1/24
Geschillenkamer
Beslissing ten gronde 165/2023 van 11 december 2023
Dossiernummer : DOS-2022-02499
Betreft : Potentiële inbreuk in verband met persoonsgegevens inzake een
aanmeldsysteem
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De verweerder: Stad Antwerpen, met maatschappelijke zetel te 2000 Antwerpen, Grote Markt
1, met ondernemingsnummer 0207.500.123, hierna “de verweerster”.
Beslissing ten gronde 165/2023 – 2/24
I. Feiten en procedure
1. Het centraal inschrijvingssysteem MeldJeAan (hierna: MeldJeAan) wordt reeds enkele jaren
in verschillende steden gebruikt in het kader van toewijzing van scholen om meer een sociale
mix te bewerkstelligen binnen de scholen.
2. Daartoe dienden de ouders en desgevallend de voogd de volgende persoonsgegevens op
te geven: identificatiegegevens (naam, adres, geboortedatum, telefoonnummer van zowel
ouders/voogd als kinderen), elektronische identificatiegegevens (e-mailadressen van zowel
ouders/voogd als kinderen), persoonlijke kenmerken (leeftijd, geslacht van kinderen),
opleiding en vorming (moeder), nationaal nummer (het rijksregisternummer van het kind),
het feit of er reeds broers en/of zussen van het kind in een bepaalde school van die stad
aanwezig zijn, het feit of de ouders personeelslid zijn van een school waar men zich aanmeldt,
het feit of het gezin een schooltoeslag ontving in het lopende schooljaar of het voorgaande
schooljaar, de spreektaal van het kind en het eventueel verslag buitengewoon onderwijs.
Daarnaast werden ook andere persoonsgegevens verwerkt binnen de applicatie, te weten
indicatoren omtrent leerlingen: thuistaal, opleidingsniveau moeder, buurtindicator en
schooltoeslag en voorkeuren voor een bepaalde school. Op basis van deze persoonlijke
voorkeuren en de andere gegevens kregen de kinderen een school toegewezen. Nadien
werden per school lijsten opgemaakt van de kinderen die zich voor de school hadden
aangemeld. Door in te loggen op de backoffice van “MeldJeAan” kan een medewerker voor
zijn school een lijst downloaden met alle persoonsgegevens van de ouders en hun kinderen
die zich hadden aangemeld op die school. Door een mogelijk gebrek in de onlinetoepassing
MeldJeAan zoals gebruikt voor het Gentse secundair onderwijs bleek dat de URL met de link
naar de downloadlijst ook rechtstreeks benaderbaar was, zonder in te loggen op de
backoffice. Iedere secundaire school in het systeem krijgt een unieke ID van 30 tekens
welke is opgenomen in de URL waardoor men, indien men beschikte over die unieke ID en
zonder eerst aan te melden, de lijst kon downloaden met persoonsgegevens van de ouders
en hun kind die aangemeld waren bij de school gekoppeld aan de unieke ID. Er werd
minstens1 één lijst op een dergelijke wijze gedownload. Eveneens werd de methode van
downloaden gemeld aan de pers waardoor deze ook zelf een lijst heeft gedownload en,
weliswaar gepseudonimiseerd, heeft gepubliceerd.
3. Deze onlinetoepassing MeldJeAan werd ook gebruikt in onder andere Antwerpen, voor wat
betreft het basisonderwijs. De GBA heeft geen melding ontvangen van een
gegevensinbreuk met betrekking tot de applicatie vanwege de
1
Er worden geen logs bijgehouden van wanneer of wie lijsten downloadt aangezien dit niet in de
programmaspecificatie werd opgenomen. Zie bijlage 1, meldformulier, punt 4: preventie en beheer van het
gegevenslek.
Beslissing ten gronde 165/2023 – 3/24
verwerkingsverantwoordelijken te Antwerpen hoewel het veiligheidsrisico ook ten aanzien
van hen bestond.
4. Gelet op het bovenstaande heeft het Directiecomité van de
Gegevensbeschermingsautoriteit (hierna: “GBA”) op 20 juni 2022 beslist de Inspectiedienst
te vatten op grond van artikel 63, 1° WOG omwille van een praktijk die aanleiding kan geven
tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens.
5. Op 10 oktober 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het
verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal
overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de beslissing van het
directiecomité en besluit dat er sprake is van een inbreuk op:
1. artikel 5.1.f) en 5.2 van de AVG, artikel 24.1 van de AVG, artikel 25.1 van de AVG en
artikel 32.1 en 32.2 AVG;
2. artikel 35.1, 35.2, 35.3 en 35.7 AVG; en
3. artikel 38.1 en artikel 39 AVG.
Het verslag bevat daarnaast aanvullende vaststellingen gelet op artikel 72 WOG. De
Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van een inbreuk op:
4. artikel 30.1 AVG.
6. Op 28 oktober 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde.
7. Op 28 oktober 2022 wordt de verweerster per aangetekende zending in kennis gesteld van
de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens
wordt zij op grond van artikel 99 WOG in kennis gesteld van de termijn om haar
verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster wordt
vastgelegd op 9 december 2022.
8. Op 28 oktober 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de
zaak.
9. Op 2 november 2022 vraagt de verweerster een kopie van het dossier (art. 95, § 2, 3° WOG),
dewelke haar werd overgemaakt op 9 november 2022.
10. Op 9 december 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster.
Beslissing ten gronde 165/2023 – 4/24
11. Op 8 mei 2023 wordt de verweerster ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 23 juni 2023.
12. Op 23 juni 2023 wordt de verweerster gehoord door de Geschillenkamer.
13. Op 28 juni 2023 wordt het proces-verbaal van de hoorzitting aan de verweerster
voorgelegd.
14. Op 4 juli 2023 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen
met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
II. Motivering
II.1. Identiteit van de verwerkingsverantwoordelijke
II.1.1. Vaststelling van de Inspectiedienst
15. De Inspectiedienst identificeert de verweerster als verwerkingsverantwoordelijke voor wat
betreft de verwerkingen van persoonsgegevens in het kader van het online
aanmeldsysteem MeldJeAan. Het inspectieverslag verwijst hiervoor enerzijds naar de
verwerkersovereenkomst met Z omtrent de ontwikkeling van de onlinetoepassing
MeldJeAan waarin de verweerster de verwerkingsverantwoordelijke genoemd wordt, en
anderzijds naar het document genaamd “genomen maatregelen naar aanleiding van het
datalek MeldJeAan” dat de verweerster aan de Inspectiedienst heeft overgemaakt.
II.1.2. Standpunt van de verweerster
16. De verweerster voerde in haar conclusies aan dat zij niet beschouwd moest worden als
verwerkingsverantwoordelijke voor de verwerkingen van de persoonsgegevens via
MeldJeAan. In dit kader verwees de verweerster naar het decreet van 25 februari 1997
betreffende het basisonderwijs2. Ingevolge dit decreet is het Lokaal OnderwijsPlatform
Antwerpen (hierna: LOP Antwerpen) sinds 2021 verplicht om het aanmeldsysteem in het
basisonderwijs in Antwerpen te organiseren. Bijgevolg dient dan ook het LOP Antwerpen als
verwerkingsverantwoordelijke beschouwd te worden in het kader van MeldJeAan, zo stelde
de verweerster.
