1/26
Geschillenkamer
Beslissing ten gronde 141/2021 van 16 december 2021
Dossiernummer : DOS-2020-03763
Betreft : De uitoefening van de rechten van de betrokkene met betrekking tot de
informatiesystemen van een Bank.
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Dirk Van Der Kelen en Frank De Smet;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
.
De verweerder: de bank Y, vertegenwoordigd door Mr. Erik Valgaeren en Mr. Carolien Michielsen,
.
hierna “de verweerder” .
Beslissing ten gronde 141/2021 - 2/26
I. Feiten en procedure
A. Onderzoek van de Inspectiedienst
1. Op 22 april 2020 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna GBA)
om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° WOG.
Naar aanleiding van beslissing nr. 01/2019 die door de Geschillenkamer werd genomen op 15 mei
2019 en het daaropvolgende arrest van het Marktenhof d.d. 9 oktober 2019 stelde het
Directiecomité immers vast dat er ernstige aanwijzingen bestaan van praktijken die aanleiding
kunnen geven tot inbreuken op de grondbeginselen van de bescherming van persoonsgegevens.
Het Directiecomité heeft dan ook het dossier aanhangig gemaakt bij de Inspectiedienst met het
verzoek een onderzoek te voeren naar de mate waarin de informatiesystemen van de verweerder
de uitoefening van de rechten van de betrokkene, in het bijzonder het recht op rectificatie (artikel
16 AVG), mogelijk maakt. Dit betekent dat de Inspectiedienst is gevat om te toetsen of de
informatiesystemen van de verweerder in overeenstemming zijn met de vereisten die de AVG stelt
op het vlak van de uitoefening van de rechten waarover elke betrokkene1 beschikt in zijn
hoedanigheid van cliënt van de verweerder.
2. De Inspectiedienst maakt haar verslag d.d. 23 maart 2021 aan de Geschillenkamer over op basis
van artikel 91, §2 WOG, waardoor de Geschillenkamer werd gevat op grond van artikel 92, 3° WOG;
B. Procedure voor de Geschillenkamer
3. Op 6 april 2021 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
4. Op dezelfde dag wordt de verweerder per aangetekende zending in kennis gesteld van deze
beslissing, alsook van het inspectieverslag en van de inventaris van de stukken van het dossier dat
door de Inspectiedienst aan de Geschillenkamer werd overgemaakt. Tevens wordt de verweerder
in kennis gesteld van de bepalingen zoals vermeld in artikel 98 WOG en wordt de verweerder op
grond van art. 99 WOG in kennis gesteld van de termijn om zijn verweermiddelen in te dienen. De
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd op 28 mei
2021 vastgelegd.
5. Op 10 mei 2021 vraagt de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), dewelke hem
wordt overgemaakt op 12 mei 2021. Tevens aanvaardt de verweerder elektronisch alle
1
Beslissing nr. 01/2019 van 15 mei 2019 betreft daarentegen enkel de vrijwaring van de rechten van één welbepaalde klager wiens
persoonsgegevens door de verweerder worden verwerkt, aangezien de Geschillenkamer enkel voor die verwerking werd gevat in de
klacht.
Beslissing ten gronde 141/2021 - 3/26
communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid
om te worden gehoord, overeenkomstig artikel 98 WOG.
6. Op 28 mei 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder
waarin wordt gevraagd om in hoofdorde vast te stellen dat er geen schending voorligt van de
artikelen 5.1 c), d) en f), 5.2, 12, 16, 24, 25, 30.1, 31, 32, 38.3 en 38.6 AVG, en in ondergeschikte orde
rekening te houden met de verzachtende omstandigheden bij het opleggen van een sanctie.
7. Op 14 juli 2021 wordt de verweerder ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op
30 september 2021.
8. Op 30 september 2021 wordt de verweerder gehoord door de Geschillenkamer en krijgt hij aldus
de gelegenheid om zijn argumenten naar voor te brengen. De Geschillenkamer beslist om de zaak
in voortzetting te stellen teneinde de verweerder de gelegenheid te bieden om na het verstrijken
van de door hemzelf vooropgestelde termijn van 15 november 2021, als zijnde de datum waarop de
invoering van diakritische tekens in de namen en de voornamen in haar applicaties zou moeten zijn
gerealiseerd, het vernieuwde informaticasysteem te komen toelichten. Een nieuwe hoorzitting zal
kort na die datum daartoe worden ingepland.
9. Op 1 oktober 2021 wordt de verweerder ervan in kennis gesteld dat de hoorzitting tot behandeling
van de zaak in voortzetting zal plaatsvinden op 22 november 2021.
10. Op 12 oktober 2021 wordt het proces-verbaal van de hoorzitting van 30 september 2021 aan de
verweerder voorgelegd in overeenstemming met artikel 54 van het reglement van interne orde van
de GBA. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent
te laten toevoegen als bijlage bij het proces-verbaal.
11. Op 19 oktober 2021 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen
met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad nadat
de hoorzitting vastgelegd op 22 november 2021 zal hebben plaatsgevonden.
12. Op 22 november 2021 wordt de verweerder gehoord door de Geschillenkamer en licht de
verweerder de realisatie van de invoering van diakritische tekens in de namen en de voornamen in
haar applicaties toe.
13. Op 23 november 2021 wordt het proces-verbaal van de hoorzitting van 22 november 2021 aan de
verweerder voorgelegd in overeenstemming met artikel 54 van het reglement van interne orde van
de GBA. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent
te laten toevoegen als bijlage bij het proces-verbaal, zonder dat dit een heropening van de debatten
inhoudt.
14. Op 23 november 2021 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar
gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag
Beslissing ten gronde 141/2021 - 4/26
daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie
effectief wordt opgelegd.
15. Op 29 november 2021 ontvangt de Geschillenkamer de opmerkingen bij het proces-verbaal van de
hoorzitting die plaatsvond op 22 november 2021, dewelke de Geschillenkamer mee opneemt in
haar beraad.
16. Op 14 december 2021 ontvangt de Geschillenkamer de reactie van de verweerder op het
voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. De
verweerder voert aan dat een aantal verzachtende omstandigheden die uiteengezet werden in de
conclusie voor Y België en tijdens de hoorzitting, niet in overweging blijken te zijn genomen door de
Geschillenkamer gezien ze niet voorkomen in het sanctieformulier, alsook dat de voorgenomen
boete disproportioneel hoog zou zijn in verhouding tot de beslissing ten gronde nr. 18/2020 van 28
april 2020 voor een identieke inbreuk.
II. Motivering
17. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het verslag van de
Inspectiedienst in het licht van de daaromtrent door de verweerder aangevoerde middelen.
a) Beginsel van juistheid (artikel 5.1 d) AVG), verantwoordingsplicht (artikel 5.2 AVG), transparante
informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene
(artikel 12 AVG), recht op rectificatie (artikel 16 AVG), gegevensbescherming door ontwerp en
standaardinstellingen (artikel 25 AVG) en medewerkingsplicht (artikel 31 AVG)
18. Het eerste element dat het voorwerp van onderzoek vormt van de Inspectiedienst betreft de
beoordeling van de mate waarin de verweerder de nodige aanpassingen heeft verricht om de
diakritische tekens in zijn ICT-systemen te implementeren.
19. De Inspectiedienst stelt vast dat de verweerder geen helder en systeemtechnisch beeld kan
scheppen qua tijdshorizon voor het implementeren van diakritische tekens in het huidige ICT-
systeem (applicaties + mainframe) en mogelijke eerste resultaten die blijk geven van de
uitgevoerde inspanningen. Verder stelt de Inspectiedienst ook dat de verweerder blijft steken in de
“verkennende fase” van voorstudie en gesprekken zonder concrete doelen en resultaten te willen
bereiken.
20. De Inspectiedienst komt tot het besluit dat de verweerder een inbreuk pleegt op de artikelen 5.1 d,
5.2, 12, 16, 25 en 31 AVG omdat de verweerder geen concrete tijdshorizon met concrete resultaten
wil of kan voorleggen, en evenmin systeemtechnische wijzigingen wil of kan aantonen die een
positieve invloed hebben op de initiële vraag van de betrokkene. De situatie is volgens de
Inspectiedienst sinds de beslissing genomen door de Geschillenkamer d.d. 15 mei 2019 –
behoudens het uitvoeren van enig voorstudiewerk (feasability) – ongewijzigd en dus niet verbeterd.
