1/8
Geschillenkamer
Beslissing 154/2025 van 29 september 2025
Dossiernummer : DOS-2025-00579
Betreft : Een gegevenslek door e-mails te versturen met zichtbare ontvangers in “cc”
De Geschillenkamer van de Gegevensbeschermingsautoriteit;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door het directiecomité van de
Gegevensbeschermingsautoriteit op 25 april 2024 en gepubliceerd in het Belgisch Staatsblad op
31 mei 2024;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerder: Y, hierna “de verweerder”
Beslissing 154/2025 — 2/8
I. Feiten en procedure
1. Op 6 februari 2025 ontvangt de klager een e-mail van de verweerder met betrekking tot
een tevredenheidsenquête. De klager merkt op dat de e-mailadressen van een groot aantal
personen en bedrijven, alsook zijn eigen e-mailadres, zichtbaar zijn in het “cc”-veld van de
e-mail.
2. Op 7 februari 2025 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder.
3. Op 13 februari 2025 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 van de WOG en op dezelfde dag wordt de klager hiervan
op de hoogte gesteld overeenkomstig artikel 61 WOG.
4. Op 13 februari 2025 wordt de Geschillenkamer gevat op grond van artikel 92, 1° van de
WOG.
5. Op 10 juli 2025 brengt de Geschillenkamer de verweerder overeenkomstig artikel 95, §2
WOG op de hoogte van het feit dat onderhavig dossier aanhangig gemaakt werd, de inhoud
van de klacht, en de mogelijkheid tot het raadplegen en het kopiëren van het dossier bij de
griffie van de Geschillenkamer. De verweerder wordt uitgenodigd om haar eventuele
opmerkingen hieromtrent over te maken aan de Geschillenkamer, uiterlijk op 1 augustus
2025.
6. Op 1 augustus 2025 ontvangt de Geschillenkamer opmerkingen van de verweerder op
deze kennisgeving.
II. Motivering
II.1. Betreffende de technische en organisatorische maatregelen die werden genomen ter
waarborging van de beveiliging van persoonsgegevens (artikelen 5.1.f), 25 en 32 AVG)
7. Artikel 5.1.f) AVG bepaalt dat de verwerkingsverantwoordelijke door het nemen van
passende technische of organisatorische maatregelen persoonsgegevens op een
dusdanige manier verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij
onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen
onopzettelijk verlies, vernietiging of beschadiging. Artikel 25 AVG bepaalt verder dat de
verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de
verwerking zelf, passende technische en organisatorische maatregelen treft die zijn
opgesteld met als doel de gegevensbeschermingsbeginselen op een doeltreffende manier
uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de
voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen.
Tenslotte bepaalt artikel 32.1 AVG dat de verwerkingsverantwoordelijke en de verwerker
Beslissing 154/2025 — 3/8
passende technische en organisatorische maatregelen treffen om een op het risico
afgestemd beveiligingsniveau te waarborgen.
8. In haar reactie op 1 augustus 2025 verstrekt de verweerder informatie over de procedure
die zij hanteert voor het uitvoeren van tevredenheidsenquêtes, de omstandigheden
waaronder de e-mail werd verzonden die aanleiding gaf tot de klacht, de maatregelen die
zijn genomen om het datalek aan te pakken, de uitgevoerde risicoanalyse, de motivering
van de beslissingen om de GBA niet in te lichten maar de betrokkenen wel, en de
corrigerende acties die zij neemt voor de toekomst.
9. Om te beginnen zet de verweerder uiteen welke maatregelen zij hanteert ter bescherming
van persoonsgegevens bij het versturen van tevredenheidsenquêtes. Onder andere
gebruikt de verweerder een passend programma voor de verzending van dergelijke e-mails
en heeft zij procedures vastgelegd die haar werknemers dienen te volgen.
10. De verweerder stelt dat de e-mail die aanleiding gaf tot de klacht werd verstuurd zonder
acht op de intern vastgelegde procedures. Een medewerker zou door tijdsdruk de
beperkingen van het voorgeschreven softwareprogramma en de vastgelegde procedure
hebben omzeild door een enquête rechtstreeks te verzenden via Google Forms per e-mail.
