1/30
Geschillenkamer
Beslissing ten gronde 149/2022 van 18 oktober 2022
Dossiernummer : DOS-2021-06293 en DOS-2021-06884
Betreft : Delen van persoonsgegevens betreffende huurders van een sociale woning in
het kader van een vermogensonderzoek
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden.
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: de heer X1 en mevrouw X1, hierna: klager 1
de heer X2 en mevrouw X2, hierna: klager 2
allen vertegenwoordigd door Mr. Rahim Aktepe, kantoorhoudende te 2000
Antwerpen, Amerikalei 95
hierna gezamenlijk “de klager” genoemd;
De verweerster: Y, vertegenwoordigd door Mr. Myrthe Maes, Mr. Nele Somers en Mr. Thomas
Bronselaer, kantoorhoudende te 2000 Antwerpen, Amerikalei 79, bus 201,
hierna “de verweerster”.
Beslissing ten gronde 149/2022 - 2/30
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het meedelen van persoonsgegevens van sociale
huurders aan derden in het kader van een buitenlands vermogensonderzoek.
2. Op respectievelijk 27 september 2021 en 22 oktober 2021 dienen de klager 1 en de klager 2
een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster.
3. Op respectievelijk 1 oktober 2021 en 5 januari 2022 worden de klachten door de
Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en worden
ze op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
4. Op respectievelijk 27 oktober 2021 en op 17 januari 2022 wordt overeenkomstig artikel 96,
§ 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek
overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
5. Op 15 februari 2022 worden de onderzoeken door de Inspectiedienst afgerond, worden
beide verslagen bij het dossier gevoegd en worden de dossiers door de inspecteur-generaal
overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag dat werd opgemaakt in verband met klager 1 bevat vaststellingen met
betrekking tot het voorwerp van de klacht en besluit dat:
1. er geen sprake is van een inbreuk op artikel 5, lid 1, a) en lid 2 AVG, artikel 6, lid 1 AVG
voor wat betreft het beginsel inzake rechtmatigheid;
2. er sprake is van een inbreuk op artikel 5 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1
en 2 AVG voor wat betreft de beginselen inzake behoorlijkheid en transparantie,
doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking en integriteit
en vertrouwelijkheid;
3. er sprake is van een inbreuk op artikel 28, lid 2 en lid 3 AVG; en
4. er sprake is van een inbreuk op de artikelen 44, 46, 24, lid 1 en 5, lid 2 AVG voor wat
betreft de doorgifte van persoonsgegevens naar Turkije.
Het verslag dat werd opgemaakt in verband met klager 1 bevat daarnaast vaststellingen die
verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat:
1. er sprake is van een inbreuk op artikel 30, lid 1 AVG wegens de niet-naleving van
verscheidene verplichtingen inzake het register van verwerkingsactiviteiten.
6. Het verslag dat werd opgemaakt in verband met klager 2 sluit zich aan bij de vaststellingen
van het eerste verslag. In deze beslissing zal dan ook verwezen worden naar het eerste
verslag als het Inspectieverslag.
Beslissing ten gronde 149/2022 - 3/30
7. Op 21 februari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat beide dossiers gereed zijn voor behandeling ten gronde. De Geschillenkamer stelt
voor aan de partijen om beide zaken samen te voegen. Eveneens op 21 februari 2022 mocht
de Geschillenkamer het akkoord tot samenvoeging van beide partijen ontvangen.
8. Op 21 februari 2022 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
vastgelegd op 4 april 2022, deze voor de conclusie van repliek van de klager op 25 april 2022
en ten slotte deze voor de conclusie van repliek van de verweerster op 16 mei 2022.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster voor
wat betreft de vaststellingen buiten het ontwerp van de klacht werd daarbij vastgelegd op 4
april 2022.
9. Op 21 februari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
10. Op 8 maart 2022 vraagt de verweerster een kopie van het dossier (artikel 95, §2, 3° WOG),
dewelke haar werd overgemaakt op 23 maart 2022.
11. Op 8 maart 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak
en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord,
overeenkomstig artikel 98 WOG.
12. Op 4 april 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht, alsook de vaststellingen buiten het voorwerp van de klacht. De verweerster stelt dat
de verwerking in haren hoofde een rechtmatige gegevensverwerking uitmaakt. Ten tweede
betoogt de verweerster dat de gegevensverwerking in kwestie een correcte en toegelaten
gegevensverwerking uitmaakt, waarbij alle grondbeginselen uit artikel 5, lid 1 AVG worden
gerespecteerd en dat zij dat ook kan aantonen. Ten derde ontkent de verweerster de
vaststellingen van de Inspectiedienst omtrent de verwerkersovereenkomst niet, maar stelt
dat zij deze inbreuken weggewerkt heeft. Ten vierde argumenteert de verweerster dat de
doorgifte van persoonsgegevens aan Turkije op rechtmatige wijze heeft plaatsgevonden.
Tot slot voert de verweerster aan dat het register van verwerkingsactiviteiten werd
bijgewerkt waardoor gevolg werd gegeven aan de door de Inspectiedienst vastgestelde
tekortkomingen.
13. Op 22 april 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, waarin
een overzicht wordt gegeven van de eerder gevoerde procedure door de klager ten aanzien
Beslissing ten gronde 149/2022 - 4/30
van de verweerster voor de vrederechter. De klager betwist de rechtmatigheid van de
gegevensverwerking, alsook stelt de klager dat de gegevensverwerking niet
plaatsgevonden heeft in overeenstemming met de grondbeginselen van artikel 5, lid 1 AVG.
Voor wat betreft de vaststellingen inzake de verwerkersovereenkomst, de doorgifte van
persoonsgegevens aan Turkije en het register van verwerkingsactiviteiten, sluit de klager
zich aan bij de vaststellingen van de Inspectiedienst.
14. Op 18 mei 2022 ontvangt de Geschillenkamer de conclusie van repliek van de verweerster
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Hierin
herhaalt de verweerster haar standpunten uit de conclusie van antwoord.
15. Op 10 augustus 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 22 september 2022.
16. Op 22 september 2022 worden de partijen gehoord door de Geschillenkamer.
17. Op 23 september 2022 wordt het proces-verbaal van de hoorzitting aan de partijen
voorgelegd.
18. Op 29 september 2022 ontvangt de Geschillenkamer vanwege de verweerster enkele
opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in
haar beraad.
19. De Geschillenkamer ontvangt geen opmerkingen met betrekking tot het proces-verbaal
vanwege de klager.
II. Motivering
II.1. Bevoegdheid van de Geschillenkamer
20. In zijn conclusies zet de klager in zijn eerste drie middelen uiteen dat zij geen eigenaar zijn van
een onroerend goed in Turkije, betwisten ze de bewijswaarde van de onderzoeksrapporten
die zijn opgesteld door Z in het kader van het buitenlands vermogensonderzoek, en tot slot
bespreekt de klager de leer van het onrechtmatig verkregen bewijs.
21. De Geschillenkamer is echter enkel bevoegd om te oordelen of het buitenlands
vermogensonderzoek heeft plaatsgevonden in overeenstemming met de AVG. De
bovenstaande middelen behoren niet tot de bevoegdheid van de Geschillenkamer en werden
reeds beoordeeld door de vrederechter van Lier (zie hieronder). Deze argumenten zullen dus
niet het voorwerp uitmaken van de procedure voor de Geschillenkamer.
II.2. Artikel 5, lid 1, a) AVG, artikel 6, lid 1 AVG
22. De Inspectiedienst komt tot de vaststelling dat verweerster de verplichtingen opgelegd door
artikel 5, lid 1 a) en lid 2 AVG en artikel 6 AVG heeft nageleefd voor wat betreft het beginsel
Beslissing ten gronde 149/2022 - 5/30
inzake rechtmatigheid. Op basis van de antwoorden verkregen van de verweerster tijdens
het onderzoek, volgt de Inspectiedienst de stelling van de verweerster dat zij zich beroept op
de rechtsgrond uit artikel 6, lid 1, e) AVG (de noodzakelijkheid voor de vervulling van een taak
van algemeen belang).
23. Uitgangspunt van artikel 5, lid 1, a) AVG is dat persoonsgegevens alleen op rechtmatige wijze
mogen worden verwerkt. Dit betekent dat een rechtsgrond voor de verwerking van
persoonsgegevens als bedoeld in artikel 6, lid 1 van de AVG aanwezig moet zijn. In verdere
uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen
worden verwerkt op grond van één van de in het artikel opgesomde rechtsgronden.
24. De klager betwist de vaststellingen van de Inspectiedienst en voert aan dat de verweerster
zich onterecht beroept op artikel 6, lid 1, e) AVG. Daarnaast stelt de klager dat de verweerster
zich evenmin kan beroepen op enige andere rechtsgrond, zoals de toestemming (artikel 6,
lid 1, a) AVG).
25. Om zich rechtmatig te kunnen beroepen op de rechtsgrondslag uit artikel 6, lid 1, e) AVG
mogen persoonsgegevens enkel verwerkt worden als dit noodzakelijk is voor de vervulling
van een taak in het algemeen belang of als het noodzakelijk is voor de uitoefening van het
openbaar gezag dat aan de verantwoordelijke is opgedragen. De verwerking moet in deze
gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de
betreffende lidstaat, waarin ook het doel van de verwerking moet staan. Er moet bijgevolg
worden nagegaan of in dit geval aan de in dat artikel gestelde voorwaarden is voldaan.
