1/17
Geschillenkamer
Beslissing ten gronde 137/2023 van 29 september 2023
Dossiernummer : DOS-2020-04511
Betreft: klacht met betrekking tot het ontbreken van een verwerkersovereenkomst
(artikel 28, lid 3, van de AVG) en het ontbreken van voldoende informatieverstrekking
door een overheidsinstantie (artikel 14 van de AVG)
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Romain Robert en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna "AVG";
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna "WOG";
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: de heer X, hierna: "de klager";
De verweerders: de gemeente Y1, hierna "de eerste verweerder”:
de vennootschap Y2, vertegenwoordigd door meester Louis Leurquin,
advocaat, met kantoor te Brugmannlaan 435, 1180 Brussel (Ukkel), hierna:
"de tweede verweerder";
hierna samen genoemd "de verweerders".
Beslissing ten gronde 137/2023 – 2/17
I. Feiten en procedure
1. Op 4 september 2020 dient de klager bij de Gegevensbeschermingsautoriteit (GBA) een
klacht in tegen de verweerders.
2. Zijn klacht betreft enerzijds het ontbreken van een verwerkersovereenkomst tussen de
eerste en de tweede verweerder met betrekking tot de verwerking van de gegevens van de
klager, en anderzijds de wijze waarop de gegevens van de klager zijn verwerkt in het kader
van de vaststelling en de inning door de eerste verweerder van een door de klager te betalen
parkeerretributie.
3. De feiten die aan de oorsprong van de klacht liggen, kunnen als volgt worden samengevat.
4. De klager verklaart een parkeerretributie van de eerste verweerder te hebben ontvangen
voor het parkeren op datum van 20 mei 2020 op het (...)plein. Deze parkeerretributie werd
naar zijn huisadres gestuurd en bevat zijn naam en voornaam, zijn adres en het kenteken van
zijn voertuig.
5. Op 6 juli 2020 wendt de eiser zich tot de belastingdienst van de eerste verweerder om een
bewijs te verkrijgen van de parkeerovertreding die hem ten laste wordt gelegd.
Als antwoord krijgt de klager verschillende foto's van zijn voertuig toegestuurd.
Vervolgens vraagt hij de belastingdienst van de eerste verweerder naar de wijze waarop de
hem betreffende persoonsgegevens worden verwerkt in het kader van de vaststelling en de
inning van de van hem gevraagde retributie.
6. De klager krijgt als antwoord dat de eerste verweerder gebruik maakte van de diensten van
derden, waaronder de tweede verweerder, en hij vraagt om de overeenkomst die met de
laatstgenoemde was gesloten. Het blijkt, zoals de eerste verweerder zelf toegeeft, dat de
verwerkersovereenkomst die hem ten aanzien van de tweede verweerder moest binden,
ten tijde van de feiten met betrekking tot de klager niet bestond.
7. In dit verband merkt de Geschillenkamer op dat op 27 juli 2020 een "overeenkomst inzake
gegevensbescherming" tussen de verweerders werd ondertekend. Artikel 2 van deze
overeenkomst definieert de rol van elke partij. De tweede verweerder wordt beschreven als
een IT-engineeringbedrijf dat software ontwikkelt en op de markt brengt, IT-infrastructuren
beheert en zijn expertise aanbiedt aan zowel publieke als particuliere klanten. In het kader
van zijn activiteiten kan hij verplicht zijn persoonsgegevens van zijn klant, zoals in casu de
eerste verweerder, te verwerken, met name in verband met zijn installatie-, ondersteunings-
en/of onderhouds- en hostingactiviteiten. In de overeenkomst staat verder dat de tweede
verweerder voor de uitgevoerde verwerkingen optreedt als verwerker, terwijl zijn klant, de
eerste verweerder in dit geval, optreedt als verwerkingsverantwoordelijke.
Beslissing ten gronde 137/2023 – 3/17
8. Op 23 oktober 2020 wordt de klacht door de Eerstelijnsdienst (ELD) van de GBA op grond
van de artikelen 58 en 60 van de WOG ontvankelijk verklaard, en wordt de klacht op grond
van artikel 62, § 1, van de WOG overgemaakt aan de Geschillenkamer.
9. Op 20 november 2020 wordt, overeenkomstig artikel 96, § 1, van de WOG, het verzoek van
de Geschillenkamer om een onderzoek in te stellen, overgemaakt aan de Inspectiedienst
(ID).
10. Op 11 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, het verslag bij het
dossier gevoegd en het dossier door de inspecteur-generaal aan de voorzitter van de
Geschillenkamer overgemaakt (artikel 91, §§ 1 en 2, van de WOG).
11. Dit inspectieverslag bevat de volgende vaststellingen:
a. Inbreuk op artikel 28, lid 3, van de AVG door de eerste verweerder: de ID stelt vast
dat de verwerkersovereenkomst tussen de eerste verweerder in zijn hoedanigheid
van verwerkingsverantwoordelijke en de tweede verweerder in zijn hoedanigheid
van verwerker op 27 juli 2020 is gesloten. De ID stelt daarom vast dat ten tijde van
de aangegeven feiten en de verwerking van de gegevens van de klager in verband
met de vaststelling en de inning van het parkeerretributie van 20 mei 2020, er geen
sprake was van een dergelijke overeenkomst, hetgeen in strijd is met artikel 28, lid
3, van de AVG. De ID voegt eraan toe dat de bepaling inzake terugwerkende kracht
in de genoemde verwerkersovereenkomst geen afbreuk mag doen aan de rechten
van derden, met name die van de klager.
