artikel 10/1 van het decreet van 8 juni 2018”.4
20. Het Marktenhof heeft in haar arrest van 26 oktober 2022 geoordeeld dat het door
verweerder ingeroepen middel waarin de bevoegdheid van de GBA wordt betwist om toe te
zien op de naleving van de AVG door gemeenten en enkel de Vlaamse toezichtcommissie
voor de verwerking van persoonsgegevens bevoegd is om toe te zien op de verwerking van
persoonsgegevens door Vlaamse gemeenten en om klachten in dat verband te behandelen
overeenkomstig artikel 10/1, §1, en artikel 10/7, §4, van het decreet van 18 juli 2008
betreffende het elektronische bestuurlijke gegevensverkeer, faalt naar recht. Hierbij
bevestigt het Marktenhof dat de GBA, en dus de Geschillenkamer, wel degelijk bevoegd is
om kennis te nemen van een klacht over de verwerking van persoonsgegevens door een
Vlaamse gemeente.
II.2. Artikel 5 AVG.
II.2.1. Artikel 5. 1.f) AVG
II.2.1.1. Vaststellingen in het Inspectieverslag
21. Het eerste element dat het voorwerp van onderzoek van de Inspectiedienst vormt, betreft
de beoordeling van de mate waarin de verweerster de nodige technische en
organisatorische maatregelen heeft genomen om de grondbeginselen inzake
gegevensbescherming na te leven, overeenkomstig artikel 5.1.f AVG.
2
BS 10 januari 2018.
3
Adv.RvS nr. 61.267/2 van 27 juni 2017 over het voorontwerp van wet ‘tot hervorming van de Commissie voor de
bescherming van persoonlijke levenssfeer’, rn. 7.1-7.2. Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een
ontwerp van besluit van de Vlaamse Regering van 10 december 2010 ‘tot uitvoering van het decreet betreffende de private
arbeidsbemiddeling, wat betreft de invoering van een registratieverplichting voor sportmakelaars’, 4; Adv.RvS., nr. 66.277/1
van 2 juli 2019 over een ontwerp van besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de
bewaring en de bewijskracht van de elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, 6-
7.
4
B.S. 26 juni 2018.
Beslissing ten gronde 136/2023 - 6/22
22. De Inspectiedienst stelt vast dat deze verplichtingen niet werden nageleefd en laat hiertoe
de volgende overwegingen gelden:
• de verweerster bezorgde geen documenten waaruit blijkt welke maatregelen en
beslissingen werden genomen om deze beginselen inzake persoonsgegevens te
waarborgen. De door de verweerster bezorgde documenten hebben enkel
betrekking op de beveiliging van persoonsgegevens (artikel 5.1.f) AVG);
• De documenten “Veiligheidscharter” en “Veiligheidsprincipes” van de verweerster
vermelden dat deze nog niet goedgekeurd zijn;
• In de documenten “Informatieveiligheidsplan” en “Voorstelling over veiligheid aan
College van Burgemeester en Schepenen” staat niet wanneer ze werden
goedgekeurd en staat bovendien onderaan iedere pagina “Stad Leuven” dewelke
niet de verweerster is;
• In het document “Verslag stuurgroep informatieveiligheidscel” staat niet wanneer
het werd goedgekeurd en welke beslissingen er door de verweerster werden
genomen;
• In het document “KSZ Compliance aan de hand van vragenlijst KSZ” staat niet
wanneer het werd goedgekeurd en welke beslissingen er door de verweerster
werden genomen;
• Een opleiding over het “beroepsgeheim” voor medewerkers van de verweerster is
nuttig, maar op zich onvoldoende om hen bewust te maken van het belang van een
passende beveiliging van persoonsgegevens.
II.2.1.2. Standpunt van de verweerster
23. De verweerster beantwoordt deze vaststellingen in haar conclusies. De verweerster voert
aan dat er bijkomende maatregelen en beslissingen genomen zijn die ertoe leiden dat de
beginselen inzake persoonsgegevens wel degelijk gewaarborgd zijn, zowel qua interne
organisatie als qua privacybeleid. Een voltijdse interne adviseur informatieveiligheid werd
aangeworven en een informatieveiligheidsplan 2021 met focus op IT-beveiliging werd
opgesteld. De principes en timing van het huidige informatieveiligheidsplan 2021 werden
verwerkt in de toelichting die aan het College van Burgemeester en Schepenen werd
gegeven. Alle beleid en raamwerken zijn gemaakt voor het lokale bestuur in zijn geheel (zoals
de stad zelf, maar ook het Y en zijn vzw’s). Verder wordt een driejarenplan opgesteld met een
technisch en juridisch-organisatorisch luik. Op de gemeenteraad van 26 april 2021 werd
extra budget voorzien om in te zetten op informatieveiligheid en privacy. Op 28 juni 2021
werd de samenwerkingsovereenkomst goedgekeurd waarbij de ondersteuning van een
functionaris voor gegevensbescherming voor stad Leuven en o.a. het Y met Interleuven
Beslissing ten gronde 136/2023 - 7/22
werd afgesloten. Het veiligheidscharter, inclusief privacybeleid, werd verder verfijnd en
afgetoetst. Er werd naast een opleiding beroepsgeheim ook een opleiding rond
gegevensbescherming uitgewerkt voor het personeel. Een interne phishing actie werd
uitgewerkt om medewerkers bewust te maken van de gevaren van phishing. Door
technische problemen werd deze actie op het moment van de uitwisseling van de conclusies
nog niet organisatiebreed uitgerold. Het verslag van de Stuurgroep informatieveiligheidscel
zal worden goedgekeurd op de volgende vergadering op 23 juni 2022. Voor wat betreft het
document “KSZ Compliance aan de hand van vragenlijst KSZ) voert de verweerster aan dat
de datum van ondertekening staat vermeld bij elke individuele handtekening. De algemeen
directeur ondertekende het document op 4 augustus 2021. De bevindingen en mogelijke
aanpassingen die naar aanleiding van het invullen van de KSZ vragenlijst zijn opgelijst,
werden meegenomen in de voorbereiding van het nieuwe informatieveiligheidsplan. Tot slot
stelt de verweerster dat het Y-arbeidsreglement schendingen van de AVG streng
sanctioneert en dat het beroepsgeheim, waar elke medewerker van het Y toe gehouden is,
strafrechtelijk gesanctioneerd wordt op basis van artikel 458 Strafwetboek.