Beslissing ten gronde 141/2021 - 5/26
21. De Inspectiedienst laat volgende overwegingen daartoe gelden:
o De verweerder heeft IT-applicaties en database-systemen (een 150-tal) waaronder het
centrale klantensysteem dat een mainframe systeem betreft dat in 1995 in gebruik werd
genomen. Dat centrale klantensysteem ondersteunt enkel EBCDIC (“extended binary-
coded decimal interchange code”). Hoewel diakritische tekens ondertussen werden
toegevoegd aan de EBCDIC tabel heeft de verweerder geen wijzigingen doorgevoerd in het
centrale klantensysteem. De verweerder maakt anno 2020 nog steeds gebruik van een
informaticasysteem dat dateert van 1995 en blijkt niet in staat het recht op rectificatie uit
te voeren.
o Aangaande het aantal onderliggende applicaties die interageren met het centrale
klantensysteem, dewelke een wijziging behoeven ten gevolge van de invoering van
diakritische tekens stelt de Inspectiedienst vast dat de verweerder in het initiële schrijven
d.d. 6 november 2019 150 applicaties vermeldt en pas op 2 november 2020 in staat is om
een lijst af te leveren die overeenkomt met het precieze aantal zoals vermeld op 6
november 2019, aangevuld met de correcte systeemtechnische benaming en uitfiltering
van de dubbeltellingen. De Inspectiedienst merkt daarbij op dat de verweerder vaak
antwoordde dat de analyse nog ‘niet afgerond’ was, wat vreemd is gezien het aantal
maanden doorlooptijd, het aantal personeelsleden, de financiële middelen en
mogelijkheden van de verweerder.
o Voor wat betreft de grote en zeer oude systemen waarvoor de verweerder op 6 november
2019 stelt dat voor de aanpassing ervan een doorlooptijd van 18 maanden wordt verwacht,
stelt de Inspectiedienst vast dat de verweerder pas op 2 november 2020 een lijst aflevert
waarin die systemen worden omschreven en specifiek benoemd.
o Door het onderzoek naar het ‘change management’ en het plan van aanpak om over te gaan
tot de implementatie van de technische voorstellen poogt de Inspectiedienst zicht te
krijgen op de procesmatige ontwikkeling en de wijze waarop implementaties bij de
verweerder worden doorgevoerd. De Inspectiedienst stelt vast dat de verweerder op 16
september 2020 aangeeft dat de wijzigingen die moeten worden doorgevoerd met het oog
op de invoering van letters met accenten, zal gebeuren volgens het binnen Y leidende
principe van AGILE, hetwelk inhoudt dat de verweerder in kleine, overzichtelijke stappen de
beperking van letters met accenten zal oplossen.
Op 12 oktober 2020 meldt de verweerder initiatieven te hebben genomen om de
diakritische tekens op te nemen in het centraal klantsysteem, waarbij een aanpak in 4 fases
wordt gevolgd en op dat ogenblik fase 1 en 2 worden verwerkt:
1) analyse van alle systemen en applicaties die mogelijk geraakt worden;
Beslissing ten gronde 141/2021 - 6/26
2) aanpassingen van deze systemen in de testomgeving en deze afzonderlijk testen op de
verwerking van diakritische tekens;
3) het uitvoeren van keten testen om de samenhang van de applicaties te garanderen;
4) het daadwerkelijk doorvoeren van de wijzigingen
Op 2 november 2020 documenteert de verweerder op welke wijze AGILE werd vertaald in
zijn organisatie en bezorgt informatie omtrent de feasability study in de vorm van twee
schema’s over de testing approach.
De Inspectiedienst komt tot de vaststelling dat het vreemd is dat er weinig gestructureerde
en overkoepelende informatie aanwezig is om deze aanpassing overkoepelend op te
volgen. Behoudens algemene informatie over de AGILE aanpak en de fase van voorstudie,
kan de verweerder geen informatie afleveren die eventuele vooruitgang of concrete
resultaten aantoont die een positief effect kan hebben op de betrokkene en de uitoefening
van zijn rechten.
o Ingevolge het onderzoek van het technisch design bevat het inspectieverslag de
technische figuren met betrekking tot het architecturaal design waarbij de verweerder
telkens aanduidt of, en desgevallend in welke mate wijzigingen impact kunnen hebben op
elk van de onderdelen, dit zowel voor het centrale klantensysteem, de ondersteunende en
onderliggende technologieën – middleware, de mainframe Z applicaties, de niet-
mainframe Z applicaties, de niet-mainframe applicaties, als voor de kanalen en front-end
applicaties.
Artikelen 5.1 d), 12 en 16 AVG
22. De verweerder voert aan dat de artikelen 5.1 d), 12 en 16 AVG worden nageleefd en argumenteert
als volgt:
- De uitoefening van de rechten van de betrokkene wordt gefaciliteerd overeenkomstig artikel 12
AVG doordat de klanten zelf hun gegevens kunnen aanpassen via de applicaties voor
internetbankieren, of deze laten aanpassen door medewerkers in de front-office. Ook het Privacy
Statement vermeldt de nodige contactgegevens om het recht tot verbetering uit te oefenen.
Daarnaast is er ook een interne leidraad en documentatie van de procedures voor de uitoefening
van de rechten van de betrokkenen. Alsook zijn de nodige processen geïmplementeerd om
verzoeken tot uitoefening van rechten op adequate wijze te behandelen.
- Het recht op rectificatie (artikel 16 AVG) wordt nageleefd bij alle verzoeken tot aanpassing of
verbetering. De onmogelijkheid waarin de verweerder zich bevindt om gevolg te geven aan het
verzoek tot aanpassing is beperkt tot de verwerking van diakritische tekens in een naam.
Beslissing ten gronde 141/2021 - 7/26
- Het doorvoeren van een complex IT-project met aanpassingen aan vele systemen, hetwelk veel
tijd en investeringen vergt om te kunnen voldoen aan een absolute minderheid van verzoeken tot
verbetering valt volgens de verweerder niet te beschouwen als een redelijke maatregel in de zin
van artikel 5.1 d) AVG.
- De verweerder haalt aan dat het arrest van het Marktenhof d.d. 9 oktober 2019 nog hangende is
voor het Hof van Cassatie en in afwachting van de uitspraak niet zonder meer kan worden beweerd
dat de artikelen 5.1 d), 12 en 16 AVG niet worden nageleefd omwille van het gebrek aan weergave
van diakritische tekens.
23. In de conclusie van de verweerder wordt verklaard dat aanvankelijk was voorzien om de diakritische
tekens te implementeren in haar ICT-systemen als onderdeel van het in 2019 reeds lopende ICT-
project UNITE binnen de Y Groep, hetwelk erop was gericht om de systemen en applicaties van de
Y-entiteiten in België en deze van de Y-entiteiten in Nederland volledig op elkaar af te stemmen,
maar het UNITE project te ambitieus bleek waardoor de verweerder in 2020 onder aparte
aansturing, dus zonder Y Nederland, de nodige systeemtechnische aanpassingen diende uit te
voeren. Op basis van deze verklaring stelt de Geschillenkamer vast dat het voornemen bestond om
diakritische tekens op te nemen in de applicaties van de verweerder, maar dat dit geen doorgang
heeft gevonden door de loskoppeling van de verweerder binnen het UNITE project. De verweerder
stelt thans in de conclusie dat de opname van diakritische tekens in de applicaties veronderstelt
dat dit de grens van de redelijkheid overstijgt, terwijl artikel 5.1 d) AVG enkel vereist dat de
verweerder alle redelijke maatregelen neemt om de persoonsgegevens die, gelet op de doeleinden
waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren.
24. Op basis van het inspectieverslag stelt de Geschillenkamer vast dat het centrale klantensysteem,
dat de kern vormt van de bank doordat daarin de klantdata centraal worden opgeslagen en van
daaruit worden opgehaald door aanpalende systemen, een mainframe systeem betreft dat in 1995
in gebruik werd genomen. Hoewel diakritische tekens ondertussen werden toegevoegd aan de
EBCDIC tabel werden door de verweerder geen wijzigingen doorgevoerd in het centraal
klantsysteem dat EBCDIC ondersteunt. Dit betekent dat de verweerder deze mogelijkheid niet
heeft benut om zijn systeem aan te passen.
25. Hoewel de redelijkheid van het doorvoeren van die maatregel door de verweerder wordt betwist, is
de Geschillenkamer van oordeel dat het behoort tot het normale verwachtingspatroon van een
klant wiens persoonsgegevens worden verwerkt in het kader van zijn financiële relatie met de bank,
dat zijn naam juist wordt weergegeven, precies gelet op het belang van juistheid van gegevens bij
het verlenen van financiële diensten en verstrekken van financiële producten. De Geschillenkamer
verwijst in dit verband ook naar het arrest van het Marktenhof d.d. 9 oktober 2019 waarin het stelt
dat van een correct werkende bankinstelling mag worden verwacht dat zij over een
computerprogramma beschikt dat beantwoordt aan de huidige normen, waartoe het voornoemde
recht op correcte schrijfwijze van de naam behoort . Het Hof voegt daaraan tot dat het recht op
Beslissing ten gronde 141/2021 - 8/26
rectificatie een grondrecht is2. Het komt dan ook als redelijk naar voor dat de bank de maatregelen
aanwendt die haar ter beschikking staan teneinde de naam van klanten met diakritische tekens te
verwerken en aldus het sinds 1995 in gebruik zijnde mainframe systeem aan te passen aan de
huidige mogelijkheden. Aangaande het argument van de verweerder dat dergelijke aanpassing niet
alleen aan haar centrale klantensysteem, maar ook aan de onderliggende of aanpalende systemen
veel tijd en investeringen vergt, dewelke niet als redelijk te beschouwen valt, merkt de
Geschillenkamer op dat dit doorgaans eigen is aan elke fundamentele wijziging van
informaticasystemen, hetwelk des te meer geldt voor het geval waarin het gaat om oude systemen
zoals in voorliggend geval. De noodzaak om tijd te besteden aan en investeringen te doen in
aangepaste informaticasystemen teneinde diakritische tekens te kunnen verwerken, is niet – in
tegenstelling tot wat de verweerder voorhoudt - beperkt tot een absolute minderheid van
verzoeken tot verbetering maar is nodig in het belang van elke klant wiens naam diakritische tekens
bevat. Het uitgangspunt dient immers te zijn dat de verweerder, net zoals elke
verwerkingsverantwoordelijke, alles in het werk stelt om juiste gegevens te verwerken en geen
afwachtende houding aanneemt en dus slechts na een verzoek van een klant tot aanpassing van
zijn naam actie onderneemt om die aanpassing te bewerkstelligen.
