1/71
Geschillenkamer
Beslissing ten gronde 146/2024 van 28 november 2024
Deze beslissing werd bevestigd door arrest 2024/AR/2091 van het Hof van de Markten van 18
juni 2025, met uitzondering van de nalevingstermijnen die het voorwerp uitmaakten van een
tweede beslissing van de geschillenkamer (zie link). Er is cassatieberoep ingesteld door
Freedelity tegen arrest 2024/AR/2091 van 18 juni 2025, waarbij deze beslissing is vernietigd.
Dossiernummer: DOS-2019-04308
Betreft: onderzoek van twee door Freedelity ingevoerde verwerkingen
De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke
Hijmans, voorzitter, en de heren Yves Poullet en Romain Robert, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG";
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit 1
(hierna "WOG");
Gelet op het Reglement van orde zoals goedgekeurd door de Kamer van volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019 2 ;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De verweerder: Freedelity, met maatschappelijke zetel te Rue Altiero Spinelli 7, 1401 Nijvel,
ingeschreven onder ondernemingsnummer 0818.399.886, vertegenwoordigd
1
GBA herinnert eraan dat de herziene organieke wet op 1 juni 2024 in werking is getreden. Deze is alleen van toepassing op
klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die vanaf die datum zijn
gestart. Dossiers die vóór 1 juni 2024 zijn gestart, zoals het onderhavige dossier, vallen onder de bepalingen van de oude
versie van de WOG, die hier te vinden is: https://www.autoriteprotectiondonnees.be/publications/loi-organique-de-l-GBA.pdf
2
Het nieuwe Reglement van interne orde van de GBA als gevolg van de wijzigingen door de wet van 25 december 2023 tot
wijziging van de wet van 3 december 2017 tot oprichting van de gegevensbeschermingsautoriteit (WOG), is op 01/06/2024
in werking getreden. Het is alleen van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures
voor de Geschillenkamer die vanaf die datum zijn gestart. Dossiers die vóór 01/06/2024 zijn gestart, vallen onder de
bepalingen van het huishoudelijk reglement zoals dat vóór die datum bestond.
Beslissing ten gronde 146/2024 –2 /71
door meesters Christian Defauw, Alexandre Cassart, Etienne Wéry, Victoria
Ruelle en Fanny Cotton, hierna: "de verweerder"
Beslissing ten gronde 146/2024 –3 /71
I. Feiten en procedure
1. Op 8 juli 2019 publiceert de krant L'Echo een artikel met de titel "Freedelity stelt voor om
het beheer van klantgegevens te delen"3 . Op 2 augustus 2019 stelt een lid van het
Directiecomité aan de voorzitter van het Directiecomité voor om deze dienst te
onderzoeken.
2. Het punt wordt op de agenda geplaatst van de vergadering van het Directiecomité van 20
augustus 2019. Tijdens deze vergadering beslist het Directiecomité een brief te sturen naar
de verweerder om te informeren naar de werking van de dienst die in het artikel van L'Echo
wordt beschreven.
3. Op 30 augustus 2019 stuurt de directeur van het Algemeen Secretariaat een brief met een
reeks van ongeveer tien vragen naar de verweerder. Op 9 oktober 2019 bezorgt de
verweerder zijn antwoorden naar het Algemeen Secretariaat.
4. Op basis van deze antwoorden stelt het Algemeen Secretariaat een brief op aan het
Directiecomité met als titel "DIRCO-rapport – Voorafgaande informatiebrief – Freedelity".
Op 6 december 2019 besluit het Directiecomité van de Gegevensbeschermingsautoriteit
(hierna "GBA") op basis van dit verslag om de Inspectiedienst te vragen een onderzoek in
te stellen op grond van artikel 63.1° van de WOG.
5. Op 20 april 2022 wordt het onderzoek van de Inspectiedienst afgesloten, het verslag aan
het dossier toegevoegd en het dossier door de inspecteur-generaal aan de voorzitter van
de Geschillenkamer bezorgd (art. 91, §§ 1 en 2, van de WOG).
De Inspectiedienst stelt in grote lijnen vast dat:
- Vaststelling 1: Freedelity kan niet aantonen dat het een geldige toestemming heeft
verkregen (overeenkomstig artikel 4.11 van de AVG), wat in strijd is met de artikelen
5.1.a, 6.1.a, 7 en 5.2 van de AVG.
- Vaststelling 2: Freedelity kan niet aantonen dat er passende maatregelen zijn genomen
om het intrekken van de toestemming te faciliteren, wat in strijd is met artikel 7.3 van
de AVG, gelezen in het licht van het verantwoordingsbeginsel (artikelen 5.2, 24 en 25
van de AVG).
- Vaststelling 3: Freedelity kan niet aantonen dat het passende maatregelen heeft
genomen om de geldigheid en het verkrijgen van toestemming (in de zin van artikel 4.11.
van de AVG) te waarborgen voor verwerkingen waarbij Freedelity als
3
Dit artikel is beschikbaar via de volgende link: https://www.lecho.be/entreprises/technologie/freedelity-propose-de-
mutualiser-la-gestion-des-donnees-clients/10143718.html
Beslissing ten gronde 146/2024 –4 /71
verwerkingsverantwoordelijke optreedt, hetgeen in strijd is met de artikelen 5.2., 24 en
25 van de AVG.
- Vaststelling 4: Freedelity schendt het beginsel van minimale gegevensverwerking,
zoals vastgelegd in artikel 5.1.c) van de AVG en artikel 25.1 van de AVG.
- Vaststelling 5: Freedelity kan de bewaartermijnen van de gegevens die in strijd zijn met
de artikelen 5.1.e), 5.2, 24 en 25.1 van de AVG niet rechtvaardigen.
6. Op 6 juli 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 van
de WOG dat het dossier gereed is voor behandeling ten gronde.
7. Op dezelfde dag wordt de verweerder per aangetekende brief in kennis gesteld van de
bepalingen zoals opgenomen in de artikelen 95, § 2, en 98 van de WOG. Hij wordt ook in
kennis gesteld, op grond van artikel 99 van de WOG, van de termijnen voor het indienen
van zijn conclusies.
8. De uiterste datum voor de ontvangst van de conclusie van antwoord van de verweerder
wordt vastgesteld op 31 augustus 2022.
9. Op 7 juli 2022 vraagt de verweerder om een kopie van het dossier (art. 95, § 2, 3° WOG), die
hem op 12 juli 2022 wordt toegezonden.
10. Op 18 juli 2022 stemt de verweerder ermee in alle communicatie met betrekking tot de
zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de
mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. Hij verzoekt
tevens om uitstel van de uiterste datum voor het indienen van conclusies tot 30 oktober
2022.
11. Op 2 augustus 2022 stemt de Geschillenkamer in met een uitstel van de deadline tot 21
september 2022.
12. Op 15 september 2022 verzoekt de verweerder om inzage in de papieren versie van het
administratieve dossier. Hij verzoekt ook om een verlenging van de termijn voor het
indienen van conclusies tot 21 oktober 2022.
13. Op 21 september 2022 stemt de Geschillenkamer in met een verlenging van de termijn voor
het indienen van de conclusies met twee weken, tot 5 oktober 2022. Zij herinnert de
verweerder eraan dat hij op zijn verzoek op 12 juli 2022 al een volledige digitale kopie van
het administratieve dossier heeft ontvangen. Zij voegt er evenwel aan toe dat hij het
dossier kan inzien door contact op te nemen met de griffie.
14. Op 28 september 2022 vindt de raadpleging van het papieren administratieve dossier
plaats in de kantoren van de GBA.
Beslissing ten gronde 146/2024 –5 /71
15. Op 5 oktober 2022 ontvangt de Geschillenkamer de conclusie van de verweerder. Bij het
indienen van zijn conclusie verzoekt de verweerder ook, alvorens recht te doen, om
documenten die hij nodig acht voor de uitoefening van zijn rechten van verdediging. Hij
verzoekt ook om een nieuwe termijn voor het indienen van conclusies na ontvangst van
deze documenten.
16. Op 2 mei 2023 stuurt de Geschillenkamer de verweerder talrijke documenten toe en geeft
zij de verweerder ook toestemming om tot 17 mei 2023 te concluderen op basis van deze
elementen.
17. Op 3 mei 2023 verzoekt de verweerder om de termijn voor het indienen van conclusies te
verlengen tot 15 juni.
18. Op 8 mei 2023 stemt de Geschillenkamer ermee in om de termijn met een week te
verlengen, tot 24 mei 2023.
19. Op 9 mei 2023 werden de partijen ervan in kennis gesteld dat de hoorzitting op 14 juni 2023
zal plaatsvinden.
20. Op 23 mei 2023 deelt de verweerder de Geschillenkamer mee dat hij een volledig afschrift
wenst te ontvangen van het proces-verbaal van de vergadering van het Directiecomité van
6 december 2019. Hij vraagt om een kopie van het besluit tot opheffing van het mandaat
van de voorzitter van de GBA in 2022 en, indien de GBA daar niet over beschikt, eist hij dat
de GBA de nodige stappen onderneemt om dit te verkrijgen. Hij is van mening dat de hem
toegekende termijnen voor het indienen van zijn conclusies onredelijk zijn, dat de
hoorzitting voorbarig is en dat het dossier niet gereed is.
21. Op 24 mei 2023 ontvangt de Geschillenkamer de aanvullende conclusie van de verweerder.
22. Op 2 juni 2023 antwoordt de Geschillenkamer de verweerder dat de uittreksels uit het
proces-verbaal van de vergadering van het Directiecomité alle informatie bevatten die
betrekking heeft op deze zaak. Zij voegt hieraan toe dat zij alle documenten heeft verstrekt
waarover zij beschikt en dat het aan de verweerder is om ter ondersteuning van zijn
conclusies alle documenten over te leggen die hij nuttig acht. De Geschillenkamer
concludeert dat het dossier in gereedheid is en dat de hoorzitting kan plaatsvinden.
23. Op 12 juni 2023 deelt de verweerder de Geschillenkamer mee dat hij bij de Commissie voor
Toegang tot Bestuursdocumenten (hierna 'CTB') een vordering tegen de Geschillenkamer
heeft ingesteld. Hij vraagt nogmaals uitstel van de zitting.
24. Op 12 juni 2023 herhaalt de Geschillenkamer het standpunt dat zij op 2 juni 2023 heeft
ingenomen. Zij voegt eraan toe dat de GBA zich momenteel niet onderworpen acht aan de
wet van 11 april 1994 betreffende de openbaarheid van bestuur.
Beslissing ten gronde 146/2024 –6 /71
25. Op 12 juni 2023 deelt de verweerder de Geschillenkamer mee dat een van zijn raadslieden
wegens ziekte niet beschikbaar is en dat hij bijgevolg niet in staat is om de zaak op de
geplande zittingsdatum te bepleiten.
26. Op 13 juni 2023 deelt de Geschillenkamer de verweerder mee dat de hoorzitting is
verplaatst naar 29 juni 2023.
27. Op 15 juni 2023 stuurt de verweerder de Geschillenkamer een verzoek tot wraking van haar
voorzitter op grond van artikel 828, 1° van het Gerechtelijk Wetboek 4 .
28. Op 19 juni 2023 wijst de voorzitter van de Geschillenkamer het verzoek tot wraking af,
waarbij hij er met name op wijst dat het Gerechtelijk Wetboek niet op hem van toepassing
is en dat de argumenten van de verweerder betreffende het gebrek aan onpartijdigheid van
de voorzitter van de Geschillenkamer ongegrond zijn.
29. Op 20 juni 2023 dient de verweerder een verzoek tot wraking in bij het Marktenhof, dat de
Geschillenkamer hiervan op 22 juni 2023 in kennis stelt.
30. Op 26 juni 2023 deelt de griffie van de Geschillenkamer de verweerder mee dat de voor 29
juni 2023 geplande hoorzitting wordt uitgesteld tot een nog te bepalen datum.
31. Op 27 juni 2023 stuurt de verweerder een e-mail naar de voorzitter van de
Gegevensbeschermingsautoriteit. In deze e-mail herinnert de verweerder aan haar
verschillende verzoeken met betrekking tot de documenten en geeft hij aan dat hij van
mening is dat deze kwestie moet worden behandeld door de voorzitter van de GBA of het
Directiecomité van de GBA en niet door de voorzitter van de Geschillenkamer.
32. Op 4 juli 2023 ontvangt de GBA advies nr. 2023-95 van de CTB. Deze laatste acht zich
bevoegd om advies uit te brengen over een verzoek om toegang tot een document dat bij
de GBA is ingediend. Zij is ook van mening dat het verzoek van de verweerder ontvankelijk
is.
33. In haar advies stelt de CTB dat de GBA niet verplicht is om toegang te verlenen tot een
document dat zij niet in haar bezit heeft, maar dat zij, indien zij over die kennis beschikt, de
autoriteit moet aanwijzen die het gevraagde document in haar bezit heeft. Naar aanleiding
van dit advies verzoekt de verweerder opnieuw om toegang tot documenten die hij
noodzakelijk acht voor de uitoefening van zijn rechten van verdediging.
34. Op 11 juli 2023 antwoordt de Geschillenkamer de verweerder dat hij diens verzoek
doorstuurt naar het Directiecomité van de GBA.
35. Op 18 juli 2023 antwoordt het Directiecomité de verweerder via de voorzitter van de GBA.
Zij wijst er allereerst op dat het standpunt van de CTB een ommezwaai is ten opzichte van
4
Art. 828 van het Gerechtelijk Wetboek: "Ieder rechter kan worden gewraakt om de volgende redenen: 1° wegens wettige
verdenking (...)"
Beslissing ten gronde 146/2024 –7 /71
haar eerdere standpunt. Zij voegt eraan toe dat zij in dit stadium geen standpunt inneemt
over de toepasselijkheid van de wet van 11 april 1994 op de GBA, maar dat zij er geen
bezwaar tegen heeft dat in deze zaak de agenda en het proces-verbaal van de vergadering
van het Directiecomité van 6 december 2019 aan de verweerder worden verstrekt, met
verwijdering van de informatie betreffende andere verwerkingsverantwoordelijken.
36. Op 31 oktober 2023 wijst het Marktenhof arrest 2023/7566 betreffende het verzoek tot
wraking dat door de verweerder is ingediend tegen de voorzitter van de Geschillenkamer5
. In dit arrest verklaart het Marktenhof dat het zonder rechtsmacht is en niet bevoegd om
kennis te nemen van het verzoek tot wraking dat door de verweerder is ingediend tegen de
voorzitter van de Geschillenkamer.
37. Op 28 november 2023 wordt de verweerder meegedeeld dat de hoorzitting op 15 januari
2024 zal plaatsvinden.
38. Op 22 december 2023 dient de verweerder een verzoek tot kort geding in bij de Kamer van
kort geding van de Rechtbank van eerste aanleg te Brussel, waarin hij verzoekt om de
overlegging van alle documenten met betrekking tot Freedelity, op straffe van een
dwangsom.
39. De Kamer van kort geding neemt op 12 februari 2024 een eerste beschikking waarin zij het
verzoek van Freedelity ongegrond verklaart wat betreft de overlegging van het besluit tot
opheffing van het mandaat van de voormalige voorzitter van de GBA en de documenten die
geen verband houden met het besluit van het Directiecomité van 6 december 2019. Zij
gelast de GBA om verschillende door de verweerder gevraagde documenten over te
leggen.
40. Op 20 maart 2024 vaardigt de Kamer van kort geding een beschikking uit waarin zij het
verzoek van Freedelity gedeeltelijk gegrond verklaart en de GBA gelast verschillende
aanvullende documenten over te leggen, waaronder interne e-mails tussen medewerkers
van de GBA die in de stukkenlijst waren opgenomen.
41. Op 22 maart 2024 verstrekt de GBA de aanvullende stukken aan Freedelity.
Overeenkomstig de tweede beschikking van de Kamer van kort geding geeft zij Freedelity
15 dagen de tijd om te concluderen over alle door de GBA verstrekte stukken en nodigt zij
Freedelity uit voor de hoorzitting die op 11 april zal plaatsvinden.
42. Op 9 april dient Freedelity zijn aanvullende conclusie in.
43. Op 11 april 2024 wordt de verweerder gehoord door de Geschillenkamer.
5
Arrest van het Marktenhof van 31 oktober 2023, nr. 2023/AR/821 (niet-registreerbaar arrest)
Beslissing ten gronde 146/2024 –8 /71
44. Op 29 april 2024 wordt het proces-verbaal van de hoorzitting aan de verweerder
voorgelegd.
45. Op 3 mei 2024 deelt de verweerder de Geschillenkamer mee dat hij geen commentaar
wenst te geven op het proces-verbaal van de hoorzitting en dat hij zich houdt aan zijn
processtukken en pleidooien.
II. Motivering
II.1. Achtergrond
46. Sinds de oprichting in 2010 biedt Freedelity technologie aan die het verzamelen en
bijwerken van persoonsgegevens vereenvoudigt, met name door gebruik te maken van de
gegevens op de chip van de Belgische elektronische identiteitskaart (hierna "eID").
47. De diensten van Freedelity maken het mogelijk om commerciële voordelen die door
verschillende winkelketens aan consumenten worden aangeboden, evenals
klantenkaarten of aankoopbewijzen van consumenten te centraliseren. Deze diensten
worden zowel (i) door Freedelity aan zijn klanten van het type "winkelketens" aangeboden
(volgens een B2B-model, in het kader van de CustoCentrix-dienst), als (ii) door Freedelity
aan consumenten (volgens een B2C-model).
48. Hoewel het artikel in L'Echo zich concentreerde op de presentatie van CustoCentrix, richtte
het onderzoek zich vanaf de inspectiefase op het "Freedelity-bestand", dat door Freedelity
als verwerkingsverantwoordelijke wordt bijgehouden 6 . Dit bestand wordt grotendeels
gevoed door gegevens die door de winkelketens worden verzameld.
49. Zoals Freedelity in zijn antwoorden aan de Inspectiedienst (stuk 5 van het dossier) uitlegt,
"maakt het Freedelity-bestand het inderdaad mogelijk om elke consument persoonlijk te
identificeren, toegang te krijgen tot het Myfreedelity-portaal en het systeem van
mutualisering van de bijgewerkte consumentengegevens tussen de klanten van Freedelity
te beheren".
50. De Inspectiedienst heeft alleen de conformiteit van de verwerkingen in verband met het
Freedelity-bestand geanalyseerd, en bijgevolg (1) de verzameling van persoonlijke
identificatie- en contactgegevens, (2) de mutualisering van deze persoonlijke gegevens, en
(3) de overdracht van identiteitsgegevens uit het Freedelity-bestand aan derden zoals Z1
en Z2.
51. De Geschillenkamer zal achtereenvolgens de rechtmatigheid van de verwerkingen (1) en (2)
analyseren die worden genoemd in deel II.5 . Zij merkt echter op dat het onderzoeksverslag
van de Inspectiedienst onvoldoende elementen bevat om een grondig onderzoek van de
6
De rol van Freedelity als verwerkingsverantwoordelijke voor dit bestand wordt niet betwist.
Beslissing ten gronde 146/2024 –9 /71
verwerking (3) mogelijk te maken, met name wat betreft de mogelijke wettelijke bases en
de rol van de betrokken actoren. Bijgevolg heeft deze beslissing geen betrekking op deze
verwerking (3).
II.2. Inleidende vraag: terugtrekking van de voorzitter van de Geschillenkamer
52. Bij wijze van inleiding verzoekt de verweerder de voorzitter van de Geschillenkamer zich
terug te trekken vanwege de gerechtvaardigde twijfel die zou bestaan over zijn
onpartijdigheid. Omwille van de leesbaarheid en de duidelijkheid van deze beslissing zal het
antwoord van de Geschillenkamer op dit argument later in de beslissing worden behandeld,
in het deel dat gewijd is aan de eerbiediging van de rechten van de verdediging, en meer in
het bijzonder aan de onpartijdigheid van de leden van het Directiecomité, waaronder de
voorzitter van de Geschillenkamer (deel II.4.1.1).
II.3. Procedure: Stappen van de procedure
53. De Geschillenkamer merkt op dat de verweerder een groot aantal argumenten heeft
aangevoerd met betrekking tot alle fasen van de procedure. Zonder vooruit te lopen op
haar bevoegdheid en de reikwijdte van haar motiveringsplicht ten aanzien van de
aangevoerde argumenten – kwesties die niet door het Marktenhof zijn beslecht –, wenst de
Geschillenkamer hieronder op deze argumenten in te gaan met het oog op een goed begrip
van de beslissing.
II.3.1. De interpellatie van de directeur van het Algemeen Secretariaat (destijds tevens
voorzitter van het Directiecomité) door de directeur van het Kenniscentrum
54. De verweerder is van mening dat de toenmalige directeur van het Kenniscentrum7 , niet
bevoegd was om de directeur van het Algemeen Secretariaat te interpelleren, noch in haar
hoedanigheid van lid van het Directiecomité, noch in haar hoedanigheid van directeur van
het Kenniscentrum.
55. Voor alle duidelijkheid herinnert de Geschillenkamer eraan dat het Directiecomité bestaat
uit de vijf directeurs van de GBA (artikel 12 van de WOG). In die hoedanigheid was de
directeur van het Kenniscentrum, naast haar functie, lid van het Directiecomité op het
moment van de interpellatie van de directeur van het Algemeen Secretariaat. Bovendien
was de toenmalige directeur van het Algemeen Secretariaat ook voorzitter van de
Gegevensbeschermingsautoriteit en bekleedde hij in die hoedanigheid het voorzitterschap
van het Directiecomité overeenkomstig artikel 13, § 1, van de WOG.
7
Vanaf 1 juni 2024 heet deze dienst 'Autorisatie- en Adviesdienst'.
Beslissing ten gronde 146/2024 –10 /71
56. Artikel 10, lid 1, van de WOG bepaalt: "Het directiecomité volgt de ontwikkelingen in de
technologische, commerciële en ander domeinen die een weerslag hebben op de
bescherming van persoonsgegevens volgt" (onderstreping toegevoegd).
57. Uit de stukken in het dossier blijkt dat de directeur van het Kenniscentrum (lid van het
Directiecomité) de voorzitter van het Directiecomité heeft voorgesteld om een dienst van
Freedelity te onderzoeken waarvan de werking als innovatief werd omschreven in een
artikel in L'Echo van 8 juli 2019, getiteld "Freedelity stelt voor om het beheer van
klantgegevens te delen"8 .
58. GBA was via haar voorganger, de Commissie voor de bescherming van de persoonlijke
levenssfeer (hierna "CPVP"), op de hoogte van het bestaan van de door Freedelity
aangeboden dienst, een innovatieve technologie waarmee men via zijn identiteitskaart
toegang krijgt tot economische voordelen (bijvoorbeeld punten die op een klantenkaart zijn
verzameld). Het artikel in L'Echo presenteerde echter een evolutie van de technologische
dienst in kwestie: "Vandaag gaat het bedrijf uit Nivelles nog een stap verder. Met
Custocentrix lanceert het een cloudplatform waarmee detailhandelaren alle persoonlijke
en gedragsgegevens van hun klanten beter kunnen organiseren en bijhouden".
59. Opgemerkt moet worden dat een evolutie van een technologische dienst die wordt
aangeboden door een particuliere onderneming en waarvoor het gebruik van de Belgische
identiteitskaart vereist is, die een unieke, zeer gevoelige9 en gereglementeerde
identificator bevat (het rijksregisternummer), gevolgen heeft voor de bescherming van
persoonsgegevens in België. Hoewel de leden van het Directiecomité van de GBA op basis
van een eenvoudig krantenartikel niet in staat waren om de reikwijdte van deze
ontwikkeling te begrijpen, noch of de verwerking van het rijksregisternummer bij deze
ontwikkeling betrokken was, hebben zij hun verantwoordelijkheid volledig genomen door
te besluiten deze ontwikkeling te analyseren op basis van artikel 10 van de WOG. Elke
andere interpretatie van dit artikel zou neerkomen op een beperking van deze bevoegdheid
tot opvolging die specifiek aan de leden van het Directiecomité10 van de GBA is toegekend,
en zou deze bevoegdheid van haar betekenis ontdoen. De directeur van het Kenniscentrum
had dan ook alle reden om de voorzitter van het Directiecomité formeel te verzoeken deze
discussie op de agenda van de vergadering van het Directiecomité van 20 augustus 2019
te plaatsen.
8
Het artikel van L'Echo is beschikbaar via de volgende link: https://www.lecho.be/entreprises/technologie/freedelity-
propose-de-mutualiser-la-gestion-des-donnees-clients/10143718.html
9
Zonder echter te worden beschouwd als een bijzondere categorie van persoonsgegevens in de zin van artikel 9 van de AVG.