17. Ter bevestiging van deze stelling verwees de verweerster eveneens naar het schrijven van
de Vlaamse Toezichtscommissie (VTC) dd. 25 oktober 2022 waarin deze het LOP
Antwerpen blijkt te beschouwen als de verwerkingsverantwoordelijke voor wat betreft de
verwerkingen van persoonsgegevens in het kader van MeldJeAan.
18. Tijdens de hoorzitting nam de verweerster echter een ander standpunt in. Vooreerst licht zij
de evolutie van de rol van verwerkingsverantwoordelijke en verwerker toe. Tot en met einde
2
BS. 14 april 1997.
Beslissing ten gronde 165/2023 – 5/24
2022 was de verweerster van oordeel dat het LOP Antwerpen
verwerkingsverantwoordelijke in het kader van MeldJeAan was, gelet op de bovenvermelde
decretale verplichting van het LOP Antwerpen om het aanmeldsysteem te organiseren. De
documentatie die in augustus 2022 bezorgd werd aan de Inspectiedienst tijdens het
onderzoek in het kader van dit dossier, werd opgesteld aan de hand van het advies dat de
verweerster van de VTC ontvangen had, namelijk dat het LOP als
verwerkingsverantwoordelijke beschouwd moet worden. In januari 2023 maakte het
Agentschap voor Onderwijsdiensten van de Vlaamse Overheid (hierna: AGODI) haar
standpunt bekend omtrent wie de rol van verwerkingsverantwoordelijke ter zake opneemt.
Dit standpunt luidt dat vanaf het schooljaar 2023-2024 de scholen als gezamenlijke
verwerkingsverantwoordelijke beschouwd moeten worden aangezien het LOP Antwerpen
zelf geen rechtspersoon is, maar bestaat uit de betrokken schoolbesturen. Aangezien het
aanmeldsysteem een eerlijkere en transparantere manier om inschrijvingen te laten
verlopen beoogt en gelet op o.a. de beperkte werkingsbudgetten van het LOP Antwerpen
heeft de verweerster besloten om financiële middelen toe te kennen en aldus de
gezamenlijke verwerkingsverantwoordelijkheid op te nemen, samen met de
schoolbesturen. Dit standpunt werd ingenomen onder voorbehoud van het resultaat van de
Vlaamse beleidsdiscussie. Als gevolg van dit standpunt heeft de verweerster haar aanpak
bijgestuurd om de naleving van de AVG te bewerkstellingen.
II.1.3. Beoordeling van de Geschillenkamer
19. De Geschillenkamer merkt op dat er in de loop van de voorbije jaren door meerdere
instanties verschillende standpunten ingenomen en adviezen verstrekt zijn omtrent de
verwerkingsverantwoordelijkheid inzake MeldJeAan, maar dat het meest recente standpunt
van de verweerster is dat zij zichzelf beschouwt als gezamenlijke
verwerkingsverantwoordelijke.
20. In dit verband wijst de Geschillenkamer naar artikel 26 AVG. Dit artikel bepaalt dat wanneer
twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van
de verwerking bepalen, zij gezamenlijke verwerkingsverantwoordelijken zijn. Twee
belangrijke elementen uit aangehaald artikel 26 AVG zijn enerzijds ‘het doel en de middelen
van de verwerking bepalen’ en anderzijds ‘gezamenlijk’.
21. Voor wat betreft de bepaling van het doel en de middelen van de verwerking kan worden
verwezen naar artikel 4.7 AVG waarin de definitie van verwerkingsverantwoordelijke luidt
als volgt: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander
orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de
verwerking van persoonsgegevens vaststelt”. Net als bij het begrip
Beslissing ten gronde 165/2023 – 6/24
verwerkingsverantwoordelijke vereist de analyse van een gezamenlijke
verwerkingsverantwoordelijke een feitelijke beoordeling. 3
22. Voor wat betreft het ‘gezamenlijk’ karakter, is overkoepelende criterium voor het bestaan
van de gezamenlijke verantwoordelijkheid voor de verwerking de gezamenlijke deelname
van twee of meer entiteiten aan de vaststelling van het doel en de middelen van een
verwerkingsactiviteit. Gezamenlijke deelname kan de vorm aannemen van een gezamenlijk
besluit van twee of meer entiteiten of het resultaat zijn van convergerende besluiten van
twee of meer entiteiten, wanneer de besluiten elkaar aanvullen en noodzakelijk zijn om de
verwerking op zodanige wijze te laten plaatsvinden dat zij een tastbaar effect hebben op de
vaststelling van het doel en de middelen van de verwerking. Belangrijk is dat de verwerking
niet mogelijk zou zijn zonder de deelname van beide partijen, in die zin dat de verwerking
door elke partij onscheidbaar, d.w.z. onlosmakelijk met die van de andere verbonden is. 4
23. De Geschillenkamer stelt vast dat het doel van de verwerkingen van persoonsgegevens via
MeldJeAan vierledig is. Ten eerste het waarborgen van de vrije schoolkeuze van alle ouders
en leerlingen, door het vermijden van kampeerrijen voor de schoolpoort, objectivering van
de inschrijvingen in scholen met capaciteitsdruk, het opstellen van een centrale tijdslijn en
uniformiteit in functie van de ouders; ten tweede het realiseren van optimale leer- en
ontwikkelingskansen voor alle leerlingen en dit voor het basisonderwijs, voor zover mogelijk,
in een school in hun buurt; ten derde het bevorderen van de sociale cohesie, en ten vierde
het vermijden van uitsluiting, segregatie en discriminatie. Deze doelstellingen werden
bepaald door AGODI en het LOP Antwerpen is decretaal 5 verplicht om binnen haar
werkingsgebied hieraan uitvoering te geven. AGODI stelt hieromtrent op de eigen website
dat de schoolbesturen en AGODI als gezamenlijke verwerkingsverantwoordelijke te
beschouwen zijn: “[v]oor het aanmeldingssysteem van de Vlaamse overheid geldt dat de
schoolbesturen en AGODI gezamenlijke verwerkingsverantwoordelijke zijn. Dat wil zeggen
dat de schoolbesturen en AGODI samen het doel en de middelen voor de verwerking van
3
EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021,
https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 52.
4
EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021,
https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 58
e.v.
5
Decreet basisonderwijs van 25 februari 1997, BS 17 april 1997. -
https://codex.vlaanderen.be/Portals/Codex/documenten/1005384.html
Artikel 37vicies semel. (01/09/2022- ...)
In afwijking van het eerste lid moeten de schoolbesturen die een school, scholen voor buitengewoon onderwijs uitgezonderd,
hebben binnen het werkingsgebied van het LOP Antwerpen, Brussel-Hoofdstad of Gent een aanmeldingsprocedure instellen
die geldt voor alle scholen, scholen voor buitengewoon onderwijs uitgezonderd, gelegen binnen dat respectieve
werkingsgebied.
Beslissing ten gronde 165/2023 – 7/24
persoonsgegevens bepalen. Beide zijn verantwoordelijk voor het ordentelijk bijhouden en
verwerken van persoonsgegevens in het kader van de algemene gegevensverordening”.6
24. De verweerster licht toe dat het LOP Antwerpen echter niet over de nodige middelen
beschikt om dit aanmeldingssysteem te financieren. Bijgevolg heeft de verweerster de
beslissing genomen om de nodige financiële middelen te bepalen en toe te kennen aan het
LOP Antwerpen om uitvoering te kunnen geven aan deze decretale verplichting.