26. De Geschillenkamer is dan ook van oordeel dat de onmogelijkheid van de verweerder om tot op
heden over te gaan tot rectificatie van de naam van klanten die om de weergave van diakritische
tekens in hun naam verzoeken, een inbreuk op artikel 5.1 d) AVG uitmaakt. Tevens vormt dit ook
een inbreuk op artikel 16 AVG, aangezien de verweerder niet in staat is om het recht op rectificatie
ten volle te eerbiedigen. De verweerder stelt dat alle verzoeken tot aanpassing of verbetering
worden doorgevoerd, behalve het verzoek tot aanpassing van diakritische tekens. Dit brengt de
Geschillenkamer tot het besluit dat de verweerder geen gevolg geeft aan elke uitoefening van het
recht op rectificatie. Het recht op rectificatie dient echter te worden nageleefd in al zijn facetten.
27. De Geschillenkamer houdt evenwel bij de bepaling van de sanctie op deze inbreuken rekening met
de verklaring van de verweerder zich ertoe te verbinden om tegen 15 november 2021 al de nodige
aanpassingen te hebben doorgevoerd om de diakritische tekens in de namen en de voornamen te
2
Het arrest van het Marktenhof is opgesteld in de volgende bewoordingen:
“[…]
Het feit dat het technisch een ‘inspanning’ zou vragen om een computerprogramma te gebruiken dat wel degelijk accenten op
hoofdletters plaatst, is niet ernstig en niet relevant.
Het thans (anno 2019!) stellen dat het aanpassen van een computerprogramma een aantal maanden werk zou vergen en/of financiële
meerkosten voor de bankinstelling zou uitmaken, laat de NV Y BELGIË niet toe om de rechten van de betrokkene te miskennen. De
rechten die aan de persoon worden toegekend zijn gelijk te stellen met resultaatsverbintenissen in hoofde van de verwerker van de
persoonsgegevens.
Van een correct werkende bankinstelling mag verwacht worden dat zij – wanneer zij een computerprogramma gebruikt – zij over een
computerprogramma beschikt dat beantwoordt aan de huidige normen, waartoe het voornoemde recht op correcte schijfwijze van
de naam behoort. Het recht op rectificatie is een grondrecht.
[…]”
Beslissing ten gronde 141/2021 - 9/26
kunnen weergeven in haar applicaties. Bij deze resultaatsverbintenis worden door de verweerder
twee ‘caveats’ gemaakt waarvan de Geschillenkamer akte neemt:
1° Overeenkomstig de wereldwijd geldende industrienorm worden op bankkaarten geen
diakritische tekens vermeld. Indien de verweerder dit wel zou doen, zou dit tot problemen kunnen
leiden bij het gebruik van de bankkaart, zowel online als offline. Ook voor wat betreft het
elektronisch betaalverkeer (SEPA) hebben alle Belgische banken gezamenlijk besloten om zich te
beperken tot de standaard tekenset zonder diakritische tekens.
2° De weergave van diakritische tekens op de geprinte uittreksels van kredietkaarten zal pas op
een latere datum beschikbaar zijn.
Tijdens de hoorzitting van 22 november 2021 maakt de verweerder aan de hand van een
presentatie voldoende aannemelijk dat de nodige stappen werden gezet tot verwerking van de
diakritische tekens in de namen van de klanten waardoor de Geschillenkamer kan vaststellen dat
er op dit punt vooruitgang is. Specifiek voor wat betreft de klager in beslissing 01/2019 van 15 mei
2019 toont de verweerder ook aan dat het diakritisch teken in diens naam wordt verwerkt.
28. Met betrekking tot artikel 12 AVG stelt de Geschillenkamer dat de verweerder op afdoende wijze
aantoont dat er sprake is van transparante communicatie ten opzichte van de klanten teneinde hen
te informeren over de uitoefening van hun rechten, alsook dat de nodige middelen ter beschikking
worden gesteld om die rechten uit te oefenen waardoor de verweerder aldus de uitoefening van
die rechten faciliteert. Bovendien blijkt uit het inspectieverslag niet dat de verweerder geen
transparante communicatie (artikel 12.1 AVG) zou voeren. Het inspectieverslag toont enkel aan dat
het voor de verweerder systeemtechnisch gezien niet mogelijk is om gevolg te geven aan een
verzoek tot rectificatie dat betrekking heeft op diakritische tekens, maar dit neemt niet weg dat de
verweerder wel degelijk de uitoefening van de rechten van zijn klanten faciliteert (artikel 12.2 AVG)
via de applicaties inzake internetbankieren of met de hulp van de front-office medewerkers, doch
de verweerder niet in staat is hieraan passend gevolg te geven en onverwijld over te gaan tot
rectificatie in zoverre het verzoek betrekking heeft op diakritische tekens (artikel 16 AVG). Hieruit
volgt dat er geen inbreuk op artikel 12 AVG kan worden vastgesteld.
29. Aangaande de stelling van de verweerder dat de Geschillenkamer niet zou kunnen overgaan tot het
vaststellen van een inbreuk op de artikelen 5.1 d), 12 en 16 AVG wegens gebrek aan weergave van
diakritische tekens, omwille van de hangende procedure voor het Hof van Cassatie die door de
verweerder werd ingesteld tegen het arrest van het Marktenhof gewezen ingevolge beslissing
01/20193 van de Geschillenkamer, wijst de Geschillenkamer erop dat het cassatieberoep een
buitengewoon rechtsmiddel is dat geen schorsende werking heeft. Dit betekent dat het arrest van
het Marktenhof, in afwachting van de uitspraak van het Hof van Cassatie, ten volle uitwerking heeft
3
Beslissing 01/2019 van 15 mei 2019 betreffende klacht wegens nalaten gevolg te geven aan verzoek tot verbetering van schrijfwijze
van naam
Beslissing ten gronde 141/2021 - 10/26
en de Inspectiedienst via het inspectieverslag van 23 maart 2021 de Geschillenkamer kon vatten
waardoor de Geschillenkamer thans kan overgaan tot het nemen van de huidige beslissing ten
gronde.
Artikel 25 AVG
30. De verweerder stelt dat de Inspectiedienst een beweerdelijke inbreuk op artikel 25 AVG vaststelt,
maar niet verklaart waaruit deze inbreuk zou bestaan.
31. De Geschillenkamer is van oordeel dat het inspectieverslag duidelijk aantoont dat de verweerder
tot op heden voor zijn centrale klantensysteem nog steeds gebruik maakt van een mainframe dat
in 1995 in gebruik werd genomen en niettegenstaande de technische mogelijkheid om diakritische
tekens daarin op te nemen en te verwerken, ervoor heeft geopteerd om haar systeem niet daarop
af te stemmen. Overeenkomstig artikel 25 AVG vereist de stand van de techniek die de verwerking
van diakritische tekens toelaat, dat de verweerder de passende technische en organisatorische
maatregelen treft met als doel de gegevensbeschermingsbeginselen, waaronder het beginsel van
juistheid, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in
te bouwen teneinde de nodige waarborgen in de verwerking in te bouwen ter naleving van de
voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen.
32. De verweerder haalt aan dat artikel 25 AVG ook als criteria bij het bepalen van de passende
maatregelen verwijst naar de uitvoeringskosten, evenals met de qua waarschijnlijkheid en ernst
uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen welke aan de
verwerking zijn verbonden. De verweerder beweert dienaangaande dat er geen enkel risico is voor
wat betreft de identificatie van de persoon inzake het concrete gebruik van een bepaalde naam
zonder weergave van het specifieke diakritische teken. Bovendien vergt het doorvoeren van een
zeer complex IT-project met aanpassingen aan tal van systemen veel tijd en investeringen teneinde
te kunnen voldoen aan een absolute minderheid van verzoeken tot verbetering waardoor volgens
de verweerder het risico uiterst beperkt is qua ernst en waarschijnlijkheid voor de rechten en
vrijheden van natuurlijke personen.
33. De bewering van de verweerder dat er geen risico zou zijn inzake identificatie van de betrokkene bij
gebrek aan de verwerking van diakritische tekens, alsook het volgens de verweerder uiterst
beperkte risico gelet op het geringe aantal verzoeken tot verbetering inzake diakritische tekens,
kan naar het oordeel van de Geschillenkamer niet tot gevolg hebben dat de verweerder volledig in
gebreke blijft, zoals in casu, om ook maar enige maatregel door te voeren om te kunnen voldoen
aan mogelijke verzoeken tot verbetering.