10
Opgemerkt moet worden dat de leden van het Directiecomité bijzonder gematigd gebruik maken van deze bevoegdheid
tot opvolging die hun wordt toegekend door artikel 10 van de WOG. De bevoegdheid is opgenomen in de nieuwe versie van
de WOG, zoals van toepassing op dossiers die na 01/06/2024 worden geopend.
Beslissing ten gronde 146/2024 –11 /71
60. Onder de in de twee voorgaande punten genoemde voorwaarden heeft elk lid van het
Directiecomité het recht om de voorzitter van het Directiecomité formeel te verzoeken een
discussie over een dergelijke opvolging op de agenda van de vergaderingen van het
Directiecomité te plaatsen. Voor de Geschillenkamer past deze interpellatie in het kader
van de verplichting om de technologische ontwikkelingen op te volgen, die bij de GBA en
dus in de eerste plaats bij de leden van het Directiecomité berust. Een dergelijke opvolging
vereist de mogelijkheid van een interne interpellatie tussen de leden van het Directiecomité
en is dus volkomen gerechtvaardigd.
61. Een lid van het Directiecomité wilde een discussie over de nieuwe dienst van Freedelity
op de agenda zetten, zodat het Directiecomité deze technologische ontwikkeling kon
opvolgen. Deze legitieme interpellatie valt onder artikel 10, § 1, van de WOG en is dus in
overeenstemming met de wet.
II.3.2. Verzending van een brief met een verzoek om informatie aan de verweerder
door de voorzitter van het Algemeen Secretariaat (destijds ook voorzitter van het
Directiecomité)
62. Ten eerste is de verweerder van mening dat het Algemeen Secretariaat, na het besluit van
het Directiecomité om de dienst van Freedelity op te volgen, zijn bevoegdheden heeft
overschreden door een brief met een verzoek om informatie naar de verweerder te sturen
(stuk 2 van het dossier). Hij baseert zich daarbij met name op een rapport van de
Rekenkamer waarin volgens hem kritiek wordt geuit op het feit dat het Algemeen
Secretariaat zich een "rol van filter van dossiers" toekent. Ten tweede voert de verweerder
aan dat het versturen van deze brief met het verzoek om informatie in het Nederlands aan
de verweerder in strijd is met de wet op het taalgebruik in administratieve
aangelegenheden en dat op grond van artikel 58 van de wet van 18 juli 1966 de nietigheid
van deze handeling moet worden vastgesteld en bij uitbreiding die van de hele procedure.
63. Ten eerste wijst de Geschillenkamer erop dat de leden van het Directiecomité tijdens de
vergadering hebben besloten dat er een brief kon worden verzonden op grond van artikel
20, § 1, 1°, van de WOG, na raadpleging van de dossiers die eerder over de verweerder waren
geopend bij de Eerstelijnsdienst ("ELD"). De eerste brief werd opgesteld door het
Algemeen Secretariaat en op 30 augustus 2019 naar de verweerder gestuurd.
64. De voorzitter van de GBA (en dus van het Directiecomité) werd bij de uitvoering van zijn
taken bijgestaan door het Algemeen Secretariaat (artikel 13, § 3, van de WOG). Bovendien
heeft het Algemeen Secretariaat een eigen taak om “toezicht” te houden op
technologische ontwikkelingen die een impact hebben op de bescherming van
persoonsgegevens (artikel 20, § 1, 1°, van de WOG). Deze taak overlapt duidelijk met die van
het Directiecomité, dat de technologische ontwikkelingen die van invloed zijn op de
Beslissing ten gronde 146/2024 –12 /71
bescherming van persoonsgegevens moet "volgen" (artikel 10 van de WOG). De taak van
het Algemeen Secretariaat om “toezicht” 11 te houden op de technologische ontwikkelingen
houdt echter a priori een actievere controle in dan “het volgen"12 van de technologische
ontwikkelingen die tot de taken van het Directiecomité behoort. Bovendien heeft het
Directiecomité geen eigen afdeling en kan het zijn opvolging niet uitvoeren zonder de hulp
van een ander orgaan van de GBA, in dit geval het Algemeen Secretariaat, waarvan de
directeur voorzitter was van het Directiecomité.
65. De Geschillenkamer deelt niet de interpretatie van de verweerder dat het Algemeen
Secretariaat zich in deze zaak bevoegdheden zou hebben aangemeten om "onderzoek" te
doen (een taak die uitsluitend aan de Inspectiedienst toekomt) of "dossiers te filteren". In
deze zaak heeft het Algemeen Secretariaat een tiental neutrale vragen gestuurd over de
werking van de nieuwe dienst van Freedelity, om meer te weten te komen over de werking
ervan. Het Algemeen Secretariaat is namelijk bevoegd om een dergelijk toezicht uit te
oefenen op grond van artikel 20, § 1, 1°, van de WOG, dat in alle opzichten verschilt van de
onderzoeksbevoegdheid die is voorbehouden aan de Inspectiedienst (artikel 28 van de
WOG).
66. De kritiek van de Rekenkamer dat het Algemeen Secretariaat een filterende rol zou spelen
bij de dossiers, is dus niet relevant voor dit dossier, aangezien het dossier in dit geval op
verzoek van een lid van het Directiecomité is geopend en het Directiecomité op 20
augustus 2019 heeft besloten een brief te versturen. Het Algemeen Secretariaat heeft zich
beperkt tot het bijstaan van de voorzitter van het Directiecomité binnen de grenzen van zijn
wettelijke bevoegdheden en heeft het Directiecomité zo in staat gesteld de ontwikkelingen
op het betreffende technologische gebied te volgen.
67. Als het Algemeen Secretariaat wordt verboden om contact op te nemen met de betrokken
actoren over technologische ontwikkelingen om zijn "toezichthoudende" taak volledig te
kunnen uitoefenen, zou betekenen dat de GBA een ander orgaan (bijvoorbeeld de
Inspectiedienst) moet inschakelen om dit toezicht te verzekeren. Deze werkwijze zou
volledig in strijd zijn met de geest van de WOG en met de logica van de interne
bevoegdheidsverdeling tussen de organen van de GBA, zoals hierboven uiteengezet: niet
alleen is in de tekst bepaald dat het Algemeen Secretariaat de technologische
ontwikkelingen volgt, maar het is ook logisch dat het Algemeen Secretariaat het
Directiecomité bijstaat bij de uitvoering van zijn taken, met name omdat artikel 13, § 3, van
11
Volgens het woordenboek van Larousse wordt de primaire betekenis van het woord "suveillance” (toezicht) gedefinieerd
als "action de surveiller, de contrôler quelque chose, quelqu'un” (Het bewaken, controleren van iets of iemand). Zie hiervoor
de online versie die beschikbaar is via de volgende link: https://www.larousse.fr/dictionnaires/francais/surveillance/75897
12
Volgens het woordenboek van Larousse wordt de primaire betekenis van de term "suivi” (opvolging) gedefinieerd als
"ensemble d'opérations consistant à suivre et à contrôler un processus pour parvenir dans les meilleures conditions au
résultat recherché” (een reeks handelingen die bestaan in het volgen en controleren van een proces om onder de beste
omstandigheden het gewenste resultaat te bereiken). Zie hiervoor de onlineversie die beschikbaar is via de volgende link:
https://www.larousse.fr/dictionnaires/francais/suivi/75313
Beslissing ten gronde 146/2024 –13 /71
de WOG bepaalt dat de voorzitter van de GBA – dus de voorzitter van het Directiecomité –
bij de uitvoering van zijn taken wordt bijgestaan door het Algemeen Secretariaat.
Bovendien kon de Inspectiedienst in dit stadium niet worden ingeschakeld, aangezien zijn
inschakeling niet kan voortvloeien uit een verzoek van het Algemeen Secretariaat (artikel
63 van de WOG) en geen enkele procedure rechtvaardigt dat een onderzoek van de
Inspectiedienst wordt gedeeld met het Algemeen Secretariaat, dat uit principe geheim
moet blijven (artikel 28 van de WOG).
68. Om deze redenen is het Algemeen Secretariaat binnen de grenzen van zijn bevoegdheden
gebleven door in het kader van zijn toezichthoudende taak contact op te nemen met
Freedelity om zelf de impact van een technologische ontwikkeling op de
gegevensbescherming te beoordelen, zoals bepaald in artikel 20, § 1, 1°, van de WOG, en
om informatie in te winnen over de technologische ontwikkeling die de nieuwe dienst van
Freedelity inhoudt, een dienst waarvan de impact zeker was vanwege het gevoelige
karakter van de verwerking in kwestie, waarvoor het gebruik van de identiteitskaart vereist
was. Het versturen van een brief met het verzoek om informatie over de verwerking van
persoonsgegevens in het kader van de nieuwe dienst van Freedelity is dan ook een
evenredige maatregel in het kader van de toezichthoudende taak van de algemeen
secretaris en het volgen van technologische ontwikkelingen die onder de bevoegdheid van
het Directiecomité vallen.
69. Ten tweede, wat het taalgebruik betreft, heeft het Marktenhof reeds geoordeeld dat
"Ondanks zijn karakter van de openbare orde, kan een eventuele onwettigheid in verband
met de taal van een beslissing, geen aanleiding geven tot vernietiging indien deze
onwettigheid niet van aard is om, te dezen, een invloed hebben op de richting van de
beslissing, zij de belanghebbende partijen geen waarborg heeft ontzegd of zij niet het
effect heeft gehad om van invloed te zijn op de bevoegdheid van de auteur van het
besluit ."13 In deze zaak werd stuk 2 van het dossier zonder problemen door de verweerder
behandeld en werd het verzonden vóór het onderzoek van de Inspectiedienst.
70. De Geschillenkamer wijst op de chronologie van de feiten:
- Verzending van een brief met een verzoek om informatie in het Nederlands (stuk 2) -
30.08.2019;
- Freedelity vraagt om in het Frans te mogen antwoorden – 10.09.2019;
- GBA stemt ermee in dat het dossier in het Frans wordt behandeld - 20.09.2019;
- Freedelity stuurt zijn antwoorden in het Frans - 09.10.2019
13
Arrest van het Marktenhof van 4 september 2019, 2018/AR/1446.
Beslissing ten gronde 146/2024 –14 /71
- De rest van het dossier wordt volledig in het Frans behandeld.
71. De antwoorden van de verweerder op de brief met het verzoek om informatie in het
Nederlands zijn door de verweerder in het Frans opgesteld, die dus perfect in staat was om
de aan hem gestelde vragen te begrijpen.
72. Overeenkomstig het verzoek van de verweerder is de verdere procedure volledig in het
Frans verlopen. De verweerder is dus op geen enkele wijze procedurele waarborgen
ontzegd die van invloed zouden kunnen zijn op de onderhavige procedure.
73. Bijgevolg is de Geschillenkamer van oordeel dat het verzenden van een brief met een
verzoek om informatie aan de verweerder door de voorzitter van het Algemeen
Secretariaat (destijds tevens voorzitter van het Directiecomité) in overeenstemming is
met de artikelen 10 en 20, § 1, 1°, van de WOG. Het feit dat deze brief in het Nederlands
is opgesteld, doet geen afbreuk aan de procedure, aangezien de rechten van de
verdediging hierdoor niet zijn geschaad.
II.3.3. Verzending van een nota aan het Directiecomité door het Algemeen
Secretariaat (“DIRCO-rapport – Voorafgaande informatiebrief – Freedelity”
74. Ten eerste bekritiseert de verweerder het feit dat het Algemeen Secretariaat op basis van
de antwoorden van de verweerder een nota ("Voorafgaande informatiebrief ") voor het
Directiecomité heeft opgesteld (stuk 6 van het dossier). Hij bekritiseert ook dat in deze nota
gebruik wordt gemaakt van elementen uit de contacten tussen de CBPL en de antwoorden
van Freedelity op de vragen van het Algemeen Secretariaat. Ten tweede beweert de
verweerder dat het stuk met de titel "probe letter" dat bij het besluit van het Directiecomité
van 6 december 2019 is gevoegd, niet in het dossier is opgenomen. Hij voegt daaraan toe
dat het gebruik van de term "probe" wijst op het instellen van verkennende, onrechtmatige,
oneerlijke en willekeurige procedures. Hij concludeert dat de GBA in deze zaak geen
ernstige aanwijzingen had op het moment dat hij contact opnam met Freedelity.
75. Ten eerste merkt de Geschillenkamer op dat naar aanleiding van het antwoord van de
verweerder op de brief met het verzoek om informatie, door het Algemeen Secretariaat
voor het Directiecomité een advies is opgesteld op basis van de gegeven antwoorden (stuk
6 van het dossier). Op basis daarvan heeft het Directiecomité op 6 december 2019 besloten
de Inspectiedienst te verzoeken een onderzoek in te stellen.
76. Zoals eerder vermeld, herinnert de Geschillenkamer eraan dat het Algemeen Secretariaat
een toezichthoudende taak heeft (artikel 20, § 1, 1°, van de WOG). Wanneer deze
toezichthoudende taak voortvloeit uit een verzoek om opvolging van het Directiecomité
(artikel 10 van de WOG), is het logisch dat er op basis van de antwoorden op de gestelde
vragen een document wordt opgesteld, zodat het Directiecomité de continuïteit van zijn
opvolging up kan waarborgen (artikel 10 van de WOG).
Beslissing ten gronde 146/2024 –15 /71
77. Om "de ontwikkelingen op technologisch gebied" (onderstreping toegevoegd) in de zin van
artikel 10 van de WOG te volgen, moet het Directiecomité namelijk rekening houden met
alle informatie die relevant is voor het begrijpen van dergelijke ontwikkelingen. Het
Directiecomité heeft dus terecht de informatie die Freedelity ter beschikking heeft gesteld
tijdens zijn contacten met de CBPL, waarvan de GBA de opvolger is, gecontroleerd en
gebruikt.
78. Het beschikbaar stellen van de voor de opvolging benodigde informatie kan niet door het
Directiecomité zelf worden gedaan, aangezien het, zoals reeds eerder vermeld, niet over
een afdeling beschikt, en moet dus noodzakelijkerwijs door een orgaan van de GBA worden
gedaan. In dit geval was het Algemeen Secretariaat de aangewezen afdeling van de GBA
om dit te doen: het verzoek om informatie was al afkomstig van het Algemeen Secretariaat,
dat logischerwijs de opvolging van zijn brief heeft verzorgd, nog afgezien van het feit dat
dit orgaan krachtens artikel 10 van de WOG belast is met het toezicht op technologische
ontwikkelingen.
79. De Geschillenkamer concludeert dat het Algemeen Secretariaat volkomen gerechtigd was
om een advies voor het Directiecomité op te stellen door de informatie die hem ter
beschikking stond te verzamelen, zodat het Directiecomité kon besluiten om naderhand
een onderzoek in te stellen. Het Directiecomité kon trouwens alleen op basis van de door
het Algemeen Secretariaat verstrekte informatie beoordelen welke verdere stappen in
procedure moesten worden ondernomen. Het Directiecomité is niet gebonden aan enig
advies of enige aanbeveling en is soeverein in zijn beoordeling. In dit geval heeft het
Directiecomité besloten dat de procedure zou worden voortgezet overeenkomstig artikel
63, § 1, van de WOG.
80. Ten tweede is het document met de titel "probe letter", waarvan de verweerder de
rechtmatigheid betwist, wel degelijk stuk 6 van de inventaris dat vanaf het begin van de
zaak deel uitmaakte van het dossier en dat aan de verweerder werd verstrekt toen hij om
een kopie van het dossier vroeg.
81. Bovendien wordt de term "probe", waarop de grief van Freedelity is gebaseerd, slechts één
keer gebruikt door een juridisch adviseur die het advies aan het Directiecomité heeft
geschreven, waarover dit laatste zich op 6 december 2019 heeft uitgesproken. De term
wordt daarna nooit meer gebruikt en de brief heeft officieel als titel ("DIRCO-rapport –
Voorafgaande informatiebrief – Freedelity").
82. In haar interne communicatie gebruikt de GBA afwisselend de termen "monitoring" of
"systeemtoezichtprocedure" met betrekking tot deze brief. Uit het loutere gebruik van
deze termen kan niet worden afgeleid dat de GBA oneerlijk heeft gehandeld. Deze termen
zijn namelijk overgenomen uit de brief van de WOG zelf en zijn hooguit in het Engels
vertaald. De Geschillenkamer erkent hoogstens dat in de interne communicatie
Beslissing ten gronde 146/2024 –16 /71
verschillende termen worden gebruikt om de procedure in kwestie aan te duiden, wat geen
juridische gevolgen heeft voor de procedure.
83. De handelingen van het Algemeen Secretariaat vormen een noodzakelijke stap om het
Directiecomité een volledig dossier te kunnen voorleggen, zodat het een weloverwogen
beslissing kan nemen. De verweerder verwart ten onrechte enerzijds (i) de voorbereidende
handelingen voor de opvolging van een dossier en het besluit van het Directiecomité, en
anderzijds (ii) het onderzoek zelf.
84. De Geschillenkamer bevestigt nogmaals met klem dat een onderzoek alleen door de
Inspectiedienst kan worden uitgevoerd (artikel 28 van de WOG). In tegenstelling tot de
Inspectiedienst hebben noch het Algemeen Secretariaat, noch het Directiecomité de
bevoegdheid om inbreuken of schendingen van de AVG vast te stellen voordat zij hun
vaststellingen aan de Geschillenkamer voorleggen.
85. De verzending door het Algemeen Secretariaat van de betwiste nota ("DIRCO-rapport –
Voorafgaande informatiebrief – Freedelity") aan het Directiecomité heeft rechtmatig
plaatsgevonden op basis van de artikelen 10 en 20, § 1, 1° van de WOG.
II.3.4. Vaststelling van ernstige aanwijzingen door het Directiecomité
86. Ten eerste voert de verweerder aan dat het Algemeen Secretariaat de zaak aan het
Directiecomité heeft voorgelegd onder verwijzing naar artikel 63.1 van de WOG, terwijl het
daarvoor geen ernstige aanwijzingen had en dus op onwettige wijze heeft besloten vragen
te stellen aan de verweerder. Hij is van mening dat het artikel in L'Echo op zich niet
voldoende was om een dossier te openen. Ten tweede voegt hij hieraan toe dat het
Directiecomité in zijn besluit van 6 december 2019 geen ernstige aanwijzingen heeft
vastgesteld, aangezien het slechts het rapport van het Algemeen Secretariaat heeft
overgenomen. Hij verwijst met name naar het arrest van het Marktenhof van 22 februari
202314 om aan te voeren dat de motivering van het Directiecomité ontoereikend is. Ten
derde is de verweerder van mening dat de GBA het gewettigd vertrouwen van de
verweerder heeft geschonden door gebruik te maken van informatie uit dossiers uit 2014
tot 2016, terwijl de voorganger van de GBA, de CBPL, deze dossiers had gesloten.
87. Ten eerste verwijst de Geschillenkamer, wat de bevoegdheid van het Algemeen
Secretariaat betreft, naar deel II.3.3 hierboven, waarin geen onrechtmatigheid wordt
vastgesteld. Bovendien constateert de Geschillenkamer een leesfout van de verweerder.
Het Algemeen Secretariaat heeft het Directiecomité niet bijgestaan op basis van artikel 63,
14
Arrest van het Marktenhof van 22 februari 2023, nr. 2022/AR/253, beschikbaar via de volgende link:
https://gegevensbeschermingsautoriteit.be/publications/arrest-van-22-februari-2023-van-het-marktenhof-ar-953-
beschikbaar-in-het-frans.pdf.
Beslissing ten gronde 146/2024 –17 /71
§ 1, 1°, van de WOG, maar wel op basis van artikel 20, § 1, 1°, van de WOG, zoals duidelijk
blijkt uit de stukken van het dossier.
88. Geschillenkamer herinnert eraan dat het op grond van de aan het Directiecomité
toegekende bevoegdheden aan het Directiecomité is om de Inspectiedienst te verzoeken
een onderzoek in te stellen indien er ernstige aanwijzingen zijn voor het bestaan van
praktijken die aanleiding kunnen geven tot een schending van de fundamentele beginselen
van gegevensbescherming (artikel 63, § 1, van de WOG). Zoals het Marktenhof heeft
herinnerd, gaat het hier om een discretionaire bevoegdheid van de GBA 15 .
89. De elementen die in het rapport aan de orde komen, zijn in overeenstemming met de letter
van de WOG, aangezien het doel van de opvolging of het toezicht juist de impact of de
gevolgen voor de bescherming van persoonsgegevens is, zoals vereist in de artikelen 10 en
20, § 1, 1° van de WOG). De door het Algemeen Secretariaat in aanmerking genomen
elementen waren inderdaad op een dergelijk doel gericht:
a) Artikel 10 van de WOG heeft betrekking op technologische domeinen die een
"weerslag hebben op de bescherming van persoonsgegevens"
b) Artikel 20, § 1, 1° van de WOG vereist toezicht op technologische ontwikkelingen
die een "impact hebben op de bescherming van persoonsgegevens"
90. Een rapport over een technologie die een weerslag of een impact heeft op de bescherming
van persoonsgegevens, kan ernstige aanwijzingen bevatten voor het bestaan van een
praktijk die aanleiding kan geven tot een inbreuk op de fundamentele beginselen van de
bescherming van persoonsgegevens (artikel 63.1 van de WOG).
91. Ten tweede merkt de Geschillenkamer met betrekking tot verwijzing naar een referentie
op dat de Raad van State verwijzing naar een referentie als motivering aanvaardt, op
voorwaarde dat het document waarnaar wordt verwezen deel uitmaakt van het dossier 16 .
Dat is in dit geval zo, aangezien stuk nummer 6, dat het advies van het Algemeen
Secretariaat bevat ("DIRCO-rapport – Voorafgaande informatiebrief – Freedelity"), als
bijlage bij het besluit van het Directiecomité is gevoegd en altijd deel heeft uitgemaakt van
het dossier. Het besluit van het Directiecomité luidt als volgt:
" De vaststellingen in bijlage gevoegd bevatten aanwijzingen betreffende niet conform
handelen inzake de volgende principes: het verkrijgen van de toestemming, profilering en
15
Arrest van het Marktenhof van 22 februari 2023, nr. 2023/1527, blz. 40, beschikbaar via de volgende link:
https://gegevensbeschermingsautoriteit.be/publications/arrest-van-22-februari-2023-van-het-marktenhof-ar-953-
beschikbaar-in-het-frans.pdf.
16
Arrest van de Raad van State van 7 mei 2013, nr. 223.44.
Beslissing ten gronde 146/2024 –18 /71
delen van gegevens, gegevensminimalisatie, bewaartermijn en ontvangers van de
gegevens."17
92. Het Directiecomité motiveert zijn beslissing dan ook door te verwijzen naar de nota die het
heeft ontvangen en baseert zich daarop om ernstige aanwijzingen voor schendingen van
de volgende beginselen vast te stellen:
- het verkrijgen van toestemming,
- profilering en het delen van gegevens,
- minimale gegevensverwerking,
- de bewaartermijn,
- en de ontvangers van de gegevens.
93. Ten derde, wat betreft het argument van de verweerder dat het raadplegen en gebruiken
van de informatie in de dossiers die waren geopend bij de CBPL, de voorganger van de GBA,
in strijd zou zijn met het beginsel van gewettigd vertrouwen, herinnert de Geschillenkamer
eraan dat zij, zoals elke overheidsinstantie, onderworpen is aan de zorgvuldigheidsplicht die
haar verplicht om "een grondig onderzoek naar de feiten te verrichten, de voor de
besluitvorming noodzakelijke informatie te verzamelen en rekening te houden met alle
elementen van het dossier om een weloverwogen beslissing te nemen, na alle elementen
die voor de oplossing van het specifieke geval relevant zijn, op redelijke wijze te hebben
beoordeeld"18 (vrije vertaling).
94. Deze zorgvuldigheidsplicht houdt in dat de GBA, wanneer zij een beslissing wil nemen die
een burger betreft, moet nagaan of en in hoeverre er al dossiers tegen diezelfde burger zijn
geopend. Dit onderzoek is ook noodzakelijk om ervoor te zorgen dat het beginsel non bis in
idem wordt nageleefd. De Geschillenkamer is dan ook van oordeel dat het Algemeen
Secretariaat volkomen bevoegd was om alle dossiers betreffende de verweerder, met
inbegrip van de afgesloten dossiers, te raadplegen, zodat het Directiecomité een
weloverwogen beslissing kon nemen.
95. De Geschillenkamer herinnert eraan dat volgens de Raad van State het beginsel van
gewettigd vertrouwen "betekent dat de burger moet kunnen rekenen op een duidelijk en
welomschreven gedragslijn van de overheid of, in principe, op beloften die de overheid hem
in een concreet geval zou hebben gedaan. De schending van het algemene beginsel van
gewettigd vertrouwen veronderstelt drie voorwaarden, namelijk een fout van de overheid,
een door deze fout op wettige wijze gewekte verwachting en het ontbreken van een reden
om op de erkenning terug te komen. Dit beginsel kan niet worden ingeroepen op basis van
17
Uittreksel uit het proces-verbaal van het Directiecomité van 6 december 2019. Stuk 7 van het dossier.