25. De Geschillenkamer stelt vast dat de verweerster de beslissing heeft genomen om de
nodige financiële middelen enerzijds te bepalen en anderzijds deze financiële middelen toe
te kennen in het kader van MeldJeAan. Daarnaast heeft de verweerster de
verwerkersovereenkomst met Z afgesloten waarin de omvang van de verwerkingen worden
bepaald door de verweerster als verwerkingsverantwoordelijke ten aanzien van de
verwerker. Gelet op het bovenstaande oordeelt de Geschillenkamer dat de verweerster,
samen met AGODI en de schoolbesturen, gezamenlijke verwerkingsverantwoordelijke is
aangezien de beslissingen van AGODI en het LOP Antwerpen inzake de organisatie van het
centraal aanmeldingssysteem en de beslissingen van de verweerster om de nodige
financiële middelen te voorzien en het afsluiten van de verwerkersovereenkomst
convergerende besluiten zijn met een tastbaar effect op de vaststelling van het doel en de
middelen van de verwerking en die elkaar aanvullen en noodzakelijk zijn om de verwerking
op zodanige wijze te laten plaatsvinden.
26. Gelet op het bovenstaande dient de verweerster als gezamenlijke
verwerkingsverantwoordelijke in de zin van artikel 26 AVG beschouwd te worden waardoor
zij dient de voldoen aan de verplichtingen in hoofde van de gezamenlijke
verwerkingsverantwoordelijken zoals bepaald in de AVG.
II.2. Artikel 5.1.f), 5.2, artikel 24. 1, artikel 25. 1 en artikel 32. 1 en 32.2 AVG
II.2.1. Vaststellingen in het Inspectieverslag
27. Tijdens het inspectieonderzoek heeft de Inspectiedienst gevraagd naar de beveiliging van
de verwerking van persoonsgegevens in het kader van het online inschrijvingssysteem
“MeldJeAan”. In het antwoord op deze vragen heeft de verweerster verwezen naar de
volgende documenten: de verwerkersovereenkomst met Z enerzijds en het overzicht van
de genomen maatregelen naar aanleiding van datalek MeldJeAan anderzijds.
28. Ten eerste stelt de Inspectiedienst vast dat de voormelde verwerkersovereenkomst met Z
geen handtekeningen van de verweerster en de verwerker bevat.
6
https://onderwijs.vlaanderen.be/nl/directies-administraties-en-besturen/leerlingenadministratie-basis-en-secundair-
onderwijs/leerlingen-inschrijven-in-het-basis-en-secundair-onderwijs/leerlingen-inschrijven-in-het-gewoon-
onderwijs/inschrijven-en-aanmelden/aanmeldingssysteem-gewoon
Beslissing ten gronde 165/2023 – 8/24
29. Ten tweede verwijst de Inspectiedienst naar het document genaamd “Maatregelen
genomen rond het datalek MeldJeAan” van de verweerster waarin een lijst is opgenomen
van drie categorieën maatregelen: software, toegang en omgeving. Er wordt echter in het
voormelde document niet vermeld wanneer precies die maatregelen werden besproken,
goedgekeurd en uitgevoerd en welke leidinggevenden en medewerkers van de verweerster
en van de verwerker Z daarbij betrokken waren.
30. Tot slot stelt de Inspectiedienst vast dat het onduidelijk is hoe en wanneer de functionaris
voor gegevensbescherming van de verweerster betrokken werd in het kader van de
beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan.
31. Op basis van bovenstaande vaststellingen concludeert de Inspectiedienst dat er sprake is
van een inbreuk op artikel 5.1.f), 5.2, 24.1, 25.1 32.1 en 32.2 AVG.
II.2.2. Standpunt van de verweerster
32. De verweerster betwist de vaststellingen van de Inspectiedienst. Voor wat betreft de
vaststellingen omtrent het gebrek aan handtekeningen in de verwerkersovereenkomst
voert de verweerster aan dat overeenkomstig artikel 28.3 AVG het volstaat dat de
verwerking door een verwerker wordt geregeld in een overeenkomst of andere
rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten
aanzien van de verwerkingsverantwoordelijke bindt. De verweerster stelt dat er geen
discussie bestaat tussen de partijen bij de verwerkersovereenkomst over het bindende
karakter van deze verwerkersovereenkomst. Bovendien wijst de verweerster erop dat het
contractuele kader tussen de partijen momenteel wordt herzien, zodat de aan de
Inspectiedienst overgemaakte verwerkersovereenkomst spoedig achterhaald zal zijn. De
nieuwe ondertekende overeenkomst kan desgewenst aan de Geschillenkamer
overgemaakt worden.
33. Vervolgens verwijst de verweerster naar de vaststelling van de Inspectiedienst omtrent hoe
en wanneer de naleving van de verwerkersovereenkomst tussen de verweerster en de
verwerker door haar wordt gecontroleerd. In dit kader stelt de verweerster dat de AVG
nergens, ook niet als onderdeel van de verantwoordingsplicht, voorziet in een verplichting
om de naleving van iedere verwerkersovereenkomst systematisch te controleren, minstens
niet wanneer er geen indicatie of melding is van enig risico.
34. Tot slot formuleert de verweerster een antwoord omtrent de vaststelling van de
Inspectiedienst over hoe en wanneer de functionaris voor gegevensbescherming betrokken
werd in het kader van de beveiliging van de verwerking van persoonsgegevens in het kader
van MeldJeAan. De verweerster verduidelijkt dat de functionaris voor
gegevensbescherming initieel niet betrokken was bij MeldJeAan aangezien de
totstandkoming van dit platform voor de inwerkingtreding van de AVG opgericht werd.
Beslissing ten gronde 165/2023 – 9/24
Ondertussen werd de functionaris voor gegevensbescherming wel ingeschakeld en
betrokken bij (o.a.) de gegevensbeschermingseffectenbeoordeling die werd uitgevoerd.
II.2.3. Beoordeling door de Geschillenkamer
35. Artikel 5.1.f) van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van
passende technische of organisatorische maatregelen op een dusdanige manier worden
verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer
beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk
verlies, vernietiging of beschadiging”.
36. In verdere uitwerking van artikel 5.1.f) AVG stelt artikel 32.1 AVG dat de verweerster als
verwerkingsverantwoordelijke passende technische en organisatorische maatregelen
moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hierbij moet
rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, alsook met
de aard, de omvang, de context, de verwerkingsdoeleinden en de waarschijnlijkheid en ernst
van de uiteenlopende risico’s voor de rechten en vrijheden van personen.
37. Artikel 32.2 van de AVG bepaalt dat bij de beoordeling van het passende beveiligingsniveau
rekening moet gehouden worden met de verwerkingsrisico’s, vooral als gevolg van de
vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde
toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per
ongeluk hetzij onrechtmatig.
38. De Geschillenkamer wijst er op dat de verantwoordingsplicht ex artikel 5.2 AVG, artikel 24.1
en artikel 25.1 AVG inhoudt dat op de verwerkingsverantwoordelijke de verplichting rust tot,
enerzijds, het nemen van proactieve maatregelen teneinde de naleving van de voorschriften
van de AVG te waarborgen en, anderzijds, het kunnen aantonen dat hij dergelijke
maatregelen heeft getroffen.
