Hizmet Araçlarında Konum Takibi

1/35

Geschillenkamer

Beslissing ten gronde 15/2023 van 21 februari 2023

Dossiernummer : DOS-2021-03522

Betreft : Klacht wegens het gebruik van een geolokalisatiesysteem

De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden;

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;

Gelet op de stukken van het dossier;

Heeft de volgende beslissing genomen inzake:

De klager: X, hierna “de klager”;

De verweerder: Y, hierna “de verweerder”.

Beslissing ten gronde 15/2023/2023 - 2/35

I. Feiten en procedure

1. Op 31 maart 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder.

De klager was werknemer bij de verweerder en in die hoedanigheid hoofdbestuurder van een
dienstwagen. In dit kader ontving hij een persoonlijke nota waarin geregistreerde priktijden
werden vergeleken met de ritverslagen van het voertuig. De nota stelde dat hij zowel zijn
privéadres, als dat van zijn moeder, een bepaald café en enkele willekeurige straten bezocht
had, waardoor er sprake zou zijn van prikfraude. De klager stelt dat hij niet op de hoogte was
van het geolokalisatiesysteem (GPS-tracking) in de dienstwagens, tot hij de nota ontving. Dit
geolokalisatiesysteem wordt volgens de klager ook niet vermeld in het arbeidsreglement. De
klager richtte vervolgens een verzoek tot seponering van deze persoonlijke nota aan de
burgemeester, maar dit werd afgewezen. Bijgevolg heeft de klager deze klacht ingediend.

2. Op 30 september 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.

3. Op 27 oktober 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.

4. Op 10 januari 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).

Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en stelt de
volgende inbreuken vast:

a. inbreuk op artikel 5, lid 1, a) en lid 2 en artikel 6, lid 1 van de AVG; en

b. inbreuk op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 van de AVG.

Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, de volgende inbreuken vast:

a. inbreuk op artikel 4, 11), artikel 5, lid 1, a) en lid 2 artikel 6, lid 1, a) en artikel 7, lid 1 en lid
3 van de AVG voor het gebruik van niet strikt noodzakelijke cookies;

b. inbreuk op artikel 12, lid 1 en lid 6, artikel 13, lid 1 en lid 2 en artikel 14, lid 1 en lid, artikel
5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 van de AVG;

c. inbreuk op artikel 30, lid 1, lid 3 en lid 4 van de AVG; en

d. inbreuk op artikel 38, lid 1 en lid 3 en artikel 39 van de AVG.

Beslissing ten gronde 15/2023/2023 - 3/35

5. Op 4 februari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde.

6. Op 4 februari 2022 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.

Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd
op 18 maart 2022, deze voor de conclusie van repliek van de klager op 8 april 2022 en ten
slotte deze voor de conclusie van repliek van de verweerder op 29 april 2022.

Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd
op 18 maart 2022.

7. Op 4 februari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.

8. Op 7 februari 2022 aanvaardt de verweerder elektronisch alle communicatie omtrent de
zaak.

9. Op 18 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de
vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. In
zijn conclusies betwist de verweerder de vaststellingen omtrent de onrechtmatigheid van
het geolokalisatiesysteem niet. De verweerder betoogt dat zij sindsdien een nieuw
geolokalisatiebeleid heeft opgemaakt en goedgekeurd. Dit zal gecommuniceerd worden
naar alle betrokken medewerkers. Voor wat betreft de derde en vierde vaststelling voert de
verweerder aan een nieuwe privacyverklaring en cookiebeleid uitgewerkt te hebben. Deze
nieuwe voorstellen liggen bij de diensten ICT en Communicatie van de verweerder ter nazicht
waarbij de streefdatum werd voorzien op 18 maart 2022. Met betrekking tot de vijfde
vaststelling gaat de verweerder akkoord dat er onduidelijkheid bestaat over de
contactgegevens van de DPO. In de conclusies wordt dit verduidelijkt. Tot slot voert de
verweerder aan dat het de bedoeling is dat het jaarverslag ter kennisgeving wordt
geagendeerd op het College van Burgemeester en Schepenen en het Vast Bureau nadat het
is voorgesteld op het Gezamenlijk Management Team. Verder brengt de functionaris voor
gegevensbescherming indien nodig formeel advies uit aan de Gemeenteraad en de Raad
voor Maatschappelijk Welzijn en/of aan het college van burgemeester en schepenen / het
Vast Bureau.

Beslissing ten gronde 15/2023/2023 - 4/35

10. De Geschillenkamer ontvangt geen conclusie van antwoord van de klager voor wat betreft
de vaststellingen met betrekking tot het voorwerp van de klacht. Vervolgens ontvangt de
Geschillenkamer ook geen conclusies van dupliek van de verweerder voor wat betreft de
vaststellingen met betrekking tot het voorwerp van de klacht.

11. Op 28 september 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 18 november 2022.

12. Op 18 november 2022 wordt de verschenen partij gehoord door de Geschillenkamer. Tijdens
de hoorzitting licht de verweerder toe welke stappen hij reeds genomen heeft op vlak van
gegevensbescherming sinds de indiening van de klacht en het Inspectieonderzoek.

13. Op 21 november 2022 wordt het proces-verbaal van de hoorzitting aan de verschenen partij
overgemaakt.

14. De Geschillenkamer heeft vanwege de verweerder geen opmerkingen met betrekking tot
het proces-verbaal ontvangen.

II. Motivering

15. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het verslag
van de Inspectiedienst in het licht van de daaromtrent door de verweerder aangevoerde
middelen.

II.1. Artikel 5, lid 1, a) en lid 2 van de AVG en artikel 6, lid 1 van de AVG

II.1.1. Artikel 5, lid 1, a) en artikel 6, lid 1 AVG voor wat betreft de rechtmatigheid

16. De Geschillenkamer herinnert eraan dat ingevolge artikel 5, lid 1, a) AVG persoonsgegevens
rechtmatig, behoorlijk en transparant verwerkt moeten worden. Dit betekent dat de
verwerking moet gebeuren op basis van de verwerkingsgronden zoals bepaald in artikel 6,
lid 1 AVG. Wanneer persoonsgegevens rechtmatig verwerkt worden, dan moet de
verwerking ervan vervolgens behoorlijk gebeuren. Ten slotte moet duidelijk zijn voor welke
doelen persoonsgegevens worden verwerkt en hoe dat gebeurt.

17. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens
enkel mogen worden verwerkt op grond van een van volgende rechtsgronden:

“a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn
persoonsgegevens voor een of meer specifieke doeleinden;

b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij
de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van
een overeenkomst maatregelen te nemen;

Beslissing ten gronde 15/2023/2023 - 5/35

c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die
op de verwerkingsverantwoordelijke rust;

d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van
een andere natuurlijke persoon te beschermen;

e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen
belang of van een taak in het kader van de uitoefening van het openbaar gezag dat
aan de verwerkingsverantwoordelijke is opgedragen;

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde
belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer
de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene
die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die
belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in
het kader van de uitoefening van hun taken.”

Vaststellingen uit het Inspectieverslag

18. De Inspectiedienst stelt dat de verweerder de verplichtingen opgelegd door artikel 5, lid 1, a)
en lid 2 van de AVG en door artikel 6 van de AVG niet heeft nageleefd. Hiertoe laat de
Inspectiedienst de volgende overwegingen gelden:

a. “In het programma wordt de nummerplaat van het voertuig verwerkt en
bijgehouden, alsook het gevolgde traject. In principe worden geen namen van
bestuurders bijgehouden, maar een diensthoofd weet in de meeste gevallen wel
wie met een voertuig op pad is.” Uit de klacht blijkt duidelijk dat de verweerder de
persoonsgegevens van de klager in concreto heeft verwerkt voor het opstellen en
bezorgen van een notitie van 14 oktober 2020.

b. De verweerder verduidelijkt in zijn antwoord niet op basis van welke rechtsgrond
de persoonsgegevens van de bestuurders worden verwerkt, ondanks de
uitdrukkelijke vraag hieromtrent van de Inspectiedienst.

Standpunt van de verweerder

19. In zijn conclusies betwist de verweerder deze vaststellingen omtrent de onrechtmatige
verwerking van persoonsgegevens in het kader van het geolokalisatiesysteem niet. Hij stelt
het nodige te doen om dit in de toekomst te vermijden en tot dan het geolokalisatiesysteem
niet meer te gebruiken.

20. Tijdens de hoorzitting dd. 18 november 2022 licht de verweerder de stappen toe die gezet
werden sinds het indienen van bovenvermelde conclusies. Intussen werd op 21 september
2021 een herwerkt en actueel geolokalisatiebeleid goedgekeurd, waarin de rechtsgrond en

Beslissing ten gronde 15/2023/2023 - 6/35

doeleinden voor de litigieuze gegevensverwerking werden opgenomen. Voor wat betreft de
rechtsgrond van het geolokalisatiesysteem, baseert de verweerder zich op het
gerechtvaardigd belang (artikel 6, lid 1, f) AVG) om zijn dienstvoertuigen te kunnen traceren.
Hierbij stelt de verweerder dat hij een uitgebreide belangenafweging heeft gemaakt tussen
enerzijds zijn belang om zijn diensten te operationaliseren en te optimaliseren, en anderzijds
het belang van de medewerkers om niet te worden onderworpen aan een overmatige
verwerking van hun persoonsgegevens.

Beoordeling door de Geschillenkamer

21. De Geschillenkamer wijst erop dat de klacht betrekking heeft op de controle van de werk- en
priktijden in augustus en september 2020, maar dat het geolokalisatiebeleid reeds sinds
2009 in werking was gesteld, tot het on hold gezet werd ingevolge onderhavige procedure.

22. Uit de stukken die door de verweerder werden overgemaakt, stelt de Geschillenkamer vast
dat de verwerking van persoonsgegevens verzameld via geolokalisatie, door de verweerder
gestart werd in 2009. Op 20 augustus 2009 werd dit geolokalisatiesysteem besproken
tijdens de vergadering van het bijzonder onderhandelingscomité. In het kader hiervan werd
op 19 augustus 2009 een informatiedocument inzake het geolokalisatiesysteem opgesteld.
Een nota inzake de modaliteiten van het geolokalisatiesysteem en een stappenplan van de
implementatie ervan werd eveneens op 19 augustus 2009 opgesteld. Na een collegiale
beslissing van het College van Burgemeester en Schepenen werd op 28 september 2009 de
interne dienstnota overgemaakt aan het personeel, waarna het geolokalisatiesysteem in
werking trad.

23. Het is van belang op te merken dat het informatiedocument dateert van voor de
inwerkingtreding van de AVG. Bij de totstandkoming ervan kon aldus geen rekening
gehouden worden met de verplichtingen uit de AVG, doch wel met de verplichtingen
voortvloeiend uit richtlijn 95/46/EG, de rechtsvoorganger van de AVG. In het
informatiedocument wordt dan ook de installatie en het gebruik van het
geolokalisatiesysteem getoetst aan de principes van doelbinding, proportionaliteit en
transparantie. Hieruit concludeert de Geschillenkamer dat de verweerder een afweging
heeft gemaakt om het recht op privacy van de betrokkenen zoveel als mogelijk te
beschermen. Eveneens op 28 september 2009 werd een interne dienstnota verspreid
binnen de dienst Uitvoering waarin het geolokalisatiesysteem wordt toegelicht. In deze nota
staan de verschillende doeleinden omschreven waaronder het bestrijden van ongeoorloofd
gebruik van dienstvoertuigen alsook het in kaart brengen van de verplaatsingen zodat de
goede en correcte uitvoering van de overeengekomen arbeid kan worden gecontroleerd. De
nota licht toe welke gegevens kunnen bekomen worden door het geolokalisatiesysteem
(locatie van de wagen in realtime, afgelegde route per dag en per voertuig enz.). In de nota
wordt ook vermeld dat enkel de diensthoofden toegang hebben tot de

Beslissing ten gronde 15/2023/2023 - 7/35

geolokalisatiegegevens via een licentie en inlogcode. Al de bovenstaande informatie,
inclusief voorbeelden van rapporten en een stappenplan over de implementatie, werd
overgemaakt aan het personeel.