b. Inbreuk op de artikelen 12, lid 1, en 14 van de AVG door de eerste verweerder: de ID
stelt vast dat de vrijstelling van informatieverstrekking zoals bedoeld in artikel 14,
lid 5, punt c), van de AVG, waarop de eerste verweerder zich beroept, in casu niet in
aanmerking kan worden genomen. Mede op grond van de richtsnoeren inzake
transparantie van het Europees Comité voor gegevensbescherming (EDPB) 1
concludeert de ID dat de teksten2 waarop de eerste verweerder zich beroept,
weliswaar een grondslag bieden voor de rechtmatigheid van de verwerking, maar
hem niet verplichten om de gegevens die hij verwerkt in het kader van de inning van
de betrokken retributie te verkrijgen (of te ontvangen) en, vooral, geen passende
1
Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig
Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn
overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018:
https://ec.europa.eu/newsroom/article29/items/622227.
.
2
De eerste verweerder beroept zich op de volgende teksten: artikel 6 van het koninklijk besluit van 20 juli 2001 betreffende
de inschrijving van voertuigen, dat bepaalt dat de strafrechtelijke opsporing en vervolging van misdrijven, wanbedrijven en
overtredingen de doeleinden zijn waarvoor persoonsgegevens in het repertorium mogen worden verwerkt; de wet van 22
februari 1065 waarbij aan de gemeenten wordt toegestaan parkeergeld op motorrijtuigen in te voeren; het reglement-
retributie houdende het gemeentelijk beleid inzake parkeren, aangenomen door de gemeenteraad op [.... ] dat het mogelijk
maakt parkeerretributies in te stellen wanneer een voertuig niet voldoet aan de relevante wetgeving, en de ordonnantie van
22 januari 2019 (hoofdstuk VII) - parkeerretributies en controle op de naleving van de parkeerregels.
Beslissing ten gronde 137/2023 – 4/17
maatregelen bevatten ter bescherming van de gerechtvaardigde belangen van de
betrokkene, zoals artikel 14, lid 5, punt c), van de AVG vereist om te kunnen worden
ingeroepen.
De ID merkt op dat eerste verweerder zich ook beroept op beraadslaging FO
23/2013 van 25 juli 2013 van het Sectoraal comité voor de Federale Overheid
(SCFO)3 van de Commissie voor de bescherming van de persoonlijke levenssfeer
(CBPL)4, houdende de eenmalige machtiging en tot wijziging, voor wat de private
concessiehouders van de Brusselse gemeenten, de Brusselse autonome
gemeentebedrijven en het Brussels Hoofdstedelijk Parkeeragentschap betreft,
van de beraadslaging FO 12/2009 houdende de eenmalige machtiging voor
toegang tot het repertorium van de DIV voor de identificatie van personen die door
het gebruik van een voertuig, [parkeer]retributie[, -belasting of parkeergeld]
schuldig zijn, die volgens haar geldig blijft overeenkomstig artikel 111 van de WOG.
De ID merkt op dat deze beraadslaging specifiek vereist dat informatie wordt
verstrekt aan de betrokkene via de website van de verwerkingsverantwoordelijke
en bij betaalverzoeken. De ID merkt op dat dergelijke informatie niet wordt
verstrekt op de website van de eerste verweerder of op de verzonden
betaalverzoeken (tweede herinnering). De ID benadrukt ook dat het feit dat de
eerste verweerder toegang heeft tot de DIV (Dienst voor Inschrijvingen van
Voertuigen) haar niet ontslaat van de informatieplicht.
12. Op 9 juli 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de
WOG dat het dossier gereed is voor behandeling ten gronde.
13. Op dezelfde datum worden de partijen per aangetekende brief in kennis gesteld van de
bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij
op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies
in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de
verweerders wordt daarbij vastgelegd op 6 september 2021, die voor de conclusie van
repliek van de klager op 28 september 2021, en die van de conclusie van repliek van de
verweerders op 20 oktober 2021.
3
Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig
Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn
overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018:
https://ec.europa.eu/newsroom/article29/items/622227.
.
4
Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig
Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn
overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018:
https://ec.europa.eu/newsroom/article29/items/622227.
.
Beslissing ten gronde 137/2023 – 5/17
14. In dezelfde brief van 9 juli 2021 verklaart de Geschillenkamer dat de eerste verweerder is
uitgenodigd om zijn argumenten naar voren te brengen met betrekking tot de door de ID
gedane vaststellingen. Bovendien nodigt zij hem uit om zijn argumenten met betrekking tot
de naleving van artikel 5, lid 2, en artikel 24 van de AVG naar voren te brengen, aangezien
een door de ID bewezen schending van een van de artikelen 28, 12, lid 1, en/of 14 van de AVG
waarschijnlijk als gevolg daarvan een schending vormt van deze bepalingen (artikel 5, lid 2,
en artikel 24 van de AVG) waarin het verantwoordingsbeginsel is verankerd.
15. Op basis van de door de klager ingediende klacht (waarin ook een mogelijke schending door
de tweede verweerder van diens verplichtingen onder de AVG wordt aangevoerd - zie punt
1), verzoekt de Geschillenkamer deze laatste ook zijn argumenten naar voren te brengen met
betrekking tot artikel 28 van de AVG en de verplichting om zijn relatie met de eerste
verweerder te regelen door middel van een verwerkersovereenkomst overeenkomstig
artikel 28, lid 3, van de AVG.