39. Kortom: op de verweerster rust de verplichting tot het nemen van passende technische en
organisatorische maatregelen om een passend beveiligingsniveau te waarborgen en dit ook
te kunnen aantonen.
40. Voor wat betreft de hierboven vermelde verantwoordingsplicht stelt de Geschillenkamer
vast dat de Inspectiedienst het volgende gevraagd heeft aan de verweerster:
“Een kopie van de documenten van [verweerster] over de maatregelen en beslissingen die
werden genomen voor de beveiliging van de verwerking van persoonsgegevens in het kader
van het online inschrijvingssysteem ‘Meld je aan’ en de verantwoording daarvan
overeenkomstig artikel 1, lid 1, f) en lid 2 van de AVG, artikel 24, lid 1 van de AVG, artikel 25,
lid 1 van de AVG en artikel 32 van de AVG. Gelieve ook een kopie te bezorgen van de
informatie en adviezen die de functionaris voor gegevensbescherming van [verweerster] in
Beslissing ten gronde 165/2023 – 10/24
dat verband verstrekt heeft en met documenten onderbouwde uitleg te geven over diens
betrokkenheid in dat verband overeenkomstig artikel 38, lid 1 in samenhang gelezen met
artikel 39, lid 1 van de AVG”.
41. De Geschillenkamer stelt vast dat de verweerster geen stukken overmaakt, of op enige
andere manier aantoont, hoe en wanneer de naleving van de verwerkersovereenkomst werd
gecontroleerd, noch aan de start, noch tijdens de uitvoering van de
verwerkersovereenkomst. Artikel 28, lid 1 schrijft echter voor dat wanneer en verwerking
namens een verwerkingsverantwoordelijke wordt verricht, deze
verwerkingsverantwoordelijke uitsluitend een beroep mag doen op verwerkers die
afdoende garanties bieden met betrekking tot het toepassen van passende technische en
organisatorische maatregelen opdat de verwerking aan de vereisten van de AVG voldoet.
De verwerkingsverantwoordelijke kan dit nagaan door bijvoorbeeld het opvragen van een
beschrijving van de beveiligingsmaatregelen van de verwerker en door de werkwijze van de
verwerker te beoordelen, met de betrokkenheid van de functionaris voor
gegevensbescherming. In het kader van de reeds vermelde verantwoordingsplicht is het van
belang om deze beoordelingen goed te documenteren.
42. Vervolgens stelt de Geschillenkamer vast dat het document “Maatregelen genomen rond
het datalek MeldJeAan” een reeks maatregelen voorziet, samen met een verduidelijking wat
het doel is van elke maatregelen en wat de status van de implementatie is. Een bijkomend
document geeft aan wanneer de vergaderingen omtrent deze maatregelen hebben
plaatsgevonden en wie eraan deelgenomen heeft. De Geschillenkamer merkt op dat dit
document weinig concreet is omtrent de goedkeuring van deze maatregelen en over de
verdere timing van de implementatie van bepaalde maatregelen en opvolging van de reeds
ingevoerde/nog in te voeren beveiligingsmaatregelen. De verweerster toont met deze
documenten bijgevolg niet aan dat er rekening werd gehouden met de stand van de
techniek, de uitvoeringskosten, aard, omvang en context van de verwerking, noch toont zij
aan dat deze maatregelen voldoende afgestemd zijn op het beveiligingsrisico en rekening
houden met de verwerkingsrisico’s, zoals voorgeschreven door artikel 32.1 en 32.2 AVG.
43. Voor wat betreft de vaststelling van de Inspectiedienst omtrent de betrokkenheid van de
functionaris voor gegevensbescherming stelt de Geschillenkamer vast dat de verweerster
geen documentatie, zoals adviezen, voorlegt waaruit blijkt dat de functionaris voor
gegevensbescherming geconsulteerd werd in het kader van de beveiliging van MeldJeAan.
De verweerster werpt op dat MeldJeAan tot stand gekomen is voordat de AVG van
toepassing was. Het komt echter toe aan elke verwerkingsverantwoordelijke, om, na het
van kracht worden van de AVG, proactief na te gaan of de verwerkingen van
persoonsgegevens voldoen aan de vereisten van de AVG en om desgevallend de nodige
aanpassingen te doen en dit ook zo te documenteren.
Beslissing ten gronde 165/2023 – 11/24
44. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake is van een inbreuk op
artikel 5.1.f), artikel 32.1 en 32.2 j° artikel 5.2, artikel 24.1 en artikel 25.1 AVG, namelijk de
verantwoordingsplicht met betrekking tot de beveiliging van de verwerking van
persoonsgegevens in het kader van MeldJeAan.
45. De Inspectiedienst stelde eveneens een inbreuk van bovenvermelde artikels vast gelet op
het feit dat de verwerkersovereenkomst tussen de verweerster en Z niet gehandtekend
werd. De Geschillenkamer wijst erop dat de verwerkersovereenkomst werd uitgevoerd door
de partijen, zoals overeengekomen, ongeacht de handtekening. De Geschillenkamer
oordeelt dat het gebrek aan handtekening geen inbreuk uitmaakt op artikel 5.1.f), artikel 32.1
en 32.2 j° artikel 5.2, artikel 24.1 en artikel 25.1 AVG.
46. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat, hoewel artikel 5.1 en 5.2 AVG
nauw met elkaar verbonden zijn, een schending van de verantwoordingsplicht van artikel 5.2
AVG niet automatisch ook een schending van artikel 5.1 AVG betekent. De
verantwoordingsplicht betreft de formele veruitwendiging om door middel van documenten
de naleving van de materiële grondbeginselen van de AVG aan te tonen. De Geschillenkamer
stelt vast dat het Inspectieverslag geen elementen bevat die wijzen op een inbreuk in
verband met concrete verwerkingen van persoonsgegevens in hoofde van verweerster.
II.3. Artikel 35.1, 35.2, 35.3 en 35.7 AVG
II.3.1. Vaststellingen van de Inspectiedienst
47. Tijdens het Inspectieonderzoek heeft de Inspectiedienst gevraagd aan de verweerster of er
al dan niet een gegevensbeschermingseffectbeoordeling (hierna: GEB) werd uitgevoerd
voor de verwerkingen die plaatsvinden met betrekking tot MeldJeAan.
48. Zoals hierboven in punt 27 e.v. aangegeven, komt, op basis van de verstrekte antwoorden
van de verweerster, de Inspectiedienst tot de vaststelling dat de verweerster niet louter als
verwerker beschouwd kan worden, maar wel als verwerkingsverantwoordelijke, gelet op de
verwerkersovereenkomst met Z waarin de verweerster als verwerkingsverantwoordelijke
aangeduid wordt en de genomen maatregelen n.a.v. het datalek. Op haar rust dus de
verplichting een GEB uit te voeren.
49. De Inspectiedienst wijst erop dat er in deze zaak sprake is van een evaluatie of
scoretoekenning in de zin van artikel 35.3.a) AVG namelijk kenmerken van
beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of
interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene.
Daarnaast worden er ook gegevens met betrekking tot kwetsbare betrokkenen, namelijk
kinderen, verwerkt.