24. Sinds 25 mei 2018 is de AVG van toepassing. De verwerkingen van persoonsgegevens via
het geolokalisatiesysteem dienden aldus gebaseerd te zijn op een grondslag zoals bepaald in
artikel 6, lid 1 AVG en de verwerkingen dienden te gebeuren overeenkomstig de
grondbeginselen uit artikel 5, lid 1 AVG.1 Het komt toe aan de verwerkingsverantwoordelijke
om een rechtmatigheidsgrond voor zijn verwerking aan te geven. 2 Deze vereiste maakt ook
deel uit van de beginselen van rechtmatigheid en transparantie die hij moet toepassen
(artikel 5, lid 1, punt a), van de AVG - zoals toegelicht in overweging 39 van de AVG).
Aangezien uit de ene of de andere rechtsgrondslag verschillende gevolgen voortvloeien, met
name wat de rechten van de betrokkenen betreft, dient het voor de betrokkenen duidelijk te
zijn op welke rechtsgrond de litigieuze verwerkingen gestoeld zijn. De betrokkenen dienen
bijgevolg over de rechtsgrondslag van de verwerking ingelicht worden overeenkomstig de
artikelen 13, lid 1, c) en 14, lid 1, c) van de AVG. Zoals vastgesteld door de Inspectiedienst
vermeldt het voornoemde informatiedocument van 2009 niet op welke rechtsgrond de
persoonsgegevens van de bestuurders worden verwerkt nadat deze via het
geolokalisatiesysteem verzameld worden, ondanks de uitdrukkelijke vragen van de
Inspectiedienst hieromtrent. De verweerder betwist deze vaststelling niet in zijn conclusies.

25. Gelet op het bovenstaande, te weten het gebrek aan identificatie van de passende
rechtmatigheidsgrondslag voor het verzamelen en verwerken van geolokalisatiegegevens
van de klager, concludeert de Geschillenkamer dat de verweerder een inbreuk begaan heeft
op de artikelen 5, lid 1, a) en artikel 6 AVG voor wat betreft de periode vanaf 25 mei 2018
tot het staken van de verwerkingen in kwestie ingevolge de vaststellingen van de
Inspectiedienst. In onderhavige zaak stelt de Geschillenkamer vast dat de verweerder reeds
op de hoogte was van de noodzaak om het geolokalisatiebeleid aan te passen, nog voor de
klacht in deze zaak werd ingediend, waardoor de verweerder onzorgvuldig gehandeld heeft.
De Geschillenkamer is van oordeel dat het behoort tot het normale verwachtingspatroon van
een burger wiens gegevens worden verwerkt door de overheid, die tegelijk ook hun
werkgever is, dat de verplichtingen ingevolge de AVG en andere wettelijke bepalingen -
proactief - nageleefd worden. Het uitgangspunt dient immers te zijn dat de verweerder, net
zoals elke andere verwerkingsverantwoordelijke, alles in het werk stelt om
persoonsgegevens op een correcte manier te verwerken in overeenstemming met de
toepasselijke regelgeving en geen afwachtende houding aanneemt en dus niet slechts na

1
Zie beslissing ten gronde 38/2021 van 23 maart 2022, para 43, beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.
2
Zie beslissing ten gronde 47/2022 van 4 april 2022, para 113 en beslissing 48/2022 van 4 april 2022, para 125 en 219,
beschikbaar via de webpagina https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.

Beslissing ten gronde 15/2023/2023 - 8/35

tussenkomst van de Gegevensbeschermingsautoriteit actie onderneemt om die aanpassing
te bewerkstelligen.3 De Geschillenkamer houdt echter ook rekening met het feit dat de
verweerder, bij het opstellen van diens geolokalisatiebeleid in 2009 reeds rekening heeft
gehouden met de principes van finaliteit, proportionaliteit en de rechten van de betrokkenen.
Daarnaast informeert het geolokalisatiebeleid uit 2009 op transparante wijze de
betrokkenen van het geïnstalleerd geolokalisatiesysteem.

26. Tijdens de hoorzitting wijst de verweerder erop dat het geolokalisatiebeleid in 2021 werd
gewijzigd. In dit nieuwe beleid wordt expliciet toegelicht dat het geolokalisatiesysteem
gestoeld is op de rechtsgrond van het gerechtvaardigd belang zoals begrepen in artikel 6, lid
1, f) AVG. Bijgevolg dient de Geschillenkamer na te gaan of het gerechtvaardigd belang ex
artikel 6, lid 1, f) AVG als rechtsgrondslag kan dienen voor dergelijke verwerkingen door de
verweerder.

27. De laatste zin van artikel 6, lid 1, f) AVG stipuleert dat deze rechtsgrond van het
gerechtvaardigd belang niet van toepassing is op de verwerking van persoonsgegevens door
overheidsinstanties in het kader van de uitoefening van hun taken. De vraagt rijst dan ook of
de verweerder zich op deze rechtsgrond kan beroepen voor het geolokalisatiesysteem.

28. Aangezien de verweerder een overheidsinstantie is, moet bovenstaande beoordeeld worden
in het licht van het beginsel van de toekenning van administratieve bevoegdheden, het
beginsel van de specialiteit van rechtspersonen en het legaliteitsbeginsel, dat de
voorwaarden bepaalt waaronder de administratie zich kan mengen in het recht op
bescherming van de persoonlijke levenssfeer, waarvan het recht op bescherming van
persoonsgegevens deel uitmaakt.4 Volgens het principe van de toekenning van
administratieve bevoegdheden, dat is vastgelegd in artikel 105 van de Grondwet en artikel
78 van de Bijzondere wet tot hervorming der instellingen van 8 augustus 1980 hebben de
administratieve autoriteiten geen andere bevoegdheden dan die welke formeel aan hen zijn
toegekend door de Grondwet en de wetten en decreten die in het kader daarvan zijn
uitgevaardigd. Voorts bepaalt het specialiteitsbeginsel van rechtspersonen dat elke
instelling met rechtspersoonlijkheid alleen mag optreden om het doel of de doelen te
bereiken waarvoor zij is opgericht, met dien verstande dat alleen een wetgevende
norm een rechtspersoon met een opdracht van openbare dienst kan belasten. De Raad van
State heeft in zijn advies over het voorontwerp van wet "betreffende de bescherming van
natuurlijke personen met betrekking tot de verwerking van persoonsgegevens" opgemerkt
dat "het doorgeven van gegevens van een overheidsinstantie aan een andere een vorm van
inmenging in het recht op de bescherming van de persoonlijke levenssfeer van de

3
Zie ook beslissing 141/2021 van 16 december 2021, beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.
4
De CBPL heeft hier al op gewezen in haar advies over het voorontwerp van wet dat de WVG is geworden. Zie CBPL, Advies
nr. 33/2018, p. 44

Beslissing ten gronde 15/2023/2023 - 9/35

betrokkenen. Krachtens artikel 8 van het Europees Verdrag voor de rechten van de mens en
artikel 22 van de Grondwet, zoals dat wordt geïnterpreteerd in de vaste rechtspraak van het
Grondwettelijk Hof, moet een dergelijke inmenging inzonderheid een wettelijke grondslag
hebben, evenredig zijn ten opzichte van de nagestreefde doelstelling en op voldoende
duidelijke wijze georganiseerd zijn opdat ze voorzienbaar is voor de burger"5.

29. Kortom, een overheidsinstantie mag alleen persoonsgegevens verwerken als deze
verwerking noodzakelijk is voor de naleving van een verplichting die door of krachtens een
wettelijke bepaling aan een van de verwerkingsverantwoordelijken is opgelegd (artikel 6, lid
1, c) AVG) of als deze mededeling noodzakelijk is voor de uitvoering van een taak van
algemeen belang die aan een van de verwerkingsverantwoordelijken is toegewezen door of
krachtens een wet (artikel 6, lid 1, e) AVG). Voor zoveel als nodig wijst de Geschillenkamer
erop dat het niet uitgesloten is dat in beperkte gevallen een overheidsinstantie beroep kan
doen op artikel 6, lid 1, f) maar dat dit voor het geolokalisatiesysteem zoals beschreven door
de verweerder niet mogelijk is. De rechtsgrond uit artikel 6, lid 1, f) AVG (gerechtvaardigd
belang) kan niet van toepassing zijn op de litigieuze verwerking.

30. Opdat een verwerkingsverantwoordelijke zich op artikel 6, lid 1, e) van de AVG zou kunnen
beroepen om persoonsgegevens te verwerken, moet deze verwerking noodzakelijk zijn voor
de vervulling van een taak van algemeen belang of van een taak in het kader van de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen.

31. De Geschillenkamer merkt op dat de AVG geen aanknopingspunt biedt voor de
beantwoording van de vraag in hoeverre begrip "verwerking die noodzakelijk is voor de
uitvoering van een taak van algemeen belang" ook het personeelsbeheer zou omvatten.

32. Een duidelijk aanknopingspunt voor een ruime interpretatie van dit begrip kan echter
gevonden worden in de Verordening (EU) nr. 2018/1725 van het Europees Parlement en de
Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband
met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de
Unie en het vrije verkeer van deze gegevens, en tot intrekking van Verordening (EG)nr.
45/2001 en Besluitnr. 1247/2002/EG, waarvan overweging 22 luidt: "[...]. De verwerking van
persoonsgegevens voor de vervulling van de taken die door de instellingen of organen van
de Unie in het algemeen belang worden verricht, omvat de verwerking van de voor het
beheer en de werking van die instellingen en organen benodigde persoonsgegevens [...]".

33. Uit deze overweging leidt de Geschillenkamer af dat artikel 6, lid, e) AVG niet alleen
betrekking heeft op verwerkingen die noodzakelijk zijn voor de vervulling van

5
Advies van de Raad van State nr. 63.192/2 van 19 april 2018, in Parl. St., K., gewone zitting, 2017-2018, nr. 54-3126/001, p.
421-422

Beslissing ten gronde 15/2023/2023 - 10/35

de taak van algemeen belang in strikte zin, maar ook op verwerkingen die noodzakelijk zijn
voor de vervulling van taken die rechtstreeks verband houden met die taak van algemeen
belang, met inbegrip van die welke noodzakelijk zijn voor het beheer en de werking van de
organen die met die taak van algemeen belang zijn belast.