24. Op 21 juni 2023 en tijdens de hoorzitting maakt de verweerster het
informatieveiligheidsplan over samen met het goedkeuringsbesluit ervan van het College
van burgemeester en schepenen dd. 16 juni 2023.
II.2.1.3. Beoordeling door de Geschillenkamer
25. Ingevolge artikel 5.1.f) AVG dienen persoonsgegevens te worden beschermd tegen
ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging ( “integriteit en vertrouwelijkheid”).
26. De Geschillenkamer stelt vast dat de Inspectiedienst verscheidene tekortkomingen had
vastgesteld, zowel inzake de interne organisatie als op vlak van het beleid inzake
gegevensbescherming. Zoals ook aangevoerd door de verweerster in haar conclusies
werden er bijkomende maatregelen en beslissingen genomen om de beginselen inzake
gegevensbescherming te waarborgen. Voor wat betreft de informatieveiligheidscel werd
deze opgesplitst in enerzijds een stuurgroep op strategisch niveau met directieleden en
experten en anderzijds een werkgroep op tactisch-operationeel niveau met o.a. stafleden en
experten.
27. Voor wat betreft het beleid inzake gegevensbescherming werd een voltijds interne adviseur
informatieveiligheid aangenomen, ter ondersteuning van de externe functionaris voor
gegevensbescherming, en een informatieveiligheidsplan opgesteld, met o.a. een sterke
focus op technische maatregelen inzake IT-beveiliging.
28. De Geschillenkamer verwijst ook naar het informatieveiligheidsplan dat werd overgemaakt
op 21 juni 2023. De Geschillenkamer stelt vast dat dit goedgekeurd informatieveiligheidsplan
Beslissing ten gronde 136/2023 - 8/22
het beleid inzake de bescherming van persoonsgegevens uiteenzet, alsook de praktische
implementatie ervan vastlegt.
29. De Geschillenkamer houdt rekening met de verklaringen van de verweerster en de tijdens de
hoorzitting overgemaakte documenten en komt tot de vaststelling dat er sprake is van een
historische inbreuk op artikel 5.1.f) AVG aangezien de vastgestelde inbreuken intussen
verholpen werden.
30. De Geschillenkamer wijst er op dat de verweerster vanwege haar hoedanigheid als
overheidsdienst een voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving
inzake de bescherming van persoonsgegevens. Daarbij speelt ook dat deze overheidsdienst
een grote hoeveelheid (gevoelige) persoonsgegevens verwerkt. Overeenkomstig het
beginsel “lead by example” dient deze er bijgevolg te allen tijde over te waken dat zij handelt
conform de genoemde wetgeving en in het bijzonder de hierboven genoemde essentiële
bepalingen van de AVG. Het mag van een correct werkende overheidsdienst verwacht
worden dat deze over de nodige beleidsdocumenten beschikt die beantwoorden aan de
vereisten van de AVG.
II.2.2. Artikel 5. 1. b)-e) AVG
31. Voor wat betreft de andere grondbeginselen uit artikel 5.1.b) t.e.m. e) stelt de
Geschillenkamer vast dat het Inspectieverslag onvoldoende aanwijzingen of bewijzen bevat
die aantonen er sprake zou zijn van een inbreuk op deze beginselen.
II.3. Artikel 5.1.a (transparantie), artikel 12.1, 12.2 en 12.6, artikel 13.1 en 13.2, artikel 14.1
en 14.2 AVG
II.3.1. Vaststellingen van de Inspectiedienst
32. In uitvoering van het transparantiebeginsel uit artikel 5.1.a AVG is het op basis van artikel 12.1,
artikel 13.1 en 13.2 en artikel 14.1 en 14.2 AVG noodzakelijk dat de
verwerkingsverantwoordelijke, in casu de verweerster, aan de betrokkenen beknopte,
transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt
worden. In haar hoedanigheid van verwerkingsverantwoordelijke moet de verweerster de
artikelen 12, 13 en 14 van de AVG ten uitvoer leggen.