18
Arrest van de Raad van State van 6 december 2021, nr. 252.324, blz. 13.
Beslissing ten gronde 146/2024 –19 /71
handelingen van een andere autoriteit dan die welke de betwiste handeling heeft
vastgesteld."19 (vrije vertaling)
96. De Geschillenkamer stelt vast dat het Algemeen Secretariaat in zijn analyse 20 vijf
aanwijzingen voor non-conformiteit heeft vastgesteld. Twee van deze aanwijzingen
(aanwijzingen 3 en 5) zijn uitsluitend gebaseerd op de antwoorden die de verweerder in zijn
brief van 9 oktober 2019 heeft gegeven. Deze aanwijzingen zijn op geen enkele wijze
gebaseerd op elementen uit oudere dossiers. De drie andere aanwijzingen voor non-
conformiteit zijn gebaseerd op een vergelijking tussen de elementen in een brief van de
verweerder aan de CBPL van 26 november 2015 en het antwoord van 9 oktober 2019. Het
Algemeen Secretariaat heeft in zijn drie instanties een verandering in de praktijk van de
verweerder geconstateerd die volgens hem een inbreuk op de beginselen van de
bescherming van persoonsgegevens zou kunnen vormen. Het Algemeen Secretariaat
moest deze controle uitvoeren om het Directiecomité in staat te stellen de "ontwikkelingen
te volgen", zoals hierboven uiteengezet, en te beslissen de Inspectiedienst in te schakelen.
97. In zijn analyse stelt het Algemeen Secretariaat dat de bewaartermijn van de gegevens door
de verweerder tussen 2015 en 2019 zou zijn verlengd van 5 tot 8 jaar. Het schrijft ook dat
de verweerder voortaan profilering zou uitvoeren op basis van de verzamelde gegevens,
wat hij eerder had aangegeven niet te doen.
98. Volgens de Geschillenkamer blijkt uit de analyse van het Algemeen Secretariaat geen
verandering in het standpunt van de GBA, noch een onjuiste interpretatie van haar kant.
Deze analyse heeft dan ook geen invloed op de procedure. Uit de analyse van de Kamer
blijkt namelijk dat wanneer het Algemeen Secretariaat informatie uit vroegere dossiers
gebruikt, dit is om deze te vergelijken met de huidige praktijken die de verweerder hem
heeft meegedeeld. Deze vergelijking heeft het Directiecomité in staat gesteld om de
opvolging ervan te verzekeren (artikel 10 van de WOG).
99. Voor de Geschillenkamer betekent het beginsel van gewettigd vertrouwen, zelfs indien de
CBPL de betrokken verwerkingen door de verweerder had toegestaan, quod non, niet dat
de overheid bij nieuwe feiten en ontwikkelingen in de praktijk een gedragslijn moet blijven
volgen die zij in het verleden heeft uitgedragen op basis van feiten die aanzienlijk
verschilden. De verweerder beroept zich dus ten onrechte op een schending van het
beginsel van gewettigd vertrouwen.
100. Gelet op het bovenstaande concludeert de Geschillenkamer dat het besluit van het
Directiecomité in overeenstemming is met het bepaalde in artikel 63.1 van de WOG.
19
Arrest van de Raad van State van 8 mei 2024, nr. 259.704.
20
Stuk 6 van het dossier.
Beslissing ten gronde 146/2024 –20 /71
II.3.5. Inschakeling van de Inspectiedienst door het Directiecomité (geldigheid van het
proces-verbaal)
101. Ten eerste legt de verweerder uit dat uit de versies van het proces-verbaal die hem zijn
toegezonden, niet kan worden afgeleid of de voorzitter van de Geschillenkamer, die zich bij
de stemming van het Directiecomité over dit punt van stemming heeft onthouden, aan de
discussie heeft deelgenomen. Bovendien is zij van mening dat niet is aangetoond dat de
meerderheid van de leden van het Directiecomité aanwezig was, noch dat een meerderheid
van de leden vóór heeft gestemd overeenkomstig artikel 3 van het ROI. Ten slotte is de
verweerder van mening dat er twijfel bestaat of er een proces-verbaal van het besluit van
het Directiecomité is opgesteld en ondertekend door de voorzitter van het Directiecomité,
hetgeen een schending van artikel 16 van de WOG zou vormen.
102. Ten tweede voert de verweerder ook aan dat dit besluit in het Nederlands is genomen en
daarmee in strijd is met de wet op het taalgebruik in administratieve aangelegenheden,
aangezien de verweerder in een Franstalig gebied is gevestigd.
103. Ten eerste herinnert de Geschillenkamer eraan dat de processen-verbaal van het
Directiecomité tal van onderwerpen behandelen, waaronder strategische beslissingen van
de GBA, en dat zij persoonsgegevens bevatten. Overeenkomstig het beginsel van minimale
gegevensverwerking (artikel 5.1.c) van de AVG) en het beginsel van vertrouwelijkheid dat
van toepassing is op de leden van het Directiecomité (art. 48 WOG), stuurt de
Geschillenkamer processen-verbaal van het Directiecomité niet in hun geheel door aan de
bij een procedure betrokken partijen, maar alleen een uittreksel van dat proces-verbaal,
zodat de partijen bij een procedure kunnen beoordelen of deze voor hen relevant is.
104. De verweerder beschikte vanaf het begin van de procedure ten gronde over een uittreksel
van het proces-verbaal van het Directiecomité betreffende de activering van artikel 63.1°
tegen hem. Op zijn verzoek werd hem op 2 mei 2023 een uitgebreider uittreksel verstrekt.
Een volledige versie van het proces-verbaal werd hem op 18 juli 2023 door de voorzitter
van de GBA verstrekt.
105. De verweerder heeft in het proces-verbaal kunnen vaststellen dat ten eerste alle leden van
het Directiecomité aanwezig waren tijdens de vergadering van het Directiecomité, maar
dat de voorzitter van de Geschillenkamer zich voor dit agendapunt heeft onthouden, ten
tweede dat er geen bezwaar van een van de leden van het Directiecomité is genoteerd, ten
derde dat het proces-verbaal wel degelijk door de voorzitter van het Directiecomité was
ondertekend, en ten vierde dat het Directiecomité had besloten de Inspectiedienst in te
schakelen op grond van artikel 63.1° van de WOG. Aan de voorwaarden van de artikelen 15
en 16 van de WOG is dus voldaan. Het argument van de verweerder om het bestaan van
een proces-verbaal en de naleving van de vormvereisten ervan te betwisten, is dus niet
gegrond.
Beslissing ten gronde 146/2024 –21 /71
106. Wat betreft de grief betreffende de partijdigheid van de leden, verwijst de
Geschillenkamer naar haar onderzoek in deel II.4.1 hieronder.
107. Bijgevolg kunnen noch de geldigheid van het proces-verbaal van het Directiecomité, noch
de deelname van de directeurs in twijfel worden getrokken. De procedure voldeed aan de
rechtmatige vereisten en er werd geen bewijs van partijdigheid geleverd.
108. Ten tweede heeft het Marktenhof in een arrest van 7 juli 202121 eraan herinnerd dat de GBA
moet worden beschouwd als een centrale dienst in de zin van de wet op het gebruik van de
talen in bestuurszaken en dat zij als zodanig de artikelen 40 en volgende van deze wet moet
naleven.
109. Het besluit van het Directiecomité om de Inspectiedienst in te schakelen is echter geen
communicatie met particulieren in de zin van artikel 41 van de wet op het gebruik van de
talen in bestuurszaken, maar een interne communicatie; het gebruik van het Frans door het
Directiecomité was dus niet vereist.
110. De verwijzing naar de Inspectiedienst door het proces-verbaal van het Directiecomité is
dus geldig en voldoet aan de voorschriften van de artikelen 15 en 16 van de WOG, en
artikel 3 van het RIO.
II.3.6. Procedure voor de Inspectiedienst
111. De verweerder voert aan dat het door de GBA gebruikte dossiernummer hetzelfde is als
dat in de eerste brief van het Algemeen Secretariaat, wat erop wijst dat er binnen de GBA
een vaste procedure voor "voorinspecties" bestond. Hij voegt hieraan toe dat de
Inspectiedienst de correspondentie tussen het Algemeen Secretariaat en Freedelity heeft
overgenomen onder de noemer "Toezicht door het Algemeen Secretariaat". De
verweerder is bovendien van mening dat er geen bewijs is dat een inspecteur die aan het
dossier heeft gewerkt ("betrokken inspecteur") de eed heeft afgelegd, terwijl deze laatste
aan het onderzoek heeft meegewerkt.
112. De Geschillenkamer merkt op dat de verweerder geen conclusies trekt uit de eerste twee
genoemde argumenten met betrekking tot de referentie en de titel van het dossier. Voor
zover nodig verwijst zij in dit verband naar de eerdere uiteenzettingen over dit punt (zie punt
822 ).
113. Wat betreft de eedaflegging heeft de Geschillenkamer op verzoek van de verweerder hem
op 2 mei 2023 een document verstrekt met als onderwerp "aanwijzing van inspecteurs van
de Inspectiedienst". Dit document, ondertekend door de inspecteur-generaal en de
21
Arrest van het Marktenhof van 7 juli 2021, nr. 2021/AR/320, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-7-juli-2021-van-het-marktenhof-ar-320.pdf.
Beslissing ten gronde 146/2024 –22 /71
directeur van het Algemeen Secretariaat, is gedateerd op 25 juni 2019. Het vermeldt dat
"alleen de namen van de onderstaande functionarissen van de
gegevensbeschermingsautoriteit die op 19 november 2018 de eed hebben afgelegd, de
hoedanigheid van inspecteur van de Inspectiedienst behouden". " Daarna volgt een lijst van
functionarissen waarvan de namen om privacyredenen door de Geschillenkamer zijn
weggelaten, met uitzondering van de naam van de betrokken inspecteur die in de lijst
voorkomt.
114. Voor de Geschillenkamer blijkt uit dit document dat de betrokken inspecteur op 19
november 2018 de eed heeft afgelegd en dat de GBA op 25 juni 2019 van mening was dat
hij de hoedanigheid van inspecteur van de Inspectiedienst behield. Op de datum waarop het
Directiecomité de zaak op 6 december 2019 aan de Inspectiedienst voorlegde, had de
betrokken inspecteur wel degelijk de eed afgelegd en was hij nog steeds inspecteur.
115. De Geschillenkamer herinnert er ook aan dat dit soort verzoeken op geen enkele wettelijke
basis berust. De wet bepaalt namelijk dat inspecteurs de eed afleggen (artikel 30, § 1, van
de WOG), wat als een vaststaand feit moet worden beschouwd, behalve in geval van
ernstige twijfel, waarvan het bewijs door de verweerder moet worden geleverd. De
verweerder kan zich dus op geen enkele wettelijke basis beroepen om de overdracht van
deze documenten te eisen.
116. De Geschillenkamer concludeert dat de procedure voor de Inspectiedienst niet ongeldig
is.
II.3.7. Inschakeling van de Geschillenkamer door de Inspectiedienst
117. De verweerder voert aan dat de Geschillenkamer niet geldig kon worden ingeschakeld,
aangezien de Inspectiedienst zelf niet geldig was ingeschakeld.
118. De Geschillenkamer heeft geen onregelmatigheid vastgesteld in de aanhangigmaking
door de Inspectiedienst. Bijgevolg acht zij zich rechtmatig ingeschakeld op grond van
artikel 92.3° van de WOG.
119. De zaak is op grond van artikel 92.3° van de WOG op rechtmatige wijze aanhangig
gemaakt bij de Geschillenkamer.
II.4. Procedure: eerbiediging van de rechten van de verdediging
II.4.1. Onpartijdigheid van de leden van het Directiecomité en van het Comité zelf
120. Er moet een onderscheid worden gemaakt tussen de door de verweerder geuite grieven
die betrekking hebben op de leden van het Directiecomité en die welke betrekking hebben
op het Directiecomité zelf.
II.4.1.1. De voorzitter van de Geschillenkamer
Beslissing ten gronde 146/2024 –23 /71
Standpunt van de verweerder
121. Inleidend, en zoals uiteengezet in deel II.2 , verzoekt de verweerder de voorzitter van de
Geschillenkamer zich terug te trekken vanwege de gerechtvaardigde twijfel die zou
bestaan over zijn onpartijdigheid. Bij gebrek aan een specifieke procedure die is vastgelegd
in de WOG, stelt de verweerder dat artikel 828, 1° van het Gerechtelijk Wetboek naar
analogie van toepassing zou moeten zijn.
122. Volgens de verweerder maakt de mogelijkheid om de wraking van een rechter te vragen
integraal deel uit van artikel 6 van het Europees Verdrag voor de Rechten van de Mens en
artikel 47 van het Handvest van de grondrechten van de Europese Unie. Dezelfde
waarborgen van onafhankelijkheid en onpartijdigheid zouden voortvloeien uit artikel 52 van
de AVG, dat in Belgisch recht is omgezet door artikel 36 van de WOG.
123. Indien de Geschillenkamer van oordeel is dat het ontbreken van een uitdrukkelijke bepaling
in de wet betekent dat wraking niet mogelijk is, verzoekt de verweerder om een prejudiciële
vraag te stellen aan het Grondwettelijk Hof.
124. Hij is van mening dat deze partijdigheid of schijn van partijdigheid voortvloeit uit de
volgende elementen:
a) Ten eerste heeft de voorzitter van de Geschillenkamer kennisgenomen van
verschillende documenten betreffende Freedelity die hebben geleid tot het besluit
van het Directiecomité van 6 december 2019, en ondanks zijn wraking tijdens de
behandeling van dit punt, is het onmogelijk te weten wat zijn rol was tijdens deze
vergadering.
b) Ten tweede zou de voorzitter van het Algemeen Secretariaat uit zijn functie zijn
ontheven, met name vanwege "voorinspecties" zoals die in deze zaak zijn
uitgevoerd. De voorzitter van de Geschillenkamer heeft echter voor de Commissie
Justitie getuigd naar aanleiding van de opheffing van het mandaat van de voorzitter
van de GBA voor de Kamer van volksvertegenwoordigers en is bovendien
tussenbeide gekomen in de hoogdringende vordering tot opschorting die de
voorzitter van de GBA voor de Raad van State heeft ingesteld tegen het besluit tot
opheffing van het mandaat. Hij heeft zelf een vordering tot opschorting van het
besluit tot opheffing van het mandaat ingesteld bij de Raad van State. Volgens de
verweerder verdedigt de voorzitter van de Geschillenkamer het gedrag van de
voorzitter van de GBA, dat aanleiding zou hebben gegeven tot de opheffing van zijn
mandaat.
c) Ten derde kon de voorzitter van de Geschillenkamer het verzoek van de
verweerder om toegang te krijgen tot het besluit tot opheffing van het mandaat van
Beslissing ten gronde 146/2024 –24 /71
de voorzitter van de GBA niet weigeren op grond dat hij niet over dit document
beschikte, aangezien hij in verschillende procedures voor de Raad van State over
dit besluit was opgetreden en er dus noodzakelijkerwijs toegang toe had.
d) Ten vierde heeft de voorzitter van de Geschillenkamer geweigerd bepaalde door
de verweerder gevraagde documenten te verstrekken en heeft hij een standpunt
ingenomen over de bevoegdheid van de CTB met betrekking tot verzoeken om
toegang tot documenten die in het bezit zijn van de GBA.
e) Ten vijfde is de verweerder ook van mening dat het feit dat men schuldeiser is, een
reden voor wraking is, wat in dit geval zou gelden voor de voorzitter van de
Geschillenkamer, aangezien de voorzitter in het kader van de door Freedelity voor
het Marktenhof ingestelde wrakingsprocedure een rechtsplegingsvergoeding
heeft gevraagd en gekregen, waarvan hij in feite nog geen betaling heeft geëist.
Onderzoek door de Geschillenkamer
125. Vooreerst betwist de Geschillenkamer niet dat het beginsel van onpartijdigheid van
toepassing is op administratieve autoriteiten. Er moet echter worden benadrukt dat het
beginsel van onpartijdigheid "verenigbaar moet zijn met de structuur van het actieve
bestuur"22, zoals hieronder zal worden beschreven in de punt 127 .
126. De Geschillenkamer van de GBA wordt voorgezeten door de heer Hijmans. Voor de goede
werking van de Geschillenkamer en de GBA is het noodzakelijk dat de voorzitter
beschikbaar is en kan zetelen bij beslissingen ten gronde (artikelen 33, § 1, en 92 tot en met
107 van de WOG), alsmede in het Directiecomité, zoals blijkt uit de dubbele bevoegdheid
van de directeurs van de organen van de GBA, vastgelegd in artikel 12 van de WOG.
127. Volgens de vaste rechtspraak van de Raad van State:
"moet het algemene beginsel van onpartijdigheid worden toegepast op elk orgaan van het
actieve bestuur. Het volstaat dat een schijn van partijdigheid bij de verzoeker een
gerechtvaardigde twijfel heeft doen rijzen over het vermogen om zijn zaak in alle
onpartijdigheid te behandelen. Dit beginsel is echter alleen van toepassing voor zover het
verenigbaar is met de specifieke aard en met name met de structuur van het actieve
bestuur. Bovendien kan de onpartijdigheid van een collegiaal orgaan alleen in twijfel worden
getrokken indien, enerzijds, specifieke feiten die een vermoeden van partijdigheid doen
rijzen ten aanzien van een of meer leden van dat college rechtmatig kunnen worden
vastgesteld en, anderzijds, uit de omstandigheden blijkt dat de partijdigheid van dat lid of
die leden het hele college heeft kunnen beïnvloeden. Het is aan degene die beweert dat de
22
RvS., 25 april 2023, 256.341, Di Livio.
Beslissing ten gronde 146/2024 –25 /71
autoriteit niet onafhankelijk, onpartijdig en nauwgezet heeft gehandeld, om dit te
bewijzen"23 .
128. Het is dus aan de partij die zich beroept op schending van het beginsel van onpartijdigheid
om aan te tonen dat er specifieke feiten zijn waaruit kan worden geconcludeerd dat het
beginsel van onpartijdigheid is geschonden. Indien de feiten betrekking hebben op een lid
van een collegiaal orgaan, dient de partij die zich op de schending van het beginsel van
onpartijdigheid beroept, aan te tonen dat de door haar aangevoerde feiten niet alleen de
onpartijdigheid van de dader, maar ook die van ten minste een meerderheid van de leden
van het betrokken collegiale orgaan hebben kunnen beïnvloeden 24 .
- De partijdigheid van de voorzitter van de Geschillenkamer als lid van het Directiecomité
of van de Geschillenkamer, die uit drie leden bestaat.
129. Ten eerste heeft de kritiek betrekking op het feit dat de voorzitter van de Geschillenkamer
vóór de vergadering van het Directiecomité van 6 december 2019 documenten over de
verweerder zou hebben ontvangen. De verweerder toont niet aan waarom het ontvangen
van deze documenten zou wijzen op partijdigheid van de voorzitter van de Geschillenkamer,
temeer daar deze op geen enkel moment op deze documenten heeft gereageerd en zich
tijdens de bespreking van dit punt heeft onthouden, zoals blijkt uit het proces-verbaal van
de vergadering. Evenmin is aangetoond hoe deze partijdigheid, indien bewezen, de andere
leden van het Directiecomité zou hebben kunnen beïnvloeden.
130. Ten tweede is de Geschillenkamer van oordeel dat de onpartijdigheid van de voorzitter van
de Geschillenkamer evenmin in twijfel kan worden getrokken door het feit dat hij in eigen
naam beroep heeft ingesteld tegen het besluit tot opheffing van het mandaat van de
voorzitter van de GBA, aangezien dit beroep werd ingesteld omdat hij van mening was dat
dit besluit een risico vormde voor zijn persoonlijke onafhankelijkheid als voorzitter van de
Geschillenkamer25. Bovendien heeft de voorzitter van de GBA in deze zaak geen
"voorinspecties" uitgevoerd (zie deel II.3.2 van de beslissing) en voert de verweerder
argumenten aan zonder bewijs voor zijn beweringen, noch een verklaring waardoor de
Geschillenkamer zijn redenering zou kunnen volgen.
- De partijdigheid van de voorzitter van de Geschillenkamer die alleen zitting houdt
131. Ten derde is het feit dat de voorzitter van de Geschillenkamer aan de verweerder heeft
geantwoord dat de GBA niet beschikt over het besluit tot opheffing van het mandaat van
de voorzitter van de GBA een feitelijke opmerking die geen blijk geeft van partijdigheid.
23
RvS, 30 november 2022, 255.145, Lemaire en Loslever; zie ook RvS, 19 januari 2022, 252.684, XXX.
24
Zie met name het Marktenhof, 7 december 2022, 2022/AR/556, beschikbaar via de volgende link:
https://www.autoriteprotectiondonnees.be/publications/arret-du-7-decembre-2022-de-het-Marktenhof-ar-556.pdf.
25
C.E. nr. 256.827 van 19 juni 2023, § 8.
Beslissing ten gronde 146/2024 –26 /71
Deze bewering werd overigens bevestigd door de voorzitter van de GBA in haar brief van
18 juli 2023.
132. Het feit dat de voorzitter van de Geschillenkamer kennis zou kunnen hebben genomen van
dit document is niet relevant, aangezien dit plaatsvond in het kader van zijn
privéactiviteiten, aangezien hij voor de Raad van State optrad "op eigen titel, zonder
daartoe te zijn gemachtigd door de Gegevensbeschermingsautoriteit"26. Er kan
redelijkerwijs niet worden gesteld dat het verzoek om toegang tot documenten dat de
verweerder bij de GBA heeft ingediend, ook betrekking heeft op documenten die de
directeurs buiten hun f unctie bij de GBA om in hun bezit zouden kunnen hebben.
133. De Geschillenkamer wijst er bovendien op dat de toegang tot dit document ook door de
Kamer van volksvertegenwoordigers is geweigerd toen de verweerder om toegang had
verzocht. In haar beschikking van 12 februari 2024 heeft de Kamer van kort geding van de
rechtbank van eerste aanleg het verzoek van de verweerder om overlegging van dit
document eveneens afgewezen.
134. Ten vierde betekent het feit dat de voorzitter van de Geschillenkamer toegang heeft
verleend tot bepaalde documenten en niet tot andere documenten waarom de verzoeker
had gevraagd niet dat hij daardoor onpartijdig is geweest. De voorzitter van de
Geschillenkamer moet in het kader van de organisatie van de procedure een aantal
handelingen verrichten die hij legitiem acht en die geen afbreuk doen aan zijn persoonlijke
beoordeling van de zaak ten gronde.
135. Overigens wordt de partijdigheid van de voorzitter van de Geschillenkamer evenmin
aangetoond door het antwoord op het verzoek om overlegging van documenten dat door
de verweerder is gedaan op grond van de wet van 11 april 1994 betreffende de
openbaarheid van bestuur. In haar antwoord geeft de Geschillenkamer namelijk aan dat de
GBA zich momenteel niet onderworpen acht aan de wet van 11 april 1994 betreffende de
openbaarheid van bestuur. Dit standpunt bewijst niet de partijdigheid van de voorzitter van
de Geschillenkamer, aangezien het het standpunt is van het Directiecomité in zijn geheel
en de CTB zelf dit standpunt in het verleden deelde 27 .
136. In dit verband leert de rechtspraak van het Europees Hof voor de Rechten van de Mens dat
er geen sprake is van een probleem in verband met een gebrek aan rechterlijke
onpartijdigheid wanneer de rechter in andere stadia van de procedure reeds formele en
procedurele beslissingen heeft genomen28. Dit probleem kan zich daarentegen wel
26
RvS van 17 augustus 2022, nr. 254.326.
27
Zie met name CTB, advies 2018-14, beschikbaar op:
https://www.ibz.rrn.fgov.be/fileadmin/user upload/fr/com/publicite/avis/2018/ADVIES-2018-14.pdf
28
Europees Hof voor de Rechten van de Mens (EHRM), zaak George-Laviniu Ghiurău tegen Roemenië, 16/06/2020,
verzoekschrift nr. 15549/16, § 67.
Beslissing ten gronde 146/2024 –27 /71
voordoen wanneer de rechter zich in andere stadia van de procedure al heeft uitgesproken
over de schuld van de verdachte29 .
137. In het onderhavige geval houdt hetgeen de voorzitter van de Geschillenkamer wordt
verweten echter geen enkel standpunt in van diens kant over de grond van de zaak en, in
het bijzonder, over het gedrag of de verantwoordelijkheid van de verzoeker.
138. Deze uitspraak van het Europees Hof voor de Rechten van de Mens heeft betrekking op
rechters; zij geldt des te meer voor leden van een bestuurscollege.