34. Het Kenniscentrum van de GBA heeft ook reeds bevestigd dat de verwerking van
persoonsgegevens door een overheid in het kader van het beheer van haar personele
middelen kan plaatsvinden op basis van 6, lid 1, e) AVG op voorwaarde dat de genomen
maatregelen daadwerkelijk noodzakelijk zijn.6

35. Gelet op het bovenstaande concludeert de Geschillenkamer dat het begrip "verwerking die
noodzakelijk is voor de vervulling van een taak van algemeen belang" ruim dient
geïnterpreteerd te worden. Bijgevolg heeft het begrip ‘verwerking die noodzakelijk is voor de
vervulling van een taak van algemeen belang” betrekking op verwerkingen die noodzakelijk
zijn voor de vervulling van de taak van algemeen belang in strikte zin, maar ook op
verwerkingen die noodzakelijk zijn voor de vervulling van taken die rechtstreeks verband
houden met die taak van algemeen belang, met inbegrip van die welke noodzakelijk zijn voor
het beheer en de werking van de organen die met die taak van algemeen belang zijn belast.
Aangezien de verweerder zonder personeel en bijhorend beheer van de personele middelen
zijn taken van algemeen belang niet zou kunnen uitvoeren, dienen verwerkingen van
persoonsgegevens in het kader van het personele beheer ook gebaseerd te worden op
artikel 6, lid 1, e) AVG. 7

36. Om zich rechtmatig te kunnen beroepen op de rechtsgrondslag uit artikel 6, lid 1, e) AVG
mogen persoonsgegevens dus enkel verwerkt worden als dit noodzakelijk is voor de
vervulling van een taak in het algemeen belang of als het noodzakelijk is voor de uitoefening
van het openbaar gezag dat aan de verantwoordelijke is opgedragen. De verwerking moet
in deze gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de
betreffende lidstaat, waarin ook het doel van de verwerking moet staan. Er moet bijgevolg
worden nagegaan of in dit geval aan deze voorwaarden is voldaan.

37. Krachtens artikel 6, lid 3 en Overweging 45 van de AVG moet een verwerking op grond van
artikel 6, lid 1, e) AVG aan de volgende voorwaarden voldoen:

a. De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een
opdracht van algemeen belang of een opdracht die deel uitmaakt van de
uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht

6
Zie o.a. GBA, aanbeveling 02/2020 van 31 januari 2020 betreffende de draagwijdte van de verplichting om een protocol te
sluiten om de mededelingen van persoonsgegevens door de federale publieke sector de formaliseren
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-02-2020.pdf.
7
GBA, aanbeveling 02/2020 van 31 januari 2020 betreffende De draagwijdte van de verplichting om een protocol te sluiten
om de mededelingen van persoonsgegevens door de federale publieke sector de formaliseren
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-02-2020.pdf.

Beslissing ten gronde 15/2023/2023 - 11/35

of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is
vervat;

b. De doeleinden van de verwerking worden in de rechtsgrond vastgesteld of moeten
noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de
uitoefening van het openbaar gezag.

38. De Geschillenkamer zal de voorwaarden van algemeen belang, wettelijke basis en
noodzakelijkheid hieronder beoordelen.

Taak van algemeen belang

39. In deze zaak heeft de verweerder het geolokalisatiebeleid aangenomen om enerzijds het
professioneel gebruik van de dienstvoertuigen en de behoorlijke uitvoering van het
toegewezen werk binnen het voorziene werkrooster te controleren en anderzijds het
personeel in de uitvoering van hun taken te controleren. De Geschillenkamer is bijgevolg van
oordeel dat het algemeen belang erin staat om schaarse overheidsmiddelen, in casu het
wagenpark en personeel, efficiënt in te zetten en fraude en misbruik van diensten te
voorkomen, zodat deze middelen gebruikt kunnen worden voor de uitvoering van de taken
die aan de gemeente werden toegewezen.8

Een duidelijke, precieze en voorspelbare rechtsgrondslag

40. Volgens overweging 41 van de AVG moet deze rechtsgrondslag of wetgevingsmaatregel
duidelijk en nauwkeurig zijn en moet de toepassing ervan voor de rechtzoekenden
voorspelbaar zijn, overeenkomstig de jurisprudentie van het Hof van Justitie van de
Europese Unie(hierna: Hof van Justitie) en het EVRM. Het Europees Hof voor de Rechten van
de Mens (hierna: EHRM) heeft in het Rotaru-arrest9 het begrip voorspelbaarheid van de
rechtsgrondslag nader bepaald. Aangezien die zaak betrekking had op bewakingssystemen
van het veiligheidsapparaat van een staat, verschilt de context van de onderhavige zaak. In
andere gevallen heeft het EHRM weliswaar aangegeven dat het zich door deze beginselen
kan laten leiden, maar het is van oordeel dat deze criteria, die in de specifieke context van
die concrete zaak zijn vastgesteld en gevolgd dus niet als zodanig op alle gevallen van
toepassing zijn10.

41. Ingevolge artikel 186, §1 van het Decreet Lokaal Bestuur11 stelt de gemeenteraad van elke
gemeente de rechtspositieregeling van het gemeentepersoneel vast. De gemeenteraad en
de raad voor maatschappelijk welzijn stellen een gezamenlijke deontologische code vast
voor het personeel. Die concretiseert de bepalingen opgenomen in het Decreet Lokaal

8
Zie naar analogie overweging 47 van de AVG.
9
EHRM, 4 mei 2000, Rotaru t. Roemenië.
10
EHRM, 2 september 2010, Uzun t. Duitsland, § 66.
11
Decreet over het Lokaal Bestuur van 22 december 2017, BS 15 februari 2018.

Beslissing ten gronde 15/2023/2023 - 12/35

Bestuur en kan bijkomende deontologische rechten en verplichtingen opnemen,
overeenkomstig het organisatiebeheersingssysteem, zoals bepaald in de artikelen 217 en
220 van het Decreet Lokaal Bestuur12 Het organisatiesysteem dat dient te worden
aangenomen door iedere gemeente wordt omschreven als het geheel van maatregelen en
procedures die ontwerpen zijn om een redelijke zekerheid te verschaffen dat men:

1° de vastgelegde doelstellingen bereikt en de risico’s om deze te bereiken kent en beheerst;
2° wetgeving en procedures naleeft;
3° over betrouwbare financiële en beheersrapportering beschikt;
4° op een effectieve en efficiënte wijze werkt en de beschikbare middelen economisch
inzet;
5° de activa beschermt en fraude voorkomt.13

42. Gelet op het bovenstaande rust op de verweerder de decretale verplichting om maatregelen
en procedures in te richten betrekking tot zijn organisatie om een ervoor te zorgen dat zij op
een efficiënte wijze werkt met een economische inzet van middelen en fraude voorkomt,
zonder expliciet te bepalen hoe dit concreet dient te gebeuren.

43. De Geschillenkamer heeft er in dit verband al op gewezen in beslissing 149/2022 dd. 18
oktober 202214 dat taken van algemeen belang of openbaar gezag waarmee
verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig
omschreven verplichtingen of wetgevende normen, die de essentiële kenmerken van de
gegevensverwerking vastleggen. Veeleer vinden verwerkingen plaats op basis van een
meer algemene machtiging om te handelen, zoals voor de vervulling van de taak die
noodzakelijk is, zoals ook in casu het geval is. Dit leidt ertoe dat de desbetreffende wettelijke
basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de
noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van
dergelijke wettelijke grondslag willen beroep doen op artikel 6, lid 1 e) AVG moeten dan zelf
nagaan of de verwerking noodzakelijk is voor de taak van algemeen belang en de belangen
van de betrokkenen.

Noodzakelijkheid

44. Ingevolge artikel 6, lid 1, e) AVG geldt dat de verwerking alleen rechtmatig is indien en voor
zover de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of
van een taak in het kader van de uitoefening van het openbaar gezag dat aan de
verwerkingsverantwoordelijke is opgedragen. Zoals hierboven uiteengezet bevat

12
Artikel 193, §1, tweede lid Decreet Lokaal Bestuur.
13
Artikel 217 Decreet Lokaal Bestuur.
14
Zie ook o.a. beslissing 124/2021 dd. 10 november 2021.

Beslissing ten gronde 15/2023/2023 - 13/35

wetgeving vaak geen concreet omschreven bepalingen omtrent de noodzakelijke
gegevensverwerkingen.

45. Het Hof van Justitie heeft zich in het arrest Huber15 uitgesproken over deze voorwaarde van
noodzakelijkheid:

“Gelet op het doel, een gelijkwaardige bescherming te bieden in alle lidstaten, kan het begrip
noodzakelijkheid zoals dit naar voren komt uit artikel 7, sub e, van richtlijn 95/46, dat een
nauwkeurige afbakening wil geven voor een van de gevallen waarin de verwerking van
persoonsgegevens geoorloofd is, dus niet een inhoud hebben die verschilt van lidstaat tot
lidstaat. Het gaat bijgevolg om een autonoom begrip van het gemeenschapsrecht, dat moet
worden uitgelegd op een wijze die volledig beantwoordt aan het doel van de richtlijn zoals
omschreven in artikel 1, lid 1.”16

46. De advocaat-generaal heeft eveneens gesteld in zijn conclusies dat “[h]et
noodzakelijkheidsbegrip een lange geschiedenis [heeft] in het gemeenschapsrecht en een
vast onderdeel [vormt] van het evenredigheidscriterium. Het houdt in dat de autoriteit die
ter bereiking van een legitiem doel een maatregel vaststelt die een door het
gemeenschapsrecht gewaarborgd recht aantast, moet aantonen dat deze maatregel de
minst beperkende is ter bereiking van dit doel. Wanneer bovendien de verwerking van
persoonsgegevens kan leiden tot een inbreuk op het grondrecht op eerbiediging van de
persoonlijke levenssfeer, moet tevens rekening worden gehouden met artikel 8 van het
Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele
vrijheden (EVRM), dat het recht op eerbiediging van het privé- en gezinsleven waarborgt.
Zoals het Hof heeft verklaard in het arrest Österreichischer Rundfunk e.a., kan een nationale
regeling die niet strookt met artikel 8 EVRM, evenmin voldoen aan het in artikel 7, sub e, van
richtlijn 95/46 neergelegde vereiste. Artikel 8, lid 2, EVRM bepaalt dat inmenging in het
privéleven is toegestaan voor zover hiermee een van de hierin opgesomde doelstellingen
wordt nagestreefd en deze „in een democratische samenleving noodzakelijk is”. Volgens het
Europees Hof voor de Rechten van de Mens houdt het bijvoeglijk naamwoord „noodzakelijk”
in dat een „dwingende maatschappelijke behoefte” aan een bepaald optreden van de
overheid bestaat en dat de maatregel evenredig is aan het nagestreefde legitieme doel.

47. Deze met betrekking tot artikel 7, e), van Richtlijn 95/46/EG geformuleerde rechtspraak
blijft tot op vandaag relevant,. Artikel 6, lid 1, van de AVG neemt de bewoordingen over van
artikel 7 van Richtlijn 95/46/EG.

15
HvJ, Heinz Huber t. Bundesrepublik Deutschland, 16 december 2008, C-524/06.
16
HvJ, Heinz Huber t. Bundesrepublik Deutschland, 16 december 2008, C-524/06, para. 52.

Beslissing ten gronde 15/2023/2023 - 14/35

48. Het Hof van Jusititie heeft eveneens verduidelijkt dat als er realistische en minder
ingrijpende alternatieven zijn, de behandeling niet "noodzakelijk" is.17

49. De Geschillenkamer dient dus te beoordelen of het installeren van het
geolokalisatiesysteem noodzakelijk was voor het voornoemd algemeen belang en of er
andere minder invasieve mogelijkheden waren om het voornoemd algemeen belang na te
streven. De noodzakelijkheid van een geolokalisatiesysteem blijkt uit het feit dat het verslag
van de vergadering van het bijzonder onderhandelingscomité van de verweerder waarin het
geolokalisatiesysteem toegelicht en besproken werd, vermeldt dat de organisatie van het
wagenpark van de A beter moet worden opgevolgd aangezien er in het verleden heel wat
voorvallen geweest zijn die niet door de beugel konden. Aangezien deze incidenten
betrekking hebben op verplaatsingen buiten de gebouwen of domeinen van de verweerder,
stelt deze dat het voor hem onmogelijk is om op een andere manier te verifiëren of het
wagenpark optimaal gebruikt wordt en om eventuele fraude op te sporen en tegen te gaan.
Met het geolokalisatiesysteem wordt getracht een einde te stellen aan deze praktijken.