Beslissing ten gronde 165/2023 – 12/24
50. Vervolgens verwijst de Inspectiedienst naar de Richtsnoeren voor
gegevensbeschermingseffectbeoordelingen van de WP29 waarin wordt gesteld dat de
7 8
vereiste om een GEB uit te voeren geldt voor bestaande verwerkingen die waarschijnlijk een
hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen en waarvoor de
risico’s zijn veranderd, rekening houdend met de aard, de omvang, de context en de
doeleinden van de verwerking.
51. Gelet op het bovenstaande concludeert de Inspectiedienst dat de verweerster als
verwerkingsverantwoordelijke voor de verwerkingen van persoonsgegevens in het kader
van MeldJeAan een GEB had moeten uitvoeren. Het feit dat dit niet gebeurd is, maakt
volgens het Inspectieverslag een inbreuk op artikel 35.1, 35.2, 35.3 en 35.7 AVG uit.
II.3.2. Standpunt van de verweerster
52. In haar conclusies wierp de verweerster op dat zij niet als verwerkingsverantwoordelijke
beschouwd diende te worden. Zoals reeds uiteengezet heeft de verweerster tijdens de
hoorzitting echter het standpunt ingenomen dat zij samen met AGODI en de lokale
schoolbesturen optreedt als gezamenlijke verwerkingsverantwoordelijke voor wat de
verwerkingen van persoonsgegevens in het kader van MeldJeAan.
53. De verweerster heeft ingevolge dit standpunt verschillende maatregelen en acties
ondernomen om te handelen overeenkomstig de AVG. Zo heeft zij een GEB opgesteld, die
een gunstig advies heeft verkregen van de functionaris voor gegevensbescherming. De GEB
werd vervolgens voorgelegd aan de schoolbesturen als gezamenlijke
verwerkingsverantwoordelijken. Er werden geen opmerkingen op de GEB geformuleerd
door de schoolbesturen waardoor deze als definitief beschouwd wordt. De verweerster
heeft deze GEB vervolgens overgemaakt aan de Geschillenkamer.
II.3.3. Beoordeling door de Geschillenkamer
54. De Geschillenkamer verwijst naar deel II.1.3 waarin de verweerster als gezamenlijke
verwerkingsverantwoordelijke werd gekwalificeerd. In artikel 26.1 van de AVG wordt
bepaald dat gezamenlijke verwerkingsverantwoordelijken op transparante wijze hun
respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van
de verordening bepalen en overeenkomen. Gezamenlijke verwerkingsverantwoordelijken
moeten dus “wie doet wat” bepalen door onderling te beslissen wie welke taken zal moeten
uitvoeren om ervoor te zorgen dat de verwerking voldoet aan de toepasselijke
7
WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een
hoog risico inhoudt" in de zin van Verordening 2016/679.
8
Working Party 29, voorganger van de EDPB.
Beslissing ten gronde 165/2023 – 13/24
verplichtingen uit de AVG met betrekking tot de betrokken gezamenlijke verwerking. 9 Een
van deze verplichtingen die desgevallend moet worden opgenomen in deze taakverdeling is
het opstellen van een GEB (artikel 35 AVG).
55. In overeenstemming met de risico-gebaseerde aanpak die in de AVG is vastgelegd, is een
GEB niet verplicht voor elke verwerking. Een GEB is alleen verplicht als de verwerking
"waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke
personen" (artikel 35, lid 1 AVG). Wanneer gezamenlijke verwerkingsverantwoordelijken bij
de verwerking betrokken zijn, moeten ze hun respectieve verplichtingen precies bepalen. In
de GEB moet worden beschreven welke partij verantwoordelijk is voor de verschillende
maatregelen die zijn ontworpen om risico's aan te pakken en de rechten en vrijheden van de
betrokkenen te beschermen. Elke verwerkingsverantwoordelijke moet uiteenzetten wat
zijn behoeften zijn en hij moet nuttige informatie delen zonder geheimen prijs te geven
(bijvoorbeeld bescherming van handelsgeheimen, intellectuele eigendom, vertrouwelijke
bedrijfsinformatie) of kwetsbare punten te onthullen.10
56. Hoewel in andere omstandigheden een gegevensbeschermingseffectbeoordeling vereist
kan zijn, worden in artikel 35.3 AVG, enkele voorbeelden gegeven van wanneer een
verwerking "waarschijnlijk een hoog risico inhoudt":
"(a) een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke
personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en
waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen
zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld
in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en
strafbare feiten als bedoeld in artikel 10; of
(c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten".
57. Bij het beoordelen of een GEB vereist is voor verwerkingen op grond van hun inherente hoog
risico, moeten negen criteria in aanmerking genomen worden, namelijk: (1) de evaluatie of
scoretoekenning, (2) geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar
wezenlijk gevolg, (3) stelselmatige monitoring, (4) gevoelige gegevens of gegevens van zeer
persoonlijke aard, (5) op grote schaal verwerkte gegevens, (6) matching of samenvoegen
van datasets, (7) gegevens met betrekking tot kwetsbare betrokkenen, (8) innovatief
gebruik of innovatieve toepassing van nieuwe technologische of organisatorische
9
EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021,
https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer 58
e.v.
10
WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een
hoog risico inhoudt" in de zin van Verordening 2016/679, , p.9.
Beslissing ten gronde 165/2023 – 14/24
oplossingen en (9) wanneer als gevolg van de verwerking zelf "betrokkenen [...] een recht
niet kunnen uitoefenen of geen beroep kunnen doen op een dienst of een overeenkomst"
(artikel 22 en overweging 91).
58. De WP29 bepaalt in haar richtsnoeren omtrent de GEB dat in de meeste gevallen een
verwerkingsverantwoordelijke ervan kan uitgaan dat voor een verwerking die aan twee van
voorgaande criteria voldoet een GEB moet worden uitgevoerd.11 De Geschillenkamer stelt
vast dat dit voor MeldJeAan het geval is. De Geschillenkamer brengt in herinnering dat de
volgende persoonsgegevens verwerkt werden: identificatiegegevens (naam, adres,
geboortedatum, telefoonnummer van zowel ouders als kinderen), elektronische
identificatiegegevens (e-mailadressen van zowel ouders als kinderen), persoonlijke
kenmerken (leeftijd, geslacht van kinderen), opleiding en vorming (moeder), nationaal
nummer (het rijksregisternummer van het kind), het feit of er reeds broers en/of zussen van
het kind in een bepaalde Antwerpse school aanwezig zijn, het feit of de ouders personeelslid
zijn van een school waar men zich aanmeldt, het feit of het gezin een schooltoeslag ontving
in het lopende schooljaar of het voorgaande schooljaar en de spreektaal van het kind.
Daarnaast werden ook de volgende persoonsgegevens verwerkt binnen de applicatie:
verschillende indicatoren omtrent leerlingen zoals thuistaal, opleidingsniveau moeder,
buurtindicator en schooltoeslag en voorkeuren voor een bepaalde school. Er is bijgevolg
sprake van een evaluatie of scoretoekenning met inbegrip van profielbepaling en
voorspelling, met name van "kenmerken betreffende beroepsprestaties, economische
situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag,
locatie of verplaatsingen van de betrokkene" (overwegingen 71 en 91 AVG).