26. Krachtens artikel 6, lid 3 en Overweging 45 van de AVG moet een verwerking op grond van
artikel 6, lid 1, e) AVG aan de volgende voorwaarden voldoen:
a. De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een
opdracht van algemeen belang of een opdracht die deel uitmaakt van de
uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht
of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is
vervat;
b. De doeleinden van de verwerking worden in de rechtsgrond vastgesteld of moeten
noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de
uitoefening van het openbaar gezag.
27. De Geschillenkamer zal de voorwaarden van algemeen belang, wettelijke basis en
noodzakelijkheid hieronder beoordelen.
Taak van algemeen belang
28. De taak van algemeen belang in kwestie waarop de verweerster zich beroept is de controle
op de inschrijvings- en toekenningsvoorwaarden in het kader van de sociale huur teneinde
Beslissing ten gronde 149/2022 - 6/30
woningen te verhuren aan huurders die niet op eigen kracht in hun huisvestingsbehoeften
kunnen voorzien. Zoals ook bevestigd door de vrederechter van het kanton Lier die reeds
uitspraak gedaan heeft in deze zaak met betrekking tot de aspecten inzake de beëindiging
van de huurovereenkomst, rust op sociale huisvestingsmaatschappijen de wettelijke
verplichting om na te gaan of hun (kandidaat-)huurders aan de toepasselijke voorwaarden
voldoen, zowel bij de start als gedurende de volledige duurtijd van de huurovereenkomst.
Sociale woninghuur is immers voorbehouden voor kwetsbare personen die zelf niet kunnen
voorzien in hun huisvestingsbehoeften zonder hulp. Gelet op de beperkte beschikbare
overheidsbudgetten, dienen de sociale huurwoningen toe te komen aan deze personen die
het meest woonbehoeftig zijn.1
29. Voor de Geschillenkamer is het duidelijk dat de verweerster door verwerkingen in het kader
van haar wettelijke opdracht het algemeen belang vervult, zijnde een zinvolle besteding van
beperkte overheidsmiddelen door het toekennen van sociale woningen aan personen die
het meest woonbehoeftig zijn. De verweerster stelt dan ook terecht dat de verwerking kan
worden gebaseerd op artikel 6, lid 1, e) van de AVG.2 De toestemming van de klager is
derhalve niet vereist opdat de verwerking rechtmatig zou zijn, temeer daar deze grondslag
voor rechtmatigheid niet door de verweerster wordt aangevoerd.
Een duidelijke, precieze en voorspelbare rechtsgrondslag
30. Volgens Overweging 41 van de AVG moet deze rechtsgrondslag of wetgevingsmaatregel
duidelijk en nauwkeurig zijn en moet de toepassing ervan voor de rechtzoekenden
voorspelbaar zijn, overeenkomstig de jurisprudentie van het Hof van Justitie van de
Europese Unie en het EVRM. Het EHRM heeft in het Rotaru-arrest3 het begrip
voorspelbaarheid van de rechtsgrondslag nader bepaald. Aangezien die zaak betrekking had
op bewakingssystemen van het veiligheidsapparaat van een staat, verschilt de context van
de onderhavige zaak. In andere gevallen heeft het EHRM weliswaar aangegeven dat het zich
door deze beginselen kan laten leiden, maar het is van oordeel dat deze criteria, die in de
specifieke context van die concrete zaak zijn vastgesteld en gevolgd dus niet als zodanig op
alle gevallen van toepassing zijn4.
31. Uit de conclusies van de verweerster blijkt dat zij zich beroept op haar opdracht als sociale
huisvestigingsmaatschappij om uitvoering te geven aan artikel 23 van de Grondwet waarin
1
T. VANDROMME, Begripsomschrijving in B. HUBEAU en A. HANSELAER, Sociale Huur, Brugge, die Keuren, 2010, p. 24.
2
Zie in die zin ook T. VANDROMME, Ook beroepsrechter laat bewijs van onroerend buitenlands bezit door privéfirma toe,
De Juristenkrant, 27 januari 2021 en o.a.
3
EHRM, 4 mei 2000, Rotaru t. Roemenië.
4
EHRM, 2 september 2010, Uzun t. Duitsland, § 66.
Beslissing ten gronde 149/2022 - 7/30
het recht op behoorlijke huisvesting is opgenomen.5 Hiermee geeft de verweerster
uitvoering aan het internationaal erkend recht op behoorlijke huisvesting.
32. Op basis van artikel 33 van het Decreet houdende de Vlaamse Wooncode6 (hierna: “Vlaamse
Wooncode”) dienen de sociale huisvestingsmaatschappijen onder andere de
woonvoorwaarden van de woonbehoeftige gezinnen en alleenstaanden te verbeteren,
inzonderheid van de meest behoeftige gezinnen en alleenstaanden, door te zorgen voor een
voldoende aanbod van sociale huurwoningen en sociale koopwoningen. Dit heeft ertoe
geleid dat de Vlaamse Regering verschillende voorwaarden heeft vastgelegd waaraan
(kandidaat-)huurders moeten voldoen, opdat de meest woonbehoeftigen de sociale
woningen toegewezen krijgen.
33. Om in aanmerking te komen voor sociale huur, moet de potentiële huurder dus onder andere
voldoen aan de inschrijvingsvoorwaarden uit artikel 3 van het Besluit van de Vlaamse
Regering tot reglementering van het sociale huurstelsel ter uitvoering van titel VII van de
Vlaamse Wooncode7 (hierna: Kaderbesluit) waaronder:
“Artikel 3 § 1. Een natuurlijke persoon kan zich laten inschrijven in het register, vermeld in
artikel 7, als hij aan de volgende voorwaarden voldoet :
[…]
3° hij heeft, samen met zijn gezinsleden, geen woning of geen perceel dat bestemd is voor
woningbouw volledig in volle eigendom of volledig in vruchtgebruik in binnen- of
buitenland, tenzij het een in het Vlaams Gewest gevestigd campingverblijf betreft;
[…].”
34. Het onderzoek naar het voldoen aan de voorwaarden en verplichtingen voor sociale huur
wordt geregeld door artikel 52 van het Kaderbesluit:
“Artikel 52 § 1. De referentiepersoon geeft aan de verhuurder, door zijn aanvraag tot
inschrijving in het register, zijn inschrijving als kandidaat-huurder of zijn huurderschap, de
toestemming om bij de bevoegde overheden en instellingen en bij de lokale besturen de
noodzakelijke documenten of gegevens betreffende de in dit besluit gestelde
voorwaarden en verplichtingen te verkrijgen, met behoud van de toepassing van de
bepalingen van de wet van 8 december 1992 tot bescherming van de persoonlijke
levenssfeer ten opzichte van de verwerking van persoonsgegevens, haar
5
Artikel 23: “Ieder heeft het recht een menswaardig leven te leiden […] Die rechten omvatten inzonderheid […] 3° het recht
op behoorlijke huisvesting […]”
6
Decreet houdende de Vlaamse Wooncode van 15 juli 1997, BS 19 augustus 1997.
7
Besluit van 12 oktober 2007 van de Vlaamse Regering tot reglementering van het sociale huurstelsel ter uitvoering van
titel VII van de Vlaamse Wooncode, BS 7 december 2007.
Beslissing ten gronde 149/2022 - 8/30
uitvoeringsbesluiten en elke andere bepaling tot bescherming van de persoonlijke
levenssfeer, vastgesteld door of krachtens een wet, decreet of besluit.
§ 2. Voor de uitvoering van de bepalingen van dit besluit doet de verhuurder een beroep
op informatie die de bevoegde overheden of instellingen of andere verhuurders hem
elektronisch kunnen bezorgen.
Als op die manier geen of onvoldoende gegevens worden verkregen, wordt de kandidaat-
huurder of huurder gevraagd de nodige gegevens te bezorgen. Als via de verkregen
informatie van de bevoegde overheden of instellingen of andere verhuurders blijkt dat de
kandidaat-huurder of huurder niet of niet meer voldoet aan de voorwaarden en
verplichtingen van dit besluit, wordt die vaststelling meegedeeld aan de kandidaat-
huurder of huurder die dan binnen een week na de mededeling kan reageren.
Onder de bevoegde overheden en instellingen, vermeld in § 1 en § 2, eerste lid, worden
onder meer begrepen : 1° het Rijksregister van de natuurlijk personen, vermeld in de wet
van 8 augustus 1983 tot regeling van een rijksregister van de natuurlijke personen ;2° de
instellingen van sociale zekerheid, vermeld in artikelen 1 en 2, eerste lid, 2°, van de wet van
15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de Sociale
Zekerheid en de personen waartoe het netwerk van de sociale zekerheid met toepassing
van artikel 18 van dezelfde wet werd uitgebreid; 3° de Federale Overheidsdienst
Financiën; 4° de Kruispuntbank Inburgering; 5° de Huizen van het Nederlands; 6° de
onthaalbureaus; 7° de coördinatiecel Vlaamse E-government; 8° de organisaties en de
instellingen, vermeld in artikel 4, eerste lid, met inbegrip van het beleidsdomein Onderwijs
en Vorming van de Vlaamse Gemeenschap.