33. In onderhavige zaak concludeert de Inspectiedienst dat de verweerster een inbreuk heeft
begaan op artikel 12.1, 12.2 en 12.6 AVG, artikel 13.1 en 13.2 AVG en artikel 14. 1 en 14.2 AVG
aangezien de privacyverklaring onjuiste informatie zou bevatten en onvolledig zou zijn.
34. Vooreerst concludeert het Inspectieverslag dat de privacyverklaring van de verweerster
niet transparant en begrijpelijk is, zoals opgelegd door artikel 12.1 AVG en vanuit het oogpunt
van gegevensbescherming onjuiste informatie bevat, omwille van de volgende
vaststellingen:
Beslissing ten gronde 136/2023 - 9/22
• ten eerste creëert de verweerster in haar privacyverklaring ten onrechte de
perceptie dat zij de AVG volledig naleeft. Nochtans blijkt uit het verslag dat de
verweerster verschillende inbreuken begaat op de AVG;
• ten tweede vermeldt de privacyverklaring van de verweerster ten onrechte dat
betrokkenen voor het uitoefenen van hun recht een antwoord krijgen “ten laatste
30 dagen nadat we je aanvraag en identiteitsbewijs hebben gekregen’; en
• ten derde is de privacyverklaring van de verweerster niet duidelijk en bijgevolg niet
transparant voor de betrokkenen voor wat betreft:
i. de begrippen “persoonsgegevens” en “gegevens” die door elkaar worden
gebruikt,
ii. de doeleinden en rechtsgronden van de verwerking aangezien deze enkel
in vage bewoordingen omschreven worden,
iii. de doorgifte van persoonsgegevens, aangezien er geen transparante
informatie beschikbaar is over de eventuele wettelijke basis voor doorgifte
aan anderen;
iv. de opslagtermijn van persoonsgegevens aangezien duidelijk is om welke
(wettelijke) bewaartermijnen dit in de praktijk gaat, en
v. de wijzigingen die werden aangebracht aangezien er niet wordt vermeld
wanneer de laatste aanpassing is gebeurd noch wat er precies werd
gewijzigd.
35. Ten tweede stelt de Inspectiedienst ook vast dat de privacyverklaring van de verweerster
onvolledig is omdat niet alle volgens artikel 13 en 14 AVG verplicht te vermelden informatie
effectief wordt vermeld, aangezien er geen informatie gegeven wordt over:
• de contactgegevens van de functionaris voor gegevensbescherming;
• de verwerkingsdoeleinden en de rechtsgrond voor de verwerking;
• de ontvangers of categorieën van ontvangers; en
• de opslagtermijn of de criteria ter bepaling van die termijn.
II.3.2. Standpunt van de verweerster
36. In haar conclusies stelt de verweerster dat haar volledige privacyverklaring volledig werd
herwerkt om tegemoet te komen aan alle opmerkingen die werden geformuleerd door de
Inspectiedienst in het Inspectieverslag, waardoor voldaan is aan artikel 12.1 AVG. Tevens
werd de privacyverklaring vervolledigd waardoor niet langer de volgende gegevens
ontbreken: de contactgegevens van de functionaris voor gegevensbescherming, de
Beslissing ten gronde 136/2023 - 10/22
verwerkingsdoeleinden en de rechtsgrond voor verwerking, de ontvangers of categorieën
van ontvangers van persoonsgegevens en de opslagtermijn of de criteria ter bepaling van die
termijn. De verweerster benadrukt dat zij steeds de wil heeft getoond om te voldoen aan alle
bepalingen van de AVG. Na ontvangst van het Inspectieverslag heeft de verweerster dan ook
het nodige gedaan om de inbreuken te verhelpen.
II.3.3. Beoordeling door de Geschillenkamer
37. De Geschillenkamer moet beoordelen of de privacyverklaring van de verweerster voldoet
aan de vereisten zoals voorgeschreven door artikel 5.1.a (transparantie), artikel 12.1, 12.2,
12.6. artikel 13.1, en 13.2, en artikel 14.1 en 14.2 AVG.
38. Artikel 12.1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen”
neemt“ opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie [...] in verband
met de verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke
vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie
specifiek voor een kind bestemd is”.
39. Hieromtrent verwijst de Geschillenkamer naar de richtsnoeren inzake transparantie van de
Groep Gegevensbescherming5 waarin wordt bepaald als volgt: "Elke onderneming met een
website zou op die site een verklaring of een mededeling over de bescherming van de
persoonlijke levenssfeer moeten publiceren. Een rechtstreekse link naar deze verklaring of
mededeling over de bescherming van de persoonlijke levenssfeer zou duidelijk zichtbaar
moeten zijn op elke pagina van de website, onder een algemeen gebruikte term (bv.
"Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" of "Mededeling inzake de bescherming van
de persoonlijke levenssfeer".6 De Groep Gegevensbescherming stelt dat "alle informatie die
aan een betrokkene wordt toegestuurd, ook toegankelijk zou moeten zijn op een enkele
plaats of in eenzelfde document (op papier of in elektronisch formaat) dat vlot kan worden
geraadpleegd door deze persoon indien hij alle informatie die hem wordt toegestuurd wenst
te raadplegen."7
40. De Geschillenkamer stelt vast dat de klager geïnformeerd werd over de litigieuze
verwerking via de privacyverklaring die beschikbaar is op de website. De Geschillenkamer
stelt echter vast dat niet alle essentiële informatie op begrijpelijke wijze meegedeeld werd.
41. Vooreerst stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op
voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(en), de
5
Voorganger van de European Data Protection Board (EDPB).
6
Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en
op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11.
7
Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en
op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 17.
Beslissing ten gronde 136/2023 - 11/22
doeleinden van de verwerking en de persoonsgegevens die gebruikt werden, zoals vereist
door artikel 13.1 13.2 en artikel 14.1 AVG. De Geschillenkamer stelt vast dat de
privacyverklaring wel deze elementen vermeldt, maar dat de wijze waarop niet begrijpelijk
en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de betrokkene welke
gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit
gebeurt. Idealiter voorziet de verwerkingsverantwoordelijke een overzicht van de
verschillende duidelijk omschreven doeleinden waarvoor zij persoonsgegevens verwerkt,
met telkens de aanduiding welke (categorieën van) persoonsgegevens hiervoor worden
verwerkt, via welke bron zij werden verkregen, voor hoelang zij worden bewaard en met
welke (categorieën van) ontvangers ze (kunnen) worden gedeeld.8
42. Ten tweede stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding
maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter
bepaling hiervan, zoals vereist door artikel 13.2.a) en artikel 14.2.a) AVG. Zoals ook uit de
Richtsnoeren van de Groep Gegevensbescherming blijkt, volstaat een verwijzing naar de
wettelijke bewaartermijnen niet. Deze preciseert dat “de opslagperiode (of de criteria om die
te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of
sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene,
op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor
specifieke gegevens/doeleinden is”.9
43. Ten derde wijst de Geschillenkamer erop dat in het kader van het transparantiebeginsel de
verwerkingsverantwoordelijke op grond van artikel 12.2 van de AVG de uitoefening van de
rechten van de betrokkene uit hoofde van - onder meer - artikel 15 van de AVG moet
faciliteren.
44. De Geschillenkamer stelt vast dat de huidige privacyverklaring op de website 10 van de
verweerster volgende passage bevat:
“Als we niet overtuigd zijn van je identiteit kunnen we je vragen een kopie van
identiteitsbewijs voor te leggen of te versturen.”
45. Zoals uitgelegd door de EDPB, mag een verzoek tot uitoefening van de rechten onder
hoofdstuk III. van de AVG in beginsel enkel betrekking hebben op persoonsgegevens van de
betrokkene die het verzoek indient.11
8
Dit laat de betrokkenen toe om eventueel via een verzoek tot recht op inzage concreet te vragen met welke individuele
ontvangers de persoonsgegevens meegedeeld worden, zie o.a. HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21,
ECLI:EU:C:2023:3.
9
Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29 november
2017, p 25.
10
Geconsulteerd op 18 september 2023.
11
EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 46.
Beslissing ten gronde 136/2023 - 12/22
46. Ofschoon de AVG geen eisen stelt aan de methoden voor het vaststellen van de identiteit
van de betrokkene, voorziet artikel 12.6 AVG in de mogelijkheid voor de
verwerkingsverantwoordelijke om, desgevallend en voor zover deze kan aantonen dat hij
niet in staat is om de betrokkene die het verzoek indient te identificeren, aanvullende
informatie op te vragen bij de betrokkene alvorens gevolg te geven aan diens aanvraag.
Dienaangaande geldt echter als algemene regel dat een verwerkingsverantwoordelijke niet
om meer persoonsgegevens kan vragen dan nodig zijn om die identificatie mogelijk te
maken, en dat het gebruik van die informatie strikt beperkt moet blijven tot het voldoen aan
het verzoek van de betrokkenen.12 Overweging 57 AVG verduidelijkt bovendien dat de
verwerkingsverantwoordelijke geenszins verplicht is om aanvullende identificatiegegevens
te verzamelen, louter opdat hij gevolg zou kunnen geven aan een verzoek van een
betrokkene.
47. De verwerkingsverantwoordelijke die terdege aantoont — zoals de verantwoordingsplicht
onder artikel 5.2 AVG voorschrijft — dat hij een betrokkene niet kan identificeren, kan met
andere woorden rechtmatig weigeren gevolg te geven aan een verzoek tot uitoefening van
de rechten, doch dient in zulke gevallen krachtens artikel 11.2 AVG de betrokkene van deze
situatie te informeren alsook hem of haar mede te delen welke bijkomende informatie nodig
is voor de identificatie.13
48. De Europese richtsnoeren verduidelijken eveneens dat de verwerkingsverantwoordelijke, in
gevallen waarin hij om aanvullende informatie verzoekt die nodig is om de identiteit van de
betrokkene te bevestigen, telkens moet beoordelen welke informatie hem in concreto in
staat zal stellen de identiteit van de betrokkene te bevestigen. Desgevallend en voor zover
dit evenredig is, kan hij aanvullende vragen stellen aan de verzoekende persoon of verzoekt
hij de betrokkene enkele aanvullende identificatie-elementen voor te leggen.14
49. De verweerster zal bijgevolg desgevallend steeds een dergelijke afweging moeten maken bij
het opvragen van bijkomende identificatiegegevens in het kader van de uitoefening van de
rechten door een betrokkene. Noch uit de klacht, noch uit het Inspectieverslag of andere
stukken van het dossier blijkt dat de verweerster bijkomende identificatiegegevens zou
opgevraagd hebben in het kader van de uitoefening van zijn rechten door de klager. De
Geschillenkamer wijst erop dat zij de Inspectiedienst bijtreedt dat een algemene bepaling
inzake het overmaken van bijkomende identificatiegegevens zoals initieel geformuleerd in
de privacyverklaring niet proportioneel is in het licht van de voormelde Europese
richtsnoeren.