59. Deze gegevens worden ook verwerkt op grote schaal 12, aangezien de persoonsgegevens
van duizenden kinderen in Antwerpen en hun ouders verwerkt worden in het kader van de
toewijzing van een school. Deze kinderen zijn kwetsbare betrokkenen (overweging 75 AVG).
Daarnaast worden ook gevoelige gegevens verwerkt, zoals het rijksregisternummer van de
aangemelde kinderen en het feit of een leerling al dan niet als een indicatorleerling13 aanzien
moet worden.
11
WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een
hoog risico inhoudt" in de zin van Verordening 2016/679, p.12.
12
WP29, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een
hoog risico inhoudt" in de zin van Verordening 2016/679, p.12.
13
https://meldjeaansecundair.gent.be/faq: Een indicatorleerling is een leerling van wie:
• De moeder geen diploma van het secundair onderwijs of een studiegetuigschrift van het tweede leerjaar van de
derde graad van het secundair onderwijs ( of hiermee gelijkwaardig) heeft; en/of
• Het gezin een schooltoeslag ontvang in het lopende schooljaar of het voorgaande schooljaar.
De andere kinderen zijn niet-indicatorleerlingen.
Met een korte vragenlijst gaan we na of een kind een indicatorleerling of een niet-indicatorleerling is.
Beslissing ten gronde 165/2023 – 15/24
60. Gelet op het bovenstaande is de Geschillenkamer van oordeel dat een GEB diende
opgesteld te worden voor de verwerkingen van persoonsgegevens in het kader van
MeldJeAan.
61. Artikel 35.7 AVG stelt vast wat een GEB tenminste moet bevatten:
a) een systematische beschrijving van de beoogde verwerkingen en de
verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde
belangen die door de verwerkingsverantwoordelijke worden behartigd;
b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met
betrekking tot de doeleinden;
c) een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van
betrokkenen; en
d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen,
veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te
garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming
van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen
in kwestie
62. De verweerster maakte op 9 december 2022 de GEB over die zij heeft opgesteld met
betrekking tot de verwerking van persoonsgegevens in het kader van MeldJeAan. De
Geschillenkamer stelt vast dat de GEB de verweerster aanduidt als verwerker, hetgeen niet
overeenstemt met het standpunt dat door de verweerster uiteen werd gezet tijdens de
hoorzitting.
63. De verwerkingsverantwoordelijke moet bij het GEB ook het advies van de functionaris voor
gegevensbescherming inwinnen, indien deze werd aangewezen (artikel 35.2 AVG). De
verweerster maakt eveneens het positief advies van de functionaris voor
gegevensbescherming inzake de GEB over.
64. De Geschillenkamer merkt op dat het aanmeldingssysteem al in voege was voordat de AVG
van kracht werd en dat er verschillende (soms tegenstrijdige) adviezen omtrent de
verwerkingsverantwoordelijkheid werden verstrekt door o.a. VTC en AGODI. Dit betekent
echter niet dat de verplichtingen voortvloeiend uit de AVG niet nageleefd zouden moeten
worden. Van zodra de verweerster de beslissing heeft genomen om de financiering toe te
kennen aan het LOP Antwerpen om uitvoering te geven aan haar decretale verplichtingen,
had de verweerster moeten evalueren of zij, in de feiten, als (gezamenlijke)
verwerkingsverantwoordelijke beschouwd moest worden en of zij voldeed aan alle
verplichtingen die uit deze kwalificatie voortvloeien, zoals het opstellen van een GEB.
Beslissing ten gronde 165/2023 – 16/24
65. De Geschillenkamer merkt op dat de verweerster niet voldoet aan de bovenstaande
voorschriften aangezien de GEB de verweerster nog als verwerker aanduidt. De
Geschillenkamer wijst erop dat de GEB in overeenstemming met de bovenstaande
voorschriften uit artikel 35 AVG moet gebracht worden, eveneens gelet op de hoedanigheid
van gezamenlijke verwerkingsverantwoordelijke van de verweerster. Bijgevolg oordeelt de
Geschillenkamer dan ook dat er sprake is van een inbreuk op artikel 35.1, 35.2, 35.3 en 35.7
AVG
II.4. Artikel 38.1 en artikel 39 AVG
II.4.1. Vaststellingen van de Inspectiedienst
66. Tijdens het onderzoek heeft de Inspectiedienst gevraagd aan de verweerster om kopies te
bezorgen van de informatie en adviezen die de functionaris voor gegevensbescherming
verstrekt heeft in het kader van (i) de beveiliging van de verwerking van persoonsgegevens,
(ii) het register van verwerkingsactiviteiten en (iii) de
gegevensbeschermingseffectbeoordeling.
67. De verweerster heeft tijdens het onderzoek geantwoord dat de toepassing MeldJeAan in
gebruik is sinds 2014. Aangezien dit zich situeert voor de inwerkingtreding van de AVG, zijn
er toen geen adviezen gevraagd aan de functionaris voor gegevensbescherming. De
verwerking werd wel opgenomen in het register voor verwerkingsactiviteiten en de
functionaris voor gegevensbescherming werd geïnformeerd over het datalek in Gent en de
stappen die als gevolg daarvan ondernomen werden. Op het moment van schrijven van dit
antwoord werd een GEB aangemaakt waarop de functionaris voor gegevensbescherming
een advies zou leveren.
68. Op basis van bovenstaand antwoord van de verweerster stelt de Inspectiedienst vast dat de
verweerster niet aantoont dat de functionaris voor gegevensbescherming effectief en tijdig
werd betrokken bij:
- de beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan;
- het register van verwerkingsactiviteiten; en
- de beoordeling van de noodzaak van en in voorkomend geval de uitvoering van een
gegevensbeschermingseffectbeoordeling.
II.4.2. Standpunt van de verweerster
69. In haar conclusies voert de verweerster aan dat de functionaris voor gegevensbescherming
initieel niet werd betrokken bij MeldJeAan gezien de totstandkoming van dit platform de
inwerkingtreding van de AVG ruim vooraf ging en er dus geen sprake was van een
functionaris voor gegevensbescherming en de verplichting om deze te betrekken.
Beslissing ten gronde 165/2023 – 17/24
Daarnaast herhaalt de verweerster in haar conclusies dat de verwerking werd opgenomen
in het register van verwerkingsactiviteiten, dat de functionaris werd ingelicht over het
datalek in Gent en dat een nieuw GEB in de maak is dat voor advies zal voorgelegd worden
aan de functionaris voor gegevensbescherming;
II.4.3. Beoordeling door de Geschillenkamer
70. Het is van belang op te merken dat het platform MeldJeAan dateert van voor de
inwerkingtreding van de AVG. Sinds 25 mei 2018 is de AVG van toepassing en diende de
verwerkingsverantwoordelijke dus proactief na te gaan of voldaan is aan de vereisten van
de AVG, en geen afwachtende houding aan te nemen. Van zodra de verweerster de
beslissing had genomen om de financiering toe te kennen aan het LOP Antwerpen om
uitvoering te geven aan haar decretale verplichtingen, had de verweerster moeten
evalueren of zij, in de feiten, als verwerkingsverantwoordelijke beschouwd moest worden en
of zij aan alle verplichtingen voldeed die uit deze kwalificatie voortvloeien.