35. Uit analyse van het bovenstaande is het bijgevolg voorspelbaar dat de naleving van de
inschrijvingsvoorwaarden gecontroleerd kan worden door sociale
huisvestingsmaatschappijen zoals de verweerster zowel bij de start als gedurende de hele
duurtijd van de huurovereenkomst.
36. De wijze waarop deze controle zal plaatsvinden is minder voorspelbaar aangezien voormeld
artikel 52 van het Kaderbesluit een niet-limitatieve opsomming (“onder meer”) bevat
waardoor de verhuurder gebruik kan maken van verschillende instrumenten die niet in dit
artikel zijn opgenomen.
37. De Geschillenkamer heeft er in dit verband al op gewezen in beslissing 124/2021 dd. 10
november 2021 dat taken van algemeen belang of openbaar gezag waarmee
verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig
omschreven verplichtingen of wetgevende normen die voldoen aan de eisen vermeld onder
randnummer 29 e.v. meer bepaald het vastleggen van de essentiële kenmerken van de
gegevensverwerking. Veeleer vinden verwerkingen plaats op basis van een meer algemene
Beslissing ten gronde 149/2022 - 9/30
machtiging om te handelen, zoals voor de vervulling van de taak die noodzakelijk is, zoals
ook in casu het geval is. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk
veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke
gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke
wettelijke grondslag willen beroep doen op artikel 6, lid 1 e) AVG moeten dan zelf een
afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen
belang en de belangen van de betrokkenen.
38. Ten overvloede wijst de Geschillenkamer erop dat sinds 1 januari 2022 de Vlaamse
decreetgever heeft opgetreden om een nieuwe wettelijke basis te voorzien voor de
verwerking van persoonsgegevens in het kader van een buitenlands vermogensonderzoek.
Aan het Gecodificeerd Decreet over het Vlaamse woonbeleid (hierna: Vlaamse Codex
Wonen)8 werden artikel 6.3/1 en 63/2 toegevoegd die nu uitdrukkelijk voorzien dat sociale
huisvestingsmaatschappijen aan private onderzoeksbureaus persoonsgegevens kunnen
doorgeven in het kader van een buitenlands vermogensonderzoek. Deze artikelen luiden als
volgt:
Artikel 6/3.1 van de Vlaamse Codex Wonen:
§ 1. Voor de toepassing van dit boek worden persoonsgegevens verwerkt voor de volgende
doeleinden:
1° nagaan of voldaan is aan de voorwaarden en verplichtingen van dit boek en die de
Vlaamse Regering vaststelt conform dit boek;
[…]
§ 2. De verwerkingsverantwoordelijken, vermeld in artikel 4, 7), van de algemene
verordening gegevensbescherming, zijn:
1° de verhuurder, voor wat betreft de verwerkingen die hij voor zijn rekening neemt;
[…]
§ 3. Met toepassing van paragraaf 1 kunnen de volgende categorieën van
persoonsgegevens worden verwerkt:
1° identificatiegegevens;
2° het rijksregisternummer en de identificatienummers van de sociale zekerheid;
3° persoonlijke kenmerken;
4° gezinssamenstelling;
5° financiële bijzonderheden;
6° gegevens over onroerende rechten;
7° gegevens van cursisten Nederlands als tweede taal (NT2);
8° woningkenmerken;
9° beroep en betrekking;
8
Gecodificeerd Decreet over het Vlaamse woonbeleid, gecodificeerd op 17 juli 2020, BS 13 november 2020.
Beslissing ten gronde 149/2022 - 10/30
10° gegevens uit sociaal onderzoek;
11° leefgewoonten;
12° gerechtelijke gegevens over het beëindigen van de huurovereenkomst wegens het
veroorzaken van ernstige overlast of ernstige verwaarlozing van de sociale huurwoning;
13° gegevens over de lichamelijke of psychische gezondheid;
14° opleiding en vorming;
15° gegevens van de huurovereenkomst die is opgezegd door de verhuurder;
16° verbruiksgegevens.
[…]
§ 6. De verwerkingsverantwoordelijke, vermeld in paragraaf 2, 1° en 2°, kan
persoonsgegevens doorgeven onder de volgende voorwaarden:
1° […];
2° de persoonsgegevens, vermeld in paragraaf 3, eerste lid, 1°, 2°, 3°, 8° en 10°, aan de
private partners die de Vlaamse Regering conform artikel 6.3/2, tweede lid, aanduidt voor
het onderzoek naar het onroerend bezit in het buitenland;
[…]”
Artikel 6/3.2, lid 1 van de Vlaamse Codex Wonen:
“De verhuurder die nagaat of voldaan is aan de voorwaarden inzake onroerend bezit,
vermeld in artikel 6.8, eerste lid, 2°, artikel 6.11 en 6.21, eerste lid, kan voor het onroerend
bezit in het buitenland, een beroep doen op private of publieke partners. De Vlaamse
Regering kan de entiteit aanduiden die een raamovereenkomst sluit waarin de private
partners worden aangeduid.”
De Geschillenkamer merkt in dit verband op dat deze nieuwe wetgeving gepubliceerd werd
na de litigieuze gegevensverwerkingen en dus niet van toepassing is op de buitenlandse
vermogensonderzoeken in deze zaak. Aangezien deze Vlaamse Codex Wonen nog niet in
werking getreden was op het moment van de buitenlandse vermogensonderzoeken heeft
de Geschillenkamer geen beroep gedaan op deze wetgeving om tot deze beslissing te
komen.
Noodzakelijkheid
39. Ingevolge artikel 6, lid 1, e) AVG geldt dat de verwerking alleen rechtmatig is indien en voor
zover de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of
van een taak in het kader van de uitoefening van het openbaar gezag dat aan de
verwerkingsverantwoordelijke is opgedragen. Zoals hierboven uiteengezet bevat
wetgeving vaak geen concreet omschreven bepalingen omtrent de noodzakelijke
gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke
wettelijke grondslag beroep willen doen op artikel 6, lid 1 e) AVG moeten dan zelf een
Beslissing ten gronde 149/2022 - 11/30
afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen
belang en de belangen van de betrokkenen.
40. De verweerster stelt dat zij in het kader van de beoordeling van de noodzakelijkheid een
belangenafweging heeft uitgevoerd alvorens de persoonsgegevens in kwestie over te
maken aan Z voor het uitvoeren van een buitenlands vermogensonderzoek. De verweerster
betoogt dat deze belangenafweging zich heeft veruitwendigd in het aanbieden van de
mogelijkheid om voorafgaand spontaan melding te maken van eigendom in het buitenland
en de doorgifte van persoonsgegevens vervolgens heeft plaatsgevonden op basis van
redelijke vermoedens van eigendomsfraude. De vrederechter van het kanton Lier heeft in
haar vonnis dd. 8 maart 2022 (voor wat betreft klager 1) en haar vonnis dd. 12 april 2022 (voor
wat betreft klager 2) vastgesteld dat op 29 juli 2020 de verweerster aan al haar huurders
een brief heeft verzonden waarin werd aangekondigd dat zij gecontroleerd zouden worden
op onroerend bezit? in het buitenland. De brief werd persoonlijk per drager rondgebracht bij
elke huurder en bij afwezigheid werd de brief in de brievenbus achtergelaten. Door het
gebrek aan antwoord van de klagers op dit schrijven, stelt de verweerster dat zij geen andere
mogelijkheid had, dan een dergelijk buitenlands vermogensonderzoek uit te voeren.
41. De Geschillenkamer stelt enerzijds vast dat artikel 52 van het Kaderbesluit geen expliciete
verwijzing bevat naar private onderzoeksbureaus zoals Z om de vereiste gegevens te
verzamelen, maar anderzijds ook dat de voormelde opsomming op niet-limitatief wijze is
geformuleerd waardoor het beroep op private onderzoeksbureaus niet door voormeld
artikel 52 van het Kaderbesluit wordt uitgesloten.
42. In overeenstemming met haar eerdere beslissing9, herinnert de Geschillenkamer eraan dat
vermogensonderzoeken in het binnenland kunnen gebeuren via een eenvoudige consultatie
van het kadaster. Onderzoeken naar onroerende goederen in het buitenland en vooral niet-
EU-lidstaten zijn echter minder evident. De sociale huisvestingsmaatschappijen laten dan
ook de huurders op eer verklaren dat zij geen onroerend goed bezitten in het buitenland. Om
deze verklaringen te controleren doen deze sociale huisvestingsmaatschappijen, zoals de
verweerster, een beroep op gespecialiseerde firma’s, zoals in casu Z, als verwerker om een
buitenlands vermogensonderzoek uit te voeren wanneer zij ernstige aanwijzingen of
vermoedens heeft van buitenlands onroerend bezit.
43. De noodzakelijkheid van het buitenlands vermogensonderzoek blijkt uit het feit dat de
klager al meerdere keren werd uitgenodigd om een eventueel bezit in het buitenland te
melden, eerst bij de ondertekening van de bovenvermelde verklaring op eer en vervolgens
wanneer de verweerster de klager via de waarschuwingsbrief op de hoogte had gebracht
van haar voornemen om een buitenlands vermogensonderzoek te voeren. De verweerster
9
Beslissing 124/2021 dd. 10 november 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen
Beslissing ten gronde 149/2022 - 12/30
mocht echter geen afdoend antwoord ontvangen. Gelet op haar wettelijk taak om beperkte
overheidsmiddelen aan te wenden om de meest kwetsbare personen te huisvesten, gelet
op het groot tekort aan sociale woningen en gelet op de moeilijkheden om dergelijke
gegevens op te zoeken voor onroerende goederen gelegen in het buitenland, was de
verweerster genoodzaakt om het buitenlands vermogensonderzoek uit te voeren om haar
ernstige vermoeden van buitenlands onroerend bezit te controleren.