Beslissing ten gronde 141/2021 - 11/26
34. Verder verwijst de verweerder naar de richtsnoeren 4/2019 inzake artikel 25
Gegevensbescherming door ontwerp en door standaardinstellingen waarin aangaande juistheid
4
van de gegevens is opgenomen dat de vereisten gesteld in artikel 5.1 d) AVG moeten worden gezien
in verhouding tot de risico’s en de gevolgen van het concrete gebruik van de gegevens. Daaruit
meent de verweerder te kunnen afleiden dat de maatregel bestaande in de opname van diakritische
tekens in zijn systemen niet in verhouding staat tot de risico’s voor de betrokkene. De verweerder
gaat evenwel voorbij aan het feit dat de richtsnoeren voor wat betreft de ontwerp- en
standaardinstellingselementen inzake juistheid, specifiek voor wat betreft wissing/rectificatie
bepaalt dat de verwerkingsverantwoordelijke onjuiste gegevens onverwijld wist of rectificeert. De
richtsnoeren bevestigen hiermee wat is bepaald in artikel 5.1 d) AVG, namelijk dat elke
verwerkingsverantwoordelijke de verplichting heeft om onjuiste gegevens onverwijld te wissen of
te rectificeren en het aldus niet toekomt aan het oordeel van de verwerkingsverantwoordelijke om
al dan niet in te gaan op een verzoek tot wissing of rectificatie van onjuiste gegevens, ingegeven
vanuit financiële overwegingen of risicoanalyse.
35. Doordat de verweerder in gebreke is gebleven om zijn IT-systemen aan te passen teneinde de
verwerking van diakritische tekens in de naam van klanten mogelijk te maken indien daartoe een
verzoek wordt ingediend, is er sprake van een inbreuk op artikel 25 AVG. Het feit dat de
verweerder laat gelden dat inmiddels, namelijk sinds beslissing 01/2019 van 15 mei 20219 en het
voorliggende inspectieverslag, reeds tal van inspanningen heeft gedaan om zijn systemen AVG-
conform te maken voor wat betreft de verwerking van diakritische tekens, vormt ook hier een
belangrijk element bij de bepaling van de sanctie op deze inbreuk. Dit kan er evenwel niet toe leiden
dat de inbreuk retroactief ongedaan wordt gemaakt.
36. Gelet op de inspanningen die de verweerder inmiddels heeft verricht en de beperkte ernst en risico
voor de fundamentele rechten van de getroffen personen, in het licht van overweging 75 van de
AVG, besluit de Geschillenkamer om ondanks dat zij inbreuken heeft vastgesteld op de artikelen
5.1.d), 16 en 25 AVG niet over te gaan tot het opleggen van een sanctie voor deze inbreuken. Zij
beveelt derhalve op grond van artikel 100, §1, 2° WOG een buitenvervolgingstelling.
Artikel 5.2 en 31 AVG
37. In het verslag van de Inspectiedienst komt meermaals naar voor dat de verweerder meerdere
brieven nodig had om concrete antwoorden te formuleren op de gestelde vragen, waaruit de
Inspectiedienst afleidt dat de verweerder zijn verantwoordings- en medewerkingsplicht niet heeft
nageleefd. Ook vindt de Inspectiedienst het vreemd dat er weinig gestructureerde en
overkoepelende informatie aanwezig is om de aanpassingen vanuit een overkoepelend zicht op te
volgen. Behoudens algemene informatie over de AGILE-aanpak en de voorstudiefase, kan de
verweerder volgens de Inspectiedienst geen informatie afleveren die eventuele vooruitgang in het
4
https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_nl.pdf
Beslissing ten gronde 141/2021 - 12/26
dossier aantoont of concrete resultaten die een positief effect kunnen hebben op de betrokkene
en het uitoefenen van zijn of haar rechten en vrijheden.
38. Op basis van de door de verweerder verstrekte stukken, dient de Geschillenkamer echter vast te
stellen dat de verweerder door middel van de nodige documentatie kan aantonen in hoeverre de
AVG wordt nageleefd. Niet alleen heeft de verweerder een interne leidraad en documentatie van
de procedures voor de uitoefening van de rechten van de betrokkenen ter beschikking gesteld,
maar ook specifiek documentatie met betrekking tot het IT-project tot implementatie van de
diakritische tekens en de processen die de voortgang van het project aantonen. Op die manier heeft
de verweerder gedocumenteerd welke stappen reeds zijn genomen en nog zal nemen. De
verklaring van de verweerder voor de tijdsduur die nodig was om in verscheidene fases te
antwoorden op de door de Inspectiedienst gestelde vragen, bestaat erin dat nadere analyse was
vereist teneinde te determineren welke applicaties een impact kunnen ondervinden van de
toevoeging van diakritische tekens en dat dit niet onmiddellijk mogelijk was. De verweerder stelt
dat er tijd nodig was om analyses en testen uit te voeren om vervolgens op gecontroleerde wijze de
aanpassingen door te voeren zonder de stabiliteit van haar systemen in het gedrang te brengen.
Dienaangaande stelt de Geschillenkamer op basis van de stukken vast dat de verweerder op
afdoende wijze documentatie heeft bijgebracht die onmiskenbaar de vooruitgang in het dossier en
concrete resultaten aantoont, zodat er geen inbreuk op artikel 5.2 AVG kan worden vastgesteld.
39. De Geschillenkamer heeft ook de vaststellingen van de Inspectiedienst in het licht van de
medewerkingsplicht van de verweerder beoordeeld en stelt vast dat de Inspectiedienst
onvoldoende heeft aangetoond dat de verweerder door middel van antwoordbrieven niet heeft
getracht om uitgebreid en omstandig te antwoorden op de gestelde vragen. Daarenboven
verklaarde de verweerder zich meermaals bereid om in aanvulling daarop in overleg te treden,
waardoor niet kan worden vastgesteld dat hij niet is tegemoet gekomen aan de verplichting tot
medewerking met de toezichthoudende autoriteit.
40. De Geschillenkamer oordeelt dan ook dat er geen inbreuk op artikel 31 AVG kan worden
vastgesteld. Dit oordeel is gebaseerd op feitelijke vaststellingen, waardoor het niet nodig is in deze
zaak een principieel oordeel te geven over de omvang van de medewerkingsplicht.
b) Beginsel van minimale gegevensverwerking (artikel 5.1 c) AVG), integriteit en vertrouwelijkheid
(artikel 5.1 f) AVG), verantwoordingsplicht (artikel 5.2 AVG), verantwoordelijkheid van de
verwerkingsverantwoordelijke (artikel 24 AVG), gegevensbescherming door ontwerp en door
standaardinstellingen (artikel 25 AVG) en beveiliging van de verwerking (artikel 32 AVG)
41. De Inspectiedienst stelt vast dat de verweerder de familienaam van de klager5 gebruikt in
5
De Inspectiedienst verwijst naar de klager in beslissing nr. 01/2019 van 15 mei 2019
Beslissing ten gronde 141/2021 - 13/26
- interne nota’s voor en presentaties van het “Data Council”
- e-mailverkeer en ICT testen
die betrekking heeft op het ICT programma in verband met het gebruik van de diakritische tekens.
42. De Inspectiedienst komt tot het besluit dat deze verwerkingsactiviteit door de verweerder een
schending is van de artikelen 5.1 c) en f), 5.2, 24, 25 en 32 AVG, hetwelk is gebaseerd op de
overweging dat het gebruik van de familienaam van de klager niet noodzakelijk is voor het
doeleinde waarvoor ze wordt verwerkt en dus kan worden vermeden. De naam voor het project of
de case een andere naam kon dragen en de familienaam van de klager geen meerwaarde heeft. Er
zijn volgens de Inspectiedienst diverse woorden in andere talen met diakritische tekens die
hiervoor kunnen worden gebruikt, het gebruik van de familienaam van de klager kan stigmatiserend
zijn en door verspreiding ervan over haar organisatie heeft de verweerder hierover geen controle.
Het inspectieverslag besluit dat de familienaam gebruiken als “testpersoon” of als “case” niet in
verhouding staat tot
- het toepassen van de basisbeginselen “minimale gegevensverwerking” en “integriteit en
vertrouwelijkheid”;
- de te nemen passende technische of organisatorische maatregelen;
- het garanderen van de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van haar
verwerkingssystemen en diensten;
- de contractuele (bancaire) discretieplicht of het discreet verwerken van de persoonsgegevens
als bank ten aanzien van de klant.
43. De Geschillenkamer stelt dat de familienaam van de klager in beslissing nr. 01/2019 van 15 mei
2019 wel degelijk een persoonsgegeven vormt in de zin van artikel 4.1) AVG, vermits de klager
identificeerbaar is aan de hand van de door de Geschillenkamer genomen beslissing nr. 01/2019 en
het arrest van het Marktenhof d.d. 9 oktober 2019, waarin de verweerder telkens partij was en de
identiteit van de klager hem aldus bekend was. Dit brengt met zich mee dat de klager aan de hand
van enkel en alleen zijn familienaam direct kan worden geïdentificeerd binnen de organisatie van de
verweerder, vermits zij beiden partij waren in het geschil. Volgens de Geschillenkamer is het gebruik
van de familienaam als projectnaam te beschouwen als een verwerking die is gebaseerd op het
gerechtvaardigd belang van de verweerder (artikel 6.1 f) AVG).
44. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de Europese Unie
(hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een
verwerkingsverantwoordelijke, zijnde de verweerder, zich rechtsgeldig kan beroepen op deze
rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd
belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens
Beslissing ten gronde 141/2021 - 14/26
worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens
voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de
fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet
prevaleren” (arrest “Rigas”6).
45. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond van het
“gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te
tonen dat:
- de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend
(de “doeltoets”);
- de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
- de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke
(de “afwegingstoets”).
46. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel
dat het doeleinde dat erin bestaat uitvoering te geven aan zowel de hiervoor vermelde beslissing
van de Geschillenkamer, als het arrest van het Marktenhof 7, kan worden aangemerkt met oog op
een gerechtvaardigd belang. Het belang dat de verweerder als verwerkingsverantwoordelijke
nastreefde kan overeenkomstig overweging 47 AVG op zich als gerechtvaardigd worden
beschouwd. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1 f) AVG.
47. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer bepaald
dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden
bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking
voor de betrokkene.
48. Aangezien de verweerder telkens partij was in de procedure voor de Geschillenkamer en het
Marktenhof was de identiteit van de klager aldus reeds bekend binnen een beperkte kring van
personen binnen de organisatie van de verweerder.
49. Bovendien verklaart de verweerder dat de familienaam gebruikt werd in louter interne en
vertrouwelijke documenten binnen de Data Council bestaande uit slechts 7 leden, en in enkele e-
mails beperkt tot de strikt noodzakelijke personen betrokken bij het project. Uit geen enkel stuk
6
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas
satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging
40.
7
Zie in dezelfde zin Beslissing ten gronde 35/2020 van 30 juni 2020, randnr. 28.
Beslissing ten gronde 141/2021 - 15/26
blijkt dat de verwerking van de familienaam van de klager onnodig ingrijpend zou zijn geweest voor
de betrokkene. Aldus oordeelt de Geschillenkamer dat de verweerder de familienaam van de
betrokkene niet heeft verwerkt met miskenning van het beginsel van minimale
gegevensverwerking, zodat is voldaan aan de tweede voorwaarde.
50. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1 f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden” 8.
51. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-
ScaraA” van 11 december 20199, waarin het stelt:
“Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of haar
persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het
geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”.
52. Uit zowel de beslissing nr. 01/2019 genomen door de Geschillenkamer op 15 mei 2019, als het arrest
van het Marktenhof d.d. 9 oktober 2019 vloeit voort dat de verweerder zijn applicaties diende aan
te passen, minstens voor wat betreft de verwerking van diakritische tekens in de familienaam van
de betrokkene. Dit brengt noodzakelijkerwijs met zich mee dat de betrokkene zich er redelijkerwijs
aan kon verwachten10 dat zijn familienaam zou worden gebruikt binnen de organisatie van de
verweerder teneinde tegemoet te komen aan de vereisten gesteld in voormelde beslissing van de
Geschillenkamer, alsook in deze van het Marktenhof.
8
Overweging 47 AVG.
9
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58.
10
Overweging 47 AVG. De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een
verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond
bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen,
rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de
verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een
relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een
klant is of in dienst is van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of
sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling
van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de
grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer
persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten.
Aangezien het aan de wetgever staat om de rechtsgrond voor persoonsgegevensverwerking door overheidsinstanties te creëren,
mag die rechtsgrond niet van toepassing zijn op de verwerking door overheidsinstanties in het kader van de uitvoering van hun taken.
De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de
verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden
beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. (eigen onderlijning)
Beslissing ten gronde 141/2021 - 16/26
53. Het geheel van de hiervoor vermelde elementen brengt de Geschillenkamer tot het besluit dat de
verweerder de familienaam van de betrokkene binnen haar organisatie heeft rechtmatig heeft
verwerkt op grond van artikel 6.1 f) AVG en er geen elementen worden aangebracht waaruit blijkt
dat de verweerder zou hebben gehandeld in strijd met de vereisten van de AVG, zodat er dan ook
in hoofde van de verweerder geen inbreuk op de artikelen 5.1 c) en f), 5.2, 24, 25 en 32 AVG werd
gepleegd.
c) Positie van de functionaris voor gegevensbescherming (artikel 38.3 en 38.6 AVG)
54. Het verslag van de Inspectiedienst stelt omtrent de positie van de functionaris voor
gegevensbescherming vast dat er een belangenconflict is in zijnen hoofde, alsook dat deze niet
rechtstreeks rapporteert aan het hoogst leidinggevende orgaan.
55. In het verweer wordt aangaande de vereiste tot rechtstreekse rapportering aan het hoogste
leidinggevende niveau (artikel 38.3 AVG) beklemtoond dat de functionaris voor
gegevensbescherming rapporteert aan het Executive Committee, ook Directiecomité genoemd, en
dit via de Chief Risk Officer (CRO) die zelf zetelt in het Executive Committee, zijnde het hoogste
orgaan. De verweerder beklemtoont dat de rapporteringslijn wel degelijk rechtstreeks gaat van de
functionaris voor gegevensbescherming naar het Executive Committee. Rapportering aan een
orgaan kan enkel via een natuurlijke persoon, zijnde in casu de CRO die dient als toegangspunt tot
dat orgaan. De verweerder verantwoordt deze keuze voor de CRO doordat hij het lid is van het
Executive Committee dat de bevoorrechte gesprekspartner is van het Risk Committee dat kennis
neemt van alle belangrijke privacy-gerelateerde problemen.
56. De functionaris voor gegevensbescherming is zelf een vast lid van de Data council, hetwelk een
gedelegeerd subcomité en verlengstuk is van het Executive Committee waarbij de beslissingen van
de Data Council bindend zijn voor het Executive Committee. De verweerder onderstreept dat het
zetelen van de functionaris voor gegevensbescherming in de Data Council een vorm van
rapportering uitmaakt aan het hoogste niveau.
57. De verweerder voegt ook nog toe dat het Executive Committee een collegiaal orgaan is, waarbij de
CEO één stem heeft in het beslissingsproces, net als alle andere leden ervan. De verweerder
benadrukt tijdens de hoorzitting dat de DPO niet hoeft te rapporteren aan het hoogste individu,
namelijk de CEO, binnen het hoogste orgaan, maar dat rapportering aan het hoogste orgaan
voldoende is.. Bovendien zijn alle andere leden van het Executive Committee, waaronder ook de
CEO, verantwoordelijk voor departementen die data verwerken. Hieruit volgt volgens de
verweerder dat niet kan worden beweerd dat een bepaald lid van het Executive Committee
neutraler zou zijn dan de andere leden.
58. Op basis van de stukken die de door de verweerder verstrekte toelichting staven, oordeelt de
Geschillenkamer dat er geen inbreuk op artikel 38.3 AVG kan worden vastgesteld.
Beslissing ten gronde 141/2021 - 17/26
59. Voor wat betreft de vaststelling van de Inspectiedienst dat er in hoofde van de functionaris voor
gegevensbescherming een belangenconflict (artikel 38.6 AVG) is doordat hij eveneens
diensthoofd is van de diensten Operational Risk Management (ORM), Information Risk
Management (IRM) en Special Investigation Unit (SIU), voert de verweerder aan dat het hoofd van
deze diensten geen beslissingsbevoegdheid heeft op het niveau van de doeleinden en middelen
van operationele verwerkingen van persoonsgegevens, maar een louter adviserende en
controlerende bevoegdheid.
60. De Geschillenkamer onderzocht tijdens de hoorzitting de impact die de functionaris voor
gegevensbescherming heeft op de besluitvorming uit hoofde van zijn andere functies.
61. De Geschillenkamer stelt vast dat de verweerder in zijn conclusie de louter adviserende en
controlerende bevoegdheid van elk van de drie diensten, namelijk Operational Risk Management,
Information Risk Management en Special Investigation Unit, beklemtoont. De verweerder meent
hierdoor te kunnen stellen dat de functionaris voor gegevensbescherming geen taken (ook via zijn
functies in elk van de betreffende diensten) heeft waardoor hij beslissingen zou kunnen nemen over
het doel en de middelen van enige verwerking van persoonsgegevens.
62. De Geschillenkamer is van oordeel dat daarmee niet is aangetoond dat de functionaris voor
gegevensbescherming die ook diensthoofd is van elk van deze diensten en daarin dus een
verantwoordelijke positie bekleedt, geen taken zou uitvoeren die onverenigbaar zijn met zijn positie
als functionaris voor gegevensbescherming.
63. De Geschillenkamer merkt in dit kader op dat de adviserende en controlerende rol van de
departementen als dusdanig niet betekent dat ze niet het doel en middelen van
gegevensverwerkingen zouden bepalen.
64. De Geschillenkamer dient te beoordelen hoe en in welke mate de onafhankelijkheid van de
functionaris voor gegevensbescherming ten aanzien van elk van deze drie departementen –
waarvan hij diensthoofd is – wordt verzekerd.
65. De verweerder duidt aldus zelf eenzelfde fysieke persoon aan als verantwoordelijke voor elk van de
drie departementen én als functionaris voor gegevensbescherming. Deze verantwoordelijkheid
voor elk van deze drie departementen houdt onmiskenbaar in dat die persoon in die hoedanigheid
de doelstellingen van en de middelen voor de verwerking van persoonsgegevens binnen deze drie
departementen bepaalt en dus verantwoordelijk is voor de gegevensverwerkingsprocessen die
vallen onder het domein Operational Risk Management, Information Risk Management en Special
Investigation Unit zoals werd vastgesteld in het inspectieverslag.