Hierdoor werden er acht identieke e-mails verzonden met ongeveer 450 ontvangers
zichtbaar in het “cc”-veld.
11. Dit incident wordt volgens de AVG gekwalificeerd als een inbreuk in verband met
persoonsgegevens zoals gedefinieerd in artikel 4.12 AVG: “een inbreuk op de beveiliging
die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging
of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden,
opgeslagen of anderszins verwerkte gegevens”. Op basis van de stukken uit het dossier
stelt de Geschillenkamer vast dat het e-mailadres van de klager, samen met die van de
overige bestemmelingen zichtbaar waren in “cc”. Hierdoor konden de bestemmelingen
deze gegevens raadplegen. Er is dan ook sprake van een inbreuk op de vertrouwelijkheid,
namelijk een ongeoorloofde of onbedoelde verstrekking van of toegang tot
persoonsgegevens.
12. De verweerder stelt dat dit incident het gevolg was van een individuele fout van een
werknemer die de interne procedures niet heeft gevolgd. De Geschillenkamer wijst echter
op de artikelen vermeld in randnummer 7 van deze beslissing, waarin wordt bepaald dat de
verwerkingsverantwoordelijke passende technische en organisatorische maatregelen
dient te treffen om dergelijke incidenten te vermijden. Het feit dat een dergelijke inbreuk in
verband met persoonsgegevens zich heeft voorgedaan impliceert dat de getroffen
maatregelen mogelijk onvoldoende waren om een dergelijke inbreuk te vermijden. Dit
rechtvaardigt de Geschillenkamer om over te gaan tot een beslissing in deze zaak op basis
van artikel 95, § 1, 4° WOG, meer bepaald de verweerder te waarschuwen voor de
Beslissing 154/2025 — 4/8
toekomst. In dat kader merkt de Geschillenkamer op dat de verweerder reeds positieve
stappen heeft gezet om haar organisatorische maatregelen te versterken. Zo werd de
betrokken werknemer herinnerd aan de interne richtlijnen en werden er
bewustmakingssessies georganiseerd voor de marketingteams.
13. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klager ingediende klacht,
in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 1 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
De Geschillenkamer heeft aldus beslist om op grond van artikel 58.2.a) AVG en
artikel 95, § 1, 4° van de WOG, een waarschuwing te formuleren betreffende het nemen van
technische en organisatorische maatregelen ter waarborging van de beveiliging van
persoonsgegevens (artikelen 5.1.f), 25 en 32 AVG).
14. Onderhavige beslissing heeft tot doel de verweerder in kennis te stellen van het feit dat
deze mogelijk een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de
mogelijkheid te stellen zich alsnog te conformeren met voornoemde bepalingen.
15. Indien de verweerder niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren die
tot een nieuwe beslissing zouden kunnen leiden, kan zij een verzoek tot heroverweging
indienen bij de Geschillenkamer volgens de procedure vastgesteld in de artikelen 98 juncto
99 van de WOG, bekend als een “behandeling ten gronde”. Dit verzoek moet worden
gestuurd naar het e-mailadres [email protected] binnen een termijn van 30
dagen na kennisgeving van dit prima facie besluit. Indien van toepassing, wordt de
uitvoering van dit besluit opgeschort gedurende de bovengenoemde periode.
16. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 van de
WOG uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten
bij het dossier te voegen. De onderhavige beslissing wordt desgevallend definitief
opgeschort.
17. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 van de
WOG 2.
1
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
2
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
Beslissing 154/2025 — 5/8
II.2. Betreffende de melding van de inbreuk aan de Gegevensbeschermingsautoriteit en de
betrokkenen (artikelen 33 en 34 AVG)
18. Artikel 33.1 AVG bepaalt dat indien een inbreuk in verband met persoonsgegevens heeft
plaatsgevonden, de verwerkingsverantwoordelijke deze aan de bevoegde
toezichthoudende autoriteit meldt zonder onredelijke vertraging en, indien mogelijk,
uiterlijk 72 uur nadat hij er kennis van heeft genomen. Deze melding is niet vereist wanneer
het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico
inhoudt voor de rechten en vrijheden van natuurlijke personen. Artikel 33.5 AVG bepaalt
dat de verwerkingsverantwoordelijke in ieder geval alle inbreuken in verband met
persoonsgegevens documenteert met inbegrip van de feiten omtrent de inbreuk in
verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende
maatregelen.