44. Deze vaststellingen werden ook reeds gedaan door de vrederechter van het kanton Lier in
haar vonnis dd. 8 maart 2022 (voor wat betreft klager 1) en in haar vonnis dd. 12 april 2022
(voor wat betreft klager 2). De vrederechter kwam tot de vaststelling dat de verweerster zich
rechtmatig kon beroepen op artikel 6, lid 1, e) AVG voor het uitvoeren van het buitenlands
vermogensonderzoek. De Geschillenkamer ziet geen redenen om hieromtrent een
afwijkende standpunt in te nemen.
45. Tot slot stelt de klager dat de verweerster zich niet kan beroepen op artikel 6, lid 1, e) AVG
zoals vermeld in de privacy policy op haar website omdat deze privacy policy niet aan de
klager werd betekend. Hieromtrent verwijst de Geschillenkamer naar de richtsnoeren inzake
transparantie van de Groep Gegevensbescherming artikel 29 waarin wordt bepaald als
volgt: "Elke onderneming met een website zou op die site een verklaring of een mededeling
over de bescherming van de persoonlijke levenssfeer moeten publiceren. Een rechtstreekse
link naar deze verklaring of mededeling over de bescherming van de persoonlijke
levenssfeer zou duidelijk zichtbaar moeten zijn op elke pagina van de website, onder een
algemeen gebruikte term (bv. "Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" of
"Mededeling inzake de bescherming van de persoonlijke levenssfeer". 10
Er is dus geen
verplichting om deze informatie persoonlijk aan de klager te bezorgen. Meer zelfs, de Groep
Gegevensbescherming artikel 29 stelt dat "alle informatie die aan een betrokkene wordt
toegestuurd, ook toegankelijk zou moeten zijn op een enkele plaats of in eenzelfde
document (op papier of in elektronisch formaat) dat vlot kan worden geraadpleegd door
deze persoon indien hij alle informatie die hem wordt toegestuurd wenst te raadplegen."11
Bijgevolg kan hieruit worden geconcludeerd dat het publiceren van een rechtstreekse link
naar de verklaring omtrent de bescherming van persoonsgegevens op de website (welke in
casu aanwezig was) volstaat.
46. Voortvloeiend uit het bovenstaande meent de Geschillenkamer dat er geen inbreuk op de
artikelen 5, lid 1, a), 6, lid 1 AVG werd begaan door de verweerster.
10
Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en
op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11.
11
Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en
op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 17.
Beslissing ten gronde 149/2022 - 13/30
II.3. Artikel 5 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en 2 AVG
Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG
47. De verwerkingsverantwoordelijke moet de beginselen uit artikel 5 AVG naleven en dat
kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 j°
artikel 24, lid 1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke
verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen
nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt
overeenkomstig de AVG.
48. In zijn Inspectieverslag stelt de Inspectiedienst vast dat de artikelen 5, 24, lid 1 en 25, lid 1 en
2 AVG werden geschonden. In het kader van zijn onderzoek omtrent de
verantwoordingsplicht heeft de Inspectiedienst volgende vraag overgemaakt aan de
verweerster:
“Gelieve aan te tonen met behulp van documenten overeenkomstig artikelen 5, 6, 24 en 25
van de AVG dat uw organisatie passende technische en organisatorische maatregelen heeft
genomen teneinde de naleving van de gegevensbeschermingsbeginselen, zoals minimale
gegevensverwerking, te waarborgen in het kader van het vermogensonderzoek in het
buitenland vermeld in de klacht”.
49. De verweerster heeft hierop een antwoord geformuleerd waarin, aldus het Inspectiedienst,
toelichting wordt gegeven over de genomen beveiligingsmaatregelen in het kader waarvan
ook verschillende bijlagen worden overgemaakt. De Inspectiedienst stelt vast in zijn verslag
dat beveiligingsmaatregelen verband houden met integriteit en vertrouwelijkheid, zoals
begrepen in artikel 5, lid 1, f) AVG, maar dat de verweerster niet verduidelijkt hoe de andere
beginselen van artikel 5, lid 1 AVG worden gewaarborgd. Bovendien concludeert de
Inspectiedienst dat bepaalde elementen niet in concreto worden toegelicht door de
verweerster. Het betreft onder andere of en desgevallend hoe het hoogste leidinggevende
niveau van de verweerster de afspraken over beveiligingsmaatregelen in verslagen en
teamvergaderingen opvolgt, of en desgevallend hoe de functionaris voor
gegevensbescherming van de verweerster betrokken wordt bij het voorbereiden en
opvolgen van beveiligingsmaatregelen, of en desgevallend hoe inbreuken op de
deontologische code door? leden van de raad van bestuur door? de verweerster effectief
wordt gesanctioneerd, wanneer de analyse van de technische infrastructuur van de
verweerster werd uitgevoerd en welke concrete maatregelen de verweerster na het
kennisnemen van die analyse heeft genomen en tot slot hoe de naleving van de voormelde
beveiligingsmaatregelen in het algemeen door de verweerster wordt gecontroleerd en hoe
inbreuken effectief worden gesanctioneerd. Bijgevolg komt de Inspectiedienst tot de
vaststelling dat er een inbreuk is op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 AVG.
Beslissing ten gronde 149/2022 - 14/30
50. In haar conclusies betwist de verweerster deze vaststelling. Zij voert aan dat zij
verondersteld had te moeten aantonen welke technische en organisatorische maatregelen
zij heeft genomen met behulp van de documenten die zij diende op te stellen, zoals
bijvoorbeeld het register van verwerkingsactiviteiten, de afgesloten
verwerkersovereenkomst met de verwerker van de persoonsgegevens tijdens het
buitenlands vermogensonderzoek, en andere documenten waaruit blijkt dat zij passende
technische en organisatorische maatregelen heeft getroffen in het kader van het
buitenlands vermogensonderzoek. De verweerster betreurt dat de Inspectiedienst is
gekomen tot een schending van alle principes uit artikel 5, lid 1 AVG omwille van een
misvatting van een van de vragen van de Inspectiedienst door de verweerster. De
verweerster stelt dat de vaststellingen van de Inspectiedienst gebaseerd zijn op een
onjuiste interpretatie van de onderzoeksvraag door de verweerster. In haar conclusies geeft
de verweerster bijgevolg meer toelichting omtrent de naleving van de principes uit artikel 5,
lid 1 AVG.
51. De Geschillenkamer stelt dat de Inspectiedienst, als onderzoeksorgaan van de GBA belast
is met het onderzoeken van klachten over en ernstige aanwijzingen van inbreuken op de
Europese en Belgische wetgeving inzake persoonsgegevens, waaronder de AVG. Een van
de manieren waarop het onderzoek gevoerd wordt is om zich van alle nuttige inlichtingen en
documenten te laten voorzien. Deze mogelijkheid laat de verwerkingsverantwoordelijken
en/of verwerkers toe uit te leggen en aan te tonen welke maatregelen zijn genomen om de
toepasselijke wetgeving na te leven.12
52. In het kader van het onderzoek van de naleving van de grondbeginselen en de
verantwoordingsplicht zoals begrepen in artikel 5 van de AVG, heeft de Inspectiedienst een
algemene vraag gesteld aan de verwerkingsverantwoordelijke die luidt als volgt:
“Gelieve aan te tonen met behulp van documenten overeenkomstig artikelen 5, 6, 24 en 25
van de AVG dat uw organisatie passende technische en organisatorische maatregelen
heeft genomen teneinde de naleving van de gegevensbeschermingsbeginselen, zoals
minimale gegevensverwerking, te waarborgen in het kader van het vermogensonderzoek
in het buitenland vermeld in de klacht”.
53. In casu heeft de verweerster een uitgebreid antwoord verstrekt aan de Inspectiedienst??,
waarin zij inderdaad uitvoerig? ingaat op de genomen beveiligingsmaatregelen. De
Geschillenkamer leest echter in het Inspectierapport dat het antwoord dat door de
verweerster geformuleerd werd, niet volstond voor de Inspectiedienst. Zoals hierboven
uiteengezet is de Inspectiedienst in casu van oordeel dat bepaalde informatie, die voor de
Inspectiedienst essentieel is om tot een goede beoordeling te komen, ontbreekt. Bijgevolg
12
Charter van de Inspectiedienst, augustus 2022, online te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf
Beslissing ten gronde 149/2022 - 15/30
werd er door de Inspectiedienst geoordeeld dat er sprake was van een schending van artikel
5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG.