139. Ten vijfde handelt de voorzitter van de Geschillenkamer in deze zaak niet op persoonlijke
titel. De procedurevergoeding waarvan sprake werd aangevraagd in het kader van de
uitoefening van zijn functie binnen de GBA, dat wil zeggen als voorzitter van de
Geschillenkamer. Hij heeft geen persoonlijk of financieel belang bij deze vordering.
140. Het gebrek aan onpartijdigheid van de voorzitter van de Geschillenkamer is dan ook niet
aangetoond. Er is geen geldige reden om hem van deze zaak te ontheffen.
II.4.1.2. De directeur van het Kenniscentrum
141. De verweerder voert aan dat de toenmalige directeur van het Kenniscentrum in het kader
van haar vorige functie met Freedelity zou hebben samengewerkt en hun juridische model
zou hebben gevalideerd. De verweerder is van mening dat deze overeenkomsten onder het
beroepsgeheim, het bedrijfsgeheim en geheimhoudingsovereenkomsten vielen en dat
deze informatie werd gedeeld met de GBA, die zich medeplichtig zou hebben gemaakt aan
de schending van deze vertrouwelijkheid.
142. De Geschillenkamer herinnert eraan dat de leden van het Directiecomité gebonden zijn aan
het beginsel van onpartijdigheid (artikel 43 van de WOG), dat hen verbiedt aanwezig te zijn
bij beraadslagingen of beslissingen over dossiers waarin zij een persoonlijk en rechtstreeks
belang hebben. Volgens de doctrine: "Het persoonlijk en rechtstreeks belang kan van
morele aard zijn, onder andere wanneer een of meer leden van de beslissende overheid
eerder al een duidelijk standpunt hebben ingenomen of een eigen mening hebben gevormd
en niet zonder gezichtsverlies daarop zouden kunnen terugkomen."30
143. Dit beginsel houdt in dat geen enkel lid van het Directiecomité een persoonlijk belang mag
hebben bij een bepaalde beslissing (nemo iudex in causa sua). Met name het feit dat het
moreel onmogelijk is om een eerder standpunt te herzien, houdt het risico in dat leden van
29
Gómez de Liaño y Botella tegen Spanje, 22/07/2008, verzoekschrift nr. 21369/04, § 67-72. Zie ook EHRM, Gids over
artikel 6 van het Europees Verdrag voor de Rechten van de Mens, Recht op een eerlijk proces – strafrechtelijk aspect,
https://www.echr.coe.int/documents/guide art 6 criminal fra.pdf.
30
Wolters Kluwer – Tijdschrift voor Bestuurswetenschappen en Publiekrecht, “Partijdigheid en belangenconflicten bij het
actief bestuur: de sluipweg van het gelijkheidsbeginsel”, Lise Van den Eynde, 2024, punt 4. “De meest klassieke en wellicht
bekendste categorie is de persoonlijke of subjectieve onpartijdigheid. Het komt erop neer dat iemand met een persoonlijk
en rechtstreeks belang zich moet onthouden van deelname aan het besluitvormingsproces.”
Beslissing ten gronde 146/2024 –28 /71
de administratie die hun mening al (in het openbaar) hebben geuit, de zaak niet meer
volledig objectief kunnen beoordelen31 . Bovendien merkt de Geschillenkamer op dat de
verweerder niet aantoont waarom de situatie voldoet aan de definitie van een
belangenconflict zoals bedoeld in artikel 58 van het RIO.
144. In dit geval heeft de directeur van het Kenniscentrum nooit bij Freedelity gewerkt en
bevond zij zich dus niet in een situatie waarin uit haar vorige functie een persoonlijk en
direct belang bij Freedelity of een belangenconflict kon worden afgeleid. Het feit dat de
directeur van het Kenniscentrum het juridische model van Freedelity kende en dit in het
verleden heeft "goedgekeurd", bewijst niet dat zij een persoonlijk en direct belang had bij
de beslissingen van het Directiecomité op basis van de artikelen 10 en 63.1° van de WOG.
De directeur van het Kenniscentrum heeft nooit in het openbaar een negatieve mening
over Freedelity geuit. Hoogstens heeft de directeur van het Kenniscentrum in het kader van
haar vroegere functies in het verleden een positieve mening over Freedelity geuit. Als de
directeur van het Kenniscentrum daadwerkelijk gebruik had gemaakt van informatie die zij
in het kader van haar vroegere functies had verzameld, had zij alleen maar tot de conclusie
kunnen komen dat de dienst van Freedelity geldig was.
145. Bovendien is er, in tegenstelling tot wat Freedelity beweert, geen bewijs in het dossier dat
de directeur van het Kenniscentrum vertrouwelijke informatie heeft gebruikt of gedeeld
met de GBA. De enige vermelding waarop Freedelity zich baseert, is de volgende:
"Toen ik een jaar geleden het aanbod van Freedelity analyseerde, bleek het in meerdere
opzichten een duidelijke schending van de privacywetgeving te zijn."32
146. Er is geen andere zin of informatie van de directeur van het Kenniscentrum te vinden in de
daaropvolgende correspondentie, adviezen en stukken in het dossier. De Geschillenkamer
kan dan ook niet concluderen dat het om vertrouwelijke informatie ging die door de
verweerder werd aangehaald, en de hele procedure is uitsluitend gebaseerd op informatie
die op legitieme wijze door de GBA is verzameld.
147. De Geschillenkamer concludeert dat de directeur van het Kenniscentrum het beginsel
van onpartijdigheid dat van toepassing is op de leden van het Directiecomité (artikel 43
van de WOG) niet heeft geschonden.
II.4.1.3. De directeur van het Algemeen Secretariaat (voorzitter van het
Directiecomité)
148. Ten eerste verwijt de verweerder de GBA ook dat zij hem het besluit tot opheffing van het
mandaat van de voorzitter van de GBA niet heeft meegedeeld. Ten tweede stelt de
31
Zie supra.
32
E-mail van de voorzitter van het Kenniscentrum van 2 augustus 2019.
Beslissing ten gronde 146/2024 –29 /71
verweerder dat de directeur van het Algemeen Secretariaat bevooroordeeld was omdat hij
het initiatief had genomen tot het verzoek om inlichtingen aan de verweerder. Ten derde
voert de verweerder aan dat de procedure die het Directiecomité in deze zaak heeft
gevolgd, de oorzaak zou zijn van de opheffing van zijn mandaat. Hij baseert zich daarbij op
persartikelen en arresten van de Raad van State in zaken betreffende het besluit tot
opheffing van het mandaat.
149. Ten eerste blijft de Geschillenkamer erbij dat de GBA niet beschikt over het besluit tot
opheffing van het mandaat van haar voormalige voorzitter.
150. Ten tweede herinnert de Geschillenkamer eraan dat situaties van partijdigheid niet kunnen
voortvloeien uit de normale toepassing van de wet 33 . De wet bepaalt echter dat de
directeur van het Algemeen Secretariaat het voorzitterschap van het Directiecomité kan
bekleden (artikel 13, § 2, van de WOG) en dat de voorzitter van het Directiecomité bij de
uitvoering van zijn taken wordt bijgestaan door het Algemeen Secretariaat (artikel 13, § 3,
van de WOG). Voor het overige verwijst de Geschillenkamer naar de eerdere
uiteenzettingen over dit punt (zie deel II.3.2 ).
151. Ten derde verwijst slechts één van de negen door de verweerder verstrekte persartikelen
(bewijsstuk 28 van het dossier van de verweerder) kort (één zin in een artikel van vier
pagina's) naar een mogelijke overschrijding van de bevoegdheden door de voorzitter van
de GBA. Het dossier in kwestie had betrekking op vragen die aan een school in Gent waren
gesteld over een mogelijk gebruik van biometrische gegevens. Er wordt geen ander dossier
vermeld.
152. De verweerder levert geen bewijs dat dit element, alleen of samen met andere elementen,
daadwerkelijk aanleiding heeft gegeven tot de opheffing van het mandaat van de voorzitter
van de GBA. Hij legt evenmin uit waarom de vaststelling van bevoegdheidsoverschrijding
door de Kamer van volksvertegenwoordigers in de door de pers genoemde zaak van
toepassing zou zijn op de onderhavige zaak of zelfs maar relevant zou zijn voor de
behandeling ervan.
153. Uit de uittreksels van de arresten van de Raad van State blijkt evenmin dat het mandaat van
de voorzitter van de GBA zou zijn opgeheven wegens feiten die verband houden met de
onderhavige zaak of met de procedures die zijn ingesteld voor de activering van artikel 63.1
van de WOG. De elementen die uit de geciteerde uittreksels naar voren komen, zijn namelijk
zeer algemeen en verwijzen naar ernstige tekortkomingen en ongeschiktheden die niet
nader worden gepreciseerd. Bovendien is, zoals hierboven is aangetoond, deze zaak door
een andere directeur dan de voorzitter van de GBA aan het Directiecomité voorgelegd. Het
versturen van de eerste brief aan de verweerder en het verzoek om een onderzoek in te
33
Zie het arrest van de Raad van State van 11 mei 2021, nr. 250.571
Beslissing ten gronde 146/2024 –30 /71
stellen, zijn door het Directiecomité besloten. Deze elementen lijken moeilijk te rijmen met
de beweringen dat de voorzitter van de GBA zijn bevoegdheden heeft overschreden.
154. De Geschillenkamer concludeert dat geen van de door de verweerder aangevoerde
elementen hem in staat stelt te concluderen dat het Algemeen Secretariaat of de
directeur ervan bevooroordeeld zou zijn geweest of zijn bevoegdheden zou hebben
overschreden.
II.4.1.4. De directeur van de Inspectiedienst (de inspecteur-generaal)
155. Ten eerste voert de verweerder aan dat de inspecteur-generaal (tevens lid van het
Directiecomité) Freedelity in het verleden zou hebben ontmoet en onderzocht toen hij voor
de CBPL werkte, en dat hij bovendien zou hebben meegewerkt aan de opstelling van het
dossier en zou hebben besloten de zaak zelf aanhangig te maken. Hij stelt dat de
betrokkenheid van de inspecteur-generaal bij de voorbereiding van het dossier voor
behandeling door het Directiecomité van invloed is op zijn eigen aanhangigmaking en de
ontvankelijkheid van zijn werkzaamheden.
156. Ten tweede stelt hij ook dat de inspecteur-generaal geen standpunt kan innemen over de
activering van artikel 63.1 van de WOG door het Directiecomité zonder dat dit zijn
onpartijdigheid aantast.
157. Ten eerste verwijst de Geschillenkamer, wat de argumenten over de partijdigheid van de
inspecteur-generaal betreft, naar haar eerdere uitspraken over de analyse van situaties van
partijdigheid (zie punten 142 -143 ) en herinnert zij eraan dat een situatie van partijdigheid
niet kan voortvloeien uit de normale toepassing van de wet. Het feit dat de inspecteur-
generaal zitting heeft in het Directiecomité tijdens de fase van besluitvorming over het
volgen van technologische ontwikkelingen (artikel 10 van de WOG) of de fase van
vaststelling van ernstige aanwijzingen (artikel 63.1° van de WOG), is van rechtswege
voorzien om verenigbaar te zijn met zijn functie van inspecteur-generaal (artikel 12 van de
WOG).
158. Bovendien kan de activering van artikel 63.1 van de WOG (of artikel 63.6) in geen geval
worden gelijkgesteld met een aanklacht- of onderzoeksprocedure, zoals de verweerder
beweert. Het gaat om een voorafgaande stap aan het instellen van een onderzoek, die geen
definitieve vaststelling inhoudt en die de Inspectiedienst geenszins belet om haar
onderzoek vervolgens op onpartijdige wijze voort te zetten. Zoals in het verleden is
gebleken, is de Inspectiedienst perfect in staat om een onderzoek te voeren dat
Beslissing ten gronde 146/2024 –31 /71
concludeert dat er geen sprake is van overtredingen, ondanks de vaststellingen van
ernstige aanwijzingen door het Directiecomité34 .
159. Het feit dat een lid van het Directiecomité een of meer personeelsleden van een bedrijf
heeft "ontmoet", betekent op zich nog niet dat hij bevooroordeeld is ten opzichte van dat
bedrijf. Vooringenomenheid moet concreet worden aangetoond, wat inhoudt dat
specifieke feiten of gedragingen aan het licht moeten worden gebracht. 35 Dit heeft
uiteraard niets te maken met het feit dat hij in het verleden aan een dossier heeft gewerkt
of bij die gelegenheid iemand heeft ontmoet.
160. Voor de Geschillenkamer is de uitwisseling van informatie binnen de GBA een
noodzakelijke voorwaarde voor de goede uitvoering van haar taak om toe te zien op de
naleving van de gegevensbescherming. Een afscherming van informatie tussen diensten
vindt alleen plaats wanneer dit bij wet is bepaald. Dit is het geval in artikel 64.3 van de WOG,
dat bepaalt dat het onderzoek geheim is.
161. De WOG voorziet geen andere beperkingen op de uitwisseling van informatie binnen de
GBA wanneer deze uitwisseling noodzakelijk is voor haar werking. Informele uitwisselingen
tussen directeurs tijdens de voorbereiding van een besluit zijn normale en onmisbare
stappen in het besluitvormingsproces. Van dossiers die bij het ELD zijn geopend met
betrekking tot de verweerder en de informatie waarover de inspecteur-generaal, die
destijds als jurist bij deze dossiers betrokken was, beschikt, zijn zeer relevant om te
beoordelen of er reden is om een onderzoek tegen de verweerder te vragen. De GBA zou
nalatig zijn geweest als zij geen gebruik had gemaakt van de informatie over de verweerder
waarover zij beschikt om haar besluit te onderbouwen.
162. Als de inspecteur-generaal namelijk geen dossiers zou mogen behandelen waarbij hij vóór
zijn benoeming als inspecteur-generaal als jurist betrokken was geweest, zou dit de
Inspectiedienst de facto beletten zijn bevoegdheden ten aanzien van een groot aantal
verwerkingsverantwoordelijken uit te oefenen. Dit is zeker niet de bedoeling van de Kamer
van volksvertegenwoordigers, die de inspecteur-generaal heeft benoemd in de volle
kennis van het feit dat hij jurist was geweest bij de CBPL. Volgens de Geschillenkamer kan
in deze situatie zijn onpartijdigheid niet in twijfel worden getrokken.
163. Ten tweede overtuigt het argument dat de inspecteur-generaal geen standpunt kan
innemen over de activering van artikel 63.1 van de WOG door het Directiecomité zonder
zijn onpartijdigheid in het gedrang te brengen, de Geschillenkamer evenmin. Het
34
Zie met name de beslissing van de Geschillenkamer 77/2020, waarin het Directiecomité de Inspectiedienst had verzocht
een onderzoek in te stellen. Deze stelde vast dat de ten laste gelegde activiteit "niet leidt tot tot de verwerking van
persoonsgegevens". Het dossier werd dan ook geseponeerd.
35
Zie in dit verband het arrest van het Marktenhof van 7 december 2022, 2022/AR/556, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-7-december-2022-van-het-marktenhof-ar-556-
beschikbaar-in-het-frans.pdf, blz. 21. Wat geldt voor collegiale organen, geldt ook voor een lid van een bestuursorgaan.
Beslissing ten gronde 146/2024 –32 /71
Directiecomité is namelijk niet de enige die op basis van ernstige aanwijzingen een
onderzoek kan vragen, aangezien artikel 63.6° van de WOG bepaalt dat de Inspectiedienst
op eigen initiatief een onderzoek kan instellen als er ernstige aanwijzingen zijn voor een
overtreding. Als de wet bepaalt dat de Inspectiedienst, en dus de inspecteur-generaal,
alleen kan beslissen dat er ernstige aanwijzingen voor een overtreding zijn, kan hij dat
logischerwijs ook collegiaal beslissen in het kader van het Directiecomité, zonder dat dit zijn
onpartijdigheid bij het uitvoeren van het onderzoek aantast.
164. De WOG maakt bovendien een duidelijk onderscheid tussen de onderzoeksbevoegdheid,
die aan de Inspectiedienst is voorbehouden, en de sanctiebevoegdheid, die aan de
Geschillenkamer is voorbehouden.
165. In het onderhavige geval concludeert de Geschillenkamer dat er geen aanwijzingen zijn
voor partijdigheid van de inspecteur-generaal, die zich heeft beperkt tot het vervullen
van de taken die hem krachtens de WOG zijn opgedragen.
II.4.1.5. Het Directiecomité
166. De verweerder voert aan dat, aangezien de meerderheid van de leden van het
Directiecomité bevooroordeeld was, het Directiecomité zelf ook bevooroordeeld was.
167. Zoals de Geschillenkamer in deze beslissing al herhaaldelijk heeft opgemerkt, kan kritiek
op partijdigheid, overeenkomstig de vaste rechtspraak van de Raad van State, niet worden
gebaseerd op een situatie die voortvloeit uit de normale toepassing van de wet 36 .
168. Bovendien "kan de onpartijdigheid van een collegiaal orgaan alleen in twijfel worden
getrokken indien, enerzijds, specifieke feiten die aanleiding geven tot een vermoeden van
partijdigheid ten aanzien van een of meer leden van dat college rechtmatig kunnen worden
vastgesteld en, anderzijds, uit de omstandigheden blijkt dat de partijdigheid van dat lid of
die leden het hele college heeft kunnen beïnvloeden. Het is aan degene die beweert dat de
autoriteit niet onafhankelijk, onpartijdig en zorgvuldig heeft gehandeld, om hiervan het
bewijs te leveren."37 (vrije vertaling)
169. Het Marktenhof preciseert dat de vermeende partijdigheid van een collegiaal orgaan
concreet moet worden aangetoond, wat inhoudt dat specifieke feiten of gedragingen met
betrekking tot dit orgaan, en dus door zijn leden, aan het licht moeten worden gebracht 38 .
36
Arrest van de Raad van State van 11 mei 2021, nr. 250.571.
37
C.E., 30 november 2022, 255.145, Lemaire en Loslever; zie ook C.E., 19 januari 2022, 252.684.
38
Arrest van het Marktenhof van 7 december 2022, 2022/AR/556, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-7-december-2022-van-het-marktenhof-ar-556-
beschikbaar-in-het-frans.pdf.
Beslissing ten gronde 146/2024 –33 /71
170. Het Directiecomité is samengesteld uit de directeurs van de GBA (artikel 12 WOG). Elke
directeur staat aan het hoofd van een orgaan, zoals blijkt uit de bevoegdheden die zijn
vastgelegd in de WOG. Het Directiecomité is bevoegd om de Inspectiedienst in te
schakelen wanneer er ernstige aanwijzigingen zijn voor het bestaan van een praktijk die
mogelijk in strijd is met de fundamentele beginselen van de bescherming van
persoonsgegevens (artikel 63.1° van de WOG).
171. Volgens de Geschillenkamer moet de verweerder dus voor elk van de leden van het
Directiecomité tegen wie hij deze beschuldiging uit, aantonen dat hij enerzijds partijdig is
geweest en anderzijds de andere leden van het college heeft kunnen beïnvloeden. De
Geschillenkamer voegt hieraan toe dat het feit dat een lid van het Directiecomité blijk zou
hebben gegeven van een gebrek aan onpartijdigheid – quod non in het onderhavige geval
– op zich niet volstaat om een besluit van het Directiecomité ongeldig te maken.39
172. Zoals echter is uitgelegd in de delen II.4.1.1 ,II.4.1.2 ,II.4.1.3 en II.4.1.4 , is de partijdigheid van
de leden niet aangetoond. Bovendien, zelfs als de partijdigheid van een lid van het
Directiecomité zou worden aangetoond, zou dit geen afbreuk doen aan de beslissingen van
het Directiecomité, die geldig zijn op voorwaarde dat de "meerderheid" van de leden
aanwezig was (artikel 15 van de WOG).
173. Bijgevolg is noch de partijdigheid van de leden van het Directiecomité, noch die van het
Directiecomité zelf aangetoond. De Geschillenkamer concludeert dat de argumenten
van de verdediging inzake partijdigheid niet geldig zijn.
II.4.2. Behandeling binnen een redelijke termijn en nuttige termijn om de verdediging
voor te bereiden
174. De verweerder voert aan dat de procedure bijna vijf jaar heeft geduurd na de eerste
litigieuze brief, wat de redelijke termijn overschrijdt, en dat hij niet de gelegenheid heeft
gehad om zich naar behoren te verdedigen. Hij beschuldigt de GBA ervan opzettelijk tijdens
vakantieperiodes schriftelijke bijdragen van de verweerder te hebben gevraagd. Hij
verwijst met name naar een arrest van het Hof van Beroep te Brussel, waarin wordt bepaald
dat een dossier dat twee jaar lang stil heeft gelegen, de redelijke termijn overschrijdt.
175. De verweerder beroept zich op niet-gerefereerde rechtspraak om aan te voeren dat de
rechten van de verdediging vanuit het oogpunt van de nuttige termijn en het recht op een
redelijke termijn van toepassing zijn op de GBA.
176. De Geschillenkamer bevestigt dat zij inderdaad onderworpen is aan de eerbiediging van de
rechten van de verdediging, waaronder het recht op een redelijke termijn, die worden
39
Arrest van het Marktenhof van 7 december 2022, 2022/AR/556, , beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-7-december-2022-van-het-marktenhof-ar-556-
beschikbaar-in-het-frans.pdf.
Beslissing ten gronde 146/2024 –34 /71
beschermd door artikel 48 van het Handvest van de grondrechten van de Europese Unie
en artikel 6 van het Europees Verdrag voor de rechten van de mens.
177. Wat de redelijke termijn betreft, verwijst de verweerder naar een arrest van het Hof van
Beroep te Brussel, waarin het Hof zou hebben vastgesteld dat de redelijke termijn was
overschreden in een dossier dat twee jaar lang stil had gelegen. Dit arrest is niet aan de
Geschillenkamer voorgelegd. Zij kan er dus geen rekening mee houden.
178. De Geschillenkamer herinnert eraan dat volgens de rechtspraak van de Raad van State "het
beginsel van de redelijke termijn, dat is afgeleid van de algemene beginselen van behoorlijk
bestuur en rechtszekerheid, kan worden toegepast op alle administratieve beslissingen. De
redelijke termijn waarbinnen elke administratieve autoriteit ervoor moet zorgen dat zij een
beslissing neemt, begint pas te lopen vanaf het moment dat zij daartoe in staat is. De
beoordeling of de duur van een procedure al dan niet redelijk is, is een kwestie die per geval
moet worden bekeken en die met name afhangt van de omstandigheden van de zaak, en
meer in het bijzonder van het respectieve gedrag van de autoriteit en de betrokken
persoon."40 (vrije vertaling)
179. De Inspectiedienst heeft in juni en oktober 2020 brieven met vragen naar de verweerder
gestuurd. Vervolgens heeft hij technische vaststellingen gedaan en in oktober 2021 nieuwe
vragen aan Freedelity gesteld. Tussen december 2021 en februari 2022 heeft hij nieuwe
technische vaststellingen gedaan. In april 2022 heeft hij zijn verslag naar de
Geschillenkamer gestuurd.
180. De Geschillenkamer oordeelt dat een onderzoek dat ongeveer twee jaar heeft geduurd,
niet langer is dan redelijk is, als gedurende die twee jaar talrijke onderzoeksacties zijn
uitgevoerd, wat in dit geval zo is. Bovendien stelt de Geschillenkamer in deze zaak geen
periode van inactiviteit vast van bijna twee jaar.
181. De Geschillenkamer heeft de verweerder op de hoogte gesteld van haar voornemen om de
zaak in juli 2022, drie maanden na de indiening ervan, inhoudelijk te behandelen. De periode
tussen deze beslissing om de zaak ten gronde te behandelen en de vaststelling van deze
beslissing werd gekenmerkt door opeenvolgende verzoeken om overlegging van
documenten41, een verzoek bij de CTB, een verzoek tot wraking gevolgd door een
procedure voor het Marktenhof en een dagvaarding in kort geding, verzoeken om uitstel
van de zitting42, en talrijke verzoeken om opschorting van de uitspraak, met name in
afwachting van de publicatie van een arrest van het Hof van Justitie van de Europese Unie 43,
40
Arrest van de Raad van State, 13 september 2022, nr. 254.469, blz. 16.
41
Zie stuk 94 van het dossier.
42
Zie stuk 94 van het dossier.
43
Zie met name stukken 87 en 136 van het dossier en de volgende pagina's van de aanvullende conclusies van de
verweerder: (i) pagina 163, "De Geschillenkamer moet haar uitspraak over dit punt aanhouden in afwachting van de uitkomst
van zaak C154/21 die aanhangig is bij het Hof van Justitie".
Beslissing ten gronde 146/2024 –35 /71
verzoeken die allemaal door de verweerder zijn ingediend. Gelet op deze talrijke
procedures, die tot gevolg hadden dat de hoorzitting verschillende malen werd uitgesteld,
kan redelijkerwijs niet worden gesteld dat de zaak abnormaal lang heeft stilgelegen of dat
de Geschillenkamer in staat was om sneller een beslissing te nemen.