71. Deze verplichtingen omvatten o.a. de bepalingen inzage de positie en taken van de
functionaris voor gegevensbescherming zoals omschreven in artikel 38 en artikel 39.1 van
de AVG. De AVG erkent immers dat de functionaris voor gegevensbescherming een
sleutelfiguur is voor wat betreft de bescherming van persoonsgegevens wiens aanwijzing,
positie en taken aan regels onderworpen zijn. Deze regels helpen de
verwerkingsverantwoordelijke om te voldoen aan haar verplichtingen onder de AVG, maar
helpen ook de functionaris voor gegevensbescherming om zijn taken naar behoren uit te
oefenen.
72. De Geschillenkamer herinnert eraan dat artikel 38.1 AVG voorschrijft dat de
verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor
gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die
verband houden met de bescherming van persoonsgegevens.
73. Op basis van artikel 39.1 AVG moet de functionaris voor gegevensbescherming (a) de
verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit
hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke
gegevensbeschermingsbepalingen en (b) toezien op naleving van de AVG, van andere
Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid
van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming
van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden,
bewustmaking en opleiding van het bij de verwerking betrokken personeel en de
betreffende audits.
74. Uit de stukken van de verweerster blijkt niet dat de functionaris voor gegevensbescherming
werd betrokken bij de verplichtingen uit artikel 32.1 en 32.2 (zie deel II.2). De functionaris
Beslissing ten gronde 165/2023 – 18/24
voor gegevensbescherming werd wel betrokken nadat er sprake was over een potentieel
incident met MeldJeAan met betrekking tot het Gentse secundair onderwijs.
75. De verweerster maakt ook het positief advies inzake de voormelde GEB over aan de
Geschillenkamer waaruit blijkt dat zij, sinds de kwalificatie als gezamenlijke
verwerkingsverantwoordelijke, de functionaris voor gegevensbescherming betrekt bij de
verwerking van persoonsgegevens met betrekking tot MeldJeAan. De Geschillenkamer
oordeelt dat er sprake is van een historische schending van artikel 38.1 en artikel 39.1
AVG, maar dat de verweerster intussen al voldoende stappen genomen heeft voor wat
betreft de taken, rol en positie van de functionaris voor gegevensbescherming.
II.5. Artikel 30.1 AVG
II.5.1. Vaststellingen in het Inspectieverslag
76. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten van de
verweerster de vaststelling dat dit niet voldoet aan de minimumvereisten zoals opgelegd
door artikel 30.1 AVG. Concreet stelt de Inspectiedienst in dit verband de volgende
inbreuken vast:
- de beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens is onvolledig (artikel 30.1.c) AVG) aangezien in het tabblad “Export
verwerkingsregister” van het register van de verwerkingsactiviteiten van de
verweerster de categorieën van betrokkenen en van persoonsgegevens enkel kort
worden opgesomd in plaats van worden beschreven. Dat is het geval voor de
kolommen “categorieën van betrokkenen (van wie verwerking de toepassing
persoonsgegevens?)”, “data categorieën: basisgegevens” en “data categorieën:
gevoelige gegevens”. Het is daardoor niet duidelijk wat daar precies wordt bedoeld;
- de verweerster toont niet aan dat haar register van de verwerkingsactiviteiten actueel
is. De Inspectiedienst verwijst in dat verband naar het feit dat er door de verweerster
wordt vermeld “zie export verwerkingsregister (datum: 30/08/2022)” terwijl het
register via e-mail aan de Inspectiedienst werd bezorgd op 19/09/2022. Bijgevolg
ontving de Inspectiedienst op 19/09/2022 het register van de verwerkingsactiviteiten
van de verweerster dat laatst werd aangevuld op 30/08/2022.
II.5.2. Standpunt van de verweerster
77. De verweerster voert aan dat de AVG stelt dat de verwerkingsverantwoordelijke en
verwerker verplicht zijn om (i) een register bij te houden om de naleving van de verordening
te kunnen aantonen en (ii) medewerking te verlenen aan de toezichthoudende overheid en
dit register desgevraagd te verstrekken. Verder verschaft de AVG geen verdere toelichting
Beslissing ten gronde 165/2023 – 19/24
over de concretisering, vormgeving en/of inhoud van een register van
verwerkingsactiviteiten.
78. Bijgevolg, zo stelt de verweerster, omschrijft de AVG nergens tot op welk niveau de
vermeldingen in het register van verwerkingsactiviteiten moeten omschreven worden. De
AVG laat de verwerkingsverantwoordelijke, i.c. de verweerster in grote mate hierin vrij, mits
het register (i) door opgave van een aantal verplichte elementen voldoende inzichtelijk
maakt welke verwerkingsactiviteiten er allemaal worden uitgevoerd en (ii) zo is opgesteld
dat de GBA aan de hand ervan controles kan uitvoeren op de (al dan niet) naleving van de
AVG. De verweerster meent dan ook dat het register weldegelijk dermate is gedetailleerd
dat er nog weinig meer omschreven/verduidelijkt kan worden inzake de categorieën van
betrokkenen en persoonsgegevens. Alle gehanteerde begrippen, zeker gelezen in
samenhang met alle overige vermelde categorieën, zijn voldoende duidelijk of wie er welke
persoonsgegevens verwerkt.
79. Voor wat betreft de actualiteit van het register bevestigt de verweerster dat de aan de
Inspectiedienst bezorgde export inderdaad dateerde van 30 augustus 2022,
niettegenstaande dat deze pas werd overgemaakt op 19 september 2022. Er werd immers
niet gevraagd naar een export die een bepaalde leeftijd niet mocht overschrijden en
bovendien was dit weldegelijk de actuele versie van het register, bij gebreke aan nood tot
aanpassing ervan in de periode van 30 augustus 2022 tot 19 september 2022.
II.5.3. Beoordeling door de Geschillenkamer
80. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden
van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd.
Artikel 30.1.a) tot en met g) AVG bepaalt dat, met betrekking tot de in de hoedanigheid van
verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar
moet zijn:
a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele
gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor
gegevensbescherming;
b) de verwerkingsdoeleinden;
c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;
d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
Beslissing ten gronde 165/2023 – 20/24
e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een
internationale organisatie, met inbegrip van de vermelding van dat derde land of die
internationale organisatie en, in geval van de in artikel 49.1, tweede alinea AVG,
bedoelde doorgiften, de documenten inzake de passende waarborgen;
f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van
gegevens moeten worden gewist;
g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32.1 AVG.
81. De Geschillenkamer stelt vast de verweerster in haar register van verwerkingsactiviteiten
een opsomming voorziet voor:
- De categorieën van betrokkenen (artikel 30.1.c) AVG), te weten inwoners, niet
inwoners, medewerkers intern, medewerkers extern, kinderen.
- De categorieën van persoonsgegevens (artikel 30.1.c) AVG) te weten enerzijds
basisgegevens zoals naam- en voornaam, adresgegevens (straat, huisnummer, bus,
gemeente, land), telefoonnummer, identificatiecodes (rijksregisternummer),
geboortegegevens (geboortedatum en geboorteplaats), voertuiggegevens,
logingegevens en gevoelige gegevens zoals gezondheidsgegevens, gerechtelijke
gegevens
82. De Geschillenkamer – onder verwijzing naar eerdere beslissingen14 - dient zich uit te spreken
over de vraag of artikel 30.1.c) AVG vereist dat een beschrijving wordt gegeven van de
categorieën van persoonsgegevens en de categorieën van betrokkenen in het register van
verwerkingsactiviteiten, dan wel of een opsomming kan volstaan.