50. Recent heeft het EHRM in het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal 18
zich uitgesproken over het gebruik van geolokalisatiesystemen om professionele
verplaatsingen op te volgen. Het EHRM stelt dat, door enkel de geolokalisatiegegevens die
betrekking hebben op de professionele verplaatsingen, te verwerken, de inmenging op het
recht op bescherming van het privéleven beperkt was tot wat noodzakelijk was voor de
behartiging van het algemeen belang van de verweerder. De Geschillenkamer stelt dat het
verwerken van persoonsgegevens via een geolokalisatiesyteem dan ook enkel mogelijk is
in de specifieke omstandigheden zoals uiteengezet in dit arrest. In onderhavige zaak zijn de
vaststellingen van het EHRM naar analogie van toepassing. De verwerkte
persoonsgegevens hebben ook enkel betrekking op professionele verplaatsingen, met een
dienstwagen19, hetgeen noodzakelijk is voor de behartiging voor het algemeen belang, te
weten het voorkomen van fraude en het goed beheer van overheidsmiddelen.

51. Gelet op het bovenstaande vormt het geolokalisatiesysteem inderdaad een inmenging op
het recht op bescherming van het privéleven van de betrokkenen, maar deze is eerder
beperkt. De Geschillenkamer merkt op dat, indien de verwerking van geolokalisatiegegevens
gebeurt onder de gestelde voorwaarden20, te weten met betrekking tot professionele
verplaatsingen binnen de werktijd met een dienstwagen en beperkt tot de gegevens die

17
CJUE, Volker & Markus Schecke GbR en Hartmut Eifert t. Land Hessen, 9 november 2010, samengevoegde zaken C‑92/09
et C‑93/09
18
EHRM, 13 december 2022, Florindo de Almeida Vasconcelos Gramaxo t. Portugal, para 120-122.
19
In het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal betrof het een bedrijfswagen die gebruikt mocht
worden voor privé- en professionele verplaatsingen, doch enkel de geolokalisatiegegevens van de professionele
verplaatsingen mochten verwerkt worden door de werkgever.
20
In het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal betrof het een bedrijfswagen die gebruikt mocht
worden voor privé- en professionele verplaatsingen, doch enkel de geolokalisatiegegevens van de professionele
verplaatsingen mochten verwerkt worden door de werkgever.

Beslissing ten gronde 15/2023/2023 - 15/35

noodzakelijk zijn, met de nodige garanties dat de verwerking van de verzamelde gegevens
gebeurt in overstemming met de grondbeginselen uit artikel 5, lid 1 AVG, die bovendien
transparant worden toegelicht, dit systeem een minder invasieve inmenging uitmaakt dan
andere methodes van surveillance. Bovendien is er voor de verweerder geen andere
haalbare methode om de wagens en de dienstverplaatsingen te monitoren in het kader van
de bovenvermelde doelen. Bovendien zal er enkel raadpleging mogelijk zijn door een beperkt
aantal personen die in het geolokalisatiebeleid omschreven zijn en indien daar een concrete
aanleiding toe bestaat.

II.1.2. Artikel 5, lid 1, a) AVG voor wat betreft de transparantie

52. Wanneer de verwerkingsverantwoordelijke een verwerking baseert op het algemeen belang,
dan moet hij hierover transparant zijn door onder andere het nagestreefd algemeen belang
te benoemen, duidelijk te maken voor welke doelen de persoonsgegevens worden verwerkt,
welke persoonsgegevens er worden verwerkt, of de gegevens worden gedeeld met andere
partijen en hoe lang de persoonsgegevens worden bewaard.

53. Zoals reeds vermeld heeft de verweerder een nieuw geolokalisatiebeleid opgesteld. Tijdens
de hoorzitting maakt de verweerder een ontwerp over van dit aangepast
geolokalisatiebeleid. Hierin zet de verweerder de rechtsgrond en doeleinden uiteen en licht
hij toe hoe het geolokalisatiesysteem werkt en op welke manier de betrokkenen
voorafgaand aan de verplaatsing met een voertuig dat is uitgerust met een dergelijk systeem
de aanwezigheid ervan kunnen nagaan. Daarnaast bepaalt het beleid welke gegevens er wel
en niet verwerkt worden en voor welke doeleinden deze gegevens verwerkt worden en voor
welke doeleinden dat niet het geval is (zoals naleving snelheidslimiet controleren, een
medewerker permanent controleren enz.). Vervolgens verduidelijkt het geolokalisatiebeleid
wie toegang heeft tot de persoonsgegevens, op welke wijze er toegang verkregen kan
worden door deze personen (zoals via inlogcode) en de bewaartermijn van de gegevens. De
verweerder merkt hierbij op dat het nieuwe geolokalisatiebeleid nog dient goedgekeurd te
worden – begin 2023 – waarna het geolokalisatiesysteem kan opgestart worden. In dit kader
zal de verweerder een traject uitwerken om dit nieuw beleid toe te lichten aan alle
betrokkenen waarbij een handtekening ter kennisname vereist zal zijn.

54. De Geschillenkamer is van oordeel dat het enkele feit dat verweerder niet de juiste
rechtmatigheidsgrondslag heeft gehanteerd in het verleden de verwerking in de toekomst
niet per definitie ongeldig maakt. De Geschillenkamer merkt op dat het zoals hierboven
omschreven verzamelen en verwerken van geolokalisatiegegevens wel rechtmatig kan zijn,
indien de passende rechtsgrond correct bepaald wordt en de bovenvermelde
transparantieverplichtingen hieromtrent nageleefd worden door de verweerder ten aanzien
van diens personeel. Hierbij verwijst de Geschillenkamer naar het ontwerp van het nieuw
geolokalisatiebeleid dat werd goedgekeurd door de gemeenteraad op 21 september 2021.

Beslissing ten gronde 15/2023/2023 - 16/35

Aangezien enkel de gegevens in verband met de verplaatsingen uitgevoerd in het kader van
de uitoefening van (bepaalde aspecten van) de job, is de mate van de inmenging op het recht
op gegevensbescherming beperkt tot wat noodzakelijk is om het algemeen belang na te
streven, te weten de behoorlijke organisatie en beheer van overheidsmiddelen van de
verweerder anderzijds. De Geschillenkamer stelt bijgevolg dat de verwerking van
persoonsgegevens verzameld via een geolokalisatiesysteem kan gebeuren door de
verweerder mits de voorwaarden van artikel 6, lid 1, e) nageleefd worden.

II.2. Artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en lid 2 van de
AVG

II.2.1. Artikel 5, lid 2 AVG, artikel 24, lid 1 en artikel 25, lid 1

55. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de
grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel 5,
lid 1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de
verantwoordingsplicht in artikel 5, lid 2 van de AVG juncto artikel 24, lid 1 van de AVG zoals
bevestigd door de Geschillenkamer 21.

56. Op basis van de artikelen 24 en 25 van de AVG moet de verweerder passende technische en
organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de
verwerking plaatsvindt conform de AVG. De verweerder moet daarbij de
gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen
beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk
specifiek doel van de verwerking.

57. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de
verweerder de nodige technische en organisatorische maatregelen heeft genomen om te
voldoen aan deze beginselen uit artikel 5, lid 1 AVG en in het bijzonder het beginsel van
rechtmatigheid en transparantie (zie II.1). Hieromtrent besluit de Inspectiedienst dat de
verweerder niet afdoende heeft aangetoond dat hij de nodige maatregelen genomen heeft
opdat de litigieuze verwerking plaatsvindt in overeenstemming met artikel 5, lid 1 a) en artikel
6, lid 1 AVG, aangezien de Inspectiedienst tot de conclusie is gekomen dat de verwerkingen
niet in overeenstemming waren met deze principes.

58. Tijdens de hoorzitting heeft de verweerder toegelicht dat intussen een nieuw
geolokalisatiebeleid opgemaakt en goedgekeurd werd. De volgende stap in het proces is dit
te communiceren naar alle betrokken medewerkers, zo stelt de verweerder. Op deze manier
wil de verweerder voldoen aan de richtlijnen inzake het transparant maken van de manier van
werken naar de medewerkers toe.

21
Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.

Beslissing ten gronde 15/2023/2023 - 17/35

59. De Geschillenkamer heeft in deel II.1 geoordeeld dat er inderdaad sprake was van een inbreuk
op artikel 5, lid 1, a) AVG voor wat betreft de rechtmatigheid voor de periode tussen 25 mei
2018 en het moment waarop de verweerder de litigieuze verwerkingen gestaakt heeft. Voor
wat betreft het transparantiebeginsel stelt de Geschillenkamer vast dat in het
geolokalisatiebeleid uit 2009 en de ermee gepaard gaande interne nota blijkt dat de
medewerkers op de hoogte gebracht zijn, maar de verweerder toont niet aan dat zij
hieromtrent voldoet aan de verantwoordingsplicht sinds de inwerkingtreding van de AVG,
bijvoorbeeld door het geolokalisatiebeleid te actualiseren, opnieuw onder de aandacht te
brengen en de bevestiging van ontvangst van de betrokken medewerkers te vragen. Zoals
reeds hierboven uiteengezet diende de verweerder immers op eigen initiatief na te gaan of
hij vanaf 25 mei 2018 de verplichtingen uit de AVG naleeft. De Geschillenkamer stelt dan ook
vast dat de verweerder niet kon aantonen dat hij de nodige technische en organisatorische
maatregelen heeft genomen om te voldoen aan het rechtmatigheidsbeginsel en het
transparantiebeginsel zoals begrepen in artikel 5, lid 1, a) AVG sinds 25 mei 2018. Derhalve
oordeelt de Geschillenkamer dat er in dit kader sprake is van een inbreuk op artikel 5, lid 2,
artikel 24, lid 1 en artikel 25, lid 1 AVG.

II.2.2. Artikel 5, lid 1 AVG

60. Hoewel artikel 5, lid 1 en lid 2 AVG nauw met elkaar verbonden zijn, betekent een eventuele
schending van de verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een
schending van artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele
veruitwendiging om door middel van documenten de naleving van de materiële
grondbeginselen van de AVG aan te tonen.

61. Voor wat betreft de naleving van artikel 5, lid 1, a) verwijst de Geschillenkamer naar deel II.1
van deze beslissing. Voor wat betreft de grondbeginselen zoals opgenomen in artikel 5, lid 1,
b) t.e.m. f) beschikt de Geschillenkamer over onvoldoende elementen om tot een beoordeling
over te gaan.

II.3. Artikel 4, 11) van de AVG, artikel 5, lid 1, a) en lid 2 van de AVG, artikel 6, lid 1, a) van de
AVG en artikel 7, lid 1 en lid 3 van de AVG voor het gebruik van niet strikt noodzakelijke
cookies

62. Op basis van artikel 4, 11), artikel 5, lid 1, a) en lid 2, artikel 6, lid 1, a) en artikel 7, lid 1 en lid 3
AVG is het noodzakelijk dat de verwerkingsverantwoordelijke, die de toestemming inroept
als rechtsgrond voor de verwerking, kan aantonen dat de betrokkene effectief toestemming
heeft gegeven. Artikel 7, lid 3 AVG stelt strenge voorwaarden aan het intrekken van een
geldige toestemming.

II.3.1. Vaststellingen uit het Inspectieverslag

Beslissing ten gronde 15/2023/2023 - 18/35

63. De Inspectiedienst heeft ten eerste vastgesteld dat er geen sprake kon zijn van een geldige
toestemming inzake de plaatsing van niet strikt noodzakelijke cookies gelet op enerzijds het
interface-ontwerp van de cookiebanner en anderzijds de gebrekkige informatie in het
cookiebeleid. Ten tweede stelt de Inspectiedienst vast dat de verweerder niet voldeed aan
de voorwaarden inzake de intrekking van een geldige toestemming.