Beslissing ten gronde 141/2021 - 18/26
66. De Richtlijnen van de Groep 29 voor functionarissen voor gegevensbescherming 11 leggen uit dat de
functionaris voor gegevensbescherming binnen de organisatie geen functie kan bekleden waarbij
hij of zij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet
bepalen. Dit is aldus een wezenlijk belangenconflict. De rol van verantwoordelijke van een dienst
valt aldus niet te rijmen met de functie van functionaris voor gegevensbescherming die zijn taken
onafhankelijk moet kunnen uitvoeren. Door het cumuleren in hoofde van eenzelfde fysieke persoon
van de functie van verantwoordelijke voor elk van de drie betreffende diensten afzonderlijk
enerzijds en de functie van functionaris voor gegevensbescherming anderzijds, ontbreekt voor elk
van deze drie diensten enig mogelijk onafhankelijk toezicht vanwege de functionaris voor
gegevensbescherming. Bovendien kan het cumuleren van deze functies ertoe leiden dat de
geheimhouding en vertrouwelijkheid jegens personeelsleden overeenkomstig artikel 38.5 AVG in
onvoldoende mate kan worden gegarandeerd.
67. De verweerder tracht het bestaan van een belangenconflict in hoofde van de functionaris voor
gegevensbescherming te weerleggen door te stellen dat de diensten IRM, ORM en SIU deel
uitmaken van de tweedelijnsfunctie die enkel toezichts- en controlefuncties omvatten. Het hoofd
van deze diensten, tevens functionaris voor gegevensbescherming, heeft volgens de verweerder
geen beslissingsbevoegdheid op het niveau van de doeleinden en de middelen van operationele
verwerkingen van persoonsgegevens, maar een louter adviserende en controlerende
bevoegdheid. De verweerder meent voor deze argumentatie ondersteuning te vinden in beslissing
ten gronde 56/2021 van 26 april 2021.
68. Zoals ook reeds is bepaald in de Richtlijnen van de Groep 29 voor functionarissen voor
gegevensbescherming12, is de Geschillenkamer van oordeel dat de beoordeling van enig
11
Krachtens artikel 38, lid 6, kunnen functionarissen voor gegevensbescherming "andere taken en plichten vervullen". Daartoe moet de
organisatie er echter voor zorgen dat "deze taken of plichten niet tot een belangenconflict leiden".
Het uitblijven van een belangenconflict hangt nauw samen met de vereiste om autonoom te handelen. Hoewel functionarissen voor
gegevensbescherming andere functies kunnen bekleden, kunnen hen alleen andere taken en plichten worden toevertrouwd als deze geen
aanleiding geven tot enig belangenconflict. Dit houdt met name in dat de functionaris voor gegevensbescherming binnen de organisatie
geen functie kan bekleden waarbij hij of zij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen.
Gezien de specifieke organisatiestructuur van elke organisatie moet dit geval per geval worden beoordeeld.
Als vuistregel worden binnen de organisatie als functies met een belangenconflict beschouwd: functies in het hogere management
(bv. Chief Executive, Chief Operating, Chief Financial, Chief Medical Officer, hoofd van de marketingafdeling, hoofd van Human
Resources of hoofd van de IT-afdeling), maar ook lagere functies binnen de organisatiestructuur als deze personen de doelstellingen van
en middelen voor de verwerking van gegevens moeten bepalen. Daarenboven kan een belangenconflict zich bijvoorbeeld ook
voordoen wanneer aan een externe functionaris voor gegevensbescherming wordt gevraagd om de verwerkingsverantwoordelijke
of de verwerker te vertegenwoordigen in de rechtbank bij rechtszaken over problemen met de gegevensbescherming.
Afhankelijk van de activiteiten, de grootte en de structuur van de organisatie kan het voor verwerkingsverantwoordelijken of verwerkers
een goede praktijk zijn om:•de posities te identificeren die incompatibel kunnen zijn met de functie van functionaris voor
gegevensbescherming;•interne regels daartoe op te stellen om belangenconflicten te vermijden;•een meer algemene uitleg over
belangenconflicten op te nemen;•te verklaren dat hun functionaris voor gegevensbescherming geen belangenconflict heeft in zijn functie
als functionaris voor gegevensbescherming, als een manier om anderen voor deze vereiste te sensibiliseren;•in het huisreglement van de
organisatie waarborgen op te nemen en ervoor te zorgen dat de vacature voor de positie van functionaris voor gegevensbescherming of de
dienstverleningsovereenkomst voldoende gepreciseerd en gedetailleerd is om belangenconflicten te vermijden. In dit verband moeten we
rekening houden met het feit dat belangenconflicten diverse vormen kunnen aannemen, afhankelijk van het feit of de functionaris voor
gegevensbescherming intern of extern is gerekruteerd.
WP243Rev01, para 3.5, onderstreping door Geschillenkamer. Deze richtlijnen zijn bekrachtigd door het Europees Comité voor de
Gegevensbescherming (EDPB).
12
Zie hierboven, voetnoot 11.
Beslissing ten gronde 141/2021 - 19/26
belangenconflict geval per geval dient te gebeuren gelet op de specifieke organisatiestructuur van
elke organisatie. Aldus beoordeelt de Geschillenkamer in concreto.
69. Hoewel de verweerder volhoudt dat de drie betreffende diensten behoren tot de
tweedelijnsfunctie waardoor deze diensten zelf geen verwerkingen introduceren, maar enkel
toezicht uitoefenen, kaders opstellen en controles uitvoeren, peilt de Geschillenkamer tijdens de
hoorzitting naar de verhouding tussen de tweedelijns- en eerstelijnsfunctie teneinde te vernemen
of de tweedelijnsfunctie haar adviserende en controlerende taak kan vervullen zonder het doel en
de middelen te bepalen van eventueel eigen verwerkingen en de verwerkingen door de
eerstelijnsfunctie. Concreet wordt tijdens de hoorzitting door de Geschillenkamer vastgesteld dat
wanneer de tweedelijnsfunctie haar controlerende en toezichthoudende bevoegdheden moet
uitoefenen, zij daartoe ook informatie nodig heeft van de eerstelijnsfunctie. Dit blijkt ook uit het
register van verwerkingsactiviteiten waarin een omvangrijk aantal categorieën van
persoonsgegevens wordt opgesomd die worden verwerkt door de tweedelijnsfunctie. Hieruit blijkt
volgens de Geschillenkamer duidelijk dat er persoonsgegevens worden verwerkt door de
tweedelijnsfunctie waarvoor deze het doel en de middelen bepaalt.
70. De reactie van de verweerder hierop is dat het kennis nemen van, zijnde het lezen, van
persoonsgegevens niet voldoende is om als een verwerking van persoonsgegevens te
bestempelen. De verweerder maakt hierbij de vergelijking met een werknemer die bij de
uitoefening van zijn/haar job persoonsgegevens raadpleegt, maar niet zelf optreedt als
afzonderlijke verwerkingsverantwoordelijke voor de verwerking. Een andere interpretatie volgen
zou er volgens de verweerder toe leiden dat elke werknemer als afzonderlijke
verwerkingsverantwoordelijke beschouwd moet worden.
71. Aangaande de in het verwerkingsregister aangeduide categorieën van persoonsgegevens
verwerkt door de tweedelijnsfunctie, stelt de verweerder dat deze zijn opgesomd uit
‘voorzichtigheid’, omdat de tweedelijnsfunctie kennis kan krijgen van die persoonsgegevens in
functie van de uitoefening van zijn taken. Opnieuw voegt de verweerder hieraan toe dat de
tweedelijnsfunctie niet de verantwoordelijkheid heeft voor de verwerking van persoonsgegevens,
maar enkel door de uitoefening van hun controlebevoegdheid kennis kunnen krijgen van bepaalde
categorieën van persoonsgegevens en de tweedelijnsfunctie nooit zal kunnen bepalen hoe
persoonsgegevens binnen de bank ingevuld en verwerkt zullen worden.
72. De Geschillenkamer merkt op dat het raadplegen van persoonsgegevens wel degelijk een
verwerking uitmaakt in de zin van artikel 4, 2) AVG. Hierbij dient te worden aangestipt dat het
verwerken van persoonsgegevens niet tot gevolg heeft dat diegene die de verwerking uitvoert,
zoals bijvoorbeeld een werknemer, als afzonderlijke verwerkingsverantwoordelijke dient te worden
bestempeld. De verwerkingsverantwoordelijke is diegene die het doel en de middelen van de
verwerking bepaalt in de zin van artikel 4, 7) AVG. De tweedelijnsfunctie bepaalt – als entiteit binnen
Beslissing ten gronde 141/2021 - 20/26
de verwerkingsverantwoordelijke – mee het doel en de middelen voor wat betreft de
persoonsgegevens die de eerstelijnsfunctie aan haar dient te verstrekken – en bepaalt aldus in die
zin mee het doel en de middelen van de verwerkingen van de eerstelijnsdienst –, opdat de
tweedelijnsfunctie haar eigen controlerende en adviserende taak zou kunnen vervullen. Dit blijkt
ontegensprekelijk uit het verwerkingsregister. Hieruit volgt dat de functionaris voor
gegevensbescherming die eveneens de functie bekleedt van diensthoofd van de diensten
ORM/IRM/SIU, het doel en de middelen bepaalt van de gegevensverwerkingen door de
eerstelijnsfunctie in de mate dat die informatie nodig is voor de taken waarmee de
tweedelijnsfunctie is belast en hij vervolgens ook het doel en de middelen bepaalt van de
gegevensverwerkingen die de tweedelijnsfunctie doet.