12
EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 59-60.
13
EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 64.
14
EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 65.
Beslissing ten gronde 136/2023 - 13/22
50. De Geschillenkamer stelt, gelet op al het voorgaande, een schending vast van artikel 5.1.a)
(transparantie), artikel 12.1, artikel 13. 1 en 13.2 en artikel 14.1 en 14.2 van de AVG voor wat
betreft het vermelden van de nodige informatie op een onoverzichtelijke wijze, alsook het
niet expliciet vermelden van de bewaartermijn in de privacyverklaring. . De Geschillenkamer
stelt vast dat er sprake was van een inbreuk op artikel 12.2 en 12.6 AVG in die mate dat de
voormelde algemene bepaling in de door de inspectiedienst onderzochte privacyverklaring
rond het voorleggen van aanvullende identificatiegegevens niet proportioneel is in het licht
van voormelde Europese richtsnoeren, maar dat deze intussen werd verholpen in de nieuwe
privacyverklaring.
II.4. Artikel 5.2, artikel 24.1 en artikel 25. 1 en 25.2 AVG.
II.4.1. Vaststellingen in het Inspectieverslag
51. De verwerkingsverantwoordelijke moet de beginselen uit artikel 5 AVG naleven en dat
kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5.2 j°
artikel 24.1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke
verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen
nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt
overeenkomstig de AVG.
52. In zijn Inspectieverslag stelt de Inspectiedienst vast dat de artikelen 5.2, artikel 24.1 en 25.1
en 25.2 AVG werden geschonden.
53. Ten eerste stelt de Inspectie vast dat de verweerster haar verplichtingen ingevolge artikel
5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG niet heeft nageleefd. Hiertoe verwijst de
Inspectiedienst naar de maatregelen en beslissingen die werden genomen om de naleving
van de beginselen inzake persoonsgegevens te waarborgen naar de documenten en de
tekortkomingen ervan zoals uiteengezet in deel II.2.1.1.
54. Ten tweede komt de Inspectiedienst tot de vaststelling dat de verweerster niet aantoont
welke passende technische en organisatorische maatregelen er werden genomen om te
voldoen aan de informatieverplichtingen zoals bepaald in de artikelen 12 tot 14 AVG, zoals
uiteengezet in deel II.3.1 van deze beslissing.
II.4.2. Standpunt van de verweerster
55. Zoals reeds uiteengezet in deel II.2.1.2 en deel II.3.2 voert de verweerster aan dat de
vastgestelde inbreuken reeds verholpen werden op het moment van indiening van de
conclusies.
II.4.3. Beoordeling door de Geschillenkamer
Beslissing ten gronde 136/2023 - 14/22
56. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de
grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel
5.1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de
verantwoordingsplicht in artikel 5.2 van de AVG juncto artikel 24. 1 van de AVG zoals
bevestigd door de Geschillenkamer 15.
57. Op basis van de artikelen 24 en 25 van de AVG moet de verweerster passende technische
en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de
verwerking plaatsvindt conform de AVG. De verweerster moet daarbij de
gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen
beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk
specifiek doel van de verwerking.
58. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de
verweerster de nodige technische en organisatorische maatregelen heeft genomen om te
voldoen aan deze beginselen uit artikel 5.1 AVG en in het bijzonder het beginsel van
transparantie en integriteit.
59. De Geschillenkamer heeft in deel II.2.1.3 vastgesteld dat er sprake was van een inbreuk van
de verplichtingen ingevolge artikel 5.1.f) AVG inzake het integriteitsbeginsel. De
Geschillenkamer heeft in deel II.3.3 geoordeeld dat er eveneens sprake was van een inbreuk
op de transparantieverplichtingen zoals begrepen in artikel 12.1, 12.2, 12.6 en artikel 13. 1 en
13.2 AVG voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in
de privacyverklaring.
60. De Geschillenkamer stelt dan ook vast dat de verweerster niet kon aantonen dat zij de
nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze
verplichtingen. Bijgevolg besluit de Geschillenkamer dat er sprake was van een inbreuk op
de artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG voor wat betreft de verplichtingen
voortvloeiend uit artikel 5.1, f) AVG enerzijds en artikel 5.1.a) (transparantie), artikel 12.1,
12.2 en 12.6, artikel 13.1 en 13.2 en artikel 14.1 en 14.2 AVG anderzijds.