16. Op 2 september 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de
eerste verweerder:
- Wat de grief inzake een inbreuk op artikel 28, lid 3, van de AVG betreft, ontkent de eerste
verweerder niet dat er ten tijde van de feiten die aan de klacht ten grondslag liggen, in
feite geen overeenkomst of andere rechtshandeling bestond die met de tweede
verweerder was aangegaan. De eerste verweerder wijst er evenwel op dat deze
overeenkomst - waarvan de ondertekening niet als prioritair werd beschouwd, met
name omdat er geen hoog risico voor de betrokkenen was en gezien de context van de
COVID-19-pandemie die van zijn kant prioriteit vereiste - is gesloten op 27 juli 2020, en
dat de situatie inmiddels is geregulariseerd, ook voor het verleden, gelet op de bepaling
inzake terugwerkende kracht tot 25 mei 2018 waarin artikel 3 van de genoemde
overeenkomst voorziet (artikel 3).
- Wat de grief inzake een inbreuk op de artikelen 12, lid 1, en 14 van de GDPR betreft,
verklaart de eerste verweerder, zich baserend op de conclusies van de ID op dit punt, dat
hij nota heeft genomen van het feit dat artikel 14, lid 5, punt c), van de AVG niet van
toepassing is, en geeft hij aan dat hij zijn website heeft gewijzigd door een tekst toe te
voegen waarin de door artikel 14 van de AVG vereiste informatie wordt vermeld, en dat
hij de brieven met betaalverzoeken in verband met parkeergelden heeft aangepast door
een informatieclausule toe te voegen.
17. Op 3 september 2021 de tweede verweerder de Geschillenkamer ervan in kennis dat hij
verwijst naar en instemt met de argumenten van de eerste verweerder in zijn conclusie van
antwoord van 2 september 2021 (punt 16), welke conclusie kan worden geacht ook in zijn
naam en voor zijn rekening te zijn ingediend.
Beslissing ten gronde 137/2023 – 6/17
18. Op 4 september 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager:
- Daarin verheugt de klager zich erover dat de eerste verweerder de schendingen erkent
die hem door de ID worden verweten, maar betwijfelt hij diens goede trouw wanneer hij
het volgens hem "te gemakkelijke excuus" van de COVID-19-virusepidemie aanvoert als
uitleg voor de vertraging bij het ondertekenen van een verwerkersovereenkomst. Hij
wijst er in dit verband op dat de AVG in werking was getreden sinds 25 mei 2016, dat wil
zeggen zelfs vóór de gunning van de overheidsopdracht door de eerste verweerder aan
de tweede verweerder eind 2016.
- De klager wijst er ook op dat de eerste verweerder de persoonsgegevens die hij aan de
tweede verweerder doorgeeft, minimaliseert. Alleen de nummerplaat van overtreders
zou aan hem worden doorgegeven, terwijl het verslag van de ID vermeldt dat ook andere
hem betreffende persoonsgegevens (zoals foto's van zijn voertuig) zijn doorgegeven. In
het algemeen hekelt de klager het gebrek aan voorbeeldigheid en transparantie van de
eerste verweerder als openbare administratie.
- Tot slot wil de klager dat de schade die hij heeft geleden als gevolg van het niet
respecteren van zijn persoonsgegevens wordt erkend, zowel moreel als financieel,
waarbij zijn inkomstenderving wordt geschat op 1.500,00 euro ex aequo et bono, gelet
op de tijd en energie die in deze zaak is gestoken.
19. Op 30 september 2021 ontvangt de Geschillenkamer de conclusie van repliek van de eerste
verweerder. Wat de door de eiser gevorderde schadevergoeding betreft, voert de eerste
verweerder aan dat de gegevens van de klager niet zijn gebruikt voor doeleinden waarin de
wet niet voorziet en dat hij geen schade kan hebben geleden als gevolg van het oneigenlijke
gebruik ervan. Hij wijst er ook op dat overheidsinstanties zijn vrijgesteld van administratieve
boetes.
20. Op 30 september ontvangt de Geschillenkamer ook een laatste reactie van de klager. Deze
reactie wordt te laat ingediend, aangezien de klager al de gelegenheid heeft gehad om te
concluderen (punt 18) en het laatste woord aan de verweerders is. De klager wijst er met
name op dat de retributie alleen kon worden vastgesteld doordat, in strijd met de AVG, hem
betreffende gegevens zijn meegedeeld, wat volgens hem de retributie als zodanig ongeldig
maakt. Hij wijst er bovendien op dat, hoewel overheidsinstanties zijn vrijgesteld van
administratieve boetes, ze kunnen worden onderworpen aan niet-monetaire
administratieve sancties en strafrechtelijke sancties. Tot slot herhaalt de klager zijn eis tot
schadevergoeding.
Beslissing ten gronde 137/2023 – 7/17
II. Motivering
II.1. Wat betreft de schending van artikel 28, lid 3, van de AVG door de eerste en de tweede
verweerder
21. Artikel 28, lid 1, van de AVG bepaalt dat wanneer een verwerking namens een
verwerkingsverantwoordelijke wordt verricht, de verwerkingsverantwoordelijke uitsluitend
een beroep doet op verwerkers die afdoende garanties met betrekking tot het toepassen
van passende technische en organisatorische maatregelen bieden opdat de verwerking aan
de vereisten van deze verordening voldoet en de bescherming van de rechten van de
betrokkene is gewaarborgd.