19. Artikel 34 AVG bepaalt dat wanneer de inbreuk in verband met persoonsgegevens
waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke
personen, de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens
onverwijld meedeelt aan de betrokkenen.
20. Op 6 februari 2025 werd de verweerder door een klant op de hoogte gebracht van het
incident. De functionaris voor gegevensbescherming (DPO) van de verweerder nam
diezelfde dag contact op met de betrokken partijen. Vervolgens werd er een risicoanalyse
uitgevoerd volgens de ENISA-methode om te bepalen of een melding aan de GBA en aan
de betrokkenen vereist was. Deze analyse wees erop dat het incident het gevolg was van
een individuele fout. De Geschillenkamer merkt op dat de verwerkingsverantwoordelijke
na het incident stappen heeft ondernomen om haar organisatorische maatregelen te
versterken. Zo werd de betrokken werknemer herinnerd aan de interne richtlijnen en
werden er bewustmakingssessies georganiseerd voor de marketingteams.
21. Op basis van de uitgevoerde risicoanalyse kwam de verweerder tot de conclusie dat een
melding aan de GBA niet vereist was, aangezien het onwaarschijnlijk leek dat de inbreuk
een risico zou inhouden voor de rechten en vrijheden van natuurlijke personen. Daarbij nam
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het
gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.
Beslissing 154/2025 — 6/8
de verweerder met name in aanmerking dat de betrokken gegevens zich beperkte tot
professionele e-mailadressen en dat de gegevenslek beperkt bleef tot ontvangers van
dezelfde zending. Niettemin besloot de verweerder om, teneinde mogelijke risico’s voor de
betrokkenen te voorkomen, deze te informeren over het incident. Aldus stuurde de
verweerder een dag na het incident een e-mail naar de betrokkenen om zich te
verontschuldigen en te waarschuwen voor mogelijke risico’s.
22. Op basis van de elementen in het dossier die de Geschillenkamer bekend zijn, en op basis
van de bevoegdheden die haar door de wetgever op grond van artikel 95, § 1 WOG zijn
toebedeeld, beslist de Geschillenkamer om dit onderdeel van de klacht te seponeren
overeenkomstig artikel 95, § 1, 3° WOG, op basis van de hiernavolgende motivering.
23. Wanneer een klacht geseponeerd wordt, dient de Geschillenkamer haar beslissing
trapsgewijs te motiveren 3 en:
- een technische seponering uit te spreken indien het dossier geen of niet voldoende
elementen bevat die tot een veroordeling kunnen leiden, of indien er onvoldoende
uitzicht bestaat op een veroordeling wegens een technische belemmering,
waardoor zij niet tot een beslissing kan komen;
- of een beleidssepot uit te spreken, indien ondanks de aanwezigheid van elementen
die tot een sanctie kunnen leiden, de voortzetting van het onderzoek van het
dossier niet opportuun lijkt in het licht van de prioriteiten van de
Gegevensbeschermingsautoriteit, zoals gespecificeerd en toegelicht in het
sepotbeleid van de Geschillenkamer 4.
24. Gelet op het voorgaande beslist de Geschillenkamer om dit onderdeel van de klacht te
seponeren om opportuniteitsredenen. Zij stelt vast dat de door de klager aangevoerde
grieven niet beantwoorden aan de criteria van hoge algemene of persoonlijke impact, zoals
door de Geschillenkamer omschreven in haar sepotbeleid van 18 juni 2021 5. De
Geschillenkamer weegt bij haar beoordeling de persoonlijke gevolgen van de
omstandigheden van de klacht voor de fundamentele rechten en vrijheden van de klager af
tegen de doeltreffendheid van haar optreden, wanneer zij beslist of zij het opportuun acht
de klacht verder te behandelen. Hoewel de feiten betrekking hebben op een inbreuk op
persoonsgegevens, lijken de mogelijke risico’s van de inbreuk a priori beperkt te zijn. In het
onderhavige geval oordeelt de Geschillenkamer a priori dat de risicobeoordeling van de
verweerder correct lijkt. De risico’s voor de betrokkenen lijken beperkt aangezien weinig
3
Hof van Beroep Brussel, Sectie Marktenhof, 19de kamer A, Kamer voor marktzaken, arrest 2020/AR/329, 2 september 2020,
p. 18.