61. Voor wat betreft de verantwoordingsplicht in het kader van de naleving van de
grondbeginselen van de AVG zoals begrepen in artikel 5.1, b) t.e.m. e) AVG, stelt de
Geschillenkamer vast dat er onvoldoende elementen zijn om tot een schending hiervan te
oordelen.
II.5. Artikel 30. 1 AVG
62. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden
van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd.
15
Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.
Beslissing ten gronde 136/2023 - 15/22
Artikel 30.1.a) tot en met g) AVG bepaalt dat, met betrekking tot de in de hoedanigheid van
verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar
moet zijn:
a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele
gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor
gegevensbescherming;
b) de verwerkingsdoeleinden;
c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;
d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een
internationale organisatie, met inbegrip van de vermelding van dat derde land of die
internationale organisatie en, in geval van de in artikel 49.1, tweede alinea AVG,
bedoelde doorgiften, de documenten inzake de passende waarborgen;
f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van
gegevens moeten worden gewist;
g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32.1 AVG.
63. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van
essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht
hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook
in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de
naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert omdat het
register de belangrijkste kenmerken ervan zichtbaar maakt. De Geschillenkamer is van
oordeel dat dit verwerkingsregister een essentieel instrument is in het kader van de reeds
vermelde verantwoordingsplicht (artikel 5.2, en artikel 24 AVG) en dat dit register ten
grondslag ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke
oplegt. Het is dan ook van belang dat deze volledig en juist is.
64. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten van de
verweerster de volgende vaststellingen. Het register van de verwerkingsactiviteiten van de
verweerster voldoet niet aan de minimumvereisten bedoeld in artikel 30.1 van de AVG.
Concreet ontbreken de volgende verplichte vermeldingen:
Beslissing ten gronde 136/2023 - 16/22
a) de contactgegevens van de verweerster en van de functionaris voor
gegevensbescherming (cf. artikel 30.1.a) van de AVG); en
b) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens (cf. artikel 30.1.c) van de AVG).
65. In haar conclusies betwist de verweerster de vaststelling van de Inspectiedienst niet. De
verweerster wijst er echter op dat na kennisname van het verslag van de Inspectiedienst, de
nodige inspanningen werden gedaan om het register van verwerkingsactiviteiten aan te
passen overeenkomstig de verplichtingen voortvloeiend uit de AVG.
66. De verweerster heeft het aangepast register van verwerkingsactiviteiten overgemaakt. De
Geschillenkamer stelt vast dat in dit aangepast register van verwerkingsactiviteiten de
contactgegevens van de verwerkingsverantwoordelijke en de functionaris voor
gegevensbescherming zijn opgenomen, alsook een beschrijving van de categorieën van de
betrokkenen en de categorieën van persoonsgegevens.
67. De Geschillenkamer wijst er daarbij wel op dat de verweerster inspanningen heeft geleverd
om de verplichtingen voortvloeiend uit artikel 30 AVG na te leven, weliswaar na ontvangst
van de opmerkingen van de Inspectiedienst.
68. De Geschillenkamer stelt dus vast dat het register van verwerkingsactiviteiten ten tijde van
het onderzoek van de Inspectiedienst niet voldeed aan de vereisten van artikel 30 AVG,
waardoor er sprake was van een inbreuk op artikel 30 AVG. Hieraan doet niet af dat dit
intussen verholpen werd.
II.6. Artikel 38.1 en 38.3 van de AVG en artikel 39.1 van de AVG
II.6.1. Vaststellingen in het Inspectieverslag
69. Het verslag van de Inspectiedienst stelt vast dat de verweerster de vereisten inzake de
positie van de functionaris voor gegevensbescherming onder artikel 38.1 en 38.3 AVG en de
taken van de functionaris voor gegevensbescherming onder artikel 39.1 AVG niet heeft
nageleefd.
70. De Inspectiedienst doet aangaande de functionaris voor gegevensbescherming de
volgende vaststellingen, zoals hierna samengevat:
• de verweerster toont niet aan dat haar functionaris voor gegevensbescherming
naar behoren en tijdig werd betrokken in het kader van de context van de klacht.
Een overleg via MS Teams waarvan geen verslag wordt voorgelegd is onvoldoende
voor een behoorlijke en tijdige (gedocumenteerde) betrokkenheid; en
Beslissing ten gronde 136/2023 - 17/22
• de verweerster toont niet aan dat haar functionaris voor gegevensbescherming
effectief verslag uitbrengt aan het hoogste leidinggevende niveau, zijnde de Y-
raad.
II.6.2. Standpunt van de verweerster
71. Voor wat betreft de vaststelling van de Inspectiedienst inzake artikel 38.1 AVG voert de
verweerster aan dat de overlegmomenten via MS Teams aantonen dat de functionaris voor
gegevensbescherming tijdig werd betrokken. De verweerster ontving een mail van de klager
aangaande de problematiek in de klacht op 16 november 2021. Op 18 en 24 november 2021
werden hieromtrent overlegmomenten ingepland.