22. Overeenkomstig artikel 28, lid 3, van de AVG dient de verwerking door een verwerker te
worden geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht
of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke
bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de
verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten
en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die
overeenkomst of andere rechtshandeling moet voorzien in een aantal verplichtingen voor
de verwerker die worden opgesomd in de punten a) tot en met h) van artikel 28, lid 3, van de
AVG.
23. In het onderhavige geval kwalificeert de Geschillenkamer de eerste verweerder als
"verwerkingsverantwoordelijke" in de zin van artikel 4, lid 7, van het AVG. Hij is de entiteit die
de doeleinden en de middelen bepaalt van de aangeklaagde verwerking (dat wil zeggen de
verwerking van persoonsgegevens over de klager ten behoeve van de vaststelling en de
inning van parkeergeld), in het kader van de uitoefening van een bevoegdheid die hem
wettelijk is toevertrouwd. Deze kwalificatie wordt door de verweerders niet betwist.
24. De Geschillenkamer kwalificeert de tweede verweerder als "verwerker", in de zin van artikel
4, lid 8, van de AVG, aangezien hij handelt in opdracht van de verweerder. Deze kwalificatie
wordt door de verweerders evenmin betwist.
25. De Geschillenkamer oordeelt dat zowel de eerste als de tweede verweerder op grond van
artikel 28, lid 3, van de AVG verplicht waren een verwerkersovereenkomst te sluiten of een
bindende rechtshandeling aan te gaan met betrekking tot het uitvoeren van de taak van
verwerker die zij onderling hadden georganiseerd.
26. De Geschillenkamer onderschrijft in dit verband het standpunt van de EDPB 5, dat luidt:
"Aangezien de verordening voorziet in een duidelijke verplichting om een schriftelijke
5
Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen
"verwerkingsverantwoordelijke" en "verwerker" in de AVG https://edpb.europa.eu/our-work-tools/our-
documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_nl.
Beslissing ten gronde 137/2023 – 8/17
overeenkomst te sluiten wanneer er geen andere toepasselijke rechtshandeling van kracht
is, is het ontbreken daarvan een inbreuk op de AVG. Zowel de verwerkingsverantwoordelijke
als de verwerker hebben de verantwoordelijkheid ervoor te zorgen dat er een overeenkomst
of een andere rechtshandeling voorhanden is die de verwerking regelt 6. Met inachtneming
van de bepalingen van artikel 83 van de AVG kan de bevoegde toezichthoudende autoriteit
een administratieve boete opleggen aan zowel de verwerkingsverantwoordelijke als de
verwerker, rekening houdend met de omstandigheden van elk individueel geval."7
27. Met andere woorden, de verplichting om een overeenkomst af te sluiten of een bindende
rechtshandeling aan te gaan, rust zowel op de verwerkingsverantwoordelijke (hier de eerste
verweerder) als op de verwerker (hier de tweede verweerder) en niet op de
verwerkingsverantwoordelijke alleen. Dit is vooral belangrijk wanneer, zoals hier het geval is,
een verwerker zijn gespecialiseerde diensten aanbiedt aan een groot aantal verschillende
verwerkingsverantwoordelijken. Het zou niet in overeenstemming zijn met de AVG (of met
de realiteit op het terrein) om te stellen dat het initiatief om de overeenkomst af te sluiten
(en de voorgestelde inhoud ervan) alleen van de verwerkingsverantwoordelijke zou moeten
komen.
28. In casu betwisten de eerste en de tweede verweerder niet dat de verwerkersovereenkomst
die zij hadden moeten aangaan, ten tijde van de aangegeven feiten niet bestond. Deze
overeenkomst werd ondertekend op 27 juli 2020, d.w.z. na deze feiten en de
daaropvolgende gegevensverwerkingen, die, ter herinnering, het gevolg zijn van het
parkeren op 20 mei 2020. In de uitleg die hij gaf om te proberen deze late ondertekening te
rechtvaardigen (punt 16), wijst de eerste verweerder (gevolgd door de tweede verweerder -
punt 17) erop dat ten tijde van de toewijzing van de overheidsopdracht aan de tweede
verweerder bij een beraadslaging eind 2016, de AVG nog niet bestond. Op dit punt herinnert
de Geschillenkamer de verweerders eraan dat de AVG in werkelijkheid al sinds 25 mei 2016
in werking is getreden (artikel 99, lid 1, van de AVG), dus al meer dan zes maanden op het
moment van de beraadslaging over de gunning van de door de eerste verweerder
genoemde opdracht. Zodra de overheidsopdracht door de eerste verweerder aan de tweede
verweerder was gegund, hadden deze laatsten zich dus in overeenstemming moeten
brengen met de AVG, en bijgevolg zo spoedig mogelijk en in elk geval uiterlijk op 24 mei 2018
een verwerkersovereenkomst overeenkomstig artikel 28, lid 3, van de AVG moeten
ondertekenen. De wetgever had uitdrukkelijk voorzien in een overgangsperiode van twee
jaar om het mogelijk te maken zich in overeenstemming met de richtlijn te brengen, ook met
6
De Geschillenkamer onderstreept. Artikel 28, lid 3, is niet alleen van toepassing op de verwerkingsverantwoordelijke.
Wanneer alleen de verwerker onder het territoriale toepassingsgebied van de AVG valt (artikel 3), is de verplichting alleen
rechtstreeks van toepassing op de verwerker. Zie in die zin ook Richtsnoeren 3/2018 van het Europees comité voor
gegevensbescherming (EDPB) over het territoriale toepassingsgebied van de AVG, p. 12.