4
In dit verband verwijst de Geschillenkamer naar haar sepotbeleid zoals uitvoerig uiteengezet op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf
5
Beschikbaar via < https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf>
Beslissing 154/2025 — 7/8
persoonsgegevens werden blootgesteld, en het ging om de professionele e-mailadressen
van klanten van de verweerder. Niettemin acht de Geschillenkamer het van belang om te
benadrukken dat dergelijke inbreuken in verband met persoonsgegevens, afhankelijk van
de concrete omstandigheden van het geval, in het algemeen mogelijk zwaarwegende
gevolgen kunnen hebben voor betrokkenen. In de onderhavige zaak doen dergelijke
omstandigheden zich echter niet voor.
25. Voorts stelt de Geschillenkamer vast dat de verwerkingsverantwoordelijke reeds
technische en organisatorische maatregelen heeft genomen om dergelijke inbreuken te
voorkomen, en dat zij naar aanleiding van dit incident verdere stappen onderneemt om de
naleving van haar interne procedures te versterken. Ten slotte merkt de Geschillenkamer
op dat de verweerder de betrokkenen proactief heeft geïnformeerd over het
veiligheidsincident om mogelijke risico’s te vermijden.
III. Publicatie en mededeling van de beslissing
26. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is daarentegen niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, onder voorbehoud van
de indiening van een verzoek door de verweerder tot behandeling ten gronde
overeenkomstig artikel 98 e.v. van de WOG, om:
- op grond van artikel 58.2.a) van de AVG en artikel 95, § 1, 4° van de WOG de
verweerder (voor de toekomst) te waarschuwen dat zij voldoende technische en
organisatorische maatregelen dient te nemen ter waarborging van de beveiliging van
persoonsgegevens (artikelen 5.1.f), 25 en 32 AVG);
- op grond van artikel 95, § 1, 3° van de WOG de voorliggende klacht te seponeren voor
zover het betrekking heeft op de melding van de inbreuk aan de
Gegevensbeschermingsautoriteit en de betrokkenen (artikelen 33 en 34 AVG).
De Geschillenkamer herinnert eraan dat indien de verweerder niet akkoord gaat met de inhoud van
dit prima facie besluit en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren
die tot een ander besluit zouden kunnen leiden, zij, enerzijds, een verzoek tot behandeling van de
Beslissing 154/2025 — 8/8
zaak ten gronde kan indienen bij de Geschillenkamer via het e-mailadres litigationchamber@apd-
gba.be, en dit binnen een termijn van 30 dagen na de kennisgeving van dit besluit. Indien van
toepassing, wordt de uitvoering van dit besluit opgeschort gedurende de bovengenoemde periode.
Anderzijds kunnen de partijen beroep instellen tegen dit besluit overeenkomstig artikel 108, § 1 van
de WOG, binnen een termijn van 30 dagen na kennisgeving ervan, bij het Marktenhof (hof van
beroep van Brussel), met de Gegevensbeschermingsautoriteit als verwerende partij. Een dergelijk
beroep kan worden ingesteld door middel van een verzoekschrift op tegenspraak dat de in artikel
1034ter van het Gerechtelijke Wetboek (Ger.W.) opgesomde elementen dient te bevatten 6. Het
verzoekschrift tot tussenkomst moet worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W. 7, of via het e-Deposit informatiesysteem van
het Ministerie van Justitie (artikel 32ter van het Ger.W.).
(Get.)Hielke HIJMANS
Directeur van de Geschillenkamer
6
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister-
of ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
7
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.