182. Wat het recht op een nuttige termijn voor de verdediging betreft, heeft het Marktenhof in
een arrest van 12 juni 2019 geoordeeld: "Het opstellen van een conclusiekalender waarbij
elke partij over ongeveer één maand beschikt en waarbij de verwerende partij de laatste
termijn verkrijgt, is conform aan de regels van inzake de rechten van de verdediging."44
183. De Geschillenkamer stelt vast dat de verweerder tijdens het onderzoek van de
Inspectiedienst altijd een antwoordtermijn van ten minste 30 kalenderdagen en maximaal
45 dagen heeft gehad, wat in overeenstemming is met de rechtspraak van het Marktenhof.
De Geschillenkamer kan dan ook niet concluderen dat het recht op een redelijke termijn
voor de verdediging in het onderzoeksstadium is geschonden.
184. Wat betreft de termijnen die aan de verweerder zijn toegekend tijdens de procedure ten
gronde, herinnert de Geschillenkamer eraan dat deze in alle zaken die zij ten gronde
behandelt identiek zijn en dat zij in juli en augustus met twee weken worden verlengd. De
verweerder beschikte dus over een termijn van acht weken, die identiek is aan die welke
aan elke andere verweerder zou zijn toegekend in een procedure op basis van een
onderzoeksverslag. Deze termijn werd vervolgens op verzoek van de verweerder met drie
weken verlengd. Op zijn verzoek werd hij nogmaals met twee weken verlengd, waardoor de
totale termijn op 13 weken kwam.
185. Toen de verweerder op zijn verzoek aanvullende documenten kreeg, kreeg hij twee
weken45 de tijd om zijn conclusies aan te passen (deze termijn werd op zijn verzoek met een
week verlengd). De verweerder kan dan ook redelijkerwijs niet beweren dat de termijnen
die hem door de Geschillenkamer zijn toegekend en die op zijn verzoek herhaaldelijk zijn
verlengd, hem niet voldoende tijd hebben gegeven om zijn verdediging voor te bereiden.
186. De Geschillenkamer concludeert dat er in deze zaak geen sprake is geweest van
overschrijding van de redelijke termijn, noch van schending van het recht op een nuttge
termijn.
II.4.3. Het beginsel van de tegenspraak
44
Arrest van het Marktenhof van 12 juni 2019, nr. 2019/AR/741, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-12-juni-2019-van-het-marktenhof.pdf.
45
De Geschillenkamer merkt in dit verband op dat toen de Kamer van Beroep van de Rechtbank van Eerste Aanleg te Brussel
de GBA gelastte om aanvullende documenten aan de verweerder te verstrekken, zij ook van oordeel was dat een termijn van
15 dagen voldoende was om de verweerder in staat te stellen te concluderen over de documenten (termijn die door de GBA
aan de verweerder werd toegekend).
Beslissing ten gronde 146/2024 –36 /71
187. De verweerder is van mening dat de GBA, door herhaaldelijk en consequent te weigeren
bepaalde door hem opgevraagde documenten te verstrekken, het beginsel van de
tegenspraak en de rechten van de verdediging heeft geschonden. De verweerder is van
mening dat de GBA herhaaldelijk heeft geweigerd om doorslaggevende elementen in het
dossier en in zijn verdediging te verstrekken.
188. De Geschillenkamer herinnert eraan dat de WOG de samenstelling van het administratieve
dossier niet definieert. Dit dossier bestaat uit alle beslissingen en officiële stukken die
verband houden met een zaak (beslissingen van de ELD, onderzoeksverslag van de ID,
beslissingen van de GK, enz.). De Geschillenkamer heeft Freedelity het volledige
administratieve dossier toegezonden toen deze daarom verzocht.
189. De verweerder heeft vervolgens de overlegging geëist van interne documenten van de
GBA die traditioneel niet in een administratief dossier voorkomen. De verzoeken van de
verweerder zijn herhaaldelijk gewijzigd en werden op verschillende gronden ingediend.
190. Op 2 mei 2023 heeft de Geschillenkamer alle door Freedelity gevraagde aanvullende
documenten aan Freedelity verstrekt, voor zover de GBA daarover beschikte.
191. Op 18 juli 2023 heeft de GBA Freedelity nogmaals bepaalde documenten toegezonden
naar aanleiding van het advies van de CTB46, namelijk de agenda van de vergadering van
het Directiecomité van de GBA van 6 december 2019 en een volledigere versie van het
proces-verbaal van die vergadering.
192. Pas op 22 december 2023 heeft Freedelity (bij de rechtbank) via een eerste dagvaarding in
kort geding een ruimere toegang gevraagd dan eerder was gevraagd en verkregen.
193. De GBA gaf gevolg aan dit nieuwe verzoek door Freedelity de meest recente stukken uit
het administratieve dossier toe te sturen – stukken die overigens allemaal al bekend waren
bij Freedelity – aangezien het ging om correspondentie tussen Freedelity en de GBA.
194. De GBA heeft op eigen initiatief op 12 januari 2024 nog aanvullende stukken aan Freedelity
toegezonden, die volgens haar relevant konden zijn in het kader van de kritiek die Freedelity
wilde uiten op de manier waarop GBA de zaak betreffende Freedelity in behandeling had
genomen.
195. Vervolgens zijn Freedelity en de GBA in het kader van de procedure in kort geding
overeengekomen dat de GBA bepaalde aanvullende stukken zou verstrekken.
196. Ten slotte heeft de GBA, naar aanleiding van de beschikking van de Kamer van kort geding,
aanvullende stukken verstrekt, waaronder voorbereidende stukken, zoals interne
communicatie tussen medewerkers van de GBA.
46
De Geschillenkamer herinnert er in dit verband aan dat de adviezen van de CTB geenszins bindend zijn. Zie RvS, 15
november 2002, 111.522, Poncin.
Beslissing ten gronde 146/2024 –37 /71
197. Uit de bovenstaande chronologische beschrijving blijkt dat de GBA herhaaldelijk en
vrijwillig aanvullende documenten aan de verweerder heeft verstrekt. Zij heeft ook gevolg
gegeven aan de beschikking van de Kamer van kort geding toen deze haar opdroeg
bepaalde aanvullende documenten te verstrekken.
198. Het feit dat een partij in een zaak om de overlegging van aanvullende documenten bij het
administratieve dossier verzoekt, betekent niet dat de Geschillenkamer verplicht is hieraan
gevolg te geven zonder de noodzaak van een dergelijke overlegging te kunnen betwisten.
199. Het feit dat de GBA voor bepaalde documenten de noodzaak van overlegging heeft
betwist, kan geen schending van het beginsel van tegenspraak en het recht van de
verdediging inhouden. De GBA heeft zich terecht verzet tegen de overlegging van bepaalde
documenten en zowel de CTB als de Kamer van kort geding hebben Freedelity de toegang
tot bepaalde stukken geweigerd. Bovendien konden alle stukken het voorwerp uitmaken
van een debat op tegenspraak, met name tijdens de hoorzitting.
200. Wat meer bepaald de beslissing tot opheffing van het mandaat van de voormalige
voorzitter van de GBA betreft, verwijst de Geschillenkamer naar de bovenstaande
uiteenzettingen (zie de delen 130 -133 en deel II.4.1.3 ).
201. Bovendien stelt de Geschillenkamer vast dat de verweerder uiteindelijk alle documenten
heeft kunnen verkrijgen die nodig waren voor zijn verdediging, aangezien hij zijn bezwaren
met betrekking tot de rechtmatigheid van de procedure volledig heeft kunnen formuleren.
202. De Geschillenkamer kan in deze zaak geen schending van het beginsel van de
tegenspraak en het recht van de verdediging vaststellen.
II.4.4. Schendingen van de beginselen van behoorlijk bestuur
203. De verweerder is van mening dat de GBA de “plicht tot fair play", de “zorgplicht” en de
motiveringsplicht niet is nagekomen, zonder deze grieven nader te specificeren.
204. De Geschillenkamer stelt vast dat de verweerder niet uitlegt wat hij verstaat onder "plicht
tot fair play" en "zorgplicht", geen bronnen vermeldt en niet motiveert waarom de GBA de
motiveringsplicht niet zou hebben nageleefd.
205. Wat de “plicht tot fair play" en de "zorgplicht" betreft, luiden de grieven van de verweerder
als volgt: "De Autoriteit schiet ernstig tekort in haar plicht tot fair play en zorgplicht, die
volwaardige beginselen van goed bestuur vormen.” De Geschillenkamer kan alleen maar
tot de vaststelling komen dat er geen feitelijke argumenten zijn die de niet-naleving van
deze plichten kunnen staven.
206. De Geschillenkamer kan dan ook niet op deze argumenten ingaan en verwijst voor zover
nodig naar haar overwegingen hierboven met betrekking tot het beginsel van de
tegenspraak en de toegang tot de bovengenoemde dossiers (zie deel II.4.3 ).
Beslissing ten gronde 146/2024 –38 /71
207. De Geschillenkamer is van oordeel dat de beginselen van behoorlijk bestuur zijn
nageleefd.
II.5. Ten gronde
II.5.1. Wat betreft de betrokken verwerkingen, de verantwoordelijkheid voor de
verwerkingen en de rechtsgronden
1. Wat betreft de betrokken verwerkingen
208. Artikel 4.2 van de AVG definieert verwerking als "een bewerking of een geheel van
bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens,
al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen,
ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken,
verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking
stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens".
209. In het onderhavige geval stelt de Geschillenkamer op basis van de door Freedelity aan de
Inspectiedienst verstrekte informatie vast dat de volgende gegevensverwerkingen
plaatsvinden:
210. Ten eerste, het verzamelen van persoonsgegevens47 :
a) rechtstreeks verstrekt door de klanten door het lezen van de eID-kaart. Het lezen
van de eID-kaart kan gebeuren via eID-lezers, via een terminal die bij de klanten van
Freedelity is geïnstalleerd, of via elk ander type terminal. Voor personen die geen
Belgische eID-kaart hebben of deze niet willen gebruiken, kunnen dezelfde
gegevens handmatig worden ingevoerd op het scherm van een terminal of via de
website van de partner door de betrokkene zelf of door het personeel van de
klanten van Freedelity, op basis van de door de betrokkene verstrekte informatie.
b) door Freedelity:
- via zijn platform of zijn MyFreedelity-applicatie, met inbegrip van cookies die zijn
geïntegreerd in e-mails en andere digitale interfaces, of
- door de gegevens die door de betrokkene zijn verstrekt in het kader van zijn vrijwillige
inschrijving in het Freedelity-bestand te registreren.
211. In zijn antwoorden op de vragen van de Inspectiedienst48 geeft Freedelity aan dat de
gegevens grotendeels worden verzameld via Freedelity-terminals49 . Een kleiner deel van
de gegevens wordt verzameld via een door de klant van Freedelity gemachtigde verkoper
47
Zie pagina 24 van de aanvullende conclusies.
48
Zie pagina 11 van de antwoorden van Freedelity aan de Inspectiedienst op 29 oktober 2020.
49
Freedelity verzamelt de informatie op de eID-kaart alleen via de door hem verspreide terminals en lezers (zie pagina 14 van
de antwoorden van Freedelity aan de Inspectiedienst op 29 oktober 2020).
Beslissing ten gronde 146/2024 –39 /71
en in zeer zeldzame gevallen worden de gegevens verzameld door het invullen van een
onlineformulier.
212. Ten tweede bestaat de mutualisering van persoonsgegevens50 uit het automatisch delen
en bijwerken van de informatie van een gemeenschappelijke consument tussen
verschillende winkelketens die zich hebben aangemeld voor de Custocentrix-dienst en
waarmee de consument een relatie heeft, waarbij wordt gegarandeerd dat degenen die al
over zijn gegevens beschikken, toegang hebben tot deze updates als de
persoonsgegevens van de consument zijn gewijzigd. Om deze verwerking te begrijpen, is
het essentieel om te onthouden dat de meeste elektronische gegevens op de
identiteitskaart worden bijgewerkt in geval van wijzigingen in de persoonlijke gegevens 51.
Zoals de verweerder in zijn conclusie aangeeft, kan, indien een winkelketen A over
recentere informatie beschikt over een consument die ook klant is bij winkelketen B, deze
bijgewerkte gegevens door middel van de mutualisering worden doorgegeven aan
winkelketen B. Alleen bedrijven die al een commerciële relatie met de consument hebben
(d.w.z. dat zij, voordat ze de kaart verstrekken, deze consument in hun databank hebben
staan) hebben via deze mutualisering toegang tot de bijgewerkte gegevens.
213. De Geschillenkamer is van mening dat de verwerkingen van het verzamelen en het
mutualiseren van gegevens onlosmakelijk met elkaar verbonden zijn, aangezien het
verzamelen van gegevens uit de elektronische identiteitskaart tot doel heeft het
Freedelity-bestand te voeden, dat een nauwkeurige en voortdurend bijgewerkte databank
is. Zoals Freedelity benadrukt52 , "De registratie in het Freedelity-bestand heeft geen
andere specifieke doeleinden dan die welke verband houden met het beheer van het
Freedelity-bestand. Het gaat om één en dezelfde verwerking. Deze gegevensstromen
komen tot ons via de verschillende methoden voor gegevensverzameling en toestemming
zoals hierboven beschreven". Deze zullen in de volgende punten gezamenlijk worden
onderzocht.
214. De Geschillenkamer merkt op dat de verweerder niet betwist dat hij de in de voorgaande
punten beschreven verwerkingen uitvoert.
2. Wat betreft de verantwoordelijkheid voor de verwerkingen
215. Een verwerkingsverantwoordelijke wordt gedefinieerd als "een natuurlijke persoon of
rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of
samen met anderen, het doel van en de middelen voor de verwerking van
50
Zie pagina 14 van de aanvullende conclusies van de verweerder.
51
Belgische burgers hebben bijvoorbeeld acht dagen de tijd om hun nieuwe adres door te geven aan de dienst Bevolking van
de gemeente waar ze gaan wonen. Dit nieuwe adres wordt door de gemeente geregistreerd op hun elektronische
identiteitskaart, ook al staat dit gegeven niet op het officiële (fysieke) document.
52
Zie pagina 3 van de antwoorden van Freedelity aan de Inspectiedienst op 29 oktober 2020.
Beslissing ten gronde 146/2024 –40 /71
persoonsgegevens vaststelt " (artikel 4.7 van de AVG) (onderstreping toegevoegd). Het
gaat om een autonoom begrip dat eigen is aan de regelgeving inzake
gegevensbescherming en dat moet worden beoordeeld aan de hand van de criteria die
daarin zijn vastgelegd: het bepalen van de "doeleinden" en de "middelen" van een
verwerking bestaat erin te beslissen over het "waarom" (de reden of het doel van de
verwerking) en het "hoe" (de wijze waarop dat doel zal worden bereikt) 53 .
216. In sommige gevallen wordt de verantwoordelijkheid als gezamenlijk beschouwd. Om te
spreken van gezamenlijke verantwoordelijkheid voor de verwerking van gegevens, is het
noodzakelijk dat twee of meer entiteiten samen deelnemen aan het bepalen van de
doeleinden en de middelen van de verwerking. Deze deelname kan tot uiting komen in een
gezamenlijk besluit of in convergerende besluiten die elkaar aanvullen en essentieel zijn
voor de uitvoering van de verwerking. Een belangrijk criterium is dat de verwerking niet zou
kunnen plaatsvinden zonder de bijdrage van elke partij, wat betekent dat de verwerkingen
onscheidbaar zijn en onlosmakelijk met elkaar verbonden54 .
217. De Geschillenkamer herinnert eraan dat in geval van gezamenlijke verantwoordelijkheid
artikel 26 van de AVG de gezamenlijke verwerkingsverantwoordelijken verplicht om door
middel van een overeenkomst te waarborgen dat zij de AVG wederzijds naleven.
218. Volgens de richtsnoeren van het EDPB over de begrippen "verwerkingsverantwoordelijke"
en "verwerker"55 "Gezamenlijke deelname kan de vorm aannemen van een gezamenlijk
besluit van twee of meer entiteiten of het resultaat zijn van convergerende besluiten van
twee of meer entiteiten, wanneer de besluiten elkaar aanvullen en noodzakelijk zijn om de
verwerking op zodanige wijze te laten plaatsvinden dat zij een tastbaar effect hebben op de
vaststelling van het doel en de middelen van de verwerking. Een belangrijk criterium is dat
de verwerking niet mogelijk zou zijn zonder de deelname van beide partijen, in die zin dat de
verwerking door elke partij onscheidbaar, d.w.z. onlosmakelijk met die van de andere
verbonden is. De gezamenlijke deelname moet de vaststelling van het doel enerzijds en de
vaststelling van de middelen anderzijds omvatten." (onderstreping toegevoegd)
219. De Geschillenkamer zal achtereenvolgens de situaties van gezamenlijke deelname in het
kader van de vaststelling van de doeleinden (a) en de vaststelling van de middelen (b)
analyseren.
a) Vaststelling van de doeleinden
53
EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (v.2),
vastgesteld op 7 juli 2021, (hierna "Richtsnoeren 07/2020"), punt 35.
54
EDPB, Richtsnoeren 07/2020, blz. 3.
55
EDPB, Richtsnoeren 07/2020, blz. 3.
Beslissing ten gronde 146/2024 –41 /71
220. Ten eerste stelt de Geschillenkamer vast dat het doel van het verzamelen en mutualiseren
van persoonsgegevens het voeden van het gedeelde Freedelity-bestand is om een unieke
en actuele identificatie van consumenten mogelijk te maken.
221. Freedelity meent dat het uitsluitend controle heeft over dit doel, aangezien de
winkelketens alleen betrokken zijn bij de wijze van verzameling en geen beslissingen
nemen over de uiteindelijke doeleinden van de verwerking. In die zin is Freedelity van
mening dat gezamenlijke verantwoordelijkheid niet van toepassing is.
222. In tegenstelling tot wat de verweerder beweert, is de Geschillenkamer van mening dat dit
doel zowel Freedelity als de winkelketens dient. Dit doel is namelijk noodzakelijk om
Freedelity in staat te stellen zijn databank te verrijken en zo winkelketens aan te trekken
die geïnteresseerd zijn in een betrouwbare en actuele identificatie van hun klanten. Het is
ook onmisbaar voor winkelketens die verwarring tussen hun klanten willen voorkomen en
zo de accumulatie van verouderde gegevens willen tegengaan.
223. Het feit dat deze verwerkingen na elkaar plaatsvinden, heeft geen invloed op de kwalificatie
van gezamenlijke verwerkingsverantwoordelijke. Het Hof van Justitie van de Europese Unie
benadrukt dat " het bestaan van een gezamenlijke verantwoordelijkheid zich niet
noodzakelijkerwijs uit in een gelijkwaardige verantwoordelijkheid van de verschillende
ondernemers die betrokken zijn bij de verwerking van persoonsgegevens. Deze
ondernemers kunnen juist in verschillende stadia en in verschillende maten bij deze
verwerking betrokken zijn, zodat het niveau van verantwoordelijkheid van elk van hen moet
worden beoordeeld in het licht van alle relevante omstandigheden van het geval."56
224. Om elke dubbelzinnigheid weg te nemen, preciseert de Geschillenkamer dat de
onderhavige beslissing geen betrekking heeft op de specifieke verwerkingsdoeleinden van
de winkelketens (zoals de inschrijving voor loyaliteitsprogramma's voor consumenten, het
versturen van digitale facturen enz.), waarvoor Freedelity geen gezamenlijke
verantwoordelijkheid draagt. Het is belangrijk om deze specifieke doeleinden van de
winkelketens niet te verwarren met het gemeenschappelijke doel in kwestie, namelijk het
verzamelen en mutualiseren van gegevens om het Freedelity-bestand bij te werken. Het
verwarren van deze verschillende doeleinden, zoals de verweerder doet, leidt tot een
verkeerde kwalificatie van de rollen van de partijen. Bovendien betwist de Geschillenkamer
evenmin dat wanneer een winkelketen zijn samenwerking met Freedelity beëindigt,
Freedelity de enige verwerkingsverantwoordelijke blijft voor toekomstige verwerkingen,
ook al zijn de gegevens oorspronkelijk verzameld door de winkelketen die zijn contract met
Freedelity heeft opgezegd.
56
Arrest van het Hof van Justitie van de Europese Unie van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C 210/16,
EU:C:2018:388, punt 43.
Beslissing ten gronde 146/2024 –42 /71
b) Vaststelling van de middelen
225. Ten tweede herinnert de Geschillenkamer met betrekking tot de middelen aan de
richtsnoeren van het EDPB57 : "Het kan ook zo zijn dat een van de betrokken entiteiten de
middelen voor de verwerking levert en deze beschikbaar stelt voor activiteiten op het
gebied van de verwerking van persoonsgegevens door andere entiteiten. De entiteit die
besluit van die middelen gebruik te maken, zodat persoonsgegevens voor een bepaald doel
kunnen worden verwerkt, neemt ook deel aan de vaststelling van de middelen voor de
verwerking. Dit scenario kan zich met name voordoen in het geval van platforms,
gestandaardiseerde instrumenten of andere infrastructuren die de partijen in staat stellen
dezelfde persoonsgegevens te verwerken en die op een bepaalde manier door een van de
partijen zijn opgezet om te worden gebruikt door andere partijen, die ook kunnen beslissen
hoe ze worden opgezet."
226. In het onderhavige geval worden de middelen voor de verwerking ook gezamenlijk bepaald:
de verzameling wordt voornamelijk uitgevoerd door de klanten via apparatuur die door
Freedelity wordt geleverd en door de winkelketens wordt aangeboden (met name via
terminals). Wat de middelen betreft, centraliseert Freedelity de gegevens in een door het
bedrijf ontwikkelde technische infrastructuur, maar het mutualiseren zelf wordt mogelijk
gemaakt door de voortdurende bijdragen van de klanten, die regelmatig
identiteitsgegevens doorgeven om de informatie te kunnen actualiseren.
227. Bovendien legt Freedelity uit dat de inhoud van de terminal per winkelketen verschilt om
rekening te houden met de verschillende klanttrajecten en acties in verband met het
verzamelen van persoonsgegevens, alsook met de verwachtingen van zijn klanten wat
betreft de inachtneming van hun eigen specifieke kenmerken, met name hun identiteit en
hun grafische charters58 . Wat de handmatige formulieren betreft, legt Freedelity uit dat de
formulieren van klant tot klant kunnen verschillen (d.w.z. het uiterlijk en de inhoud van de
tekst). Voor sommige klanten verzorgt Freedelity zelfs de opmaak namens de klant59 .
228. Met betrekking tot dit laatste punt heeft de Inspectiedienst om aanvullende verduidelijking
gevraagd. Freedelity heeft geantwoord: "Het proces is vergelijkbaar met dat van het
ontwerp van de formulieren die in de kiosken worden gebruikt wanneer wij worden belast
met het opstellen van het formulier. We vinden het wiel niet voor elke klant opnieuw uit, wat
verklaart waarom de onderliggende logica vergelijkbaar blijft."60 (vrije vertaling)
57
EDPB, Richtsnoeren 07/2020, punten 64 en 65.
58
Zie pagina 8 van de antwoorden van Freedelity op de vragen die de Inspectiedienst op 29 oktober 2020 heeft gesteld.
59
Zie pagina 9 van de antwoorden van Freedelity op de vragen van de Inspectiedienst van 29 oktober 2020.
60
Zie pagina 15 van de antwoorden van Freedelity op de aanvullende vragen die de Inspectiedienst op 29 oktober 2021 heeft
gesteld.
Beslissing ten gronde 146/2024 –43 /71
229. In een document dat bestemd is voor winkelketens, onthult Freedelity, na gezamenlijke
aansprakelijkheid te hebben uitgesloten, een niet-uitputtende lijst van gevallen waarin een
duidelijke samenwerking tussen Freedelity en de winkelketens moet plaatsvinden, wat de
analyse van de Geschillenkamer dat het om een geval van gezamenlijke
verantwoordelijkheid gaat, nog versterkt.61 Deze niet-uitputtende lijst verwijst onder meer
naar:
- de validatie van formulieren en processen voor het verzamelen van persoonsgegevens
via terminals, kassasystemen of andere digitale interfaces,
- het opstellen en verstrekken van folders om consumenten te informeren,
- het informeren van consumenten bij het verkrijgen van hun toestemming voor de
verwerking van hun gegevens door middel van mondelinge uitleg, ondersteund door de
overhandiging van een informatieve folder met uitleg,
- het aanbieden van alternatieven voor het scannen van de identiteitskaart om te kunnen
profiteren van voordelen of het loyaliteitsprogramma.