72. De verweerster betwist de vaststellingen van de Inspectiedienst in verband met artikel 38.3
AVG en voert aan dat deze niet correct zijn. Zoals reeds gesteld heeft de Inspectiedienst op
de website van de verweerster vastgesteld dat de Y-raad het hoogste bestuursorgaan is van
de verweerster, en leidt daaruit, ten onrechte volgens de verweerster, af dat de Y-raad
tevens het hoogste leidinggevende orgaan is van de verweerster. De verweerster wijst erop
dat er een verschil is tussen het hoogste bestuursorgaan en het hoogste leidinggevende
orgaan. Volgens artikel 38.3 AVG dient de functionaris voor gegevensbescherming te
rapporteren aan het hoogste leidinggevende orgaan en niet het hoogste bestuursorgaan.
De Y-raad geeft geen leiding aan het personeel van het Y. Ingevolge artikel 170 van het
decreet van 22 december 2017 over het lokaal bestuur 16 (hierna: Decreet Lokaal Bestuur)
staat de algemeen directeur in voor de algemene leiding van de diensten van het Y en staat
deze aan het hoofd van het personeel van het Y. Noch het vast bureau, noch de
gemeenteraad kunnen zich mengen in de organisatie van de leiding over de diensten van het
Y, noch kunnen zij enige leiding geven aan het personeel van het Y aangezien dit de
uitsluitende bevoegdheid is van de algemeen directeur. De verweerster voert aan dat de
functionaris voor gegevensbescherming rapporteert aan de algemeen directeur, waardoor
deze rapporteert aan de hoogst leidinggevende en bijgevolg handelt in overeenstemming
met artikel 38.3 AVG.
II.6.3. Beoordeling door de Geschillenkamer
73. De Geschillenkamer herinnert eraan dat artikel 38.1 AVG voorschrijft dat de
verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor
gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die
verband houden met de bescherming van persoonsgegevens.
74. De Geschillenkamer stelt vast dat de verweerster schermafdrukken heeft overgemaakt
waaruit blijkt dat MS Teams overlegmomenten met als onderwerp ‘GDPR klacht M.R’
16
BS 15 februari 2018.
Beslissing ten gronde 136/2023 - 18/22
hebben plaatsgevonden, op basis waarvan de Geschillenkamer niet kan vaststellen dat de
functionaris voor gegevensbescherming niet (tijdig) betrokken geweest zou zijn. De
Geschillenkamer stelt bijgevolg geen inbreuk op artikel 38.1 AVG vast. De Geschillenkamer
wijst er evenwel op dat, gelet op de verantwoordingsplicht zoals begrepen in artikel 5.2 en
de artikelen 24 en 25 AVG, een verslag over deze overlegmomenten beter had kunnen
aantonen dat de functionaris voor gegevensbescherming tijdig en behoorlijk betrokken
werd naar aanleiding van de mail van de klager.
75. Artikel 38.3 AVG bepaalt dat de functionaris voor gegevensbescherming rechtstreeks
verslag dient uit te brengen aan de hoogste leidinggevende van de
verwerkingsverantwoordelijke of de verwerker. In de richtsnoeren van de Groep
Gegevensbescherming over de functionaris voor gegevensbescherming wordt de volgende
uitleg gegeven aan het uitbrengen van verslag aan de hoogste leidinggevende zoals bedoeld
in artikel 38.3 AVG: “Als de verwerkingsverantwoordelijke of de verwerker beslissingen
nemen die niet in de lijn liggen van de algemene verordening gegevensbescherming en het
advies van de functionaris voor gegevensbescherming, moet deze laatste de kans krijgen
om zijn/haar afwijkende mening duidelijk te maken aan de hoogste leidinggevende en aan
diegenen die de beslissingen nemen”. In dat opzicht wordt in artikel 38.3 AVG voorzien dat
de functionaris voor gegevensbescherming “rechtstreeks verslag [uitbrengt] aan de
hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker”.17 Via een
dergelijke rapportage wordt verzekerd dat het hogere management (bv. De raad van
bestuur) op de hoogte is van het advies en de aanbevelingen die de functionaris voor
gegevensbescherming verstrekt in het kader van zijn missie om de
verwerkingsverantwoordelijke of de verwerker te informeren en te adviseren.
76. De Geschillenkamer merkt op dat de verweerster stelt dat de algemeen directeur op basis
van artikel 170 Decreet Lokaal Bestuur bevoegd is voor personeelszaken. De
Geschillenkamer wijst er echter op dat het gegevensbeschermingsbeleid veel ruimer is dan
personeelszaken alleen. De Geschillenkamer kan dus niet akkoord gaan met dit standpunt
van de verweerster. De Geschillenkamer herinnert eraan dat zij reeds gesteld heeft dat in
een gemeente het college van burgemeester en schepenen het hoogste dagelijkse
leidinggevende niveau is. Bijgevolg dient de functionaris voor gegevensbescherming
rechtstreeks aan dit college verslag uit te brengen conform artikel 38.3 AVG.18 Naar analogie
met het voorgaande moet dan ook worden vastgesteld dat de functionaris voor
gegevensbescherming van een Y rechtstreeks dient te rapporteren aan het vast bureau, het
orgaan dat het hoogste dagelijkse leidinggevende niveau van het Y uitmaakt. Gelet op het
17
Richtlijnen voor de functionaris voor gegevensbescherming van de Werkgroep 29, WP 243 rev.01, p.19, overgenomen
door de EDPB.