73. Dit brengt de Geschillenkamer tot het besluit dat de combinatie van de hoedanigheid van
functionaris voor gegevensbescherming met de functie als diensthoofd van de drie diensten
ORM/IRM/SIU niet houdbaar is zonder belangenconflict in hoofde van de functionaris voor
gegevensbescherming. De Geschillenkamer is bijgevolg van oordeel dat de inbreuk op artikel 38.6
AVG is bewezen.
74. Het is belangrijk dat de functionaris voor gegevensbescherming zijn taken en plichten kan vervullen
met respect voor de positie zoals artikel 38 AVG die aan hem heeft toebedeeld, inzonderheid dat
hij kan optreden zonder dat er sprake is van een belangenconflict. De Geschillenkamer draagt de
verweerder dan ook op om de verwerking op dit punt in overeenstemming te brengen met artikel
38.6 AVG en er aldus voor te zorgen dat deze taken of plichten niet tot een belangenconflict leiden.
75. Rekening houdend met het feit dat de AVG een sleutelrol heeft toebedeeld aan de functionaris voor
gegevensbescherming door hem een informerende en adviserende taak te geven ten aanzien van
de verwerkingsverantwoordelijke omtrent alle aangelegenheden die verband houden met de
bescherming van persoonsgegevens, waaronder de melding van gegevensinbreuken, gaat de
Geschillenkamer eveneens over tot het opleggen van een administratieve geldboete.
76. Naast de corrigerende maatregel om de verwerking in overeenstemming te brengen met artikel
38.6 AVG, beslist de Geschillenkamer ook tot het opleggen van een administratieve geldboete die
er niet toe strekt om een gemaakte overtreding te beëindigen, maar wel met het oog op een
krachtige handhaving van de regels van de AVG. Zoals blijkt uit Overweging 148, verlangt de AVG
dat bij serieuze inbreuken straffen, met inbegrip van administratieve geldboeten, naast of in plaats
van passende maatregelen die worden opgelegd. 13 De Geschillenkamer doet dit in toepassing van
13
Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met
inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende
maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine
inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een
geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van
de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid,
of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met
de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij
Beslissing ten gronde 141/2021 - 21/26
artikel 58.2 i) AVG. Het instrument van administratieve boete heeft dus geenszins tot doel
inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een aantal corrigerende
maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9° WOG.
77. Allereerst wordt de aard en de ernst van de inbreuk door de Geschillenkamer in aanmerking
genomen om het opleggen van deze sanctie en de hoogte ervan te rechtvaardigen.
78. Hierbij stelt de Geschillenkamer vast dat ofschoon er geen element is waaruit blijkt dat er sprake is
van een opzettelijke inbreuk, er sprake is van ernstige nalatigheid in hoofde van de verweerder.
Hoewel de functionaris voor gegevensbescherming een functie is die in de AVG voor het eerst
verplicht op Europees niveau werd voorgeschreven, is het concept van een functionaris voor de
gegevensbescherming niet nieuw en bestaat reeds lang in veel lidstaten en in veel organisaties. 14
79. Bovendien heeft de Groep 29 reeds op 13 december 2016 richtlijnen vastgesteld voor deze
functionarissen. Deze richtsnoeren werden na een wijde publieke consultatie op 5 april 2017
herzien. Zoals blijkt uit het hieronder gestelde zijn deze richtsnoeren duidelijk omtrent de mate
waarin de functionaris voor gegevensbescherming ook andere functies kan vervullen binnen de
onderneming, rekening houdend met de organisatiestructuur eigen aan elke organisatie en geval
per geval dient te worden beoordeeld.
80. Kortom, naar het oordeel van de Geschillenkamer bestaat er geen twijfel dat het cumuleren van de
functie van functionaris voor gegevensverwerking met een functie als hoofd van een departement
(waar ook persoonsgegevens worden verwerkt) waarop de functionaris voor gegevensverwerking
toezicht moet uitoefenen, niet kan gebeuren op een onafhankelijke wijze.
81. Van een organisatie als verweerder mag worden verwacht dat het zich op zorgvuldige wijze op de
invoering van de AVG voorbereidt en reeds vanaf het tijdstip van de inwerkingtreding van de AVG,
overeenkomstig art. 99 AVG in mei 2016. De verwerking van persoonsgegevens is immers een
kernactiviteit van verweerder, die bovendien op zeer grote schaal persoonsgegevens verwerkt.
82. Ook de duur van de inbreuk wordt in beschouwing genomen. De functionaris voor
gegevensbescherming is gecreëerd in de AVG die van toepassing is sinds 25 mei 2018, zodat de
inbreuk op artikel 38.6 AVG reeds vanaf die datum vaststaat. In ieder geval duurde de overtreding
tot op de datum van indiensttreding van de voltijds aangestelde functionaris voor
gegevensbescherming, i.e. 1 juli 2021.
83. Tot slot verwerkt de verweerder persoonsgegevens van een ontzettend groot aantal mensen.
Ondoeltreffende waarborgen voor de bescherming van persoonsgegevens, meer bepaald door de
aanwijzing van een functionaris voor gegevensbescherming die niet voldoet aan de vereiste van
een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van
administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen
van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.
14
Zie onder meer WP243Rev01, para 1.
Beslissing ten gronde 141/2021 - 22/26
onafhankelijkheid en dus niet vrij van enig belangenconflict kan optreden, hebben dus een
potentiële impact op een enorm aantal betrokkenen.
84. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de
daarin bepaalde beoordelingscriteria, ter hoogte van een bedrag van 75.000 EUR. De
Geschillenkamer wijst erop dat de andere criteria van artikel 83.2. AVG in dit geval niet van aard zijn
dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het
kader van deze beslissing heeft vastgesteld.
85. De verzachtende omstandigheden waarnaar de verweerder verwijst in zijn reactie op het
voornemen van de Geschillenkamer tot het opleggen van een administratieve geldboete, namelijk
de afwezigheid van schade voor de betrokkenen (artikel 83.2 a) AVG ); de genomen maatregelen
om potentiële belangenconflicten tijdig te detecteren en te voorkomen, met name door het
implementeren van geschikte policies en mechanismes zoals beschreven in de conclusie (artikel
83.2, c) AVG); de afwezigheid van eerdere relevante inbreuken (artikel 83.2 e) AVG), alsook het te
goeder trouw samenwerken met de GBA (artikel 83.2 f) AVG), worden door de Geschillenkamer
mee in overweging genomen bij het bepalen van het bedrag van de administratieve geldboete.
86. Om concreet het bezwaar van de verweerder te beantwoorden stelt de Geschillenkamer dat er
weliswaar niet werd vastgesteld dat er sprake zou zijn van schade in hoofde van de betrokkenen,
maar de afwezigheid van enige schade werd evenmin aangetoond, noch werden eerdere inbreuken
vastgesteld. Deze vaststelling leidt ertoe dat de Geschillenkamer het initieel vooropgestelde
bedrag van de administratieve geldboete, zijnde 100.000 EUR, heeft verlaagd tot 75.000 EUR.
87. Voor wat betreft de implementatie van policies en mechanismes om belangenconflicten te
vermijden, merkt de Geschillenkamer op dat deze laattijdig zijn genomen, d.w.z. ruim na de
inwerkingtreding15, alsook het van toepassing16 worden van de AVG. De ‘Conflicts of Interest Policy’
dateert van 20 januari 2020 en de specifieke DPO-policy werd geïmplementeerd op 12 oktober
2020 naar aanleiding van de beslissing ten gronde nr. 18/2020 van 28 april 2020, zoals in de
conclusie wordt vermeld, een voltijdse functionaris voor de gegevensbescherming werd pas
aangesteld op 1 juli 2021. Dit betekent dat de verweerder weliswaar heeft samengewerkt met de
GBA om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken, maar
dit vond plaats geruime tijd na de inwerkingtreding en het van toepassing worden van de AVG,
hetwelk impact heeft op de duur van de inbreuk (zie hoger randnr. 82).
15
Ingevolge artikel 99.1 AVG is de AVG in werking getreden op 25 mei 2016.
16
Artikel 99.2 AVG bepaalt dat de AVG van toepassing is met ingang van 25 mei 2018.
Beslissing ten gronde 141/2021 - 23/26
88. Aangaande het bedrag van de boete werpt de verweerder op dat de boete hoger is dan deze
opgelegd voor een identieke inbreuk in beslissing ten gronde nr. 18/2020 van 28 april 2020, terwijl
de verweerder beweert dat zijn geconsolideerde omzet lager is, hij al maatregelen nam om
tegemoet te komen aan de bezorgdheden van de GBA en een kleinere marktpositie heeft.