54. De Geschillenkamer stelt echter dat een onderzoek door de Inspectiedienst op een loyale
wijze dient te gebeuren. Indien het antwoord van de verwerkingsverantwoordelijke voor de
Inspectiedienst niet volstaat, komt het in het kader van een loyaal onderzoek toe aan de
Inspectiedienst om te verduidelijken op welke punten meer informatie gevraagd wordt. Dit
kan bijvoorbeeld door specifiekere vragen te stellen over een bepaald onderwerp of door
concrete documenten of informatie op te vragen. Het is immers voor de
verwerkingsverantwoordelijke niet altijd gemakkelijk om op dergelijk algemene en ruime
vraag een omvattend antwoord te formuleren. Indien de Inspectiedienst specifiekere
vragen gesteld heeft of concrete documenten opgevraagd heeft en de
verwerkingsverantwoordelijke niet de gevraagde informatie heeft kunnen aanleveren, komt
het toe aan de Inspectiedienst om schending van de verantwoordingsplicht zoals begrepen
in artikel 5, lid 2 en artikel 24, lid 1 AVG vast te stellen. De Geschillenkamer merkt hierbij op
dat de Inspectiedienst geen bijkomende vragen gesteld heeft over welbepaalde
onderwerpen of dat er geen welbepaalde documenten werden opgevraagd om tot een
goede beoordeling van de zaak te kunnen komen. De Geschillenkamer stelt dan ook vast dat
het Inspectieonderzoek niet op loyale wijze gevoerd werd voor wat betreft deze vaststelling.
Bijgevolg komt de Geschillenkamer dan ook tot de conclusie dat op basis van het
onderzoeksverslag niet besloten kan worden tot een schending van artikel 5, lid 2, artikel 24,
lid 1 en artikelen 25, lid 1 en 2 AVG.
Artikel 5, lid 1 AVG
55. Zoals hierboven reeds gesteld, heeft de verweerster toegelicht op welke manier zij de
naleving van de grondbeginselen van de AVG garandeert. De Geschillenkamer stelt vast dat,
op basis van het aangeleverde antwoord van de verweerster in het kader van het onderzoek,
de Inspectiedienst tot de vaststelling komt dat er een inbreuk is op alle grondbeginselen met
betrekking tot de bescherming van persoonsgegevens zoals bepaald in artikel 5, lid 1 AVG.
Hoewel artikel 5, lid 1 en lid 2 AVG nauw met elkaar verbonden zijn, betekent een eventuele
schending van de verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een
schending van artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele
veruitwendiging om door middel van documenten de naleving van de materiële
grondbeginselen van de AVG aan te tonen.
56. In haar conclusies heeft de verweerster toegelicht hoe de verwerkingen wel voldoen aan de
grondbeginselen uit artikel 5, lid 1 AVG. Deze worden hierna kort hernomen.
57. De verweerster stelt dat zij wel voldoet aan het beginsel van behoorlijkheid en transparantie.
Zij verwerkt volgende persoonsgegevens in het kader van het vermogensonderzoek: naam
en voornaam van de huurder, geboortedatum en -plaats, rijksregisternummer (indien van
Beslissing ten gronde 149/2022 - 16/30
toepassing en beschikbaar), datum en plaats van huwelijk (indien van toepassing en
beschikbaar), het dossiernummer en elementen van het sociaal onderzoek. De verweerster
bekomt deze persoonsgegevens hetzij omdat zij wettelijk verplicht is deze op te vragen
(artikel 68 Vlaamse Codex Wonen), hetzij omdat ze deze gegevens ontvangt van Z
(dossiernummer en elementen van het sociaal onderzoek). Dit werd ook bevestigd door de
rechtspraak.13 Voor de rechtmatigheid van de rechtsgrond verwijst de Geschillenkamer
naar hetgeen werd toegelicht in sectie II.2. Voor wat betreft het transparantiebeginsel, stelt
de verweerster dat zij voor de aanvang van het buitenlands vermogensonderzoek heeft
gemeld, in duidelijke taal aangepast aan de doelgroep, in casu bewoners van sociale
woningen, dat de gegevens zouden worden gebruikt voor een buitenlands
vermogensonderzoek. Deze informatie was opgenomen in de privacyverklaring op de
website en vervolgens in de waarschuwingsbrief. Met betrekking tot het principe van
transparantie stelt de Geschillenkamer vast dat de relevante passage uit de
privacyverklaring luidt als volgt:
Ook de waarschuwingsbrief die werd verstuurd door de verweerster op 29 juli 2020 is in
klare verstaanbare taal opgesteld:
13
Zie o.a. Vred. Hamme 6 juni 2019, Huur 2020/1, 57.
Beslissing ten gronde 149/2022 - 17/30
58. Zoals reeds gesteld, was de privacyverklaring toegankelijk via een rechtstreekse link op de
website en opgesteld in duidelijke taal. Ook de waarschuwingsbrief die naar de klagers werd
verzonden op 29 juli 2020 is in voldoende klare taal is geschreven. Gelet op het
bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een schending van
artikel 5, lid 1, a) AVG.
59. De Geschillenkamer herinnert eraan dat overeenkomstig artikel 5, lid 1, b) AVG
persoonsgegevens alleen verzameld en verwerkt mogen worden voor welbepaalde,
uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Wanneer de gegevens later voor
een ander doel worden gebruikt, dan moet dat nieuwe doel verenigbaar zijn met het
oorspronkelijke verzameldoel. Met betrekking tot artikel 5, lid 1, b) AVG betoogt de
verweerster dat het doel van de verwerking ab initio vastgesteld en welbepaald was,
aangezien in het privacyverklaring expliciet vermeld staat dat persoonsgegevens kunnen
worden doorgegeven aan private instanties ter controle van de hierboven vermelde
inschrijvings- en toelatingsvoorwaarden. Het doeleinde is ook uitdrukkelijk omschreven in
de privacyverklaring, stelt de verweerster. Voor het bepalen van het gerechtvaardigd
doeleinde, moet dit doeleinde een (ver)band hebben met de activiteiten van de
verwerkingsverantwoordelijke, dus de verweerster. Hieromtrent verwijst de verweerster
Beslissing ten gronde 149/2022 - 18/30
naar artikel 52 van het Kaderbesluit, zijnde het controleren van de naleving van de
inschrijvings- en toelatingsvoorwaarden in het kader van sociale huur.
60. Op basis van de stukken van de verweerster stelt de Geschillenkamer vast dat de
persoonsgegevens werden verzameld met de bedoeling de administratieve inschrijving op
de wachtlijst en eventuele toewijzing van sociale woningen mogelijk te maken. De
privacyverklaring (zie randnummer 56) stelt duidelijk dat de verweerster belast is met een
taak van algemeen belang, te weten het aanwenden van schaarse overheidsmiddelen om
sociale woningen toe te kennen aan de personen die het meest kwetsbaar zijn. Daartoe kan
de verweerster private instanties belasten met onderzoeken naar onroerend vermogen in
het buitenland, zoals ook is opgenomen in de privacyverklaring. Deze controle op het
vervullen van de inschrijvings- en toelatingsvoorwaarden is inherent verbonden met de taak
van algemeen belang van de verweerster, zijnde de uitvoering van het recht op behoorlijke
huisvesting, ook in het bijzonder voor de meest behoeftigen. Gelet op het bovenstaande
concludeert de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1,
b) AVG.
61. Het beginsel van minimale gegevensverwerking zoals bepaald in artikel 5, lid 1, c) AVG stelt
dat de verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn
tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Hieruit volgt dat
de persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet
redelijkerwijs op een andere manier kan worden verwezenlijkt. Voor wat betreft het beginsel
van “minimale gegevensverwerking” betoogt de verweerster dat zowel het doeleinde, de
gegevens en de verwerking proportioneel zijn.
62. Overweging 39 van de AVG stelt dat persoonsgegevens alleen mogen worden verwerkt
indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden
verwezenlijkt. Op basis van de stukken van het dossier stelt de Geschillenkamer vast dat de
verweerster volgende gegevens verwerkt in het kader van het buitenlands
vermogensonderzoek: naam en voornaam, geboortedatum, geboorteplaats,
Rijksregisternummer (Belgisch of van het thuisland, desgevallend), datum en plaats van het
huwelijk (indien van toepassing en beschikbaar) en eventuele elementen van het onderzoek
van de dienst Toezicht die tot de doorgave van het dossier geleid hebben (vermoedens van
buitenlands onroerend bezit). Uit de stukken begrijpt de Geschillenkamer dat de verweerster
niet meteen overgegaan is tot een buitenlands vermogensonderzoek. De klagers hebben
vooreerst een verklaring op eer getekend bij de start van de huurovereenkomst, verder
heeft de klager de wettelijke verplichting om het eventueel verwerven van een onroerend
goed tijdens de lopende huurovereenkomst te melden aan de verhuurder, in casu de
verweerster, vervolgens heeft de verweerster op 29 juli 2020 een waarschuwingsbrief
overgemaakt aan de klagers, waarin enerzijds het buitenlands vermogensonderzoek wordt
Beslissing ten gronde 149/2022 - 19/30
aangekondigd, en anderzijds de mogelijkheid wordt geboden om eventueel buitenlands
onroerend bezit te melden om tot een minnelijke regel te komen. Tot slot vermeldt de
verweerster dat er eerst een verkennend onderzoek wordt gedaan. Slechts wanneer er
ernstige aanwijzingen of vermoedens zijn van buitenlands onroerend bezit, zal er worden
overgegaan tot een buitenlands vermogensonderzoek zoals in onderhavige zaak het geval
was. Aangezien de verweerster niet de nodige middelen of expertise heeft om dergelijke
onderzoeken te voeren, is het niet buitensporig om een beroep te doen op een
gespecialiseerde firma. Gelet op het bovenstaande concludeert de Geschillenkamer dat er
geen sprake is van een schending van artikel 5, lid 1, c ) AVG.