64. Voor wat betreft het toestemmingsproces en meer bepaald de interface van de
cookiebanner stelt de Inspectiedienst vast dat een betrokkene op de cookiebanner twee
keuzemogelijkheden had voor het gebruik van niet strikt noodzakelijke cookies, namelijk
enerzijds ‘ga verder’ en anderzijds ‘meer info’ Deze werden niet op een even gelijkwaardige
manier weergegeven. Daarnaast ontbrak de keuzemogelijkheid in de cookiebanner die bij het
openen van de website betrokkenen toelaat om het gebruik van niet strikt noodzakelijke
cookies in de eerste informatielaag door één klik te weigeren.

65. Voor wat betreft de transparantieverplichtingen in het kader van een geïnformeerde
toestemming, heeft de Inspectiedienst vastgesteld dat de betrokkenen van de verweerder
geen transparante informatie ontvingen over de gevolgen voor hun persoonsgegevens bij
het gebruik van cookies. Er werd immers door de verweerder aan betrokkenen in het
cookievenster geen uitleg gegeven over de gevolgen van hun keuze. De privacyverklaring
van de verweerder verstrekte slechts vage informatie over de gevolgen voor hun
persoonsgegevens door het gebruik van cookies door de verweerder, zoals welke niet strikt
noodzakelijke cookies de verweerder precies gebruikt op zijn website en wat de doeleinden
zijn van de verwerking van de persoonsgegevens van de betrokkenen voor ieder van die
cookies; hoe lang de persoonsgegevens van de betrokkenen die werden verwerkt via niet
strikt noodzakelijke cookies op de website van de verweerder worden opgeslagen of welke
de criteria zijn ter bepaling van die termijn; welke stappen betrokkenen concreet moesten
zetten als zij via hun internetbrowser de cookie-instellingen wilden aanpassen.

66. Tot slot werd er in het cookievenster geen uitleg gegeven aan de betrokkenen over hoe een
gegeven toestemming kan worden ingetrokken.

67. Gelet op het bovenstaande heeft de Inspectiedienst vastgesteld dat er geen rechtsgeldige
toestemming in de zin van artikel 5, artikel 6, lid 1, a) en artikel 4.11) juncto artikel 7 AVG
gevraagd werd aan de websitebezoekers voor het gebruik van niet strikt noodzakelijke
cookies waardoor die ook niet kan worden aangetoond.

II.3.2. Standpunt van de verweerder

68. Vooreerst benadrukt de verweerder dat het proces van het actualiseren van zijn cookie- en
cookiebeleid reeds begonnen was, nog voordat hij in kennis gesteld was van de bevindingen
van de Inspectiedienst en kort nadien werden het nieuwe cookie- en cookiebeleid
geïmplementeerd op de website en werd het toestemmingsbeleid omtrent het gebruik van

Beslissing ten gronde 15/2023/2023 - 19/35

cookies op de website aangepast. De cookiebanner werd aangepast zodat de betrokkene
niet meer in een bepaalde richting gestuurd wordt voor wat betreft de plaatsing van
analytische en andere niet strikt noodzakelijke cookies. Alsook kan de betrokkene bij elk
bezoek aan de website op eenvoudige wijze zijn voorkeuren opnieuw aanpassen via een link
‘cookie instellingen’ onderaan de website. Ter illustratie maakt de verweerder verschillende
schermafbeeldingen over.

69. Voor wat betreft deze vaststellingen voert de verweerder aan dat een nieuw cookiebeleid
werd uitgewerkt. Ten tijde van het opstellen van de conclusie, lag het voorstel bij zijn diensten
ICT en Communicatie ter nazicht en was de implementatie voorzien op 18 maart 2022.
Tijdens de hoorzitting licht de verweerder toe dat het nieuw cookiebeleid nu op transparante
wijze uiteenzet welke cookies worden gebruikt, voor welke doeleinden dit gebeurt, wat er
met de verzamelde gegevens gebeurt, hoe de betrokkene het gebruik ervan kan beheren,
wanneer de verweerder de cookies aan derde partijen doorgeeft en onder welke
voorwaarden dit zou gebeuren. De verweerder wijst er ook op dat in het nieuw cookiebeleid
is aangegeven hoe de betrokkene via de browserinstellingen kan bepalen hoe de
webbrowser omspringt met cookies. Voorts informeert het nieuw cookiebeleid de
betrokkene over zijn rechten en over de mogelijkheid om contact op te nemen met de
verweerder als verwerkingsverantwoordelijke, dan wel met de functionaris voor
gegevensbescherming, en hoe de bezoeker het gebruik ervan kan beheren, wanneer de
cookies aan derde partijen worden doorgegeven en desgevallend aan welke voorwaarden.
Tot slot informeert het nieuw cookiebeleid de gebruikers ook over hun rechten en de
mogelijkheid om contact op te nemen met de verweerder als verwerkingsverantwoordelijke,
dan wel met de functionaris voor gegevensbescherming.

II.3.3. Beoordeling door de Geschillenkamer.

70. Voor wat betreft de rechtsgeldige toestemming in de zin van de bovenvermelde artikelen,
stelt de Geschillenkamer vast dat de interface van de cookiebanner en het cookiebeleid
inderdaad werden aangepast sinds het Inspectieverslag, zoals aangegeven door de
verweerder tijdens de hoorzitting. Hoewel de aanpassingen pas zijn gepleegd na de
tussenkomst van de Inspectiedienst, hetgeen geen afbreuk doet aan de eerdere
vaststellingen van de Inspectiedienst, zal de Geschillenkamer hieronder enkel de nieuwe
cookiebanner en de nieuwe cookiepolicy beoordelen. De door de Inspectiedienst
vastgestelde inbreuken waren immers duidelijk en werden niet betwist door de verweerder.

71. De Geschillenkamer zal eerst het toestemmingsproces beoordelen, met name de interface
van de cookiebanner en de informatieverplichtingen inzake de cookies in het cookiebeleid.
Vervolgens zal de Geschillenkamer nagaan of de voorwaarden inzake de intrekking van de
geldige toestemming gerespecteerd werden.

Beslissing ten gronde 15/2023/2023 - 20/35

1. Rechtmatig gegeven toestemming

72. Alvorens te onderzoeken of er in onderhavige zaak sprake is van een geldige toestemming,
brengt de Geschillenkamer in herinnering aan welke voorwaarden voldaan moet zijn om een
rechtsgeldige toestemming te kunnen vaststellen. Artikel 5.3 van de ePrivacy Richtlijn22,
zoals omgezet in artikel 10/2 van de wet van 30 juli 2018 betreffende de bescherming van
natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna:
Gegevensbeschermingswet).23 bepaalt dat de toestemming van de betrokkenen vereist is
voor het plaatsen van de cookies, behalve wanneer het gaat om strikt noodzakelijke cookies.

73. Overweging 17 van de ePrivacy Richtlijn verduidelijkt dat voor de toepassing ervan het begrip
“toestemming” dezelfde betekenis moet hebben als “toestemming van de betrokkene” zoals
gedefinieerd en nader bepaald in de Gegevensbeschermingsrichtlijn 95/46/EG (welke nu
door de AVG vervangen is). Dit werd ook verduidelijkt in richtlijnen omtrent toestemming
door de Groep Gegevensbescherming.24

74. Artikel 4, 11) AVG definieert “toestemming” van de betrokkene als “elke vrije, specifieke,
geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een
verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van
persoonsgegevens aanvaardt”.

75. Artikel 7 AVG stipuleert de voorwaarden die van toepassing zijn op de toestemming:

1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke
kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van
zijn persoonsgegevens.
2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die
ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in
een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal
zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere
aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt
op deze verordening, is dit gedeelte niet bindend.
3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken
van de toestemming laat de rechtmatigheid van de verwerking op basis van de
toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn
toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming
is even eenvoudig als het geven ervan.

22
Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van
persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn
betreffende privacy en elektronische communicatie), OJ L 201, 31.7.2002
23
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens, B.S., 5 september 2018.
24
EDPB, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, o.m. para.7.

Beslissing ten gronde 15/2023/2023 - 21/35

4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt
onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een
overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor
een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die
overeenkomst.

1.1 Rechtmatig gegeven toestemming: cookiebanner

76. Bij de nieuwe cookiebanner krijgt de bezoeker van de website de keuze om enerzijds de
cookievoorkeuren te beheren of anderzijds akkoord te gaan (d.w.z. alle niet strikt
noodzakelijke cookies aanvaarden = knop voor globale opt-in). Bij een klik op de
keuzemogelijkheid ‘cookievoorkeuren beheren’, verschijnt er meer info over de cookies die
zijn opgedeeld in de volgende drie categorieën: “noodzakelijke”, “analytische cookies” en
“cookies met je voorkeuren” waarbij telkens info in begrijpelijke taal gegeven wordt omtrent
het doel van deze cookies. De betrokkene kan dus, voor wat betreft de niet strikt
noodzakelijke cookies, de toestemming geven per bovenstaande categorie. Er is dus geen
knop aanwezig op hetzelfde niveau als de knop voor globale opt-in waar men de
toestemming voor alle niet strikt noodzakelijke cookies kan weigeren. Verwijzend naar het
rapport van de Task Force Cookie Banner van de European Data Protection Board (EDPB)25,
stelt de Geschillenkamer vast dat deze aanpassingen in de nieuwe cookiebanner al een stap
in de juiste richting zijn ten opzichte van de vaststellingen van de Inspectiedienst met
betrekking tot de oude cookiebanner.

77. De Geschillenkamer merkt voor de volledigheid wel nog volgende zaken op. Ten eerste
verduidelijkt het voormeld rapport van de Task Force Cookie Banner de regels omtrent een
rechtsgeldig gegeven toestemming. Er dient een knop voor weigering van alle niet-strikt
noodzakelijke cookies beschikbaar te zijn op hetzelfde informatieniveau als de globale opt-
in op de eerste informatielaag 26, bijvoorbeeld door knoppen met de titel "alles aanvaarden”
en “alles afwijzen”. Op dit moment voorziet de nieuwe cookiebanner enkel een opt-in knop
maar geen globale knop om toestemming te weigeren. Gelet op de publicatie van dit rapport
na het sluiten van de debatten, formuleert de Geschillenkamer het bovenstaande als
aanbeveling.

78. ten tweede stelt de Geschillenkamer ook vast dat in de nieuwe cookiebanner de knop “mijn
keuze beheren” wit is, zoals de achtergrond van de cookiebanner, terwijl de knop “alle
cookies accepteren” een turquoise achtergrond heeft, hetgeen contrasteert met de witte
achtergrond, en dus de betrokkene stuurt richting alle cookies aanvaarden. Voor zoveel als

25
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari 2023,
https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf.
26
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari 2023,
https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf

Beslissing ten gronde 15/2023/2023 - 22/35

nodig wijst de Geschillenkamer erop dat het voormeld rapport van het Cookie Banner Task
Force van de EDPB stelt dat dit een ongeldige toestemming kan uitmaken, maar dat dit geval
per geval beoordeeld moet worden.27 Gelet op de publicatie van dit rapport na het sluiten van
de debatten, formuleert de Geschillenkamer het bovenstaande als aanbeveling.