89. De Geschillenkamer stelt dat het maximumbedrag van de administratieve geldboete voor een
inbreuk op artikel 38 AVG wordt bepaald in artikel 83.4 AVG 17. Het bedrag van de boete opgelegd
in deze beslissing ligt gevoelig lager dan het maximumbedrag vastgelegd in artikel 83.4 AVG, gelet
op het feit dat de Geschillenkamer alle relevante criteria opgenomen in artikel 83.2 AVG in rekening
heeft gebracht. Bovendien beoordeelt de Geschillenkamer de concrete elementen van elk dossier
afzonderlijk teneinde een passende sanctie op te leggen 18. De verwijzing door de verweerder naar
beslissing ten gronde nr. 18/2020 van 28 april 2020 betreft dezelfde inbreuk, namelijk het bestaan
van een belangenconflict in hoofde van de functionaris voor gegevensbescherming (artikel 38.6
AVG), maar voor het overige dient de Geschillenkamer alle feitelijke elementen in acht te nemen
die eigen zijn aan elk dossier afzonderlijk, waarbij in voorliggend dossier de duur van de inbreuk een
belangrijk element vormt, hetwelk verantwoordt dat in voorliggend geval een boete wordt
opgelegd van 75.000 EUR, waarbij de Geschillenkamer zich baseert op de geconsolideerde
jaarrekening van de verweerder.
d) Register van verwerkingsactiviteiten (artikel 30 AVG)
90. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten volgende
vaststellingen, zoals hierna samengevat:
- het register van de verwerkingsactiviteiten van de diensten ORM/IRM/SIU19 is onvolledig;
- het register van de verwerkingsactiviteiten bevat slechts drie verwerkingsactiviteiten, namelijk
voor elk van de diensten één verwerkingsactiviteit. Dit vindt de Inspectiedienst vreemd,
aangezien er in elk van de drie diensten verschillende verwerkingsactiviteiten binnen de
tweedelijnsfunctie zijn waardoor het eerder abnormaal is om deze verwerkingsactiviteiten
samen te brengen tot één verwerkingsactiviteit;
17
Artikel 83.4 AVG. Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten
tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit
cijfer hoger is:
a) de verplichtingen van de verwerkingsverantwoordelijke en de verwerker overeenkomstig de artikelen 8, 11, 25 tot en met
39, en 42 en 43;
[…]
18
Zie in dat verband het arrest van het Marktenhof d.d. 7 juli 2021, rolnummer 2021/AR/320, NV Nationale Dienst voor Promotie van
Kinderartikelen (N.D.P.K. N.V.) t. GBA, p. 42
19
Operational Risk Management (ORM)/Information Risk Management (IRM)/Special Investigation Unit (SIU)
Beslissing ten gronde 141/2021 - 24/26
- de verweerder heeft geen volledige opsomming van al de verwerkingsdoeleinden van
persoonsgegevens voorzien overeenkomstig artikel 30.1 b) AVG;
- de volgende informatie in het register van de verwerkingsactiviteiten is niet zichtbaar:
• de naam en de contactgegevens van de functionaris voor gegevensbescherming
overeenkomstig artikel 30.1 a) AVG;
• een beschrijving van de beoogde termijnen waarbinnen de verschillende categorieën
van gegevens moeten worden gewist overeenkomstig artikel 30.1 f) AVG;
• een beschrijving van de technische en organisatorische beveiligingsmaatregelen
overeenkomstig artikel 30.1 g) AVG.
- het register van de verwerkingsactiviteiten moet op zichzelf volledig en duidelijk zijn, maar de
volgende termen worden niet uitgelegd: “12. TIN” en “S9. Criminal data” . Ook is de omschrijving
van de doeleinden van de verwerking vaag: “E7_To support the activities to safeguard and
ensure the security and integrity of Y and/or the financial sector” en “C6_Compliance with legal
obligations”, en geeft niet precies de verwerkingsactiviteit en het verwerkingsdoel van deze
diensten van de verweerder weer.
- Specifiek voor de dienst SIU wordt in het register van de verwerkingsactiviteiten vermeld dat
persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten worden
verwerkt met volgende melding “S9. Criminal data”. De Inspectiedienst vindt het vreemd dat
dit niet specifiek wordt uitgeklaard.
91. De verweerder laat met betrekking tot deze vaststellingen van de Inspectiedienst het volgende
gelden:
- Behoudens de opsomming van de elementen die verplicht moeten worden opgenomen in het
register en de verplichting om het register desgevraagd mee te delen aan de toezichthoudende
autoriteit, legt de AVG geen enkele andere wettelijke verplichting op betreffende het register.
De Inspectiedienst lijkt volgens de verweerder met haar vaststellingen in het inspectieverslag
de drempel dus hoger te willen leggen dan de wettelijke vereisten ter zake. De verweerder
voegt hieraan toe en toont aan dat hij bovendien rekening heeft gehouden met aanbeveling nr.
06/2017 van 14 juni 2017, zoals bepaald door de Commissie voor de Bescherming van de
Persoonlijke Levenssfeer;
- Aangaande de vage termen en vage omschrijving van de doeleinden van de verwerking stelt de
verweerder dat het register een intern instrument en hulpmiddel is voor de
verwerkingsverantwoordelijke. De verweerder erkent dat het register ook dient als
informatiebron voor de GBA en in die zin dan ook begrijpelijk moet zijn voor de GBA zelf. Er
wordt echter niet uitgesloten dat de verwerkingsverantwoordelijke ten aanzien van de GBA
Beslissing ten gronde 141/2021 - 25/26
nog toelichting mag geven bij bepaalde interne terminologie die wordt gehanteerd in het
register. Artikel 30.1 AVG vereist dat het register van verwerkingsactiviteiten een beschrijving
van de categorieën van persoonsgegevens, evenals van de verwerkingsdoeleinden bevat, maar
bevat geen concrete verplichtingen betreffende het niveau van detail van deze categorieën van
persoonsgegevens en verwerkingsdoeleinden. In voormelde aanbeveling nr. 06/2017 worden
overigens voorbeelden gegeven van categorieën van persoonsgegevens en doeleinden die van
eenzelfde ‘algemene’ aard zijn.
Aangaande de door de Inspectiedienst als vaag bestempelde begrippen en doeleinden, stelt de
verweerder dat deze werden gedefinieerd in een ander intern document. De definities uit dat
document werden – zowel voor wat de categorieën van persoonsgegevens, als de doeleinden
betreft – hernomen in het register en waren reeds in het register beschikbaar door op de
desbetreffende termen te klikken.
- De verweerder benadrukt dat de Inspectiedienst enkel het register voor de
verwerkingsactiviteiten van de diensten ORM/IRM/SIU heeft opgevraagd en niet het volledige
register. Het door de verweerder aangeleverde document betrof een beperkt uittreksel van het
register en omvat enkel de details van de verwerkingsactiviteiten van de betreffende diensten.
- De verwerkingsactiviteiten van de diensten ORM, IRM en SIU worden door de verweerder nader
toegelicht. Hij verklaart dat de diensten IRM en ORM voornamelijk een adviserende en
controlerende aard hebben, zonder daadwerkelijk een uitvoerende taak te hebben op het vlak
van verwerking van informatie en/of persoonsgegevens. Het gaat om zeer beperkte
verwerkingen die in het register worden gegroepeerd onder één verwerkingsactiviteit voor elk
van beide diensten. Een aantal verwerkingsactiviteiten die de Inspectiedienst toeschrijft aan de
dienst IRM, respectievelijk ORM betreffen activiteiten die elders in het register worden
beschreven bij de daarvoor verantwoordelijke afdelingen. Voor wat betreft de dienst SIU
worden de activiteiten eveneens beschreven en ook hier werden deze in het uittreksel van het
register gegroepeerd weergegeven als zijnde één verwerkingsactiviteit. De verweerder
benadrukt nogmaals dat de AVG geen specifiek vereist niveau van detail voorschrijft.
- Voor wat betreft de volgens het inspectieverslag ontbrekende informatie in het register van de
verwerkingsactiviteiten voert de verweerder aan dat de naam en contactgegevens van de
functionaris voor gegevensbescherming zijn opgenomen in een groot aantal interne
documenten en dus wel degelijk gekend zijn binnen de organisatie van de verweerder, maar die
gegevens betreffende de functionaris voor gegevensbescherming louter om technische
redenen niet in het uittreksel van het register van de verwerkingsactiviteiten zijn verschenen.
Aangaande de bewaartermijnen, alsook de technische en organisatorische maatregelen
schrijft artikel 30 AVG voor dat het register indien mogelijk deze informatie bevat, maar niet als
dusdanig verplicht om deze te vermelden in het register zelf. De verweerder stelt dat ervoor
Beslissing ten gronde 141/2021 - 26/26
werd geopteerd om deze informatie omwille van pragmatische redenen en met het oog op een
betere overzichtelijkheid te beschrijven in een afzonderlijke documenten.
92. Op basis van het verweer en de ondersteunende stukken daartoe, beslist de Geschillenkamer dat
er in hoofde van de verweerder geen inbreuk op artikel 30 AVG is.
III. Publicatie van de beslissing
93. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens
van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 100, §1, 2° WOG, een buitenvervolgingstelling te bevelen voor de inbreuk op
de artikelen 5.1 d), 16 en 25 AVG ;
- Op grond van artikel 100, §1, 13° en artikel 101 WOG een administratieve geldboete van € 75.000
op te leggen ingevolge de inbreuk op artikel 38.6 AVG.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get). Hielke Hijmans
Voorzitter van de Geschillenkamer