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_3_2018_territorial_scope_nl.pdf.
7
De Geschillenkamer onderstreept.
Beslissing ten gronde 137/2023 – 9/17
betrekking tot situaties die al bestonden voordat de richtlijn van toepassing werd, maar die
ook daarna zouden blijven bestaan.
29. Samen met de ID (punt 10) is de Geschillenkamer van mening dat de in de overeenkomst van
27 juli 2020 opgenomen bepaling inzake terugwerkende kracht het ontbreken van een
overeenkomst ten tijde van de feiten niet kan compenseren. Als een dergelijke
terugwerkende kracht zou worden toegestaan, zou dit het de facto mogelijk maken om de
toepassing in de tijd van de verplichting van artikel 28, lid 3, van de AVG te omzeilen, die,
zoals uiteengezet in de punten 26 en 27 hierboven, zowel op de
verwerkingsverantwoordelijke als op de verwerker rust. Zoals uitgelegd in punt 28
hierboven, voorziet de AVG zelf in een periode van twee jaar tussen de inwerkingtreding en
de toepassing ervan, voor de geleidelijke naleving door alle betrokken entiteiten (artikel 99
van de AVG). De verplichting om een dergelijke overeenkomst te sluiten is bovendien
bedoeld om de verantwoordelijkheden van elk van de verweerders in hun respectieve
hoedanigheid van verwerkingsverantwoordelijke enerzijds en verwerker anderzijds duidelijk
toe te wijzen. Zoals wordt onderstreept in overweging 79 van de AVG, heeft deze
verplichting ook tot doel de bescherming te waarborgen van de rechten en vrijheden van de
betrokkenen, van wie de gegevens die worden verwerkt in het kader van de relatie die de
verwerkingsverantwoordelijke (in casu de eerste verweerder) en de verwerker (in casu de
tweede verweerder) met elkaar tot stand brengen, zo worden beschermd. Dit gebrek aan
bescherming - ook al is zij vereist door de AVG - kan niet worden gedekt door een door de
verweerders alleen overeengekomen contractuele bepaling inzake terugwerkende kracht,
ten koste van de rechten van de betrokkenen - die geen partij zijn bij de overeenkomst - die
zijn vastgelegd in een norm, een Europese bovendien.
30. In het licht van het voorgaande concludeert de Geschillenkamer dat zowel de eerste als de
tweede verweerder zich schuldig hebben gemaakt aan een schending van artikel 28, lid
3, van de AVG. Voor de goede orde preciseert de Geschillenkamer dat zij bevoegd is om een
schending van deze bepaling door de tweede verweerder in aanmerking te nemen,
niettegenstaande het ontbreken van een door de ID vastgestelde schending door deze
laatste, en dit in uitvoering van haar eigen bevoegdheden 8. De tweede in de klacht
genoemde verweerder (punt 1) werd ook uitgenodigd om zich ten aanzien van deze
schending te verdedigen overeenkomstig het recht van hoor en wederhoor (punt 15), en hij
ontkent niet dat er ten tijde van de feiten geen overeenkomst bestond.
8
De WOG gebiedt de Geschillenkamer niet een beroep te doen op de Inspectiedienst. De Geschillenkamer beslist immers
soeverein of naar aanleiding van een ingediende klacht een onderzoek al dan niet nodig is (artikel 63, 2° van de WOG en
artikel 94, 1° van de WOG). Artikel 94, 3°, van de WOG bepaalt uitdrukkelijk dat eens gevat de Geschillenkamer de klacht
mag behandelen zonder een beroep te doen op de Inspectiedienst. Zij is dus bevoegd om de klacht onafhankelijk van de
inspectie te beoordelen (Marktenhof (19e kamer A), 7 december 2022, 2022/KB/560 en 2022/KB/564; Marktenhof (19e
kamer A), 7 december 2022, 2022/KB/556).
Beslissing ten gronde 137/2023 – 10/17
31. De verweerders stellen voorts dat zij hoe dan ook voldeden aan de verplichtingen die
voortvloeien uit de voorheen geldende wet van 8 december 1992 tot bescherming van de
persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (WVP)
(artikel 16 inzake de verplichtingen van de verwerker9) en dat de naleving van de AVG, gelet
op andere dringende zaken, met name in verband met de pandemie van het COVID-19-virus,
vanaf 2018 niet als een prioriteit werd gezien, gelet op de geringe risico's die de
belastingplichtige in de betrokken context liep. De verweerders voeren ook aan dat de
rechten van de klager altijd zijn geëerbiedigd, zelfs vóór de sluiting van de overeenkomst op
27 juli 2020, en dat de hem betreffende gegevens niet zijn gebruikt voor andere doeleinden
dan die in verband met de parkeerretributie.
32. Voor de Geschillenkamer zijn de door de verweerders aangevoerde omstandigheden - zelfs
indien bewezen - niet van dien aard dat zij het bestaan van een schending van hun kant
uitsluiten. De Geschillenkamer kan er hooguit rekening mee houden bij de beoordeling van
de passende sanctie in de gegeven omstandigheden van de zaak.
II.2. Wat betreft de schending van artikel 12, lid 1, en artikel 14 van de AVG door de eerste
verweerder
33. De Geschillenkamer merkt op dat de eerste verweerder nu enerzijds op zijn website
informatie verstrekt over de elementen die in uitvoering van artikel 14 van de AVG vereist
zijn voor de betrokkenen, en anderzijds informatie aan de betrokkenen verstrekt wanneer
betaalverzoeken voor parkeergeld worden verzonden.