63. Ingevolge artikel 5, lid 1, d) AVG moet de verwerkingsverantwoordelijke alle redelijke
maatregelen nemen om ervoor te zorgen dat de gegevens correct en actueel zijn. Gegevens
die dat niet (meer) zijn, dienen te worden gewist of gecorrigeerd. De verweerster stelt dat zij
samen met haar functionaris voor gegevensbescherming een intern beleid opgesteld heeft
met richtlijnen voor haar medewerkers die in aanraking komen met persoonsgegevens. Uit
de agenda van de teammeeting van de verweerster dd. 19 oktober 2021 blijkt dat deze
interne nota samen met andere punten inzake de AVG besproken werd. De Geschillenkamer
concludeert dat er geen sprake is van een schending van artikel 5, lid 1, d) AVG.
64. De Geschillenkamer herinnert eraan dat ingevolge het beginsel van opslagbeperking (artikel
5, lid 1, e) AVG) persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk
voor het doel van de verwerking. Wanneer de gegevens niet langer noodzakelijk zijn, dan
moeten zij worden vernietigd of gewist. De verweerster wijst erop dat het register van
verwerkingsactiviteiten een gedetailleerd overzicht biedt van de bewaartermijnen van de
categorieën van persoonsgegevens die zij verwerkt. Daarnaast voorziet artikel 10 van de
verwerkersovereenkomst met Z dat deze alle ontvangen en verwerkte persoonsgegevens
met betrekking tot het buitenlands vermogensonderzoek zal vernietigen wanneer de
verwerkersovereenkomst een einde neemt, te weten 31 mei 2022 (behoudens verlenging).
In tegenstelling tot de stelling van de klager, erkent de verweerster dus niet dat zij het
beginsel van opslagbeperking geschonden heeft. Gelet op het bovenstaande concludeert
de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1, e) AVG.
65. Artikel 5, 1, f) van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van
passende technische of organisatorische maatregelen op een dusdanige manier worden
verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer
beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk
verlies, vernietiging of beschadiging”. In dit kader licht de verweerster toe in haar conclusies
hoe zij verschillende maatregelen heeft genomen die los staan van de
verwerkingsactiviteiten in het kader van het buitenlands vermogensonderzoek, zoals het
informeren van haar medewerkers over de na te leven beveiligingsmaatregelen (zoals
Beslissing ten gronde 149/2022 - 20/30
paswoordgebruik, twee-factor-identificatie, intern beleid omtrent de behandeling van
persoonsgegevens). Verder licht de verweerster toe dat de bestuurders een deontologische
code dienen te ondertekenen waarbij zij zich ertoe verbinden tot een geheimhouding van
persoonsgegevens en vertrouwelijke bedrijfsgegevens. Daarna vermeldt de verweerster
een reeks maatregelen die getroffen zijn na een analyse van de technische infrastructuur
door een onafhankelijke onderneming. Het betreft onder meer: het maken van offline en
online back-ups van de verwerkte persoonsgegevens, installatie firewall, antivirus en anti-
malwaresoftware, paswoordbeleid met regelmatige aanpassing van de paswoorden en
uitschakeling van alle standaard user accounts. Deze onafhankelijke onderneming voert
periodieke controles uit met betrekking tot de veiligheid van de IT-infrastructuur. Ook de
verwerkersovereenkomst bepaalt welke maatregelen de verwerker moet nemen met het
oog op de beveiliging, zoals regelmatige vernieuwing van paswoorden en toegangscodes,
pseudonimisering en versleuteling van persoonsgegevens, interne auditprocedures ter
beoordeling van de genomen beveiligingsmaatregelen, vertrouwelijkheidsclausule voor de
betreffende werknemers etc. Uit het bovenstaande concludeert de Geschillenkamer dat er
geen sprake is van een inbreuk op artikel 5, lid 1, f) AVG.
66. De Geschillenkamer stelt opnieuw dat het in casu disproportioneel is om een schending van
de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG vast te stellen op basis van een algemene vraag
in het kader van de verantwoordingsplicht, waarop geantwoord werd door de verweerster,
zonder verdere opvolgvragen van de Inspectiedienst. Het komt toe aan de Inspectiedienst
om op basis van een loyaal onderzoek een eventuele tekortkoming van artikel 5, lid 1 AVG
door de verweerster aan te tonen.
67. Aangezien de Inspectiedienst niet aantoont op welke manier de verweerster de
grondbeginselen uit artikel 5, inclusief de verantwoordingsplicht geschonden heeft, en de
verweerster in haar conclusies uitvoerig toelicht op welke mate zij deze beginselen wel
naleeft, concludeert de Geschillenkamer dat er geen inbreuk op de artikelen 5, 24, lid 1 en
25 lid 1 en 2 AVG werd begaan door de verweerster.
II.4. Artikel 28, lid 2 en lid 3 AVG
68. Ingevolge artikel 28, lid 2 AVG neemt de verwerker geen andere verwerker in dienst zonder
voorafgaande specifieke of algemene schriftelijke toestemming van de
verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de
verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de
toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke
de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken.
69. Artikel 28, lid 3 AVG bepaalt dat de verwerking door een verwerker wordt geregeld in een
overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht
Beslissing ten gronde 149/2022 - 21/30
die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin
het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het
soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en
verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die
overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:
• de persoonsgegevens alleen verwerkt onder de schriftelijke instructies van de
verwerkingsverantwoordelijke, onder andere voor wat betreft de doorgifte van
persoonsgegevens aan een derde land of een internationale organisatie (tenzij deze
daartoe wettelijk is verplicht);
• waarborgt dat de toegang tot die gegevens is beperkt tot gemachtigde personen.
Deze personen moeten gebonden zijn aan geheimhouding op grond van een
overeenkomst of een wettelijke verplichting;
• minimaal hetzelfde niveau van beveiliging van de persoonsgegevens hanteert als de
verwerkingsverantwoordelijke doet;
• de verwerkingsverantwoordelijke alle mogelijke ondersteuning biedt bij het
nakomen van diens verplichtingen met het oog op beantwoording van verzoeken
rondom de rechten van betrokkenen;
• de verwerkingsverantwoordelijke bijstaat bij het nakomen van diens verplichtingen
op het gebied van beveiliging van persoonsgegevens en de meldplicht datalekken;
• na beëindiging van de overeenkomst tussen de verwerkingsverantwoordelijke en
verwerker, de in opdracht van de verwerkingsverantwoordelijke verwerkte
persoonsgegevens wist of aan hem teruggeeft, en bestaande kopieën verwijdert;
• de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is
om aantoonbaar te maken dat de verplichtingen op grond van de Verordening
rondom het inzetten van een verwerker worden nageleefd en die nodig is om audits
mogelijk te maken;
• afspraken met betrekking tot sub-verwerkers maakt.
70. De Inspectiedienst stelt in zijn onderzoek vast dat er sprake is van een inbreuk op artikel 28,
lid 2 en lid 3 AVG aangezien in de verwerkingsovereenkomst tussen de verweerster en
verwerker volgende elementen ontbreken:
- De handtekening van de directeur die de verweerster vertegenwoordigt, enkel de
handtekening van de directeur van de verwerker staat in de verwerkingsovereenkomst;
- De datum waarop de verwerkingsovereenkomst aanvangt. Op pagina 10 van de
verwerkingsovereenkomst staat “14 oktober 2020” maar het is niet duidelijk of dat ook de
aanvangsdatum is;
Beslissing ten gronde 149/2022 - 22/30
- Een omschrijving van de duur van de verwerking;
- Een omschrijving van het soort persoonsgegevens en de categorieën van betrokkenen en
van de aard van de verwerking; en
- Een voorafgaande specifieke of algemene schriftelijke toestemming van de verweerster
aan de verwerker om andere verwerkers in dienst te nemen. Ondanks het gebrek aan enige
bepaling hieromtrent heeft de verwerker een verwerker in Turkije in dienst genomen.
71. De verweerster betwist deze vaststellingen niet. Zij stelt dat zij na ontvangst van het
Inspectierapport onverwijld de instructie heeft gegeven om de verwerkersovereenkomst
die zij hanteert voor het uitvoeren van vermogensonderzoeken door private ondernemingen
aan te passen en de aangehaalde elementen uit te werken en in te voegen. De verweerster
voert aan dat op dit moment de verwerker geen vermogensonderzoeken ten behoeve van
de verweerster meer uitvoert, noch maakt de verweerster nog persoonsgegevens over aan
de verwerker. Bij haar conclusies voegt de verweerster een aangepaste template van
verwerkingsovereenkomst toe die gebruikt zal worden bij eventuele toekomstige
buitenlandse vermogensonderzoeken.
72. De Geschillenkamer oordeelt dat de verwerkersovereenkomst die werd overgemaakt door
de verweerster onvolledig is, zoals vastgesteld in het Inspectieverslag. In haar conclusies
stelt de verweerster dat zij nu geen buitenlandse vermogensonderzoeken meer uitvoert,
maar dat zij de herwerkte template van de verwerkersovereenkomst, in navolging van het
Inspectieverslag overmaakt. De Geschillenkamer stelt vast dat de verweerster
inspanningen gedaan heeft om de verwerkersovereenkomst in overeenstemming met de
vereisten van artikel 28, lid 2 en 3 AVG te brengen.