1.2 Rechtmatig gegeven toestemming: cookiebeleid

79. De Geschillenkamer stelt vast dat het cookiebeleid werd aangepast overeenkomstig het
merendeel van de opmerkingen van de Inspectiedienst. De Geschillenkamer neemt hiervan
akte en bespreekt nu verder enkel het nieuw cookiebeleid. Hoewel het nieuwe cookiebeleid
ook al stappen in de juiste richting zet ten opzichte van het oude cookiebeleid dat onderzocht
werd door de Inspectiedienst, strekt het tot aanbeveling om de volgende elementen
eveneens te voorzien in het nieuwe cookiebeleid. Ten eerste stelt de Geschillenkamer vast
dat de aanwezige cookies worden verdeeld in de volgende drie categorieën: noodzakelijk,
analytisch en cookies met voorkeuren. De Geschillenkamer stelt vast dat in de categorie
‘cookies met je voorkeuren’ cookies bevat met verschillende doeleinden. Zo zouden de
cookies met het doeleinde ‘feedback van gebruikers verzamelen om onze website te
verbeteren, beter geplaatst worden in de categorie analytische cookies, terwijl de cookies
met het doel ‘het vastleggen van uw interesses om op maat gemaakte inhoud en
aanbiedingen te kunnen bieden' marketing als doeleinde hebben. Gelet op het principe van
granulariteit, formuleert de Geschillenkamer de aanbeveling om de cookies in de categorie
‘cookies met je voorkeuren’ ook nog per doelstelling in te delen. Dit laat de betrokkene toe
om een meer genuanceerde keuze te maken. Ten tweede merkt de Geschillenkamer op dat
het uit het cookiebeleid niet blijkt aan wie de gegevens die verzameld worden via de cookies
wordt gestuurd. De Geschillenkamer beveelt eveneens aan om deze ontvangers ook op te
nemen in het cookiebeleid. Tot slot wijst de Geschillenkamer erop dat met de
browserinstellingen geen geldige toestemming kan worden verzameld ten aanzien van de
AVG. Enerzijds omdat de gebruikers immers (nog) geen toestemming kunnen geven volgens
de doeleinden die de verschillende soorten cookies nastreven. De toestemming die via de
browserinstellingen wordt verzameld is daarom niet voldoende specifiek ten aanzien van de
vereisten van de AVG.28 Anderzijds omdat de browserinstellingen standaard kunnen
voorzien in het aanvaarden van de cookies, zonder dat de betrokkene hiervan op de hoogte
is, waardoor de toestemming geen uitdrukkelijke actieve handeling uitmaakt en dus niet
rechtsgeldig gegeven is in de zin van de AVG.

27
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari 2023,
https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf, p. 6 en 7.
28
Zie ook thema Cookies op de website van de GBA, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies.

Beslissing ten gronde 15/2023/2023 - 23/35

80. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake was van een inbreuk
op artikel 4, 11), artikel 5, lid 1, a) en artikel 6, lid 1 AVG, en dat deze deels geremedieerd
werd.

2. Intrekking van een gegeven toestemming

81. Voor wat betreft de transparante informatie over het intrekken van een gegeven
toestemming voor het gebruik van niet strikt noodzakelijke cookies, herinnert de
Geschillenkamer eraan dat de betrokkene krachtens artikel 7, lid 3 AVG het recht
heeft om zijn toestemming ten allen tijde in te trekken, en dat het intrekken van de
toestemming even eenvoudig moet zijn als het geven ervan. Daarbij moet de betrokkene
krachtens dezelfde bepaling in kennis van dit recht gesteld worden, dit, alvorens hij zijn
toestemming geeft.

82. In dit kader stelt de Geschillenkamer vast dat onderaan de website een link ‘cookie
instellingen’ beschikbaar is, waarbij de betrokkene weer terechtkomt op het bovenvermeld
keuzemenu uit de cookie-banner omtrent de toestemming van de categorieën van cookies.
Volgens het voormelde rapport van de Cookie Banner Task force, moet de website
gemakkelijk beschikbare mogelijkheden aanbieden om de toestemming in te trekken, op elk
moment, zoals door het plaatsen van een link op een zichtbare en duidelijke plaats.29 De link
‘cookie-instellingen’ bevindt zich onderaan de website van de verweerder, waar gebruikelijk
de links naar het privacybeleid en het cookiebeleid staan, en de link is op elk moment
toegankelijk. De Geschillenkamer stelt bijgevolg vast dat de verweerder transparante
informatie en functionaliteit geeft over het intrekken van een gegeven toestemming voor
het gebruik van niet strikt noodzakelijke cookies overeenkomstig artikel 7, lid 3 van de AVG.

83. Gelet op het bovenstaande concludeert dat er geen sprake meer is van een inbreuk op
artikel 7, lid 3 AVG. Dit neemt niet weg dat er een historische inbreuk was die intussen werd
geremedieerd.

II.4. Artikel 12, lid 1 en lid 6 van de AVG, artikel 13, lid 1 en lid 2 van de AVG en artikel 14, lid
1 en lid 2 van de AVG, artikel 5, lid 2 van de AVG, artikel 24, lid 1 van de AVG en artikel
25, lid 1 van de AVG

84. Op basis van artikel 12, lid 1 van de AVG, artikel 13, lid 1 en lid 2 van de AVG en artikel 14, lid 1
en lid 2 van de AVG is het noodzakelijk dat de verweerder als verwerkingsverantwoordelijke
aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de
persoonsgegevens die verwerkt worden. De voormelde transparantieverplichtingen vormen
een concretisering van de algemene transparantieverplichting van artikel 5, lid 1, a) van de
AVG. Zoals reeds uiteengezet moet de verweerder de passende technische en

29
EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari 2023,
https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf, p. 8.

Beslissing ten gronde 15/2023/2023 - 24/35

organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de
verwerking plaatsvindt conform de AVG. De verweerder moet daarbij de
gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen
beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk
specifiek doel van de verwerking.

II.4.1. Vaststellingen in het Inspectieverslag

85. Op basis van zijn onderzoek komt de Inspectiedienst tot de vaststelling dat de
privacyverklaring van de verweerder niet transparant en begrijpelijk was voor de
betrokkenen zoals opgelegd door artikel 12, lid 1 AVG en vanuit het oogpunt van
gegevensbescherming irrelevante en onjuiste informatie bevatte. Verschillende elementen
in de privacyverklaring waren overbodig omdat deze niet over de bescherming van
persoonsgegevens gingen. Ten tweede creëerde de privacyverklaring van de verweerder
ten onrechte tegenover de betrokkene de perceptie dat de verweerder de AVG volledig
naleefde, quod non, aldus de Inspectiedienst. Ten derde stelde de privacyverklaring ten
onrechte dat de betrokkene steeds diens identiteit moest aantonen voor het uitoefenen van
de rechten van de betrokkenen in de AVG. Dit was onjuist omdat de verweerder conform
artikel 12, lid 6 AVG enkel aanvullende informatie mag vragen aan de betrokkene wanneer hij
redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek
indient als bedoeld in de artikelen 15 t.e.m. 21 AVG. Ten vierde vermeldde de
privacyverklaring van de verweerder ten onrechte niet de mogelijkheid voor de betrokkenen
om een klacht in te dienen bij de Gegevensbeschermingsautoriteit. Tot slot was de
privacyverklaring van de verweerder niet duidelijk en bijgevolg niet transparant voor de
betrokkenen voor wat betreft het door elkaar gebruiken van de begrippen
“persoonsgegevens” en “gegevens”, de doeleinden en rechtsgronden van de verwerking, de
doorgifte van persoonsgegevens en de aanpassingen die werden aangebracht.

86. Bovendien was de privacyverklaring van de verweerder, volgens de vaststellingen van de
Inspectiedienst, onvolledig omdat niet alle volgens artikelen 13 en 14 van de AVG verplicht
te vermelden informatie effectief werd vermeld. Er was immers geen informatie opgenomen
over de contactgegevens van de functionaris voor gegevensbescherming, de
verwerkingsdoeleinden en de rechtsgrond voor de verwerking, de ontvangers of de
categorieën van ontvangers van de persoonsgegevens, de opslagtermijn of de criteria ter
bepaling van die termijn, het recht van de betrokkenen om beperking van de hem
betreffende verwerking te verzoeken alsmede het recht op gegevensoverdraagbaarheid,
het recht op de intrekking van een gegeven toestemming en het recht om klacht in te dienen
bij de Gegevensbeschermingsautoriteit.

Beslissing ten gronde 15/2023/2023 - 25/35

II.4.2. Standpunt van de verweerder

87. . Voor wat betreft deze vaststellingen voert de verweerder aan dat een nieuw privacybeleid
werd uitgewerkt. Ten tijde van het opstellen van de conclusie, lag het voorstel bij de diensten
ICT en Communicatie ter nazicht. De implementatie heeft plaatsgevonden op 18 maart 2022.
Voor wat betreft de privacyverklaring voert de verweerder aan dat deze geactualiseerd
wordt om te voldoen aan de vaststellingen van de Inspectiedienst. Zo werden irrelevante
passages weggelaten, zodat de verklaring enkel nog de relevante bepalingen
overeenkomstig de AVG bevat (beginselen van verwerking, doeleinden, rechtsgrond,
doorgifte van gegevens, rechten van betrokkenen en contact- en klachtmogelijkheden voor
de betrokkenen). De verweerder eist niet langer automatisch een bewijs van identiteit
voorafgaand aan de uitoefening van de rechten van de betrokkene. Dit zal enkel nog verzocht
worden wanneer op geen andere manier de identiteit van de betrokkene kan worden
verzekerd. De privacyverklaring werd eveneens aangevuld met de diverse mogelijkheden die
de betrokkene heeft om klacht neer te leggen ingeval van een mogelijke schending van de
bescherming van diens persoonsgegevens. De privacyverklaring maakt nu ook gebruik van
consistente bewoordingen en ter verduidelijking van de verwerkingsgronden werden
concrete voorbeelden opgenomen, zo stelt de verweerder. Daarnaast vermeldt de
privacyverklaring onder de titel “Historiek aanpassingen” naast de datum van herwerking
ook de onderwerpen die effectief zijn aangepast. Tot slot wijst de verweerder erop dat
volgende informatie werd toegevoegd aan de privacyverklaring: contactgegevens van de
functionaris voor gegevensbescherming, doeleinden voor de verwerking, rechtsgrond voor
de verwerking, vermelding dat enkel de verweerder als verantwoordelijke optreedt en de
gegevens ontvangt, de vermelding dat de verweerder de gegevens in principe niet langer
bijhoudt dan nodig voor het doel waarvoor deze verzameld werden, de rechten van de
betrokkenen en de klachtmogelijkheden van de betrokkenen. De verweerder is bijgevolg van
mening dat de informatie die hij aan de betrokkenen verstrekt voldoet aan de vereisten van
de artikelen 12, 13 en 14 van de AVG

II.4.3. Beoordeling door de Geschillenkamer

88. De Geschillenkamer wijst erop dat de AVG bepaalt welke informatie verplicht moet worden
opgenomen in de privacyverklaring, en meer bepaald in de artikelen 13 en 14 AVG. Deze
vereisten inzake transparantie zijn nader uitgelegd in de Richtsnoeren inzake transparantie
overeenkomstig Verordening (EU) 2016/679 van de Groep Gegevensbescherming.

89. Aangezien de verweerder een groot aantal gegevensverwerkingen uitvoert, waardoor een
grote hoeveelheid informatie aan de betrokkenen moet worden verstrekt, is de

Beslissing ten gronde 15/2023/2023 - 26/35

Geschillenkamer van oordeel dat een verwerkingsverantwoordelijke zoals verweerder een
meerlagige aanpak moet hanteren: 30

- Enerzijds moet de betrokkene van meet af aan beschikken over duidelijke en
toegankelijke informatie over het feit dat er informatie over de verwerking van zijn
persoonsgegevens bestaat (privacybeleid) en waar hij die volledig zal kunnen
vinden.