18
Beslissing 15/2020 dd. 15 april 2020, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-15-2020.pdf.
Beslissing ten gronde 136/2023 - 19/22
bovenstaande concludeert de Geschillenkamer dat de functionaris voor
gegevensbescherming niet rechtstreeks rapporteert aan het hoogst leidinggevende niveau,
hetgeen een inbreuk uitmaakt op artikel 38.3 AVG.
77. Op basis van artikel 39.1 AVG moet de functionaris voor gegevensbescherming (a) de
verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit
hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke
gegevensbeschermingsbepalingen en (b) toezien op naleving van de AVG, van andere
Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid
van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming
van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden,
bewustmaking en opleiding van het bij de verwerking betrokken personeel en de
betreffende audits. De Geschillenkamer stelt vast dat de verweerster verscheidene
documenten overmaakt waaruit blijkt dat de functionaris voor gegevensbescherming
betrokken is en de verweerster informeert en adviseert omtrent de aspecten inzake
gegevensbescherming. De Geschillenkamer stelt bijgevolg vast dat er geen inbreuk is op
artikel 39.1 AVG.
III. Sanctie
78. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die
het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
Beslissing ten gronde 136/2023 - 20/22
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
79. Bij de beoordeling van de passende sanctie en/of corrigerende maatregel houdt de
Geschillenkamer rekening met de corrigerende maatregelen die getroffen werden door de
verweerster.
80. In deze omstandigheden beslist de Geschillenkamer om verweerster overeenkomstig
artikel 100, § 1, 5° van de WOG te berispen voor wat betreft:
• de historische inbreuken op artikel 5.1.f) AVG voor wat betreft het ontbreken van
een uitgewerkt en geïmplementeerd informatieveiligheidsplan. De
Geschillenkamer houdt rekening met het goedgekeurd informatieveiligheidsplan
dat werd overgemaakt op 21 juni 2023 en de maatregelen die de verweerster reeds
had genomen na ontvangt van het Inspectierapport.
• de historische inbreuk op artikel 12.2 en 12.6 AVG voor het niet faciliteren van de
uitoefening van de rechten van betrokkenen door ten onrechte te stipuleren dat
betrokkenen “een antwoord krijgen op hun verzoek ten laatste 30 dagen nadat we
je aanvraag en identiteitsbewijs hebben gekregen”.
• de inbreuken op artikel 5.1.a) (transparantie), artikel 12.1, artikel 13.1 en 13.2 en
artikel 14. 1 en 14.2 AVG voor wat betreft het vermelden van de nodige informatie
op een onoverzichtelijke wijze, alsook het niet expliciet vermelden van de
bewaartermijn in de privacyverklaring.
• De e inbreuken met betrekking tot de verantwoordingsplicht ex artikel 5.2 AVG en
de verplichting tot het nemen van passende technische en organisatorische
maatregelen ter naleving van de voorschriften van de AVG en ter bescherming van
de rechten van de betrokkenen (artikel 24. 1 en artikel 25. 1 en 25.2 AVG) gelet op
de vaststelde historische inbreuken op artikel 5.1.f) AVG enerzijds en artikel 12.1,
12.2, 12.6, artikel 13.1 en 13.2 en artikel 14. 1 en 14.2 AVG anderzijds.
• de historische inbreuken op artikel 30. 1 AVG aangezien verschillende verplichte
vermeldingen uit artikel 30.1 AVG niet opgenomen waren in het register van
verwerkingsactiviteiten. Hierbij houdt de Geschillenkamer rekening met het feit dat
de verweerster reeds voor de hoorzitting een aangepast register van
verwerkingsactiviteiten had overgemaakt.
• de inbreuken op artikel 38.3 AVG en meer bepaald niet rechtstreeks rapporteren
aan het hoogst leidinggevende niveau.
81. De Geschillenkamer gaat over tot een sepot van de overige grieven en vaststellingen van de
Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de
Beslissing ten gronde 136/2023 - 21/22
conclusie kan komen dat er sprake is van een inbreuk op de AVG. Deze grieven en
vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd
in de zin van artikel 57. 4 van de AVG.19
IV. Publicatie van de beslissing
82. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 100, §1, 5° WOG een berisping te formuleren voor wat betreft de
historische inbreuk op artikel 5.1.f), 5.2, artikel 5.1.a) (transparantie), artikel 12.1, 12.2 en
12.6, artikel 24.1, artikel 25. 1 en 25.2, artikel 30.1 en artikel 38.3 AVG ;
- Op grond van artikel 100, §1, 5° WOG een berisping te formuleren voor wat betreft de
inbreuk op artikel 13. 1 en 13.2, artikel 14.1 en 14.2 en artikel 38.3 AVG ;
- Op grond van artikel 100, §1, 1° WOG de andere vaststellingen te seponeren.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 20. Het
19
Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf.
20
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
Beslissing ten gronde 136/2023 - 22/22
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.21, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
6° de handtekening van de verzoeker of van zijn advocaat.
21
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.