73. Ondanks de corrigerende maatregelen stelt de Geschillenkamer vast dat de
verwerkersovereenkomst op basis waarvan het buitenlands vermogensonderzoek is
uitgevoerd niet voldeed aan de vereisten van artikel 28, lid 2 en 3 AVG, waardoor er sprake
was van een inbreuk op artikel 28, lid 2 en 3 AVG, maar dat dit intussen verholpen werd.
II.5. Artikelen 44, 46, 24, lid 1 en 5, en lid 2 AVG
74. Op het moment dat persoonsgegevens naar landen buiten de Europese Unie worden
overgemaakt is er sprake van een doorgifte van persoonsgegevens. Voor het doorgeven
van persoonsgegevens naar landen buiten de Europese Unie stelt de AVG dat dit alleen mag
als het door de AVG geboden beschermingsniveau niet wordt ondermijnd. Dit is het geval
als het land buiten de Europese Unie een adequaat niveau van gegevensbescherming kent
of aanvullende waarborgen biedt bij de doorgifte van gegevens. Als de Europese Commissie
geen adequaatheidsbeslissing heeft genomen, dan dienen op een andere manier passende
waarborgen te worden getroffen om een voldoende hoog beschermingsniveau te bieden.
Beslissing ten gronde 149/2022 - 23/30
75. De Inspectiedienst stelt aangaande de doorgifte van persoonsgegevens aan Turkije vast dat
de verweerster een inbreuk heeft begaan op de artikelen 44, 46, 24, lid 1 en 5 en lid 2 AVG
aangezien de verweerster niet zou hebben aangetoond welke maatregelen zij en Z hebben
genomen om bij de doorgifte van persoonsgegevens aan Turkije de artikelen 44 en 46 AVG
en het Schrems II-arrest na te leven. De Inspectiedienst komt tot de vaststelling dat de
Turkse wet inzake bescherming van persoonsgegevens een vrijstelling voorziet voor de
verwerking van persoonsgegevens binnen het kader van preventieve, beschermende en
inlichtingen activiteiten uitgevoerd door publieke instellingen en organisaties die naar
behoren zijn toegelaten en aangewezen door de wet om de nationale verdediging, nationale
veiligheid, publieke veiligheid, publiek orde of economische veiligheid te waarborgen. De
verwerkersovereenkomst tussen Z en haar Turkse partner zou onvoldoende bijkomende
waarborgen bieden om een passend beschermingsniveau van de doorgegeven
persoonsgegevens te garanderen.
76. Vooreerst werpt de verweerster op dat zij niet de exporteur is van deze persoonsgegevens
naar Turkije in het kader van het vermogensonderzoek. Het is Z die de gegevens ontvangt
van de verweerster, maar die op haar beurt doorgeeft aan haar partner in Turkije, die dan
deze gegevens gebruikt om de nodige opzoekingen te doen in de publieke registers.
77. De Geschillenkamer volgt deze redenering niet. Artikel 4(7) AVG definieert
‘verwerkingsverantwoordelijke’ als de “natuurlijke persoon of rechtspersoon,
overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel
van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Het is ook de
verweerster als sociale huisvestingsmaatschappij die het doel en de middelen bepaalt,
aangezien zij de persoonsgegevens heeft overgedragen aan Z als verwerker met als doel
het uitvoeren van een buitenlands vermogensonderzoek in Turkije. Met andere woorden, de
Geschillenkamer komt tot de conclusie dat de verweerster als
verwerkingsverantwoordelijke gekwalificeerd moet worden, ook voor wat betreft de
doorgifte naar Turkije. Als verwerkingsverantwoordelijke is het haar taak om op voorhand
na te gaan of deze doorgifte zal plaatsvinden op een wijze die conform is met de
verplichtingen in de AVG ter zake. Deze verplichting geldt ook wanneer zij niet zelf de
doorgifte uitvoert, maar wel via aangestelde verwerker, zoals in onderhavige zaak het geval
is. Indien de verwerkingsverantwoordelijke zou vaststellen dat deze doorgifte door de
verwerker niet conform de AVG kan plaatsvinden, mag hij deze persoonsgegevens niet
overmaken aan de verwerker.
78. In het geval de verweerster toch als verwerkingsverantwoordelijke zou gekwalificeerd
worden, betoogt zij in ondergeschikte orde dat zij zich voor de doorgifte van
persoonsgegevens beroept op artikel 49, lid 1, d) AVG.
Beslissing ten gronde 149/2022 - 24/30
In het kader van de beoordeling van de doorgifte van de persoonsgegevens naar Turkije
verwijst de Geschillenkamer naar Aanbevelingen 01/2020 van het Europees Comité voor
gegevensbescherming (hierna: “EDPB”). Om exporteurs te helpen bij de complexe taak van
het beoordelen van de gegevensbescherming van derde landen en het waar nodig
vaststellen van passende aanvullende maatregelen heeft de EDPB een stappenplan
voorzien.14
Stap 1: bekendheid met de doorgiften
79. Vooreerst is het van belang voor de exporteur om op de hoogte te zijn van de
persoonsgegevens die worden doorgegeven, door bijvoorbeeld een beroep te doen op zijn
verwerkingsregister. De verweerster erkent in haar conclusies dat het verwerkingsregister
op dit punt nog niet op punt stond. De EDPB bepaalt echter niet hoe de exporteur aan deze
stap moet voldoen, maar formuleert slechts suggesties. De verweerster stelt in haar
conclusies dat de categorieën van persoonsgegevens die werden doorgegeven werden
opgenomen in de verwerkersovereenkomst, waardoor er een goed overzicht was van de
relevante persoonsgegevens die het voorwerp uitmaakten van de doorgifte.
Stap 2: bepaling van het relevant instrument van doorgifte
80. Ten tweede dient de exporteur te bepalen welk doorgifte-instrument uit hoofdstuk V van de
AVG hij gebruikt.
81. De Geschillenkamer herinnert eraan dat de doorgifte van persoonsgegevens naar een derde
land, bij gebreke van een adequaatheidsbesluit van de Europese Commissie krachtens
artikel 45 AVG, alleen mogelijk is indien de verwerkingsverantwoordelijke of de verwerker
passende waarborgen heeft geboden, en op voorwaarde dat voor de betrokkenen
afdwingbare rechten en doeltreffende rechtsmiddelen beschikbaar zijn (artikel 46 AVG). Bij
gebreke van een besluit waarbij het beschermingsniveau passend wordt verklaard
overeenkomstig artikel 45, lid 3, AVG, of van passende waarborgen overeenkomstig artikel
46 AVG, vindt een doorgifte of een categorie doorgiften van persoonsgegevens naar een
derde land in specifieke omstandigheden alleen plaats onder een van de voorwaarden van
artikel 49 AVG ("Afwijkingen voor gegevensbescherming").
82. Zoals hierboven vermeld beroept de verweerster zich op de afwijking uit artikel 49, lid 1, d)
AVG. Krachtens dit artikel kunnen doorgiften naar derde landen plaatsvinden wanneer de
doorgifte "om gewichtige redenen van algemeen belang noodzakelijk is". Deze lijkt sterk op
de bepaling die is opgenomen in artikel 26, lid 1, onder d), van Richtlijn 95/46/EG15, waarin
14
EDPB Aanbevelingen 01/2020 inzake maatregelen ter aanvulling op doorgifte-instrumenten teneinde naleving van het
beschermingsniveau van persoonsgegevens in de Unie te waarborgen dd. 18 juni 2021, te raadplegen via
https://edpb.europa.eu/system/files/2022-
04/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_nl.pdf
15
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming
Beslissing ten gronde 149/2022 - 25/30
staat dat een doorgifte alleen mag plaatsvinden wanneer deze noodzakelijk of wettelijk
verplicht is vanwege een zwaarwegend algemeen belang.
83. Overeenkomstig artikel 49, lid 4, AVG mag alleen rekening worden gehouden met openbare
belangen die zijn erkend in het recht van de Unie of in het recht van de lidstaat waaronder de
voor de verwerking verantwoordelijke valt. De bepaling die een dergelijk openbaar belang
definieert, mag niet abstract zijn. Doorgifte is bijvoorbeeld toegestaan in geval van een
zwaarwegend algemeen belang dat wordt erkend in internationale overeenkomsten waarbij
de lidstaten partij zijn .16
84. In onderhavige zaak vindt de doorgifte plaats in het kader van het algemeen belang en meer
bepaald het recht op huisvesting. Het recht op huisvesting is erkend in een aantal
internationale mensenrechteninstrumenten. Artikel 25 van de Universele Verklaring van de
Rechten van de Mens erkent het recht op huisvesting als onderdeel van het recht op een
behoorlijke levensstandaard.17 Ook artikel 11, lid 1, van het Internationaal Verdrag inzake
economische, sociale en culturele rechten (ICESCR), dat zowel België als Turkije
geratificeerd hebben, garandeert het recht op huisvesting als onderdeel van het recht op
een behoorlijke levensstandaard.18 Voor de bepaling van het recht op huisvesting als
algemeen belang in het Belgisch nationaal recht, wordt verwezen naar sectie II.2 van deze
beslissing.
85. Op basis van artikel 49, lid 1, d) AVG moet de noodzakelijkheidstoets worden toegepast om
de toepasselijkheid ervan te beoordelen. Deze noodzakelijkheidstoets vereist een evaluatie
door de gegevensexporteur van de vraag of de doorgifte van persoonsgegevens als
noodzakelijk kan worden beschouwd voor het specifieke doeleinde van artikel 49, lid 1 d)
AVG. Voor wat betreft de noodzakelijkheid van de doorgifte verwijst de Geschillenkamer
naar sectie II.2 van deze beslissing.