34. De Geschillenkamer concludeert niettemin dat de eerste verweerder in het verleden de
artikelen 12, lid 1, en 14 van de AVG heeft geschonden door geen passende informatie aan
de betrokkenen te hebben verstrekt. De Geschillenkamer is het eens met de analyse van de
ID die de toepasselijkheid van artikel 14, lid 5, punt c), van de AVG uitsluit.
35. Volgens artikel 14, lid 5, punt c), wordt de verwerkingsverantwoordelijke vrijgesteld van zijn
informatieplicht wanneer en voor zover "het verkrijgen of verstrekken van de gegevens
uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de
verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende
maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen".
36. De Geschillenkamer wijst op een taalverschil tussen de Franse versie en bijvoorbeeld de
Nederlandse en Engelse versie van deze bepaling. Waar de Franse versie van artikel 14, lid
5, punt c), vermeldt: « lorsque et dans la mesure où l’obtention ou la communication des
informations sont expressément prévues par le droit de l’Union ou de l’Etat membre », luiden
9
Opgemerkt moet worden dat de verplichtingen van de verwerker zeer beperkt waren in vergelijking met de vereisten van
artikel 28 van de AVG. Artikel 16 van de WVP was in feite beperkt tot de bepaling dat de verwerker slechts handelde in
opdracht van de verwerkingsverantwoordelijke en voldoende waarborgen moest bieden voor de beveiliging van de hem als
verwerker toevertrouwde verwerkingen.
Beslissing ten gronde 137/2023 – 11/17
de Nederlandse en Engelse versies van de tekst : « wanneer en voor zover het verkrijgen of
verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unierecht of lidstatelijk
recht » en « where and insofar as obtaining or disclosure is expressly laid down by Union or
Member State law ». (lees: obtaining or disclosure of data overeenkomstig de bewoordingen
van overweging 62). De Geschillenkamer is van mening dat het verkrijgen en verstrekken
van gegevens door het nationale recht (of in voorkomend geval, het recht van de Europese
Unie) moet worden geregeld, niettegenstaande de bewoordingen van de Franse versie van
artikel 14, lid 5, punt c), van de AVG.
37. Artikel 15, lid 5, punt c), van de AVG vormt een uitzondering op het recht op informatie. Indien
de betrokkene niet op de hoogte wordt gesteld van het feit dat er gegevens over hem
worden verwerkt, wordt hem informatie onthouden die in beginsel spontaan door de
verwerkingsverantwoordelijke wordt verstrekt en die de uitoefening van zijn andere
rechten, waarvan hij ook op de hoogte wordt gesteld, vergemakkelijkt (artikel 13, lid 2,
punten b), c) en d), en artikel 14, lid 2, punten c), d) en e) van de AVG).
38. Deze vrijstelling moet restrictief worden geïnterpreteerd, aangezien het gaat om een
uitzondering op de informatieplicht van het grondrecht op gegevensbescherming en de
daaruit voortvloeiende informatieplicht die op de verwerkingsverantwoordelijke rust.
Bovendien, zoals reeds vermeld, wordt de betrokkene informatie onthouden over het
bestaan en de nadere regels voor de uitoefening van zijn andere rechten, die niet onder
dezelfde uitzondering vallen "in geval van verkrijging of mededeling waarin de wet
uitdrukkelijk voorziet". Het recht van inzage (artikel 15 van de AVG) - dat op zijn beurt de weg
vrijmaakt voor de uitoefening van andere rechten, zoals het recht op rectificatie, het recht
van bezwaar of het recht op gegevenswissing - valt bijvoorbeeld niet onder deze
uitzondering (artikel 15, lid 4, van de AVG).
39. De ratio legis van deze uitzondering in artikel 14, lid 5, punt c), van de AVG is gebaseerd op
het feit dat de nationale wetgeving vereist dat de genoemde gegevens worden verkregen
of meegedeeld. Het is daarom belangrijk dat deze wetgeving bijzonder duidelijk is en voldoet
aan de kwaliteiten die alle wetgeving inzake gegevensbescherming moet hebben, en dat de
verwerkingsverantwoordelijke verplicht is deze gegevens te verkrijgen/verstrekken,
hetgeen hij moet kunnen aantonen. Die wetgeving moet ook voorzien in passende
maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene.
40. De Geschillenkamer voegt er ten slotte aan toe dat, om de uitzondering van artikel 14, lid 5,
onder c), van de AVG in werking te doen treden, de verplichting tot verkrijging of mededeling
van de genoemde gegevens logischerwijs betrekking moet hebben op alle gegevens die
worden verwerkt door de verwerkingsverantwoordelijke die zich beroept op de vrijstelling
van informatieverstrekking.
Beslissing ten gronde 137/2023 – 12/17
41. Het verslag van de ID merkt op dat de eerste verweerder zich beroept op de volgende
teksten:
a. Artikel 6 van het koninklijk besluit van 20 juli 2001 betreffende de inschrijving van
voertuigen dat bepaalt dat de strafrechtelijke opsporing en vervolging van
misdaden, wanbedrijven en overtredingen, de doeleinden zijn waarvoor de
persoonsgegevens van het DIV-repertorium (Dienst voor Inschrijvingen van
Voertuigen) mogen worden verwerkt.
De Geschillenkamer merkt op dat in deze bepaling de doeleinden worden
gepreciseerd van de DIV, waarvan de raadpleging ten behoeve van de eerste
verweerder is toegestaan voor dit doeleinde, waaronder dit van de retributie.
b. De wet van 22 februari 1965 waarbij aan gemeenten wordt toegestaan parkeergeld
op motorrijtuigen in te voeren.