- de expliciete vermelding van het gebruik van de diensten van Freedelity in de
voorwaarden en het privacybeleid,
- de validatie van de robuustheid van de verwerking van gegevensstromen tussen de
applicaties van klanten en CustoCentrix,
- de verplichte en onmiddellijke coördinatie in geval van vastgestelde lekken van
persoonsgegevens,
- de coördinatie als reactie op verzoeken van bepaalde consumenten om wissing van hun
gegevens,
- het opzetten van informaticasystemen die de vereiste IT-beveiliging garanderen.
230. Concluderend kan worden gesteld dat, hoewel het verzamelen van gegevens voornamelijk
een taak is van de winkelketens en het mutualiseren van gegevens door Freedelity wordt
uitgevoerd, deze activiteiten onscheidbaar zijn en onlosmakelijk met elkaar verbonden,
aangezien het tweede niet mogelijk zou zijn zonder het eerste. Met andere woorden, de
mutualisering van gegevens door Freedelity is alleen mogelijk door de samenwerking met
de winkelketens bij het verzamelen van identiteitsgegevens.
231. Deze technische infrastructuur, geconfigureerd door Freedelity maar voornamelijk
geïntegreerd in de omgeving van de klanten, toont een convergentie van de middelen voor
de verwerking en de doeleinden die worden nagestreefd om deze te verwezenlijken. De
61
“Whitepaper” van Freedelity, editie 2020.
Beslissing ten gronde 146/2024 –44 /71
Geschillenkamer is, net als de Inspectiedienst, van mening dat het hier gaat om een geval
van gezamenlijke verantwoordelijkheid.
232. Freedelity is samen met zijn klanten gezamenlijke verwerkingsverantwoordelijke voor
het verzamelen en mutualiseren van identiteitsgegevens.
3. Wat betreft de rechtsgronden voor de verwerking
233. Artikel 5.1.a) van de AVG vereist dat gegevens op rechtmatige, behoorlijke en transparante
wijze worden verwerkt, wat met name inhoudt dat er een rechtsgrond moet worden
gewaarborgd voor de uitvoering van de gegevensverwerking.
234. Volgens artikel 6.1 van de AVG kan de verwerkingsverantwoordelijke verschillende
rechtsgronden aanvoeren, waaronder toestemming: "De verwerking is alleen rechtmatig
indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
235. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn
persoonsgegevens voor een of meer specifieke doeleinden;
236. [...]".
237. Het verzamelen en mutualiseren van persoonsgegevens moet gebeuren in
overeenstemming met het toepasselijke recht, met name artikel 6, § 4, van de wet van
199162 en de AVG. Dit artikel van de wet van 1991 vereist dat vooraf "vrije, specifieke en
geïnformeerde" toestemming wordt verkregen voor het elektronisch lezen van de
gegevens op de identiteitskaart. De CBPL (voorganger van de GBA) heeft op 25 mei 2011
een aanbeveling63 uitgebracht waarin zij het volgende adviseerde "dat in het kader van een
getrouwheidssysteem, de voorafgaande, geïnformeerde, vrije en specifieke toestemming
moet worden verkregen van de klant vooraleer zijn elektronische identiteitskaart mag
worden gelezen. Er moet aan de klant eveneens een alternatief voor het gebruik van zijn
identiteitskaart worden voorgesteld.” (onderstreping toegevoegd)
238. Deze criteria sluiten rechtstreeks aan bij de criteria voor geldige toestemming in de zin van
de AVG64 en moeten voldoen aan de voorwaarden voor toestemming van artikel 6.1.a) van
de AVG, zoals bepaald in artikel 4.11 van de AVG en toegelicht in de Richtsnoeren 5/2020
van de EDPB inzake toestemming overeenkomstig Verordening (EU) 2016/679.
62
Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de
verblijfsdocumenten, beschikbaar via de volgende link:
https://www.ejustice.just.fgov.be/img l/pdf/1991/07/19/1991000380 N.pdf.
63
CBPL, aanbeveling nr. 03/2011 van 25 mei 2011 over het nemen van een kopie van de identiteitskaart en over het gebruik
en de elektronische lezing ervan, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-03-2011.pdf (pagina 7).
64
Krachtens artikel 4.11 van de AVG wordt toestemming gedefinieerd als "elke vrije, specifieke, geïnformeerde en
ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling
hem betreffende verwerking van persoonsgegevens aanvaardt”. (onderstreping toegevoegd)
Beslissing ten gronde 146/2024 –45 /71
239. Deze criteria garanderen dat elke persoon volledige controle behoudt over het gebruik van
zijn persoonsgegevens, met name wanneer het gaat om het lezen van zijn elektronische
identiteitskaart, waarvoor de Belgische wetgever een specifieke regeling heeft voorzien. In
Frankrijk heeft de Commission Nationale de l'Informatique et des Libertés zelfs geoordeeld
dat een elektronische identiteitskaart informatie bevat die kan worden beschouwd als
"zeer persoonlijke gegevens"65 .
240. De toestemming zorgt ervoor dat deze controle met volledige kennis van zaken wordt
uitgeoefend, zodat de betrokkene vrij kan beslissen of hij al dan niet akkoord gaat met het
gebruik van zijn gegevens in deze specifieke context. Deze keuze moet vrij en specifiek
worden gemaakt, d.w.z. betrekking hebben op een duidelijk omschreven doel. Bovendien is
de verplichting om een alternatief voor het gebruik van de eID-kaart aan te bieden
essentieel om te garanderen dat het gebruik van deze kaart een optie blijft en geen
verplichting.
241. In die zin beschermt artikel 6, § 4, van de wet van 1991 de burgers door ervoor te zorgen dat
de verwerking van hun identiteitsgegevens plaatsvindt in een transparant kader, met
respect voor hun privacy en in overeenstemming met de fundamentele beginselen van de
AVG. Het gebruik van toestemming, zoals bepaald in artikel 6.1.a) van de AVG, is dus de
juiste rechtsgrond voor de verwerkingen van het verzamelen en het mutualiseren van
persoonsgegevens.
242. Concluderend moet het verzamelen en het mutualiseren van persoonsgegevens
gebaseerd zijn op de toestemming van de betrokkenen, namelijk de klanten van de
winkelketens, in overeenstemming met artikel 6.1.a) van de AVG.
II.5.2. Vaststelling 1: wat betreft de geldigheid van de toestemming (5.1.a), 6.1.a), 7 en
5.2 van de AVG):
243. Eerst en vooral worden enkele toestemmingsmechanismen in herinnering gebracht die
door Freedelity en bepaalde winkelketens zijn ingevoerd. De winkelketens waarvan de
verwerkingen zijn onderzocht, bieden een alternatief voor het verzamelen van gegevens
via een identiteitskaart, namelijk het invullen van een handmatig formulier. Deze
verplichting is vastgelegd in de wet van 199166 en wordt bijvoorbeeld als volgt toegepast:
a) Om een profiel aan te maken op de website van Freedelity moet de betrokkene zijn
identiteitskaartnummer invullen en de knop "Ik ga akkoord met de registratie bij
Freedelity en onderschrijf het privacybeleid" (gekoppeld aan een link) activeren.
65
Zie in dit verband de doctrine van de Franse gegevensbeschermingsautoriteit (Commission Nationale de l'Informatique et
des Libertés), die van mening is dat het NIR [numéro d’inscription au répertoire] een "zeer persoonlijke gegeven" is:
https://www.cnil.fr/fr/tout-savoir-sur-le-decret-cadre-nir-dans-le-champ-de-la-sante
66
Artikel 6, § 4, van de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de
vreemdelingenkaarten en de verblijfsdocumenten, beschikbaar via de volgende link:
https://www.ejustice.just.fgov.be/img l/pdf/1991/07/19/1991000380 N.pdf.
Beslissing ten gronde 146/2024 –46 /71
b) Bij Winkelketen A wordt de consument bij een terminal met een startscherm
gevraagd zijn identiteitskaart in te voeren om zijn toestemming te geven, die
volgens de verweerder geacht moet worden verkregen wanneer de persoon zijn
kaart in de kaartlezer invoert en verder bladert op de pagina's van de terminal:
"Door uw identiteitskaart te gebruiken, gaat u ermee akkoord dat Winkelketen A
en Freedelity uw identiteitsgegevens gebruiken om u te informeren over acties die
aansluiten bij uw profiel en interesses en om de databanken van de commerciële
partners van Freedelity bij te werken. Meer informatie".
Als u op "Meer informatie" klikt, wordt een pagina geopend waarop Winkelketen A
drie verschillende doeleinden vermeldt waarvoor deze toestemming wordt
verkregen:
(i) De gegevens van de betrokkenen bijwerken in de databanken van
Winkelketen A en andere partners van Freedelity,
(ii) Winkelketen A toestaan om marketingacties uit te voeren op basis van de
registratie van het telefoonnummer en het e-mailadres,
(iii) Winkelketen A toestaan om een digitaal garantiebewijs (aankoopbewijs) te
versturen ter vervanging van het kassaticket.
c) Bij Winkelketen B worden via de terminals twee toestemmingsmechanismen
aangeboden: 1) "Ik ga ermee akkoord dat Winkelketen B mijn gegevens gebruikt
om mij te informeren over toekomstige acties op basis van mijn interesses", en 2)
"Ik ga ermee akkoord dat Freedelity, de partner van Winkelketen B die is
aangewezen om mijn klantenkaart te beheren, mijn gegevens in dit kader beheert,
mij informeert over acties op basis van mijn interesses en de databanken van de
partners van Freedelity bijwerkt". Op de website van Winkelketen B zijn echter drie
toestemmingsmechanismen aanwezig: 1) "Ik stem in met de registratie bij
Winkelketen B en ga akkoord met het privacybeleid [link]", 2) "Ik stem in met de
registratie bij Freedelity en ga akkoord met het privacybeleid [link]", 3) "Ik stem
ermee in om aanbiedingen per sms en e-mail van Winkelketen B te ontvangen".
d) Op de website van Winkelketen C worden bij de handmatige registratie drie
toestemmingsmechanismen aangeboden: 1) "Ik ga akkoord met de registratie, de
algemene voorwaarden [link] en het privacybeleid [link] van Freedelity", 2) "Ik ga
akkoord met de registratie en de algemene voorwaarden van Winkelketen C [link]",
3) "Ik ga akkoord met het ontvangen van aanbiedingen per sms en e-mail van
Winkelketen C".
244. De verweerder stelt dat de verschillende mechanismen voor het verkrijgen van
toestemming die door de winkelketens zijn ingesteld voor het verzamelen en mutualiseren
Beslissing ten gronde 146/2024 –47 /71
van persoonsgegevens, allemaal in overeenstemming zijn met de AVG. Met betrekking tot
haar drie bovengenoemde partners analyseert zij achtereenvolgens de kenmerken van de
toestemming om aan te tonen dat zij voldoen aan de vereisten van artikel 4.11 van de AVG.
Hoewel het niet mogelijk is om de argumentatie van de verweerder, die zich uitstrekt over
50 pagina's conclusie, in dit deel in detail weer te geven, zal de Geschillenkamer in haar
onderstaande analyse op de argumenten van de verweerder ingaan.
245. De Geschillenkamer verwijst naar haar voorgaande punten over de noodzaak om een
rechtsgrond te verkrijgen voor verwerkingen in de zin van artikel 5.1.a) van de AVG (zie punt
233 ) en toestemming als mogelijke rechtsgrond in de zin van artikel 6.1.a) van de AVG (zie
punt 234 ).
246. Zij herinnert eraan dat overeenkomstig artikel 4.11 van de AVG toestemming wordt
gedefinieerd als "elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting
waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve
handeling hem betreffende verwerking van persoonsgegevens aanvaardt ".
247. Artikel 7.1 van de AVG betreffende de voorwaarden voor toestemming bepaalt: "Wanneer
de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen
aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn
persoonsgegevens." Bovendien moet de verwerkingsverantwoordelijke kunnen aantonen
dat er geldige toestemming is gegeven (artikel 5.2 van de AVG).
248. Uit het onderzoek van de Inspectiedienst en de opmerkingen van Freedelity blijkt dat de
winkelketens contractueel zijn aangewezen als afzonderlijke
verwerkingsverantwoordelijken. De contractuele bepalingen leggen hen algemene
verplichtingen op om met Freedelity samen te werken, om geldige toestemming te
verkrijgen en om informatie te verstrekken aan de betrokkenen. De Geschillenkamer
herinnert eraan dat zij niet gebonden is aan een kwalificatie van de rol van de partijen zoals
die voortvloeit uit de tussen hen gesloten overeenkomsten.67
249. De Geschillenkamer stelt vast dat de verschillende mechanismen die in punt 243 worden
beschreven, aanzienlijk van elkaar verschillen en dat elk van hen op zijn manier niet voldoet
aan de essentiële criteria voor toestemming. De verweerder voert als algemeen argument
aan dat de richtsnoeren van de EDPB inzake toestemming, die ter ondersteuning van de
analyse van de Inspectiedienst worden gebruikt, niet tegen Freedelity kunnen worden
ingeroepen omdat ze na het onderzoek zijn aangenomen. Dit argument is niet relevant,
67
EDPB, Richtsnoeren 07/2020, punt 191.
Beslissing ten gronde 146/2024 –48 /71
aangezien deze richtsnoeren in wezen de bevindingen overnemen van de richtsnoeren
inzake toestemming die in 2017 door de Groep artikel 29 ("G29") zijn aangenomen 68 :
A) Vrije karakter van de toestemming. Om als vrij in de zin van artikel 4.11 van de AVG te
worden beschouwd, moet de betrokkene vrijelijk toestemming kunnen geven, d.w.z.
zonder druk of negatieve gevolgen te ondervinden indien hij de verwerking van zijn
persoonsgegevens weigert. De toestemming moet worden gegeven zonder dat er
andere voorwaarden aan verbonden zijn, en de betrokkene moet zijn toestemming
kunnen intrekken zonder nadeel te ondervinden69. Bovendien kan de houder van de
eID-kaart weigeren dat zijn gegevens worden gelezen en/of geregistreerd in het kader
van klantenbinding70, wat betekent dat hij de mogelijkheid moet hebben om zich aan te
melden voor een loyaliteitsprogramma zonder dat zijn eID-kaart wordt gelezen. In de
beschreven situaties wijzen verschillende elementen erop dat de toestemming niet vrij
is.
- Bij Winkelketen C vereisen de aangeboden diensten de aanvaarding van de algemene
voorwaarden van Freedelity als toestemming in de zin van artikel 6.1.a) van de AVG. Het
feit dat de betrokkene de algemene voorwaarden van Freedelity moet aanvaarden om
te kunnen profiteren van de commerciële voordelen die Winkelketen C biedt, toont aan
dat de betrokkenen geen keuzevrijheid hebben. Een dergelijke toestemming, die zowel
(i) de aanvaarding van de algemene voorwaarden van Freedelity als (ii) het verkrijgen
van toestemming (artikel 6.1.a) van de AVG) voor de verwerking van het verzamelen en
mutualiseren van persoonsgegevens omvat, gaat ten koste van de betrokkene en is
van nature niet vrij71 .
- Het is onjuist van de verweerder om te beweren dat wanneer de toestemming
afzonderlijk wordt gevraagd voor de verwerking van gegevens door (i) een winkelketen
en (ii) door Freedelity, deze omstandigheid de toestemming vrij maakt. Zelfs als aan alle
andere voorwaarden voor toestemming is voldaan, is het aan de verweerder om aan te
tonen dat de toestemming voor de verwerking door Freedelity volledig facultatief is,
zodat door het instellen van afzonderlijke toestemmingsmechanismen de betrokkene
niet hoeft in te stemmen met de door Freedelity en zijn partners aangeboden dienst van
68
G29, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, aangenomen op 28 november 2017,
beschikbaar via de volgende link: https://ec.europa.eu/newsroom/article29/items/623051/en.
69
EDPB, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening (EU) 2016/679 (v1.1), vastgesteld op 4 mei
2020, (hierna "Richtsnoeren 5/2020"), punt 13 e.v. , beschikbaar via de volgende link:
https://www.edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf.
70
Artikel 6, § 4, van de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de
vreemdelingenkaarten en de verblijfsdocumenten, beschikbaar via de volgende link:
https://www.ejustice.just.fgov.be/img l/pdf/1991/07/19/1991000380 N.pdf.
71
EDPB, Richtsnoeren 5/2020, punt 13 en volgende.
Beslissing ten gronde 146/2024 –49 /71
mutualisering om te kunnen profiteren van de commerciële voordelen die de
winkelketen biedt.
- In alle gevallen waarin de betrokkenen gedwongen worden om in te stemmen met de
verwerking van hun persoonsgegevens door Freedelity (met name het mutualiseren
van gegevens) om de gewenste commerciële voordelen te verkrijgen, is deze
toestemming ongeldig omdat zij niet vrijelijk is gegeven (zie met name het voorbeeld
van winkelketen A). De toestemming kan namelijk alleen vrij zijn als de betrokkene de
keuze heeft om het mutualiseren van zijn persoonsgegevens te aanvaarden of te
weigeren, als een dienst die hem afzonderlijk ten goede komt, los van de commerciële
voordelen die de winkelketen in kwestie biedt.
B) Specifiek karakter van de toestemming. Om als specifiek te worden beschouwd in de zin
van artikel 4.11 van de AVG, moet de toestemming betrekking hebben op specifieke en
afzonderlijke doeleinden. Elk doel moet duidelijk van de andere worden gescheiden om te
voorkomen dat de verzamelde gegevens worden gebruikt voor doeleinden die niet vooraf
duidelijk aan de betrokkene zijn meegedeeld 72. In alle beschreven gevallen is de
toestemming niet specifiek:
- Op de website van Freedelity omvat het verzoek om toestemming voor het aanmaken
van een profiel de verplichting om het identiteitskaartnummer in te vullen en het
privacybeleid te aanvaarden. In tegenstelling tot wat de verweerder beweert, maakt de
aanwezigheid van een link naar het privacybeleid met meer informatie over de
verwerking de toestemming niet specifiek. De Geschillenkamer merkt namelijk op dat
het verzoek algemeen is en geen onderscheid maakt tussen de toestemming (i) voor
het aanmaken van een account en (ii) voor het latere gebruik van de gegevens om het
gedeelde Freedelity-bestand te voeden met gegevens die door andere partners zijn
verzameld. Door het ontbreken van een precisering van elk doel kan de betrokkene de
verschillende vormen van gebruik van zijn persoonsgegevens niet begrijpen en er niet
afzonderlijk toestemming voor geven.
- Bij Winkelketen A maakt de terminal geen specifieke toestemming mogelijk: door zijn
identiteitskaart in te voeren, stemt de betrokkene in het algemeen in met het gebruik
van zijn gegevens voor drie verschillende doeleinden (bijwerking van de databanken
van Freedelity, marketingacties en verzending van digitale garantiebewijzen). Elk doel
zou echter moeten worden voorgesteld als een afzonderlijk verzoek om toestemming
om de controle over de gegevens van de gebruiker te garanderen, wat in dit geval niet
het geval is. De Geschillenkamer betwist de beweringen van de verweerder dat de
richtsnoeren van de EDPB inzake toestemming niet verbieden dat meerdere
72
EDPB, Richtsnoeren 5/2020, punt 55 e.v.
Beslissing ten gronde 146/2024 –50 /71
doeleinden met elkaar worden verbonden. De Geschillenkamer verwijst naar de versie
van deze richtsnoeren die in 2017 door de G29 is aangenomen.73
- Winkelketen B en winkelketen C bieden verschillende toestemmingsmechanismen aan
via een systeem van terminals (alleen winkelketen B) en hun websites, maar de
structuur van deze opties is verwarrend. Op de terminal van Winkelketen B verenigt de
toestemming voor de verwerkingsactiviteiten van Freedelity verschillende
afzonderlijke doeleinden. Op de websites van deze winkelketens zijn de
toestemmingen niet specifiek gekoppeld aan duidelijke en afzonderlijke doeleinden. Zo
wordt bijvoorbeeld niet vermeld of de verzamelde gegevens uitsluitend door
winkelketen B worden gebruikt of dat ze worden gedeeld in het Freedelity-bestand, dat
toegankelijk is voor andere partners. Een specifieke toestemming vereist dat de
doeleinden van Winkelketen B en de gemeenschappelijke doeleinden van Winkelketen
B en Freedelity worden gescheiden, om de uitdrukkelijke toestemming van de
betrokkene te verkrijgen voor het delen en bijwerken van zijn persoonsgegevens in het
Freedelity-bestand, met behulp van de bijdragen van de partners van Freedelity.
250. C) Geïnformeerd karakter van de toestemming. De AVG vereist dat de toestemming
geïnformeerd is, d.w.z. dat de betrokkenen precies begrijpen waarmee zij instemmen 74 .
Bovendien zijn de minimumvereisten voor geïnformeerde toestemming opgenomen in de
richtsnoeren inzake toestemming75 en omvatten zij met name (i) de identiteit van de
verwerkingsverantwoordelijke, (ii) het doel van elke verwerking waarvoor toestemming
wordt gevraagd, (iii) de (soorten) gegevens die worden verzameld en gebruikt, (iv) het
bestaan van het recht om de toestemming in te trekken (enz.). Met betrekking tot de punten
(i) en (iii) wijst het EDPB erop dat indien de gevraagde toestemming als basis moet dienen
voor meerdere (gezamenlijke) verwerkingsverantwoordelijken of indien de gegevens
moeten worden doorgegeven aan of verwerkt door andere
verwerkingsverantwoordelijken die zich op de oorspronkelijke toestemming willen
baseren, al deze organisaties moeten worden genoemd.
73
Zie Richtsnoeren 5/2020, punt 58: "Onverminderd de bepalingen inzake compabiliteit van doeleinden moet toestemming
specifiek voor het doel zijn." "Indien een verwerkingsverantwoordelijke op basis van toestemming gegevens verwerkt, en de
gegevens ook voor een ander doel wil verwerken, moet deze verwerkingsverantwoordelijke vragen om aanvullende
toestemming voor dit andere doel, tenzij er een andere rechtsgrond is die beter bij de situatie past.", dat op dit punt een
standpunt overneemt dat al sinds de publicatie van de eerder genoemde richtsnoeren van de G29 inzake toestemming uit
2017 vaststaat (zie blz. 12).
74
EDPB, Richtsnoeren 5/2020, punt 62 e.v.
75
EDPB, Richtsnoeren 5/2020, punten 64 en 65.
Beslissing ten gronde 146/2024 –51 /71
251. De wet van 199176 vereist ook dat er "geïnformeerde" toestemming wordt gegeven in geval
van elektronische lezing van de informatie op de identiteitskaart. In de beschreven situaties
kan de toestemming niet als geïnformeerd worden beschouwd:
- Op de websites van Freedelity, Winkelketen B en Winkelketen C wordt het concept van
mutualisering, waarbij gegevens moeten worden gedeeld met de partners van
Freedelity, op geen enkele wijze uitgelegd aan de betrokkene bij het verkrijgen van zijn
toestemming. Deze informatie is echter essentieel om de betrokkenen de verwerking
van hun persoonsgegevens te laten begrijpen, waardoor de toestemming niet
geïnformeerd is. Het feit dat de categorieën van ontvangers worden vermeld in het
privacybeleid van Freedelity volstaat niet om de toestemming geïnformeerd te maken,
zoals de verweerder beweert, aangezien deze afzonderlijke verplichting wordt geregeld
door de transparantieverplichtingen van de artikelen 13 en 14 van de AVG.
- Op de terminals van Winkelketen A en Winkelketen B wordt weliswaar min of meer
direct verwezen naar het concept van mutualisering, maar worden de ontvangers van de
persoonsgegevens niet vermeld. Omdat elke ontvanger van de gegevens als
(gezamenlijke) verwerkingsverantwoordelijke met Freedelity optreedt, en dus als
potentiële ontvanger van de door de andere gezamenlijke
verwerkingsverantwoordelijken van Freedelity verzamelde gegevens, is het van
essentieel belang om de betrokkene te informeren door hem de identiteit van de
ontvangers van deze gegevens mee te delen. Zij moesten dus individueel worden
genomed, anders kon de toestemming niet als geïnformeerd en dus geldig worden
beschouwd. De richtsnoeren inzake toestemming, zowel in hun vorige versie 77 als in hun
huidige versie78 , vermelden dit punt specifiek. Dit verzuim, dat in strijd is met de AVG,
wordt verergerd door de omstandigheden van de verwerking, die de elektronische
verzameling van bijzonder gevoelige identiteitsgegevens vereisen, en de
daaropvolgende geautomatiseerde uitwisseling ervan tussen
verwerkingsverantwoordelijken in geval van een update van deze gegevens.
D) Ondubbelzinnigheid van de toestemming. Om als ondubbelzinnig te worden beschouwd,
moet de toestemming het resultaat zijn van een duidelijke positieve handeling van de
betrokkene. Deze eis sluit elke dubbelzinnigheid uit: de handeling waarmee de betrokkene
toestemming geeft, moet duidelijk te onderscheiden zijn van andere mogelijke
76
Artikel 6, § 4, van de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de
vreemdelingenkaarten en de verblijfsdocumenten, beschikbaar via de volgende link:
https://www.ejustice.just.fgov.be/img l/pdf/1991/07/19/1991000380 N.pdf.