86. Gelet op het bovenstaande concludeert de Geschillenkamer dat de doorgifte van de
persoonsgegevens naar Turkije, in het kader van het buitenlands vermogensonderzoek
rechtsgeldig gebeurd is op basis van artikel 49, lid 1, d) van de AVG waardoor er geen inbreuk
is op artikel 44, artikel 46, artikel 24, lid 1 en artikel 5, lid 2 AVG.
van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer
van die gegevens.
16
EDPB Richtsnoeren 2/2018 inzake afwijkingen op grond van artikel 49 van Verordening 2016/679 dd. 25 mei 2018, te
raadplegen via https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_2_2018_derogations_nl.pdf
17
Artikel 25: Een ieder heeft recht op een levensstandaard die toereikend is voor de gezondheid en het welzijn van zichzelf
en zijn gezin, met inbegrip van voedsel, kleding, huisvesting en medische zorg en noodzakelijke sociale diensten, en het recht
op zekerheid in geval van werkloosheid, ziekte, handicap, weduwschap, ouderdom of ander gebrek aan levensonderhoud in
omstandigheden buiten zijn wil.
18
Artikel 11, lid 1: “De Staten die partij zijn bij dit Verdrag erkennen het recht van een ieder op een behoorlijke
levensstandaard voor zichzelf en zijn gezin, daarbij inbegrepen behoorlijke voeding, kleding en huisvesting, en op steeds
betere levensomstandigheden. De Staten die partij zijn bij dit Verdrag nemen passende maatregelen om de verwezenlijking
van dit recht te verzekeren, daarbij het essentieel belang erkennende van vrijwillige internationale samenwerking”
Beslissing ten gronde 149/2022 - 26/30
II.6. Artikel 30, lid 1 AVG
87. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden
van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd.
Artikel 30, lid 1, a) tot en met g) AVG bepaalt dat, met betrekking tot de in de hoedanigheid
van verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie
beschikbaar moet zijn:
a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele
gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor
gegevensbescherming;
b) de verwerkingsdoeleinden;
c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;
d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een
internationale organisatie, met inbegrip van de vermelding van dat derde land of die
internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea AVG,
bedoelde doorgiften, de documenten inzake de passende waarborgen;
f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van
gegevens moeten worden gewist;
g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32, lid 1 AVG.
88. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten van de
verweerster volgende vaststellingen, zoals hierna samengevat:
• Er ontbreekt een beschrijving van de categorieën van betrokkenen in het tabblad
“Lijsten” (cf. artikel 30, lid 1, c) van de AVG). Het is dan ook onduidelijk wat woorden
als “personeelsleden”, “bestuurders”, “vrijwilligers”, “(kandidaat-)huurders en
(kandidaat-)kopers in de praktijk betekenen.
• De beschrijving van de categorieën van persoonsgegeven is onvolledig, aangezien in
het tabblad “Lijsten” meermaals niet-limitatieve opsommingen staan (cf. artikel 30,
lid 1, c) van de AVG). Het is dan ook onduidelijk wat woorden als “Elektronische
identificatiegegevens”, “elektronische lokalisatiegegevens”, “financiële
Beslissing ten gronde 149/2022 - 27/30
identificatiegegevens”, “afbeeldingen” en “geluidsopnamen” in de praktijk
betekenen.
89. De Geschillenkamer stelt vast dat de verweerster in haar register van
verwerkingsactiviteiten een opsomming voorziet voor:
- de categorieën van betrokkenen (artikel 30, lid 1, c) AVG), te weten “personeelsleden”,
“bestuurders”, “vrijwilligers”, “(kandidaat-)huurders en (kandidaat-)kopers; en
- de categorieën van persoonsgegevens (artikel 30, lid 1, c) AVG), te weten de “elektronische
identificatiegegevens”, “elektronische lokalisatiegegevens”, “financiële
identificatiegegevens”, “afbeeldingen” en “geluidsopnamen”.
90. De Geschillenkamer dient zich uit te spreken over de vraag of artikel 30, lid 1, c) AVG vereist
dat een beschrijving wordt gegeven van de categorieën van persoonsgegevens en de
categorieën van betrokkenen in het register van verwerkingsactiviteiten, dan wel of een
opsomming kan volstaan.
91. De Geschillenkamer stelt vast dat artikel 30, lid 1, c) AVG vereist dat een beschrijving van de
categorieën van betrokkenen en van de categorieën van persoonsgegevens wordt
opgenomen in het register van verwerkingsactiviteiten. De betrokkenen zijn de
geïdentificeerde of identificeerbare natuurlijke personen van wie de gegevens worden
verwerkt (artikel 4 (1) van de AVG). Aangaande de categorieën gegevens, moet het natuurlijk
gaan over persoonsgegevens zoals bepaald in artikel 4 (1) van de AVG.
92. De Geschillenkamer herinnert eraan wat het doel van het register van
verwerkingsactiviteiten is. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen
toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de
verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij
uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de
verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende
gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste kenmerken ervan
zichtbaar maakt. De Geschillenkamer is van oordeel dat dit verwerkingsregister een
essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel
5, lid 2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de
AVG aan de verwerkingsverantwoordelijke oplegt.
93. De Geschillenkamer stelt vast dat noch de tekst van de AVG, noch de doelstellingen van de
AVG verhinderen dat een opsomming van de categorieën van persoonsgegevens en de
categorieën van betrokkenen wordt opgenomen in het register van verwerkingsactiviteiten
of dat een meer gedetailleerde beschrijving zou nodig zijn.
Beslissing ten gronde 149/2022 - 28/30
94. Voor wat betreft de categorieën van ontvangers verwijst de Geschillenkamer naar een
aanbeveling van de CBPL19 en de doctrine20 waarin wordt uiteengezet dat het weliswaar niet
nodig is de individuele ontvangers van de gegevens te vermelden, maar dat deze wel
gegroepeerd kunnen worden per categorie van ontvangers. Mutatis mutandis kan deze
stelling ook worden toegepast op de categorieën van persoonsgegevens en betrokkenen.
95. De Geschillenkamer wijst er echter op dat de invulling van het register van
verwerkingsactiviteiten steeds casuïstisch geëvalueerd moet worden om na te gaan of de
hierin opgenomen beschrijving of opsomming voldoende duidelijk en concreet is.
96. In onderhavig geval stelt de Geschillenkamer vast dat de opsommingen opgenomen in het
register van verwerkingsactiviteiten voldoende concreet waren. Er kan volgens de
Geschillenkamer weinig twijfel bestaan over de betekenis van de hierboven opgesomde
elementen in het kader van sociale huur. Bijgevolg concludeert de Geschillenkamer dat er
geen sprake is van schending van artikel 30, lid 1, c) AVG. De Geschillenkamer herinnert er
eveneens aan dat het register van verwerkingsactiviteiten nu op punt staat voor wat betreft
de internationale doorgiften, zoals erkend door de verweerster, waardoor er geen sprake is
van een inbreuk op artikel 30, lid 1, AVG.
III. Sancties
97. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat er sprake is van
een inbreuk op artikel 28, lid 2 en 3 van de AVG. Hoewel de verweerster deze inbreuken
verholpen heeft, staat het wel vast dat er inbreuken op het recht op gegevensbescherming
plaatsgevonden hebben. Zoals reeds uiteengezet is de verwerkersovereenkomst een
belangrijk instrument bij de naleving van de AVG. Met de verwerkingsovereenkomst kan de
verwerkingsverantwoordelijke een beroep doen op verwerkers die voldoende garanties
bieden, met name op het gebied van deskundigheid, betrouwbaarheid en middelen, om
ervoor te zorgen dat de technische en organisatorische maatregelen beantwoorden aan de
voorschriften van de AVG, mede wat de beveiliging van de verwerking betreft.
98. Bij het bepalen van de sanctie houdt de Geschillenkamer rekening met het feit dat de
verweerster deze inbreuken reeds rechtgezet heeft en bewijsstukken hiervan overmaakt.
De Geschillenkamer besluit dan ook dat in de concrete feitelijke omstandigheden van deze
zaak, een berisping voor de voormelde inbreuken volstaat. De ernst van de inbreuk is niet
zodanig dat een administratieve boete dient te worden opgelegd.
99. De Geschillenkamer gaat over tot een sepot van de overige grieven en vaststellingen van de
Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de
19
Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf
20
W. Kotschy, "Article 30: records of processing activities", in Ch. Kuner The EU General Data Protection Regulation (GDPR),
a commentary, 2020, pag. 621.
Beslissing ten gronde 149/2022 - 29/30
conclusie kan komen dat er sprake is van een inbreuk op de AVG. Deze grieven en
vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd
in de zin van artikel 57, lid 4 van de AVG. 21
IV. Publicatie van de beslissing
100. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van, artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de
verweerster voor wat betreft de inbreuk op artikel 28, lid 2 en 3 AVG.
- Op grond van artikel 100, §1, 1° WOG alle andere grieven uit de klacht te seponeren.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerster.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten22. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
21
Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf
22
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
Beslissing ten gronde 149/2022 - 30/30
overeenkomstig artikel 1034quinquies van het Ger.W.23, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
23
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.