- Anderzijds moet de betrokkene, onverminderd de toegankelijkheid van het
privacybeleid in zijn geheel, vanaf de eerste communicatie van de
verwerkingsverantwoordelijke met hem op de hoogte worden gebracht van de
details van het doel van de betreffende verwerking, de identiteit van de
verwerkingsverantwoordelijke en de rechten die hem ter beschikking staan.

90. Het belang van het verstrekken van deze meerlagige informatie zorgt voor toegankelijke en
begrijpelijke informatie voor de betrokkenen, een verplichting die voortvloeit met name uit
overweging 39 van de AVG. Alle aanvullende informatie in de zin van artikel 13 en 14 AVG die
nodig is om de betrokkene in staat te stellen op basis van de op dit eerste niveau verstrekte
informatie te begrijpen wat de gevolgen van de betrokken verwerking voor hem zullen zijn,
moet worden toegevoegd.

91. De Geschillenkamer consulteerde de huidige privacyverklaring van de verweerder en stelde
daarbij inderdaad vast dat deze laatste op zodanige wijze werd bijgewerkt dat rekening wordt
gehouden met het merendeel van de opmerkingen van de Inspectiedienst en de
privacyverklaring bijgevolg bijna volledig in overeenstemming werd gebracht met de
desbetreffende bepalingen van de AVG. De Geschillenkamer neemt hiervan akte.

92. Er wordt evenwel opgemerkt dat in de nieuwe privacyverklaring nog niet tegemoet wordt
gekomen aan alle vaststellingen van de Inspectiedienst.

93. Vooreerst stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding
maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter
bepaling hiervan, zoals vereist door artikel 13, lid 2 a) AVG. De privacyverklaring vermeldt
hieromtrent het volgende: “[w]ij bewaren uw gegevens in principe niet langer dan
noodzakelijk is voor het doel waarvoor deze verzameld werden. Als overheidsinstantie zijn
we echter dikwijls wettelijk verplicht om uw persoonsgegevens langer te bewaren, onder
meer op basis van de archiefwetgeving. Het is daarnaast mogelijk dat uw persoonsgegevens
verder worden verwerkt voor wetenschappelijk en historisch onderzoek of statistische
doeleinden”. Uit de Richtsnoeren van de Groep Gegevensbescherming blijkt evenwel dat

30
In dezelfde zin: beslissing nr. 81/2020 van de Geschillenkamer (punten 53 en volgende) en beslissing 76/2021 (punten 58
e.v.), beschikbaar via de webpagina
https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen.

Beslissing ten gronde 15/2023/2023 - 27/35

dergelijke formulering niet volstaat. De Groep Gegevensbescherming wijst er in dit verband
op dat de (vermelding van de) bewaartermijn verband houdt met het beginsel van minimale
gegevensverwerking vervat in artikel 5, lid 1, c) AVG alsook de vereiste van opslagbeperking
van artikel 5, lid 1, e) AVG. Deze preciseert dat “de opslagperiode (of de criteria om die te
bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale
richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis
van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke
gegevens/doeleinden is”.31 De Geschillenkamer is van oordeel dat zulks een schending
inhoudt van artikel 13, lid 1 c) en 14, lid 2, c) AVG.

94. Ten tweede stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op
voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(en) en
doeleinden van de verwerking en welke persoonsgegevens hiervoor gebruikt worden van de
betrokken persoonsgegevens, zoals vereist door artikel 13 en 14 AVG. De Geschillenkamer
stelt vast dat de privacyverklaring wel deze elementen vermeldt, maar dat de wijze waarop
niet begrijpelijk en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de
betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke
rechtsgrond dit gebeurt. Idealiter voorziet de verwerkingsverantwoordelijke een oplijsting
van de verschillende doeleinden waarvoor hij persoonsgegevens verwerkt, met telkens de
aanduiding welke (categorieën van) persoonsgegevens hiervoor worden verwerkt, via welke
bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van)
ontvangers ze (kunnen) worden gedeeld.

95. De Geschillenkamer stelt vast dat aan de overige vaststellingen van de Inspectiedienst
intussen werd tegemoet gekomen door de door de verweerder aangebrachte wijzigingen
aan de privacyverklaring, doch stelt evenwel vast dat deze vaststellingen ten tijde van de
uitvoering van het inspectieonderzoek onbetwistbaar zijn. De Geschillenkamer wijst er
daarbij wel op dat de verweerder inspanningen heeft geleverd om de uit hoofde van de
artikelen 12, 13 en 14 AVG te verstrekken informatie bij te stellen, weliswaar na ontvangst
van de opmerkingen van de Inspectiedienst.

96. De Geschillenkamer leidt uit de hierboven opgesomde vaststellingen van inbreuken af dat de
verweerder zijn transparantieverplichtingen uit artikel 12 AVG en zijn informatieverplichting
uit artikel 13 en 14 AVG niet is nagekomen. Daarmee heeft verweerder onzorgvuldig
gehandeld in strijd met zijn verantwoordingsplicht zoals bepaald in artikel 5, lid 2 en 24 van
de AVG.

31
Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29
november 2017, p 25.

Beslissing ten gronde 15/2023/2023 - 28/35

II.5. Artikel 30, lid 1, lid 3 en lid 4 van de AVG

97. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van
essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht
hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook
in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de
naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert omdat het
register de belangrijkste kenmerken ervan zichtbaar maakt. De verplichtingen inzake dit
register van verwerkingsactiviteiten worden bepaald in artikel 30 AVG.

98. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden
van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd.
Artikel 30, lid 1, a) tot en met g) AVG bepaalt dat, met betrekking tot de in de hoedanigheid
van verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie
beschikbaar moet zijn:

a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele
gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor
gegevensbescherming;

b) de verwerkingsdoeleinden;

c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;

d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, onder meer ontvangers in derde landen of internationale organisaties;

e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een
internationale organisatie, met inbegrip van de vermelding van dat derde land of die
internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea AVG,
bedoelde doorgiften, de documenten inzake de passende waarborgen;

f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van
gegevens moeten worden gewist;

g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32, lid 1 AVG.

99. Het verwerkingsregister moet in schriftelijke vorm, waaronder in elektronische vorm,
worden opgesteld (artikel 30, lid 3 AVG). Overeenkomstig artikel 30, lid 4 AVG stelt de
verwerkingsverantwoordelijke het verwerkingsregister ter beschikking aan de
toezichthoudende overheid op diens verzoek.

Beslissing ten gronde 15/2023/2023 - 29/35

100. Voor wat betreft het register van verwerkingsactiviteiten stelt de Inspectiedienst vast dat
de verweerder de verplichtingen opgelegd door artikel 30, lid 1, lid 3 en lid 4 AVG niet heeft
nageleefd. De Inspectiedienst heeft immers enkel een deel van het register van
verwerkingsactiviteiten ontvangen, te weten het deel over het onderhoud van gebouwen.
Het deel dat werd overgemaakt voldoet volgens de vaststellingen van de Inspectiedienst
niet aan de minimumvereisten uit artikel 30 lid 1 AVG aangezien volgende verplichte
vermeldingen ontbreken:

a. De contactgegevens van de verweerder (artikel 30, lid 1, a) AVG).

b. Een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens (artikel 30, lid 1, c) AVG). Er is een korte algemene opsomming
voorzien, maar dat is geen beschrijving, aldus de Inspectiedienst.

101. De Geschillenkamer dient zich uit te spreken over de vraag of artikel 30, lid 1, c) AVG vereist
dat een beschrijving wordt gegeven van de categorieën van persoonsgegevens en de
categorieën van betrokkenen in het register van verwerkingsactiviteiten, dan wel of een
opsomming kan volstaan.

102. Voor wat betreft het ontbreken van de bescherming van de categorieën van betrokkenen en
persoonsgegevens vraagt de verweerder in zijn conclusies om verduidelijking. Er zijn
inderdaad algemene voorbeelden opgenomen hieromtrent, maar de verweerder stelt dat
deze wel een beeld geven van het soort gegevens dat bedoeld wordt. In de AVG kan de
verweerder geen definitie terugvinden van wat een beschrijving hoort te zijn.

103. De Geschillenkamer stelt vast dat artikel 30, lid 1, c) AVG vereist dat een beschrijving van de
categorieën van betrokkenen en van de categorieën van persoonsgegevens wordt
opgenomen in het register van verwerkingsactiviteiten. De betrokkenen zijn de
geïdentificeerde of identificeerbare natuurlijke personen van wie de gegevens worden
verwerkt (artikel 4 (1) van de AVG). Aangaande de categorieën gegevens, moet het natuurlijk
gaan over persoonsgegevens zoals bepaald in artikel 4 (1) van de AVG.

104. De Geschillenkamer stelt vast dat de verweerder in diens register van
verwerkingsactiviteiten een opsomming voorziet voor:

- de categorieën van betrokkenen (artikel 30, lid 1, c) AVG), te weten “personeelsleden”.

- de categorieën van persoonsgegevens (artikel 30, lid 1, c) AVG), te weten de “Gegevens
Geolokalisatiesysteem [...]: nummerplaat, afgelegde route, beschrijving voertuig”.

105. De Geschillenkamer herinnert eraan wat het doel van het register van
verwerkingsactiviteiten is. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen
toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de
verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij

Beslissing ten gronde 15/2023/2023 - 30/35

uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de
verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende
gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste kenmerken ervan
zichtbaar maakt. De Geschillenkamer is van oordeel dat dit verwerkingsregister een
essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel 5,
lid 2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de
AVG aan de verwerkingsverantwoordelijke oplegt.

106. Betreffende de verplichte vermeldingen ingevolge artikel 30, lid 1, c) AVG omtrent de
beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens, stelt de Geschillenkamer vast dat noch de tekst van de AVG, noch de
doelstellingen van de AVG verhinderen dat een opsomming van de categorieën van
persoonsgegevens en de categorieën van betrokkenen wordt opgenomen in het register van
verwerkingsactiviteiten of dat een meer gedetailleerde beschrijving zou nodig zijn.

107. Voor wat betreft de categorieën van ontvangers verwijst de Geschillenkamer naar een
aanbeveling van de CBPL32 en de doctrine33 waarin wordt uiteengezet dat het weliswaar niet
nodig is de individuele ontvangers van de gegevens te vermelden, maar dat deze wel
gegroepeerd kunnen worden per categorie van ontvangers. Mutatis mutandis kan deze
stelling ook worden toegepast op de categorieën van persoonsgegevens en betrokkenen.
Hierbij benadrukt de Geschillenkamer dat de informatie omtrent de categorieën van
persoonsgegevens en betrokkenen zodanig moet zijn dat in het geval van een uitoefening
van het recht op inzage door een betrokkene, de verwerkingsverantwoordelijke specifieke
informatie moet kunnen verstrekken aan deze betrokkene omtrent de exacte verwerkte
gegevens en de specifieke ontvangers van diens persoonsgegevens. 34

108. De Geschillenkamer wijst er echter op dat de invulling van het register van
verwerkingsactiviteiten steeds casuïstisch geëvalueerd moet worden om na te gaan of de
hierin opgenomen beschrijving of opsomming voldoende duidelijk en concreet is. In deze
zaak stelt de Geschillenkamer dat de omschrijving “personeel” duidelijk is, aangezien uit deze
fiche blijkt dat het de personeelsleden van de dienst Onderhoud Gebouwen betreft. Ook de
opsomming van de gegevens die door de software van het geolokalisatiesysteem worden
verwerkt zijn duidelijk. Bijgevolg stelt de Geschillenkamer vast dat in casu de bovenvermelde
opsommingen voldoen aan de vereisten uit artikel 30, lid 1, c) AVG.