Ook hier merkt de Geschillenkamer op dat de tekst in kwestie de eerste verweerder
toestaat het parkeergeld vast te stellen. Bij bestudering van de tekst merkt de
Geschillenkamer op dat artikel 2 van de wetgeving bepaalt: "Met het oog op de
inning van de in artikel 1 bedoelde retributies, belastingen of parkeergelden, zijn de
steden en gemeenten en haar concessiehouders en de autonome
gemeentebedrijven gemachtigd om de identiteit van de houder van de
nummerplaat op te vragen bij de overheid die belast is met de inschrijving van de
voertuigen in overeenstemming met de wet tot bescherming van de persoonlijke
levenssfeer”. De tekst voorziet dus in het recht van gemeenten zoals de eerste
verweerder om de DIV te raadplegen met het oog op de vaststelling van de
retributie.
c. Het retributiereglement betreffende het gemeentelijk parkeerbeleid dat de
gemeenteraad op [...] heeft aangenomen, dat het mogelijk maakt om
parkeerretributies vast te stellen wanneer een voertuig niet voldoet aan de
desbetreffende wetgeving.
Na analyse van de door de eerste verweerder aan de ID meegedeelde tekst, merkt
de Geschillenkamer op (i) dat daarin de procedure wordt uiteengezet volgens welke
het parkeren wordt geregeld en onderverdeeld (betaalzone, blauwe zone, enz.) en
volgens welk tarief, (ii) dat de procedure voor minnelijke invordering en bezwaar
uitvoerig wordt beschreven, alsmede (iii) de procedure voor gedwongen
invordering en beroep tegen de procedure voor gedwongen invordering. De tekst
gaat ook verder in op van de bestaande vrijstellingskaarten.
Beslissing ten gronde 137/2023 – 13/17
De Geschillenkamer ziet daarentegen geen bepaling die preciseert welke gegevens
de eerste verweerder zou moeten verkrijgen in de context van het vaststellen en
innen van een parkeerretributie.
d. De ordonnantie van 22 januari 2009 10 - Hoofdstuk VII - parkeerretributies en
controle op de naleving van de parkeerregels. De tekst organiseert het
parkeerbeleid in het Brussels Hoofdstedelijk Gewest, richt het Parkeeragentschap
op, legt de bedragen van de retributies vast en behandelt de kwestie van de
controle en de inning van deze retributies, evenals de kosten ervan voor de
gemeenten, enz.
Ook hier ziet de Geschillenkamer geen bepaling met betrekking tot het verplicht
verkrijgen/verstrekken van gegevens waarop de eerste verweerder zich zou
kunnen beroepen om de door hem ingeroepen vrijstelling van
informatieverstrekking te rechtvaardigen.
42. Op grond van het voorgaande concludeert de Geschillenkamer dat het weliswaar begrijpelijk
is dat de eerste verweerder bepaalde gegevens nodig heeft om een parkeerretributie vast
te stellen en te innen (en daartoe een bron als de DIV moet kunnen raadplegen), maar dat de
teksten waarop hij zich beroept om zijn bevoegdheid aan te tonen, niet voorzien in het
verplicht verkrijgen of meedelen van de gegevens die hij in casu heeft verwerkt (waaronder
foto's). Zoals de ID ook opmerkt, voorziet geen van deze teksten bovendien in passende
maatregelen om de belangen van de betrokkenen te beschermen in deze context waarin
hun geen informatie wordt verstrekt in de proactieve betekenis die de AVG aan deze
verplichting geeft. Bijgevolg is de Geschillenkamer van oordeel dat niet is voldaan aan de
toepassingsvoorwaarden van artikel 14, lid 5, punt c), van de AVG, en dat de eerste
verweerder zich derhalve niet op deze uitzondering mocht beroepen.
43. In die zin moesten volgens de beraadslaging van het SCFO waarnaar de eerste verweerder
verwijst, de betrokkenen worden geïnformeerd, hetgeen de eerste verweerder heeft
nagelaten.
44. Tot slot, voor gevallen waarin de verwerkingsverantwoordelijke zich terecht beroept op
artikel 14, lid 5, punt c), van de AVG, herinnert de Geschillenkamer eraan dat, zoals de EDPB
in zijn bovengenoemde transparantierichtsnoeren opmerkt, deze vrijstelling niettemin
vereist dat "de verwerkingsverantwoordelijke het aan de betrokkenen duidelijk moet maken
dat hij of zij persoonsgegevens verkrijgt of verstrekt overeenkomstig het recht in kwestie,
tenzij een wettelijk verbod de verwerkingsverantwoordelijke belet om dat te doen. Dit is in
overeenstemming met overweging 41 van de AVG, waarin wordt verklaard dat een
10
Zie de ordonnantie van 22 januari 2009 houdende de organisatie van het parkeerbeleid en de oprichting van het Brussels
Hoofdstedelijk Parkeeragentschap, BS, 30 januari 2009.