77
G29, Richtlijnen inzake toestemming overeenkomstig Verordening 2016/679, vastgesteld op 28 november 2017: ““With
regard to item (i) and (iii), WP29 notes that in a case where the consent sought is to be relied upon by multiple (joint) controllers
or if the data is to be transferred to or processed by other controllers who wish to rely on the original consent, these
organisations should all be named” (pagina 13).
78
EDPB, Richtsnoeren 5/2020, punt 65.
Beslissing ten gronde 146/2024 –52 /71
handelingen, met name het gewoon doorgaan met surfen79. De Geschillenkamer merkt op
dat de toestemming om de volgende redenen niet als ondubbelzinnig kan worden
beschouwd:
- In het geval van Winkelketen A is de verweerder van mening dat de persoon die zijn
identiteitskaart in een lezer steekt en op een groene knop klikt om verder te surfen,
ondubbelzinnig toestemming geeft. In tegenstelling tot wat de verweerder beweert, is
het louter surfen van pagina naar pagina op een terminal door op een groene knop te
drukken om verder te gaan, niet gelijk aan een duidelijke uiting van toestemming.
Volgens de Geschillenkamer voldoet het simpelweg klikken op de groene knop om van
pagina naar pagina te navigeren niet aan de vereisten voor geldige toestemming,
overeenkomstig artikel 4.11 van de AVG.80
- Het achtereenvolgens navigeren van de ene pagina naar de andere kan namelijk even
goed duiden op het verkennen van de mogelijkheden of het lezen van de informatie, in
plaats van op het goedkeuren van een specifieke gegevensverwerking. Het
doorbladeren van pagina's, zelfs met een terugkeeroptie (via een rode knop), blijft
dubbelzinnig en kan verschillende dingen betekenen: verkennen, zoeken naar meer
informatie of gewoon browsen, zonder dat de intentie om toestemming te geven
ondubbelzinnig kan worden afgeleid. Om de toestemming ondubbelzinnig te maken,
zou de terminal dus een expliciet mechanisme moeten bevatten om toestemming te
vragen, zoals een specifieke en speciale knop, zo geformuleerd dat de betrokkene
ondubbelzinnig begrijpt dat hij door erop te klikken toestemming geeft voor de
verwerking van zijn persoonsgegevens.
252. De Geschillenkamer wijst erop dat de bovengenoemde voorbeelden beperkt blijven tot drie
specifieke gevallen die door Freedelity zijn beschreven, waarin weliswaar geen geldige
toestemming is verkregen, maar wel daadwerkelijk toestemming is verkregen. Zij merkt
echter op dat Freedelity geen bewijs levert van het bestaan van enige vorm van
toestemming door de andere partners van Freedelity81 .
253. Tot slot stelt de Geschillenkamer dat de mechanismen die door de winkelketens zijn
ingesteld om te voldoen aan de artikelen 5.1.a) en 6.1.a) van de AVG, niet voldoende zijn
om te kunnen concluderen dat er geldige toestemming is verkregen, wat in strijd is met
de artikelen 5.2 en 7 van de AVG.
II.5.3. Vaststelling 2: Maatregelen die zijn genomen voor het faciliteren van het recht
om toestemming te allen tijde in te trekken (art. 7.3, 5.2, 24 en 25 van de AVG)
79
EDPB, Richtsnoeren 5/2020, punt 75 e.v.
80
Zie ook EDPB, Richtsnoeren 5/2020.
81
Op 12 november 2020 waren er vijf klanten die gebruik maakten van terminals (pagina 8 van de antwoorden van de
verweerder op de vragen van de Inspectiedienst van 29 oktober 2020).
Beslissing ten gronde 146/2024 –53 /71
254. Volgens de verweerder kunnen betrokkenen die hun toestemming voor de verwerking van
hun gegevens door Freedelity willen intrekken, dit doen door naar het tabblad "Mijn profiel"
van het MyFreedelity-portaal te gaan en de knop "Validatie en bijwerking van mijn
gegevens bij klanten van Freedelity" desactiveren. Wat Winkelketen A betreft, geeft
Freedelity aan dat de mogelijkheid voor de betrokkene om terug te keren naar de vorige
pagina door op een rode knop met een kruisje te klikken, gelijkstaat aan het recht om de
toestemming in te trekken. Hij is van mening dat bij bepaalde winkelketens "het feit dat de
betrokkene de mogelijkheid heeft om zijn account gewoon niet te bevestigen, een extra
manier is die Freedelity hem biedt om zijn toestemming voor de verwerking van zijn
gegevens in te trekken".
255. Hij legt ook uit dat de betrokkene zijn verzoek tot intrekking altijd per e-mail of per post kan
indienen, of zijn verzoek kan formuleren bij de verkoper van de winkelketen. In die zin is
Freedelity van mening dat zij de betrokkenen in staat stelt hun toestemming op elk moment
in te trekken. Ondanks deze maatregelen, die het bedrijf als voldoende beschouwt, geeft
Freedelity toe dat het bezig is met het aanpassen van de schermen van de terminals, zodat
de betrokkene zijn accounts rechtstreeks via de terminal kan verwijderen.
256. De Geschillenkamer herinnert eraan dat artikel 7.3 van de AVG bepaalt: "De betrokkene
heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de
toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór
de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij
daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het
geven ervan." De artikelen 24.1 en 5.2 van de AVG leggen verantwoordingsverplichtingen
(accountability) op aan de verwerkingsverantwoordelijke, door hem op te leggen te
aantonen dat de verwerking in overeenstemming met de AVG plaatsvindt.
257. Artikel 25.1 van de AVG verplicht de verwerkingsverantwoordelijke om door ontwerp en
door standaardinstellingen maatregelen voor gegevensbescherming toe te passen, met
name op basis van de aard, de reikwijdte en de risico's van de verwerking voor de rechten
en vrijheden van de betrokkenen. Het vereist de invoering van technische en
organisatorische maatregelen om de naleving van de AVG te waarborgen.
258. In dit geval wordt Freedelity verweten dat het geen voldoende eenvoudige en directe
middelen heeft ingesteld om de toestemming in te trekken. Hoewel er opties bestaan via
het MyFreedelity-portaal en de terminals in de winkels, voldoen deze middelen niet aan de
vereiste eenvoud van artikel 7.3 van de AVG, volgens welke het intrekken van toestemming
even eenvoudig moet zijn als het geven ervan. Het feit dat de betrokkenen door
verschillende tabbladen of interfaces moeten navigeren en dat er geen expliciete en
onmiddellijke optie voor intrekking is, kan consumenten ontmoedigen om hun
toestemming in te trekken.
Beslissing ten gronde 146/2024 –54 /71
259. Het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen, zoals
vastgelegd in artikel 25 van de AVG, verplicht de verwerkingsverantwoordelijke om
passende technische en organisatorische maatregelen te nemen om de bescherming van
persoonsgegevens te waarborgen, met name met betrekking tot de rechten van de
betrokkenen. Dit beginsel van bescherming door standaardinstellingen had Freedelity
ertoe moeten brengen om, nog vóór de verwerking plaatsvond, mechanismen voor
intrekking rechtstreeks op de terminals zelf in te bouwen. Het feit dat de interfaces van de
terminals moeten worden herzien om de intrekking van de toestemming te faciliteren, wijst
op een gebrek aan anticipatie ten aanzien van de vereisten inzake gegevensbescherming
door standaardinstellingen, die als leidraad hadden moeten dienen bij het oorspronkelijke
ontwerp van het systeem.
260. Freedelity heeft een systeem ingevoerd waarbij het recht op intrekking, zoals het
momenteel wordt voorgesteld, niet volledig voldoet aan de eisen van eenvoud en
toegankelijkheid die in de AVG zijn vastgelegd. Overeenkomstig de richtsnoeren inzake
toestemming82 kan een toestemmingsmechanisme niet als AVG-conform worden
beschouwd als niet daadwerkelijk aan de voorwaarden voor het recht op intrekking wordt
voldaan. Het feit dat de betrokkenen verschillende stappen of interfaces moeten
doorlopen om hun toestemming in te trekken, in plaats van een rechtstreeks in de terminals
geïntegreerde mogelijkheid tot intrekking, voldoet niet aan de voorwaarden voor
intrekking van toestemming zoals bepaald in artikel 7.3 van de AVG.
261. Concluderend is de Geschillenkamer van mening dat Freedelity niet heeft voldaan aan
de documentatie- en verantwoordingsvereisten van de artikelen 24 en 5.2 van de AVG
met betrekking tot het intrekken van toestemming, aangezien de huidige mechanismen
geen eenvoudige en directe intrekking van toestemming mogelijk maken (art. 7.3 van de
AVG), in overeenstemming met het beginsel van gegevensbescherming door ontwerp
(art. 25 van de AVG).
II.5.4. Vaststelling 3: maatregelen die zijn genomen om aan te tonen dat de
verzamelde toestemmingen in overeenstemming zijn met de AVG (art. 5.2, 24 en
25 van de AVG)
262. De verweerder stelt dat zijn standaardcontract winkels verplicht om kwalitatief
hoogstaande toestemming te verkrijgen, in combinatie met een clausule waarin is bepaald
dat de winkel Freedelity schadeloos zal stellen in geval van een tekortkoming met
betrekking tot het verkrijgen van toestemming of de kwaliteit van de toestemming. Zij
geeft ook aan dat haar toestemmingsregister belangrijke informatie bevat, zoals de datum
van de toestemming, de toestemmingslog en de bron van de toestemming.
82
EDPB, Richtsnoeren 5/2020, punt 116.
Beslissing ten gronde 146/2024 –55 /71
263. De Geschillenkamer herinnert eraan dat artikel 5.2 het verantwoordingsbeginsel
(accountability) vastlegt en vereist dat de verwerkingsverantwoordelijke kan aantonen dat
hij bij zijn gegevensverwerking de beginselen van de AVG naleeft. Artikel 24 vult deze
verplichting aan door de verwerkingsverantwoordelijken te verplichten technische en
organisatorische maatregelen te nemen die zijn afgestemd op de aard, de omvang, de
context en de doeleinden van de verwerking, evenals op de risico's voor de rechten van de
betrokkenen, met een verplichting tot voortdurende herziening om de naleving te
waarborgen. Artikel 25.1 legt ten slotte de verplichting vast om gegevens door ontwerp en
door standaardinstellingen te beschermen, wat inhoudt dat er concrete maatregelen
moeten worden genomen die moeten worden toegepast vanaf het moment dat de
verwerkingsmiddelen worden gedefinieerd. Deze vaststelling beperkt zich tot het
onderzoeken van de maatregelen die zijn genomen om de geldigheid van de verzamelde
toestemming te waarborgen.
264. In dit geval moet Freedelity, waarvan de rol als verwerkingsverantwoordelijke niet wordt
betwist, deze verantwoordingsbeginselen naleven door aan te tonen dat de verkregen
toestemmingen in overeenstemming zijn met de vereisten van de AVG. Wanneer de
verwerking op toestemming is gebaseerd, moet de verwerkingsverantwoordelijke namelijk
kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van
zijn persoonsgegevens (artikel 7.1 van de AVG). Overweging 42 bepaalt: " Indien de
verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de
verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft
gegeven voor de verwerking."
265. Freedelity legt in zijn antwoorden op de vragen van de Inspectiedienst uit83 : "Het beheer
van de toestemming en het verkrijgen ervan is aangepast aan elke klant. Het informatica-
e aspect van het beheer van deze toestemming binnen de software is complex en op zich
niet gedocumenteerd". Voor zover deze toestemming aan elke klant kan worden
aangepast, althans op het niveau van de Freedelity-terminals, vraagt de Geschillenkamer
zich af waarom Freedelity niet heeft gezorgd voor een kwalitatief hoogstaande
toestemming voor het verzamelen en mutualiseren van gegevens op het niveau van de
terminals zelf.
266. Bovendien merkt de Geschillenkamer op dat Freedelity op basis van de overeenkomsten
die het met de winkelketens heeft gesloten, niet kan aantonen dat het voor elke
betrokkene een geldige toestemming heeft verkregen die systematisch in
overeenstemming is met de AVG. Door zich te beperken tot het eisen van "kwalitatief
83
Zie pagina 12 van de antwoorden van Freedelity op de vragen van de Inspectiedienst van 29 oktober 2020.
Beslissing ten gronde 146/2024 –56 /71
hoogstaande toestemming" per geval, loopt Freedelity het risico dat bepaalde
toestemmingsformulieren niet conform zijn.
267. Zonder vooruit te lopen op de maatregelen die hadden kunnen worden overwogen om
naleving mogelijk te maken, merkt de Geschillenkamer op dat de volgende maatregelen in
dit geval volledig haalbaar waren om Freedelity te garanderen dat het zou voldoen aan de
vereisten van de AVG, gelet op de risico's die de betrokken verwerking met zich meebracht:
- Freedelity had een specifiek model kunnen opstellen voor het verkrijgen van
geldige toestemming met betrekking tot het verzamelen en mutualiseren van
identificatie- en contactgegevens, rechtstreeks geïntegreerd in de Freedelity-
terminals.
- Voor winkelketens die zelf toestemmingsmechanismen wilden implementeren
(bijvoorbeeld via hun websites), had Freedelity een nauwkeurig model voor het
verkrijgen van toestemming kunnen opstellen, beschreven in zijn contracten met
de winkelketens.
- Indien nodig, had Freedelity de winkelketens kunnen vragen om na afloop van de
implementatie het bewijs te leveren dat zij een geldig toestemmingsmechanisme
hadden ingevoerd, en aan deze verplichting een auditclausule te koppelen
waardoor Freedelity tijdig de conformiteit van het toestemmingsmechanisme kon
controleren.
268. De Geschillenkamer benadrukt dat een verwerkingsverantwoordelijke, zelfs in een context
van gezamenlijke verantwoordelijkheid84, zich niet kan onttrekken aan deze verplichting
om aan te tonen dat geldige toestemming is verkregen.
269. De verplichting alleen om Freedelity te vergoeden in geval van het verkrijgen van ongeldige
toestemming, volstaat op zich niet om aan te tonen dat de maatregelen die zijn genomen
om het verkrijgen van geldige toestemming te garanderen, toereikend zijn. Dergelijke
contractuele maatregelen hadden namelijk moeten worden aangevuld met passende
technische en organisatorische maatregelen. Bovendien is het bestaan van een register
dat alleen informatie bevat over het bestaan van een toestemmingsmechanisme evenmin
voldoende, aangezien op basis daarvan alleen kan worden vastgesteld dat toestemming is
verkregen. Uit een dergelijk register kan noch de kwaliteit van de toestemming, noch het
voor Freedelity specifieke karakter ervan worden afgeleid.
84
Zie in dit verband de beslissing IAB van de Geschillenkamer van 2 februari 2022, nr. 21/2022, beschikbaar via de volgende
link: https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-21-2022-en.pdf
En de beraadslaging van de beperkte samenstelling van de CNIL, de Franse gegevensbeschermingsautoriteit, nr. SAN-2023-
009 van 15 juni 2023 betreffende de onderneming CRITEO, beschikbaar via de volgende link:
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000047707063. Tegen deze beslissing is momenteel beroep aangetekend
bij de Franse Raad van State.
Beslissing ten gronde 146/2024 –57 /71
270. In deze omstandigheden is de Geschillenkamer van oordeel dat Freedelity niet de nodige
maatregelen heeft genomen om aan te tonen dat de toestemming die is verkregen voor
het verzamelen en het mutualiseren van gegevens in overeenstemming is met de AVG
in de zin van de artikelen 5.2, 24 en 25 van de AVG.
II.5.5. Vaststelling 4: beginsel van minimale gegevensverwerking van
persoonsgegevens (art. 5.1.c) van de AVG) en beginsel van gegevensbescherming
door standaardinstellingen (art. 25.1 van de AVG)
271. De verweerder stelt dat, gelet op de grote hoeveelheid persoonsgegevens die door
Freedelity wordt verwerkt, een afweging moet worden gemaakt tussen het beginsel van
minimale gegevensverwerking (art. 5.1.c) van de AVG) en het beginsel van juistheid (art.
5.1.d) van de AVG). Hij wijst erop dat hij, om zijn taken naar behoren te kunnen uitvoeren, het
risico op verwarring tussen personen snel moet beperken, dubbele informatie moet
vermijden en eventuele fraude moet opsporen, vandaar de grote hoeveelheid verzamelde
informatie. Ten slotte stelt hij dat het registreren van wijzigingen in het post- of e-mailadres
noodzakelijk is om consumenten promotionele aanbiedingen, reclame of andere informatie
te laten ontvangen en om te voorkomen dat nieuwe huurders of kopers ongewenste
reclame ontvangen.
272. De Geschillenkamer herinnert eraan dat het beginsel van minimale gegevensverwerking,
zoals vastgelegd in artikel 5.1.c) van de AVG, vereist dat de verzamelde persoonsgegevens
toereikend moeten zijn, ter zake dienend en beperkt tot wat strikt noodzakelijk is voor de
doeleinden waarvoor zij worden verwerkt. Met andere woorden, alleen gegevens die
onmisbaar zijn voor het bereiken van de doelstellingen van de verwerking mogen worden
verzameld, zodat overmatige verzameling van informatie die niet direct nuttig of
gerechtvaardigd is voor de beoogde doeleinden, wordt voorkomen. Zoals eerder vermeld,
legt artikel 25.1 van de AVG de verplichting vast om gegevens door ontwerp en door
standaardinstellingen te beschermen, wat inhoudt dat er concrete maatregelen moeten
worden genomen die moeten worden toegepast vanaf het moment dat de
verwerkingsmiddelen worden gedefinieerd.
273. De Inspectiedienst heeft aangegeven dat met betrekking tot de verwerking(en) voor
registratie in het "Freedelity-bestand" en voor de mutualisering van gegevens met klanten
en partners van Freedelity, met name de volgende persoonsgegevens worden verwerkt:
- Identificatiegegevens, namelijk: "naam, voorna(a)m(en), geslacht, plaats en datum van
geboorte, nationaliteit, woonadres, identiteitskaartnummer 85 , gemeente van afgifte van de
identiteitskaart, geldigheidsdatum van de identiteitskaart en historiek van deze gegevens";
en
85
Het identiteitskaartnummer is een identificatienummer dat verschilt van het rijksregisternummer (RRN), dat Freedelity
naar eigen zeggen niet verzamelt.
Beslissing ten gronde 146/2024 –58 /71
- Contactgegevens: "uw e-mailadres, telefoonnummer/gsm-nummer en de geschiedenis
van deze gegevens".
274. Bovendien vermeldt de aanbeveling van 2011 van de CBPL: "Bepaalde handelspraktijken
doen de Commissie nadenken over het gebruik van de identiteitskaart
alsgetrouwheidskaart. (...) De klanten moet die keuze aangeboden krijgen op een
transparante, welomschreven manier zodra aan hem een getrouwheidssysteem wordt
aangeboden. Het proportionaliteitsbeginsel van de WVP vereist overigens dat in dit kader
uitsluitend de noodzakelijke gegevens van de identiteitskaart wordt gelezen. Er kan in geen
geval sprake van zijn om voor dit doel de foto van de kaarthouder te verwerken, noch het
nummer van zijn identiteitskaart, het identificatienummer van zijn Rijksregister, [noch zijn
nationaliteit (ontbreekt in de Nederlandse versie/vertaling van de aanbeveling)] of zijn
geboorteplaats.” (onderstreping toegevoegd) De onderstreepte gegevens worden echter
wel door Freedelity verzameld.86 In tegenstelling tot wat de verweerder beweert, heeft de
CBPL deze praktijk dus niet alleen nooit goedgekeurd, maar heeft het in haar advies ook de
voorwaarden voor een rechtmatige verwerking van identiteitskaartgegevens beperkt.
275. A fortiori zijn gegevens zoals de gemeente van afgifte van de identiteitskaart, de
geldigheidsdatum van de identiteitskaart en de geschiedenis van deze gegevens niet
relevant in het kader van de verwerking door Freedelity en de winkelketens. Deze gegevens
staan overigens meestal niet op het handmatige verzamelformulier dat door bepaalde
winkelketens wordt gebruikt, wat aantoont dat ze niet nuttig zijn en dus ook niet
noodzakelijk voor de uitvoering van de verwerking.
276. Zoals de Inspectiedienst terecht opmerkt, had Freedelity slechts enkele gegevens nodig
om volledig te voldoen aan de beginselen van minimale gegevensverwerking en juistheid
van de AVG in het kader van het voeden van het Freedelity-bestand. De Geschillenkamer is
van mening dat de naam, voornaam en contactgegevens (postadres, e-mailadres of
telefoonnummer) voldoende zijn om een voldoende nauwkeurige indicatie te geven van de
betrokkene, gelet op het doel van de verwerking, waarvoor geen onweerlegbare
identificatie van de identiteit van de betrokkene nodig is. Deze gegevens hadden vanaf het
begin van de verwerking als enige kunnen worden verzameld, zonder dat dit een invloed
had gehad op de werking van het Freedelity-bestand.
277. Het risico dat er verouderde gegevens in het Freedelity-bestand staan, rechtvaardigt niet
het verzamelen van een tiental aanvullende en facultatieve gegevens. Bovendien geldt dat
hoe meer persoonsgegevens worden verzameld, hoe moeilijker het is om zowel het
beginsel van juistheid als het beginsel van minimale gegevensverwerking na te leven. De
86
CBPL, aanbeveling nr. 03/2011 van 25 mei 2011 over het nemen van een kopie van de identiteitskaart en over het gebruik
en de elektronische lezing ervan, beschikbaar via de volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-03-2011.pdf.
Beslissing ten gronde 146/2024 –59 /71
argumenten van de verweerder op dit punt zijn dan ook niet overtuigend. De
Geschillenkamer maakt zich vooral zorgen over de gevolgen voor de betrokkenen in geval
van een gegevensinbreuk, gezien de hoeveelheid en de nauwkeurigheid van de gegevens.
De massale centralisatie van gegevens van een groot deel van de bevolking en de
rechtstreeks op hun identiteitskaart verzamelde gegevens vormen namelijk een groot
risico voor de privacy van miljoenen consumenten.
278. Om deze redenen is de Geschillenkamer van oordeel dat Freedelity het beginsel van
minimale gegevensverwerking van persoonsgegevens (art. 5.1.c) van de AVG) en het
beginsel van gegevensbescherming door standaardinstellingen (art. 25.1 van de AVG)
heeft geschonden.
II.5.6. Vaststelling 5: het beginsel van opslagbeperking van persoonsgegevens (art.
5.1.e), 5.2, 24 en 25.1 van de AVG)
279. De verweerder beweert dat het bewaren van gegevens gedurende 8 jaar in het kader van
het beheer van het Freedelity-bestand passend is. Het beginpunt van deze bewaartermijn
wordt volgens de verweerder berekend op basis van de laatste "activiteit" van de
betrokkene (bijvoorbeeld: afrekenen aan de kassa).
280. Hij vindt dat de bewaartermijn van 8 jaar in de eerste plaats gerechtvaardigd is door het
specifieke doel van het Freedelity-bestand, dat een regelmatige actualisering en
onmiddellijke toegankelijkheid van de gegevens vereist. Vervolgens wijst hij op het
legitieme economische belang om de gegevens gedurende een voldoende lange periode
te bewaren om een optimale benutting van zijn dienst mogelijk te maken. Deze
bewaartermijn is ook gerechtvaardigd om boekhoudkundige en fiscale redenen, zowel voor
de klanten als voor het bedrijf zelf. Zij wijst erop dat de wettelijke garantie van twee jaar op
consumptiegoederen87, die door handelaars kan worden verlengd, een langere
bewaartermijn van de gegevens vereist dan de strikte termijn van twee jaar die door de
Inspectiedienst wordt voorgesteld.
281. De Geschillenkamer herinnert eraan dat overeenkomstig artikel 5.1.e) van de AVG
gegevens moeten worden bewaard op een wijze die garandeert dat zij niet langer in een
vorm worden bewaard die het mogelijk maakt de betrokkenen te identificeren dan voor de
doeleinden waarvoor ze worden verwerkt noodzakelijk is. De
verwerkingsverantwoordelijke is verantwoordelijk voor de eerbiediging van dit beginsel en
moet kunnen aantonen dat het wordt nageleefd (art. 5.2 en 24 van de AVG). De
87
Artikel 1649quater van het Burgerlijk Wetboek.
Beslissing ten gronde 146/2024 –60 /71
Geschillenkamer verwijst naar haar eerdere vaststellingen met betrekking tot artikel 25
van de AVG (zie punt 263 ).