83. De Geschillenkamer stelt vast dat artikel 30.1.c) AVG vereist dat een beschrijving van de
categorieën van betrokkenen en van de categorieën van persoonsgegevens dient te
worden opgenomen in het register van verwerkingsactiviteiten.
84. De Geschillenkamer herinnert eraan wat het doel van het register van
verwerkingsactiviteiten is. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen
toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de
verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij
uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de
verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende
gegevensverwerkingen die hij uitvoert, omdat het register de belangrijkste kenmerken
ervan zichtbaar maakt. De Geschillenkamer is van oordeel dat dit verwerkingsregister een
14
Zie o.a; beslissing 149/2022 dd. 18 oktober 2022, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-149-2022.pdf
Beslissing ten gronde 165/2023 – 21/24
essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel
5, lid 2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de
AVG aan de verwerkingsverantwoordelijke oplegt.
85. De Geschillenkamer stelt vast dat noch de tekst van de AVG, noch de doelstellingen van de
AVG vereisen dat meer dan een opsomming van de categorieën van persoonsgegevens en
de categorieën van betrokkenen wordt opgenomen in het register van
verwerkingsactiviteiten en dat een meer gedetailleerde beschrijving dus zou nodig zijn.
86. Voor wat betreft de categorieën van ontvangers verwijst de Geschillenkamer naar een
aanbeveling van de Commissie voor de bescherming van de persoonlijke levenssfeer 15 en
de doctrine16 waarin wordt uiteengezet dat het weliswaar niet nodig is de individuele
ontvangers van de gegevens te vermelden, maar dat deze wel gegroepeerd kunnen worden
per categorie van ontvangers. Mutatis mutandis kan deze stelling ook worden toegepast op
de categorieën van persoonsgegevens en betrokkenen.
87. De Geschillenkamer wijst er echter op dat de invulling van het register van
verwerkingsactiviteiten steeds casuïstisch geëvalueerd moet worden om na te gaan of de
hierin opgenomen beschrijving of opsomming voldoende duidelijk en concreet is.
88. In onderhavig geval stelt de Geschillenkamer vast dat de opsommingen opgenomen in het
register van verwerkingsactiviteiten voldoende concreet waren. Er kan volgens de
Geschillenkamer weinig twijfel bestaan over de betekenis van de hierboven opgesomde
elementen in het kader van de in het register voor verwerkingsactiviteiten vermelde
verwerkingsactiviteiten.
89. Voor wat betreft de tweede vaststelling van de Inspectiedienst omtrent de actualiteit van
het register van verwerkingsactiviteiten, wijst de Geschillenkamer erop dat het register van
verwerkingsactiviteiten tevens moet worden bijgewerkt overeenkomstig de ontwikkeling
en evolutie van de activiteiten van de betrokken onderneming of organisatie. Indien de
verwerkingsverantwoordelijke een nieuwe verwerkingsactiviteit aanvangt of een
bestaande verwerkingsactiviteit wijzigt, dient het register van verwerkingsactiviteiten
overeenkomstig aangepast te worden.
90. Aangezien de periode tussen de export van het register van verwerkingsactiviteiten en het
overmaken ervan beperkt is tot net geen 3 weken, en aangezien er geen elementen zijn
waaruit blijkt dat het register van verwerkingsactiviteiten niet actueel zou geweest zijn, is de
Geschillenkamer van oordeel dat er geen inbreuk werd aangetoond.
15
Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf
16
W. Kotschy, "Article 30: records of processing activities", in Ch. Kuner The EU General Data Protection Regulation (GDPR),
a commentary, 2020, pag. 621.
Beslissing ten gronde 165/2023 – 22/24
91. Bijgevolg concludeert de Geschillenkamer dat er geen sprake is van een inbreuk op artikel
30.1 AVG.
III. Sancties
92. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat er sprake is van
meerdere inbreuken van de AVG. Ten eerste de inbreuk op de artikelen artikel 5.1.f), artikel
32.1 en 32.2 j° artikel 5.2, artikel 24.1 en artikel 25.1 AVG, ten tweede deze op de artikelen
35.1, 35.2, 35.3 en 35.7 AVG, en tot slot deze op artikel 38.1 en artikel 39.1 AVG.
93. Het beschikken over de nodige processen voor het verwezenlijken en aantonen van de
naleving op de AVG is één van de fundamentele beginselen van de AVG. De
gegevensbeschermingseffectbeoordeling is een belangrijk verantwoordingsinstrument
omdat deze verwerkingsverantwoordelijken niet alleen helpt om aan de eisen van de AVG
te voldoen, maar ook om aan te tonen dat passende maatregelen zijn genomen teneinde
ervoor te zorgen dat de AVG wordt nageleefd. Ook de functionaris voor
gegevensbescherming speelt een cruciale rol in de gegevensbescherming bij een
verwerkingsverantwoordelijke.
94. De Geschillenkamer is van oordeel dat er voldoende elementen zijn om een berisping op te
leggen, hetgeen een lichte sanctie uitmaakt en volstaat in het licht van de in dit dossier
vastgestelde schendingen van de AVG. Bij het bepalen van de sanctie houdt de
Geschillenkamer rekening met het feit dat de verweerster (foutieve) adviezen heeft
verkregen omtrent diens kwalificatie van verwerkingsverantwoordelijke maar na interne
analyse de nodige stappen heeft gezet om te voldoen aan haar verplichtingen zoals
voorgeschreven door de AVG. De verweerster heeft de inbreuken reeds rechtgezet en
maakt hiervan bewijsstukken over. Ten overvloede wijst de Geschillenkamer erop dat zij niet
bevoegd is om een administratieve geldboete op te leggen aan overheidsorganen,
overeenkomstig artikel 221, § 2 van de Gegevensbeschermingswet.17
95. De Geschillenkamer gaat over tot een sepot voor wat betreft de overige grieven en
vaststellingen van de Inspectiedienst omdat zij op basis van de feiten en de stukken uit het
dossier niet tot de conclusie kan komen dat er ter zake sprake is van inbreuken op de AVG.
Deze grieven en vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk
ongegrond beschouwd in de zin van artikel 57, lid 4 van de AVG. 18
17
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens, B.S., 5 september 2018.
18
Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf.
Beslissing ten gronde 165/2023 – 23/24
IV. Publicatie van de beslissing
96. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit, en dit met vermelding van de identificatiegegevens van
de verweerder, gelet op de onvermijdelijke heridentificatie van de verweerder in geval van
pseudonimisering.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de
verweerster voor wat betreft;
o de inbreuk op artikel 5.1.f), artikel 32.1 en 32.2 j° artikel 5.2, artikel 24.1 en artikel
25.1 AVG;
o de inbreuk op artikel 35.1, 35.2, 35.3 en 35.7 AVG;
o de inbreuk op artikel 38.1 en 39.1 AVG;
- op grond van artikel 100, §1, 1° WOG voor wat betreft alle andere vaststellingen te
seponeren.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 19. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
19
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
Beslissing ten gronde 165/2023 – 24/24
overeenkomstig artikel 1034quinquies van het Ger.W.20, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
20
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.