109. Voor wat betreft de ontbrekende vermeldingen uit artikel 30, lid 1, a) AVG stelt de
Geschillenkamer vast dat de contactgegevens van de functionaris voor

32
Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf
33
W. Kotschy, "Article 30: records of processing activities", in Ch. KUNER The EU General Data Protection Regulation
(GDPR), a commentary, 2020, pag. 621.
34
ECJ, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 36.

Beslissing ten gronde 15/2023/2023 - 31/35

gegevensbescherming zijn opgenomen in de aangepaste versie van het register van
verwerkingsactiviteiten. Dit neemt niet weg dat er een historische inbreuk was op artikel 30,
lid 1, a) AVG en dat deze intussen geremedieerd werd.

110. Voor wat betreft het overmaken van het register van verwerkingsactiviteiten betwist de
verweerder niet dat deze niet in zijn totaliteit werd bezorgd aan de Inspectiedienst. Dit
register van verwerkingsactiviteiten bestaat immers uit verschillende excelbestanden, te
weten één document per overheidsdienst en er werd door de verweerder geredeneerd dat
enkel het verwerkingsregister van de betrokken dienst overgemaakt moest worden. De
verweerder verklaart zich in zijn conclusies bereid om alsnog het volledige register van
verwerkingsactiviteiten te bezorgen, en heeft dit alsnog gedaan voorafgaand aan de
hoorzitting. De Geschillenkamer kan niet uit verdere briefwisseling afleiden dat de
Inspectiedienst deze bijkomende fiches zou opgevraagd hebben.

111. De Geschillenkamer is van oordeel dat de verweerder tijdig het verwerkingsregister, in het
bijzonder met betrekking tot het litigieuze geolokalisatiesysteem heeft overgemaakt in
elektronische vorm per mail op het eerste verzoek van de Inspectiedienst. De bijkomende
fiches werden niet verder opgevraagd door de Inspectiedienst. Bijgevolg oordeelt de
Geschillenkamer dat er geen inbreuk is op artikel 30, lid 3 en 4 AVG. Er was echter wel een
historische inbreuk voor wat betreft artikel 30, lid 1, a) waarvan de Geschillenkamer vaststelt
dat deze door remediërende maatregelen verholpen werd.

II.6. Artikel 38, lid 1 en lid 3 van de AVG en artikel 39, lid 1 van de AVG

112. De AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat
betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan regels
onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te voldoen aan
haar verplichtingen onder de AVG, maar helpen ook de functionaris voor
gegevensbescherming om zijn taken naar behoren uit te oefenen.

113. Artikel 38, lid 1 AVG schrijft voor dat de verwerkingsverantwoordelijke er zorg voor draagt
dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij
alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.

114. Daarnaast bepaalt artikel 38, lid 3, in fine AVG dat de functionaris voor
gegevensbescherming rechtstreeks verslag uitbrengt aan de hoogste leidinggevende
binnen de betrokken organisatie. Daarnaast kan de functionaris voor gegevensbescherming
jaarlijks een verslag uitbrengen van de door hem uitgevoerde activiteiten en deze ter
beschikking stellen aan het hoogste management.

115. De Inspectiedienst stelt vast dat de verweerder de verplichtingen opgelegd door artikel 38,
lid 1 en lid 3 AVG niet heeft nageleefd. De verweerder toont volgens de Inspectiedienst niet

Beslissing ten gronde 15/2023/2023 - 32/35

aan dat zijn functionaris voor gegevensbescherming naar behoren en tijdig werd betrokken
in het kader van de context van de klacht. Daarnaast toont de verweerder niet aan dat zijn
functionaris voor gegevensbescherming effectief verslag uitbrengt aan het hoogste
leidinggevende niveau van de verweerder.

116. De verweerder betwist niet dat het van cruciaal belang is dat de functionaris voor
gegevensbescherming zo vroeg mogelijk betrokken wordt bij alle aangelegenheden die met
gegevensbescherming verband houden. Hiertoe werden inspanningen gedaan omtrent de
bewustmaking ervan o.a. op het diensthoofdenoverleg van 3 december 2021. Verder brengt
de functionaris voor gegevensbescherming indien nodig formeel advies uit aan de
Gemeenteraad/Raad voor Maatschappelijk Welzijn en/of aan het College van Burgemeester
en Schepenen, het betreft 5 formele adviezen in 2021. De verweerder maakt ook stukken
over waaruit blijkt dat de functionaris voor gegevensbescherming proactief te werk gaat,
zoals 44 informele adviezen in 2021. Tot slot geeft de verweerder aan dat het jaarverslag ter
kennisgeving wordt geagendeerd op het College van Burgemeester en Schepenen en het
Vast Bureau.

117. Gelet op het bovenstaande, stelt de Geschillenkamer vast dat de functionaris voor
gegevensbescherming op regelmatige basis wordt betrokken bij aangelegenheden met
betrekking tot de bescherming van persoonsgegevens. Specifiek wat betreft de context van
de klacht, stelt de Geschillenkamer vast dat de functionaris werd betrokken naar aanloop van
de onderhavige klacht. De klacht werd ingediend op 31 maart 2021 nadat er op 16 november
2020 en op 23 februari 2021 overleg is geweest tussen de verweerder en de functionaris
voor gegevensbescherming over het geolokalisatiebeleid. Uit het geheel van alle stukken die
werden overgemaakt, zijn geen concrete elementen die de Geschillenkamer toelaten te
concluderen dat de functionaris voor gegevensbescherming niet tijdig zou betrokken
geweest zijn. De Geschillenkamer wijst er evenwel op dat het documenteren van de tijdige
betrokkenheid nuttig kan zijn voor de verwerkingsverantwoordelijke zelf, maar ook voor de
Inspectiedienst bij een eventuele klacht alsook bij de (casuïstische) beoordeling door de
Geschillenkamer.

118. De Inspectiedienst heeft ook een inbreuk op artikel 38, lid 3 vastgesteld inzake de
rapportering aan het hoogste leidinggevende niveau. De verweerder had tijdens het
onderzoek verduidelijkt aan de Inspectiedienst dat de functionaris voor
gegevensbescherming voorzitter is van de Informatieveiligheidscel, die verslag uitbrengt
aan de Algemeen Directeur via het jaarverslag. De Inspectiedienst verwijst in dit verband
naar een eerdere beslissing van de Geschillenkamer waarin werd verduidelijkt dat in een
gemeente het college van burgemeester en schepenen het hoogste dagelijks
leidinggevende niveau is. De Geschillenkamer stelt vast dat in de loop van oktober tot
december 2020 een audit van de verweerder uitgevoerd door Audit Vlaanderen heeft

Beslissing ten gronde 15/2023/2023 - 33/35

plaatsgevonden. Hierin werd als aanbeveling opgenomen dat de verweerder beschikt over
een eigen kader voor organisatiebeheersing, dat hierin een rapportering naar het College van
Burgemeester en Schepenen voorziet maar dat dit in de praktijk ontbreekt. De
Geschillenkamer merkt op dat de verweerder met deze aanbeveling aan de slag gegaan is
aangezien in 2021 5 formele en 44 informele adviezen rechtstreeks aan het College van
Burgemeester en Schepenen werden gericht, naast het jaarverslag dat de functionaris voor
gegevensbescherming jaarlijks aflevert.

119. Op basis van het bovenstaande concludeert de Geschillenkamer dat er geen inbreuk is op
artikel 38, lid 1 en lid 3 en artikel 39, lid 1 AVG. Dit neemt niet weg dat er een historische
inbreuk is geweest voor wat betreft artikel 38, lid 3 AVG en dat deze door remediërende
maatregelen verholpen werd.

III. Sancties

120. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat er sprake is van
volgende (historische) inbreuken:

- artikel 5, lid 1, a) en lid 2 en artikel 6, lid 1 AVG, en artikel 24, lid 1 en artikel 24, lid 1 en 2 van
de AVG voor wat betreft het geolokalisatiesysteem;

- artikel 4, 11), artikel 5, lid 1, a) en lid 2, artikel 6, lid 1, a) en artikel 7, lid 1 en lid 3 voor wat
betreft het gebruik van niet strikt noodzakelijke cookies;

- artikel 12, lid 1 en 6, artikel 13, lid 1 en 2, artikel 14, lid 1 en lid 2, artikel 5, lid 2, artikel 24, lid 1
en artikel 25, lid 1 AVG voor wat betreft de informatieverplichtingen;

- artikel 30, lid 1, a) AVG voor wat betreft de contactgegevens van de functionaris in het
register van verwerkingsactiviteiten; en

- artikel 38, lid 3 AVG voor wat betreft de rechtstreekse rapportage aan het hoogste
leidinggevende niveau.

121. Hoewel de verweerder remediërende maatregelen getroffen heeft om deze inbreuken al dan
niet al volledig te verhelpen, staat het wel vast dat er inbreuken op het recht op
gegevensbescherming plaatsgevonden hebben. Zoals reeds uiteengezet zijn de beginselen
van rechtmatigheid en transparantie fundamentele beginselen van de AVG. Ook de
functionaris voor gegevensbescherming speelt een cruciale rol in de gegevensbescherming
bij een verwerkingsverantwoordelijke. De Geschillenkamer herinnert eraan dat de AVG reeds
in werking is getreden in 2016, en van toepassing werd op 25 mei 2018. Intussen zijn er bijna
5 jaar verstreken sinds de AVG van toepassing werd, een periode die door de verweerder
onvoldoende benut geweest is om haar werking AVG-conform te maken.

122. Bij het bepalen van de sanctie houdt de Geschillenkamer rekening met het feit dat de
verweerder deze inbreuken reeds (deels) rechtgezet heeft en bewijsstukken hiervan

Beslissing ten gronde 15/2023/2023 - 34/35

overmaakt. Ten overvloede wijst de Geschillenkamer erop dat zij niet bevoegd is om een
administratieve geldboete op te leggen aan overheidsorganen, overeenkomstig artikel 221,
§ 2 van de Gegevensbeschermingswet.35 Gelet op het bovenstaande is de Geschillenkamer
van oordeel dat een berisping op basis van artikel 100 ,§ 1, 5 WOG in deze zaak aangewezen
is.

123. De Geschillenkamer gaat over tot een sepot van de overige grieven en vaststellingen van de
Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de
conclusie kan komen dat er sprake is van een inbreuk op de AVG. Deze grieven en
vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd
in de zin van artikel 57, lid 4 van de AVG. 36

IV. Publicatie van de beslissing

124. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.

OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:

- op grond van, artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de
verweerder voor wat betreft de inbreuk op artikel 5, lid 1, a) en lid 2 en artikel 6, lid 1;
artikel 24, lid 1 en artikel 24, lid 1 en 2; artikel 4, 11), artikel 5, lid 1, a) en lid 2, artikel 6, lid 1, a)
en artikel 7, lid 1 en lid 3; artikel 12, lid 1 en 6, artikel 13, lid 1 en 2, artikel 14, lid 1 en lid 2,
artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG; artikel 30, lid 1 AVG en artikel 38, lid 3
AVG;

- op grond van artikel 100, §1, 1° WOG voor wat betreft alle andere vaststellingen te
seponeren.

Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.

35
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens, B.S., 5 september 2018.
36
Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf

Beslissing ten gronde 15/2023/2023 - 35/35

Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 37. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.38, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).

(get.) Hielke HIJMANS

Voorzitter van de Geschillenkamer

37
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
38
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.