282. De Geschillenkamer stelt vast dat de argumenten van de verweerder niet volstaan om een
dergelijke lange bewaartermijn te rechtvaardigen. Hoewel het regelmatig bijwerken van
het bestand en de onmiddellijke toegankelijkheid van de gegevens noodzakelijk zijn om een
kwalitatief hoogstaande klantenservice te garanderen, moet worden benadrukt dat deze
doelstellingen kunnen worden bereikt met een bewaartermijn die aanzienlijk korter is dan
8 jaar.
283. Wat de door de verweerder aangevoerde bewaartermijnen betreft, stelt de
Geschillenkamer vast dat deze voornamelijk van toepassing zijn op andere doeleinden dan
het beheer van het Freedelity-bestand, en waarvoor Freedelity niet optreedt als
verwerkingsverantwoordelijke. De wettelijke voorschriften inzake garanties hebben
namelijk hoofdzakelijk betrekking op de relaties tussen de consument en de verkoper. De
wettelijke verplichtingen van Freedelity op het gebied van gegevensbewaring kunnen dus
niet uitsluitend op deze voorschriften worden gebaseerd.
284. Bovendien is het Freedelity-bestand niet het geschikte medium om gegevens op te slaan
die op dergelijke, voor klanten specifieke voorschriften zijn gebaseerd. De CustoCentrix-
databank is namelijk degene die in de vorm van silo's 88 de gegevens opslaat die specifiek
zijn voor elke winkelketen en waarvan de verwerking door elk van de winkelketens aan
Freedelity wordt uitbesteed. In die zin, en op basis van de antwoorden van Freedelity aan
de Inspectiedienst89, zou de specifieke silo voor elke klant kunnen dienen als tussentijdse
archivering90 van gegevens waarvan de bewaring in de actieve databank, in het Freedelity-
bestand, niet langer gerechtvaardigd is.
285. In dit geval is de Kamer van oordeel dat een bewaartermijn van maximaal 3 jaar vanaf de
laatste activiteit voldoende zou zijn om aan de behoeften van de verweerder te voldoen,
met inachtneming van de rechten van de betrokken personen. Deze termijn is in
overeenstemming met de huidige praktijken die worden aanbevolen door de Commission
Nationale de l’Informatique et des Libertés91. De Geschillenkamer meent dat een
consument die gedurende een periode van twee tot drie jaar geen activiteit heeft vertoond
bij de partnerwinkelketens van Freedelity, kan worden verondersteld niet langer gebruik te
88
Zoals Freedelity in zijn White Paper van 2020 (pagina 5) uitlegt: "de eigen databank van elke klant binnen CustoCentrix met
de gegevens van consumenten die niet met andere klanten kunnen worden gedeeld en waarvoor Freedelity optreedt als
verwerker in de zin van de regelgeving inzake gegevensbescherming". (vrije vertaling)
89
Zie pagina 22 van de antwoorden van Freedelity op de aanvullende vragen van de Inspectiedienst van 29 oktober 2021.
90
De begrippen "archivage intermédiaire” (tussentijdse archivering) en "base active” (actieve databank) worden door de CNIL
gebruikt in haar referentiekaders voor gegevensbewaring. Zie bijvoorbeeld dit artikel van de CNIL over het bepalen van
bewaartermijnen: https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees.
91
« Référentiel de la CNIL sur les traitements de données à caractère personnel – gestion des activités commerciales »
https://www.cnil.fr/sites/cnil/files/atoms/files/referentiel traitements-donnees-caractere-personnel gestion-activites-
commerciales.pdf (pagina 5)
Beslissing ten gronde 146/2024 –61 /71
willen maken van de diensten die aan dit bestand zijn gekoppeld. Het is namelijk redelijk om
aan te nemen dat een dergelijke consument alle interesse in dit soort
loyaliteitsprogramma's heeft verloren.
286. In deze context staat het de verweerder vrij om een mechanisme in te voeren voor
regelmatige controle van de activiteit van de betrokkenen om ervoor te zorgen dat hun
gegevens – en hun account – niet moeten worden verwijderd. Zo zou bijvoorbeeld een e-
mail kunnen worden gestuurd naar consumenten die al drie jaar geen activiteit hebben
vertoond, met het verzoek te bevestigen dat zij hun inschrijving in het Freedelity-bestand
willen handhaven. Als zij niet binnen een redelijke termijn reageren, kan de verweerder
ervan uitgaan dat deze personen afzien van deze dienst en kan hij overgaan tot het wissen
of archiveren van hun gegevens, afhankelijk van het geval.
287. Gezien al deze elementen is de Geschillenkamer van oordeel dat de door de verweerder
vastgestelde bewaartermijn van 8 jaar onevenredig is aan het nagestreefde doel. Het
beginsel van minimale gegevensverwerking, vastgelegd in artikel 5.1.e) van de AVG,
verplicht de verwerkingsverantwoordelijke om de bewaring van gegevens te beperken tot
de strikt noodzakelijke termijn.
288. Concluderend stelt de Geschillenkamer vast dat er sprake is van een schending van het
beginsel van opslagbeperking van persoonsgegevens (art. 5.1.e, 5.2, 24 en 25.1 van de
AVG) vanwege de buitensporige bewaartermijn van 8 jaar voor het beheer van het
Freedelity-bestand.
III. Correctieve maatregelen en sancties
289. Krachtens artikel 100, § 1, van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen of berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
Beslissing ten gronde 146/2024 –62 /71
10° de rechtzetting, de beperking of de verwijdering van de gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat
haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
III.1. Keuze van de corrigerende maatregel of de passende sanctie
290. In het licht van het bovenstaande en op basis van de bevoegdheden die haar door de
wetgever zijn toegekend, besluit de Geschillenkamer om maatregelen op te leggen om de
verwerking in overeenstemming te brengen, overeenkomstig artikel 100, § 1, 9°, van de
WOG, en om bepaalde gegevens te wissen, overeenkomstig artikel 100, § 1, 10°, van de
WOG. Om de effectieve uitvoering van deze maatregelen te garanderen, acht de
Geschillenkamer het noodzakelijk deze te koppelen aan dwangsommen, in de overtuiging
dat deze aanpak het meest geschikt is voor de omstandigheden van deze zaak.
291. De Geschillenkamer is van oordeel dat een combinatie van dergelijke maatregelen geschikt
is om de doeltreffendheid, de evenredigheid en de afschrikkende werking van de sanctie
te waarborgen. Het is namelijk absoluut noodzakelijk dat Freedelity deze beslissing uitvoert
door zijn verwerkingen in overeenstemming te brengen met de regelgeving en bepaalde
gegevens te wissen. In dit geval kan de voorziene dwangsom voldoende druk uitoefenen
op Freedelity om dit doel te bereiken.
292. De Geschillenkamer zou kunnen besluiten om op grond van haar bevoegdheden op basis
van artikel 83 van de AVG en artikel 100, § 1, 13°, van de WOG een administratieve boete
op te leggen voor de vastgestelde inbreuken op de artikelen 4, 5, 6, 7, 24 en 25 van de AVG.
293. Geschillenkamer is echter van mening dat de nalevingsbevelen met dwangsommen geen
boete vereisen, aangezien de uitgevaardigde bevelen het bedrijf verplichten zijn
bedrijfsmodel ingrijpend te wijzigen om aan de vereisten van de AVG te voldoen. Dit
Beslissing ten gronde 146/2024 –63 /71
complexe en veeleisende proces zal aanzienlijke financiële middelen van de verweerder
vergen.
294. De dwangsom zorgt er door zijn stimulerende werking voor dat de corrigerende
maatregelen daadwerkelijk worden uitgevoerd zonder de financiële stabiliteit van het
bedrijf al te zeer te ondermijnen. Deze aanpak, in combinatie met de andere opgelegde
sancties, zorgt voor een reactie die in overeenstemming is met de beginselen van
doeltreffendheid, evenredigheid en afschrikking van de AVG.
295. Op grond van artikel 100, § 1, van de WOG beslist de Geschillenkamer dan ook:
a) overeenkomstig artikel 100, § 1, 9°, van de WOG te bevelen dat de verwerkingen
binnen een termijn van vier maanden in overeenstemming worden gebracht, in
overeenstemming met de bevelen 1 tot en met 5;
b) overeenkomstig artikel 100, § 1, 10°, van de WOG, de verwijdering van de gegevens
binnen een termijn van 4 maanden te bevelen, in overeenstemming met de bevelen
4 en 5;
c) overeenkomstig artikel 100, § 1, 12°, van de WOG, een dwangsom op te leggen van
5.000 EUR per dag vertraging vanaf de dag waarop de Geschillenkamer hem
meedeelt dat hij de in deze beslissing uitgesproken bevelen gedeeltelijk of
helemaal niet heeft nageleefd, op basis van de door de verweerder aan de
Geschillenkamer verstrekte antwoorden, die bij het verstrijken van de toegekende
termijn voor naleving moeten zijn ontvangen;
d) overeenkomstig artikel 100, § 1, 16°, van de WOG te besluiten de beslissing op de
website van de Gegevensbeschermingsautoriteit te publiceren, met directe
identificatie van de verweerder.
III.2. Bevel tot naleving en verwijdering van gegevens
296. De Geschillenkamer acht het passend om de verweerder meerdere bevelen tot naleving
en verwijdering van gegevens op te leggen, op grond van de vastgestelde schendingen.
297. Bevel 1: Op grond van artikel 100, § 1, 9°, van de WOG beveelt de Geschillenkamer
Freedelity om mechanismen in te voeren voor het verkrijgen van toestemming die
garanderen dat deze vrij, specifiek, geïnformeerd en ondubbelzinnig is, in
overeenstemming met artikel 4.11 van de AVG, en dit voor elke verwerking van
persoonsgegevens die Freedelity uitvoert, met inbegrip van het mutualiseren van
gegevens met zijn commerciële partners.
298. Freedelity moet met name:
Beslissing ten gronde 146/2024 –64 /71
- Ervoor zorgen dat de toegang tot de commerciële voordelen die een winkelketen biedt, niet
afhankelijk is van de aanvaarding van andere niet-essentiële verwerkingen of voorwaarden,
met inbegrip van het mutualiseren van gegevens.
- De betrokkenen op het moment van de verzameling van hun gegevens duidelijk en
begrijpelijk informeren over de specifieke doeleinden van elke verwerking, de betrokken
categorieën van gegevens, en de consumenten in staat stellen de identiteit te kennen van
de ontvangers met wie de gegevens zullen worden gedeeld.
- Expliciete mechanismen invoeren om ondubbelzinnige toestemming te verkrijgen, zoals
een niet standaard aangevinkte knop, zodat de betrokkenen uitdrukkelijk hun
toestemming kunnen bevestigen voor elk verwerkingsdoel dat wordt beoogd.
- Controleren of er sprake is van vrije, geïnformeerde, ondubbelzinnige en specifieke
toestemming voor alle betrokkenen van wie de gegevens in het Freedelity-bestand worden
verwerkt, in het licht van de bovenstaande vereisten, en bij een negatieve vaststelling,
ofwel de gegevens die momenteel zonder geldige toestemming in het Freedelity-bestand
aanwezig zijn, verwijderen, ofwel de toestemming van de betrokkenen hernieuwen vóór het
verstrijken van de termijn die is vastgesteld voor de naleving van dit bevel 1.
- De bewijzen van naleving van dit bevel 1 aan de Geschillenkamer bezorgen, waaronder een
kopie van het model van het toestemmingsformulier van Freedelity (of de
toestemmingsformulieren) dat/die gewijzigd of ingevoerd is/zijn in overeenstemming met
bevel 1 van de Geschillenkamer.
299. Bevel 2: Op grond van artikel 100, § 1, 9°, van de WOG beveelt de Geschillenkamer
Freedelity om eenvoudige, toegankelijke en directe mechanismen in te voeren waarmee de
betrokken personen hun toestemming kunnen intrekken, overeenkomstig artikel 7.3 van
de AVG.
300. Freedelity moet met name:
- Op alle fysieke terminals die door zijn partners worden gebruikt, een expliciete en
onmiddellijke optie integreren waarmee de toestemming kan worden ingetrokken, zonder
dat daarvoor door complexe menu's of interfaces moet worden genavigeerd.
- Het MyFreedelity-portaal bijwerken met een duidelijk zichtbare en direct toegankelijke
functie waarmee betrokkenen hun toestemming kunnen intrekken in evenveel stappen als
nodig zijn om hun toestemming te geven.
- De betrokkenen op het moment van het verkrijgen van de toestemming informeren over
de middelen die beschikbaar zijn om deze toestemming in te trekken, waarbij ervoor wordt
gezorgd dat deze informatie duidelijk, begrijpelijk en gemakkelijk toegankelijk is.
Beslissing ten gronde 146/2024 –65 /71
- Technische en organisatorische maatregelen treffen en documenteren die in
overeenstemming zijn met het beginsel van gegevensbescherming door van ontwerp en
door standaardinstellingen (artikel 25 van de AVG), waarbij wordt gegarandeerd dat de
intrekkingsmechanismen worden geïntegreerd bij het ontwerp van elke nieuwe interface
of terminal.
- De bewijzen van naleving van dit bevel 2 aan de Geschillenkamer bezorgen, waaronder
screenshots van de nieuwe mechanismen voor het intrekken van toestemming zoals die
door Freedelity en de winkelketens zijn ingevoerd of gewijzigd.
301. Bevel 3: Op grond van artikel 100, lid 1, 9°, van de WOG gelast de Geschillenkamer
Freedelity om het proces van het verkrijgen van toestemming nauwkeurig te
documenteren, zodat te allen tijde kan worden aangetoond dat deze toestemming is
verkregen in overeenstemming met de vereisten van de AVG, met name om te zorgen voor
naleving van de artikelen 5.2, 24 en 25 van de AVG. Freedelity moet de Geschillenkamer
bewijzen van naleving van dit bevel 3 bezorgen.
302. Bevel 4: Op grond van artikel 100, § 1, 9°, van de WOG gelast de Geschillenkamer Freedelity
om onmiddellijk te stoppen met het verzamelen en verwerken van persoonsgegevens
afkomstig van identiteitskaarten van consumenten, met uitzondering van de gegevens die
strikt noodzakelijk zijn voor het aangegeven doel, namelijk, om het voorbeeld van een
klassiek loyaliteitsprogramma te nemen: de naam, voornaam en contactgegevens
(postadres, e-mailadres of telefoonnummer). Op grond van artikel 100, § 1, 10°, van de WOG
legt de Geschillenkamer ook op dat alle gegevens die boven op deze informatie zijn
verzameld, binnen een termijn van vier maanden worden gewist.
303. Freedelity moet met name:
- Alle verzamelinterfaces en tools die door Freedelity en zijn partners worden gebruikt
(terminals in winkels, digitale portalen, handmatige formulieren, enz.) bijwerken of laten
bijwerken om ervoor te zorgen dat alleen toegestane gegevens worden verzameld.
- Zich tegenover derden onthouden van elke doorverkoop of doorgifte van verzamelde, niet-
noodzakelijke gegevens vóór de definitieve verwijdering van deze gegevens, tenzij
hiervoor een geldige toestemming van de betrokkene is verkregen. Dit verbod geldt ook
voor eerder verzamelde gegevens die niet voldoen aan het beginsel van minimale
gegevensverwerking.
- De betrokkenen op de hoogte brengen van de verwijdering van reeds verzamelde, niet-
noodzakelijke gegevens, waarbij zij worden herinnerd aan hun rechten met betrekking tot
de gegevens die Freedelity blijft verwerken, met name het recht op inzage, rectificatie en
verwijdering van hun gegevens, evenals het recht om hun toestemming in te trekken.
Beslissing ten gronde 146/2024 –66 /71
- Aan de Geschillenkamer bewijzen overleggen dat het aan dit bevel 4 voldoet, met name
een kopie van het model van de kennisgeving aan de betrokkenen en het bewijs van de
daadwerkelijke verwijdering van de niet-noodzakelijke persoonsgegevens die in
vaststelling 4 van deze beslissing zijn geïdentificeerd.
304. Bevel 5: Op grond van artikel 100, § 1, 9°, van de WOG beveelt de Geschillenkamer
Freedelity om de bewaartermijn van de persoonsgegevens die in het kader van het
Freedelity-bestand worden verwerkt, te beperken tot maximaal drie jaar vanaf de laatste
activiteit van de betrokkenen. Op grond van artikel 100, § 1, 10°, van de WOG legt de
Geschillenkamer Freedelity de verplichting op om de gegevens die langer dan drie jaar zijn
bewaard, te verwijderen, tenzij een aparte wettelijke basis de bewaring ervan in een
tussentijdse archivering zoals de klantsilo's rechtvaardigt (bijvoorbeeld specifieke
wettelijke verplichtingen voor winkelketens).
305. Freedelity moet met name:
- Alle persoonsgegevens verwijderen die langer dan drie jaar zijn bewaard voor personen die
geen activiteit hebben vertoond, tenzij een aparte wettelijke basis de bewaring ervan
rechtvaardigt (bijvoorbeeld specifieke wettelijke verplichtingen of lopende geschillen).
Deze verwijdering toepassen op alle gegevens die momenteel in het Freedelity-bestand
zijn opgenomen en het Freedelity-bestand zuiveren van verouderde gegevens.
- Ervoor zorgen dat wanneer een aparte wettelijke basis het bewaren van gegevens
gedurende meer dan drie jaar rechtvaardigt, de gegevens worden gearchiveerd op een
andere drager dan het Freedelity-bestand92 en dat ze voor geen enkel ander doel worden
verwerkt dan de opslag die door de betreffende wettelijke basis wordt gerechtvaardigd.
- Een herinnering sturen per e-mail of op een andere geschikte manier naar consumenten
die al drie jaar of langer geen activiteit hebben vertoond, om hen te vragen te bevestigen
dat zij hun inschrijving willen behouden. Als er binnen een redelijke termijn (bijvoorbeeld een
maand) geen antwoord komt, de gegevens dan archiveren onder de hierboven genoemde
voorwaarden of in voorkomend geval ze verwijderen.
- Aan de Geschillenkamer bewijzen overleggen dat het aan dit bevel 5 voldoet, met name
documenten waaruit blijkt dat de persoonsgegevens daadwerkelijk na afloop van de
toegestane termijnen zijn gewist, overeenkomstig vaststelling 5 van deze beslissing.
III.3. Voorwaardelijke sanctie: dwangsom
III.3.1. Voorafgaande overwegingen
92
Zie in dit verband de aanbevelingen van de CNIL (Franse gegevensbeschermingsautoriteit) inzake tussentijdse archivering
van gegevens: https://www.cnil.fr/fr/passer-laction/les-durees-de-conservation-des-donnees.
Beslissing ten gronde 146/2024 –67 /71
306. Het bijzondere aan de dwangsom is dat deze volledig voorwaardelijk is. Het te betalen
bedrag is namelijk onzeker. De verweerder beschikt eerst over een termijn om zich aan de
beslissing te conformeren of om tegen de beslissing in beroep te gaan. Alleen indien hij na
een termijn van vier maanden vanaf de kennisgeving van de onderhavige beslissing nog
niet aan de beslissing heeft voldaan, wordt de dwangsom opgelegd. Het bedrag van de
dwangsom is dus variabel en kan in voorkomend geval zelfs nul zijn.
307. De dwangsom onderscheidt zich dus van de administratieve boete doordat zij een middel
is om de hoofdboete(n) indirect ten uitvoer te leggen met het oog op naleving van de
geldende wetgeving, terwijl de administratieve boete een punitief karakter heeft.
308. De dwangsom heeft dus ook een bijkomstig karakter. De dwangsom en de administratieve
boete verschillen dus zowel qua aard als qua doelstellingen.
309. In het licht van de bovenstaande redenen besluit de Geschillenkamer de verweerder in deze
zaak dwangsommen op te leggen en meent zij de verweerder hiervan niet vooraf op de
hoogte te moeten stellen door middel van een sanctieformulier 93.
III.3.2. Praktische modaliteiten van de dwangsom
310. Om de verweerder de nodige tijd te geven om aan de in deze beslissing uitgesproken
bevelen te voldoen, zal de dwangsom niet onmiddellijk na de kennisgeving van deze
beslissing aan de verweerder worden opgelegd. In het onderhavige geval is de
Geschillenkamer van oordeel dat een termijn van 4 maanden vanaf de kennisgeving van
deze beslissing voldoende is om de verweerder in staat te stellen aan de bevelen te
voldoen.
311. De termijn gaat in op de dag waarop de verweerder de aangetekende brief ontvangt waarin
haar de onderhavige beslissing wordt meegedeeld, of op de dag waarop de termijn
verstrijkt waarbinnen de verweerder, in voorkomend geval, de aangetekende brief bij het
postkantoor moet afhalen.
312. Na het verstrijken van de termijn van vier maanden vanaf de kennisgeving van deze
beslissing, en op voorwaarde dat zij de in de verschillende bevelen gevraagde bewijzen
binnen de gestelde termijn heeft ontvangen, deelt de Geschillenkamer na onderzoek van
de stukken aan de verweerder mee:
1) dat hij volledig heeft voldaan aan de in deze beslissing uitgesproken bevelen; of
2) dat hij gedeeltelijk heeft voldaan aan de in deze beslissing uitgesproken bevelen; of
3) dat hij niet heeft voldaan aan de in deze beslissing uitgesproken bevelen.
93
Beslissing ten gronde van de Geschillenkamer, nr. 131/2024 van 11 oktober 2024, punten 113 tot en met 116.
Beslissing ten gronde 146/2024 –68 /71
313. De Geschillenkamer start de tenuitvoerlegging van de dwangsom op de dag van de
kennisgeving in het tweede en derde geval. In geval van twijfel kan de GBA gebruikmaken
van haar bevoegdheden uit hoofde van de WOG of de ROI om de procedure voort te zetten
of, indien nodig, een nieuw dossier te openen.
314. Het bedrag van de dwangsommen wordt als volgt bepaald:
a) Bevel 1: de verweerder moet 1.000 EUR per dag vertraging betalen vanaf de dag waarop
de Geschillenkamer hem meedeelt dat hij gedeeltelijk of helemaal niet heeft voldaan aan
de in deze beslissing uitgesproken bevelen;
b) Bevel 2: de verweerder moet 1.000 EUR per dag vertraging betalen vanaf de dag waarop
de Geschillenkamer hem meedeelt dat hij gedeeltelijk of helemaal niet heeft voldaan aan
de in deze beslissing uitgesproken bevelen.
c) Bevel 3: de verweerder moet 1.000 EUR per dag vertraging betalen vanaf de dag waarop
de Geschillenkamer hem meedeelt dat hij gedeeltelijk of helemaal niet heeft voldaan aan
de in deze beslissing uitgesproken bevelen.
d) Bevel 4: de verweerder moet 1.000 EUR per dag vertraging betalen vanaf de dag waarop
de Geschillenkamer hem meedeelt dat hij gedeeltelijk of helemaal niet heeft voldaan aan
de in deze beslissing uitgesproken bevelen.
e) Bevel 5: de verweerder moet 1.000 EUR per dag vertraging betalen vanaf de dag waarop
de Geschillenkamer hem meedeelt dat hij gedeeltelijk of helemaal niet heeft voldaan aan
de in deze beslissing uitgesproken bevelen.
315. Indien de verweerder niet aan de zes [sic] bevelen voldoet, moet hij 5.000 EUR per dag
vertraging betalen vanaf de dag waarop de Geschillenkamer hem meedeelt dat hij
gedeeltelijk of helemaal niet heeft voldaan aan de in deze beslissing uitgesproken bevelen.
316. Geschillenkamer wijst erop dat de dwangsom geen punitief karakter heeft. Aan elk bevel is
een dwangsom verbonden om de goede uitvoering ervan te waarborgen. Het bedrag van
de dwangsommen is redelijk in het licht van de inbreuk die de verweerder heeft gemaakt
op de rechten van de klager en van de gebruikers in het algemeen, maar ook in het licht van
de financiële draagkracht van de verweerder, waarvan de omzet minder dan [bedrag]
bedraagt, en van het voordeel dat hij kan halen uit de niet-uitvoering van de betrokken
bevelen.
317. Indien de verweerder van mening is dat de volledige uitvoering van de bevelen ondanks alle
redelijke inspanningen binnen de gestelde termijn onmogelijk blijkt, kan hij binnen 45 dagen
na de kennisgeving aan hem van deze beslissing een met redenen omkleed verzoek tot
verlenging van de termijn indienen bij de Geschillenkamer.
Beslissing ten gronde 146/2024 –71 /71
Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG beroep worden aangetekend
bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen na de
kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat
de in artikel 1034ter van het Gerechtelijk Wetboek94 genoemde inlichtingen moet bevatten. Het
interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend
overeenkomstig artikel 1034quinquies van het Ger.W.95, of via het informatiesysteem e-Deposit
van het Ministerie van Justitie (artikel 32ter van het Ger.W.).
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer
94
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn
rijksregisternummer of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
95
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.