Beslissing ten gronde 137/2023 – 14/17
rechtsgrond of een wetgevingsmaatregel duidelijk en nauwkeurig moet zijn en de
toepassing daarvan voorspelbaar moet zijn voor degenen op wie deze van toepassing is,
zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie en het
Europees Hof voor de rechten van de mens." Deze verplichting ligt in de lijn van de plicht van
de verwerkingsverantwoordelijke om - in uitvoering van artikel 13, lid 1, punt c), en artikel 14,
lid 1, punt c), van de AVG - de rechtsgrond voor zijn verwerkingen te bepalen, voordat deze
worden uitgevoerd. Het is in dit verband niet voldoende om te verklaren dat de
gegevensverwerkingen zullen plaatsvinden in overeenstemming met een wettelijke
verplichting of om eenvoudigweg te verwijzen naar de toepassing van artikel 6, lid 1, punt c),
van de AVG. Het is aan de verwerkingsverantwoordelijke om de relevante wetgeving te
vermelden waarop de door hem uitgevoerde verwerkingen zijn gebaseerd.
45. In conclusie stelt de Geschillenkamer een schending vast van artikel 14 van de AVG door
de eerste verweerder, gecombineerd met een schending van artikel 12, lid 1, van de AVG.
Door de in artikel 14 van de AVG opgesomde informatie niet aan de betrokkenen te
verstrekken, schendt de eerste verweerder immers ook deze bepaling, die vereist dat de
verwerkingsverantwoordelijke passende maatregelen neemt om de in de artikelen 13 en 14
bedoelde informatie te verstrekken in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal.
II.3. Wat betreft de corrigerende maatregelen en sancties
46. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
Beslissing ten gronde 137/2023 – 15/17
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die
het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
47. Het is belangrijk om de schendingen waarvoor elk van de verweerders verantwoordelijk is in
de juiste context te plaatsen om de meest geschikte corrigerende maatregelen en sancties
vast te stellen.
48. De Geschillenkamer wenst erop te wijzen dat het als onafhankelijke administratieve
autoriteit haar soevereine bevoegdheid is - met inachtneming van de relevante artikelen van
de AVG en van de WOG - om in de gegeven omstandigheden van de zaak de passende
corrigerende maatregel(en) en sanctie(s) vast te stellen. Het is dus niet aan de klager om de
Geschillenkamer te vragen een bepaalde corrigerende maatregel of (exemplarische) sanctie
op te leggen, laat staan maatregelen te nemen die niet behoren tot de maatregelen die de
Geschillenkamer bevoegd is op te leggen. Indien, niettegenstaande het voorgaande, de
klager een dergelijk verzoek zou indienen, is het niet aan de Geschillenkamer om te
motiveren waarom zij niet ingaat op een van de verzoeken van de klager. Deze overwegingen
laten de verplichting van de Geschillenkamer onverlet om de keuze te motiveren van de
maatregelen en/of sancties (uit de lijst van maatregelen en sancties die haar ter beschikking
worden gesteld door artikel 58 van de AVG en de artikelen 95, § 1, en 100, § 1, van de WOG)
die zij passend acht om de betrokken partij(en) op te leggen.
49. Eveneens in dit verband wijst de Geschillenkamer erop dat zij niet bevoegd is om
schadevergoeding of compensatie voor eventueel geleden schade toe te kennen, noch om
een parkeerretributie ongeldig te verklaren. In deze bevoegdheden wordt niet voorzien door
het eerder genoemde artikel 58 van de AVG of door het eerder genoemde artikel 100, § 1,
van de WOG. Het opleggen van dergelijke maatregelen is voorbehouden aan de bevoegde
hoven en rechtbanken.
50. Wat betreft de bij de eerste verweerder vastgestelde schendingen van artikel 28, lid 3, (punt
30), artikel 14 en artikel 12, lid 1, van de AVG (punt 45) in zijn hoedanigheid van
overheidsinstantie, beslist de Geschillenkamer dat een berisping de geschikte sanctie is.
51. De Geschillenkamer merkt bovendien op dat uit de erkenning van de feiten door de eerste
verweerder, de ondertekening van een verwerkersovereenkomst in juli 2020 en de gedane
toezeggingen op het gebied van informatieverstrekking aan de betrokkenen, blijkt dat de
eerste verweerder de maatregel voor de hierboven genoemde schendingen van artikel 28,
lid 3, artikel 14 en artikel 12, lid 1, van de AVG heeft genomen.
52. Wat de tweede verweerder betreft, beslist de Geschillenkamer ook hem een berisping te
geven wegens diens schending van artikel 28, lid 3, van de RGPD (punt 30).
Beslissing ten gronde 137/2023 – 16/17
Gelet op de gegeven omstandigheden van de zaak is deze maatregel volgens de
Geschillenkamer de passende sanctie voor de in het verleden vastgestelde overtreding.
III. Publicatie van de beslissing
53. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer wordt deze beslissing gepubliceerd op de website van de GBA. Het is
evenwel niet nodig dat daarvoor de identificatiegegevens van de partijen rechtstreeks
worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit na beraadslaging om:
- op grond van artikel 100.5° van de WOG, een berisping te geven aan de eerste
verweerder voor de schendingen van artikel 28, lid 3, artikel 14 en artikel 12, lid 1, van
de AVG.
- Op grond van artikel 100.5° van de WOG, een berisping te geven aan de tweede
verweerder voor de schending van artikel 28, lid 3, van de AVG.
Tegen deze beslissing kan op grond van artikel 108, § 1 van de WOG, beroep worden aangetekend
bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de
kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat
de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 11. Het
interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend
overeenkomstig artikel 1034 quinquies van het Ger.W. of via het informatiesysteem e-Deposit van
het Ministerie van Justitie (artikel 32 ter van het Ger.W.).
11
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister-
of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
Beslissing ten gronde 137/2023 – 17/17
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer