1/9
Geschillenkamer
Beslissing ten gronde 170/2023 van 20 december 2023
Dossiernummer : DOS-2019-04346
Betreft: gegevenslek in het kader van een getrouwheidsprogramma
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG";
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna "WOG";
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De verweerder: Y, vertegenwoordigd door meester Cédric Burton en meester Laura Brodahl,
hierna "de verweerder".
Beslissing ten gronde 170/2023 — 2/9
I. Feiten en procedure
A. Onderzoek van de Inspectiedienst
1. Op 20 december 2019 beslist het Directiecomité van de Gegevensbeschermingsautoriteit
(hierna "GBA") om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis
van artikel 63, 1° WOG, aangezien er ernstige aanwijzingen bleken te zijn dat de verweerder
niet voldeed aan de verplichtingen die voortvloeien uit artikel 32 van de AVG. De elementen
die het Directiecomité daarbij in aanmerking nam, waren de omvang van het gegevenslek,
met een aantal betrokkenen dat opliep tot 89.429, verspreid over 27 EU-lidstaten, en de
aard van de bekendgemaakte gegevens, namelijk het kaartnummer, de naam van de
betrokkene, zijn geboortedatum, geslacht, adres, e-mailadres, telefoonnummer, GSM-
nummer en een uniek identificatienummer.
2. Naar aanleiding van de behandeling door het Algemeen Secretariaat van de GBA van het
gegevenslek dat bij de verweerder op 19 augustus 2019 plaatsvond, alsmede de klachten
ingediend bij de Eerstelijnsdienst van de GBA door personen in Duitsland in hun
hoedanigheid van betrokkenen die door het gegevenslek waren getroffen, werd het
dossier door het Algemeen Secretariaat onderzocht en aan het Directiecomité
overgemaakt op grond van artikel 63, 1°, van de WOG, met het oog op doorverwijzing naar
de Inspectiedienst, en werden de individuele klachten van de Duitse burgers, nadat deze
ontvankelijk waren verklaard door de Eerstelijnsdienst, eveneens aan de Inspectiedienst
overgemaakt op grond van artikel 96, § 1, van de WOG juncto artikel 63, 2°, van de WOG.
3. De aanleiding voor de bovengenoemde aanhangigmaking was een concreet gegevenslek
bij een verwerker van de verweerder. Deze verwerker beheert het platform van het (..)
programma waarop kaarthouders zich kunnen registreren voor een
getrouwheidsprogramma dat is gebaseerd op punten die zij krijgen als ze hun kaart
gebruiken om aankopen te verrichten. Kaarthouders konden via dit platform hun gegevens,
waaronder hun puntenbalans, opvragen en de punten vervolgens gebruiken om te
profiteren van aanbiedingen die deelnemende handelaars op het platform hadden
geplaatst. De verwerker deed op zijn beurt zelf een beroep op een verwerker voor externe
hosting/logging.
4. Op 20 juli 2023 wordt het onderzoek van de Inspectiedienst afgerond, het verslag bij het
dossier gevoegd en door de inspecteur-generaal overgemaakt aan de voorzitter van de
Geschillenkamer (art. 91, § 1 en § 2 van de WOG), wat aanleiding geeft tot een verwijzing
naar de Geschillenkamer overeenkomstig artikel 92, 3°, van de WOG. De Inspectiedienst
was in zijn verslag tot de conclusie gekomen dat het grote aantal betrokkenen dat werd
getroffen door het gegevenslek, en de naleving van de meldingsplicht aan de GBA op zich
niet voldoende waren om te besluiten dat er aanwijzingen waren dat een praktijk bestond
Beslissing ten gronde 170/2023 — 3/9
die aanleiding kon geven tot een inbreuk op de grondbeginselen van de bescherming van
persoonsgegevens in de zin van artikel 63, 1°, van de WOG. Voor het overige wordt in het
inspectieverslag geen vaststelling gedaan over enige inbreuk op de AVG door de
verweerder.
B. Procedure voor de Geschillenkamer
5. Op 27 september 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel
98 van de WOG dat het dossier gereed is voor behandeling ten gronde. De verweerder
wordt per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, en artikel 98 van de WOG. Tevens wordt hij op grond van artikel 99 van de
WOG in kennis gesteld van de termijnen om zijn verweermiddelen in te dienen. De uiterste
datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd
op 30 oktober 2023, maar deze wordt verlengd tot 15 november 2023.
6. Op 6 maart 2023 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3°, WOG),
die hem wordt toegestuurd op 18 oktober 2023, en op 25 oktober 2023 wordt vervolledigd.
De verweerder aanvaardt tevens om alle communicatie met betrekking tot de zaak
elektronisch te ontvangen, overeenkomstig artikel 98 van de WOG.
7. Op 10 november 2023 worden de partijen ik kennis gesteld van het feit dat de hoorzitting
op 1 december 2023 zal plaatsvinden.
8. Op 15 november 2023 ontvangt de Geschillenkamer de conclusie van antwoord van de
verweerder. Naast het verweer ten gronde, dat voornamelijk betrekking heeft op het
technische verslag van de Inspectiedienst, bevat deze conclusie ook enkele procedurele
verweermiddelen met betrekking tot de manier waarop de Inspectiedienst is ingeschakeld
en het onderzoek heeft gevoerd.
9. Op 1 december 2023 wordt de verweerder gehoord door de Geschillenkamer. Hij krijgt de
gelegenheid om zijn argumenten uiteen te zetten.
Vervolgens wordt de zaak door de Geschillenkamer in beraad genomen.
10. Op 8 december 2023 wordt het proces-verbaal van de hoorzitting aan de verweerder
overgemaakt overeenkomstig artikel 54 van het reglement van interne orde. De
verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent te
laten toevoegen als bijlage bij het proces-verbaal, zonder dat dit een heropening van de
debatten inhoudt.
Beslissing ten gronde 170/2023 — 4/9
11. Op 15 december 2023 ontvangt de Geschillenkamer enkele opmerkingen met betrekking
tot het proces-verbaal die zij beslist mee op te nemen in haar beraad.
II. Motivering
A. Procedure
12. De verweerder voert aan dat een onderzoek van het Directiecomité of de Inspectiedienst
enkel op eigen initiatief kan worden ingesteld als er ernstige aanwijzigingen van niet-
naleving zijn. Volgens de verweerder heeft geen van deze twee instanties het bestaan van
dergelijke aanwijzingen aangetoond. Zij zouden dus beiden op onrechtmatige wijze een
onderzoek hebben uitgevoerd met betrekking tot de verwerkingsactiviteiten van de
verweerder.
13. In dit verband moet de Geschillenkamer erop wijzen dat in de nota die het Algemeen
Secretariaat aan het Directiecomité heeft gericht naar aanleiding van de melding van het
gegevenslek door de verweerder, en die als basis heeft gediend voor de beslissing van het
Directiecomité om het dossier over te maken aan de Inspectiedienst, duidelijk wordt
gesteld dat voldoende elementen in de nota wijzen op een praktijk die een inbreuk vormt
op de grondbeginselen van de bescherming van persoonsgegevens (artikel 63, 1°, van de
WOG). In de betreffende nota wordt uitdrukkelijk gewezen op het grote aantal betrokkenen
dat door dit gegevenslek wordt getroffen, verspreid over 27 EU-lidstaten. In de nota wordt
ook aangegeven dat de GBA reeds 7 klachten had ontvangen van Duitse burgers en dat de
toezichthoudende autoriteit in de Duitse deelstaat Hessen zelf een driehonderdtal klachten
over dit gegevenslek had ontvangen, die mogelijk nog zouden worden doorgegeven aan de
GBA.
14. De Geschillenkamer stelt vast dat op basis van de nota er wel degelijk ernstige aanwijzingen
aanwezig waren die konden wijzen op een praktijk die aanleiding gaf tot inbreuken op
gegevensbescherming. Daarbij diende niet alleen rekening te worden gehouden met de
impact van het gegevenslek op het grote aantal betrokkenen, maar ook met de aard van de
gegevens die mogelijk uit financiële gegevens bestonden. Volgens de Geschillenkamer
vormden deze aanwijzingen op zijn minst voldoende grond om te onderzoeken of de
verklaring van de verweerder, zoals vermeld in de nota, volgens welke het
betalingsnetwerk gescheiden is van het platform waar de persoonsgegevens van klanten
worden verzameld in het kader van het (...) programma, correct was.
15. Uiteraard kan pas na een onderzoek door de Inspectiedienst worden vastgesteld dat er, in
voorkomend geval, geen sprake is van een praktijk in de zin van artikel 63, 1°, van de WOG.
Deze vaststelling van de Inspectiedienst doet geen afbreuk aan de rechtmatigheid van de
beslissing van het Directiecomité dat er op basis van de op dat ogenblik beschikbare
Beslissing ten gronde 170/2023 — 5/9
elementen en dus vóór het onderzoek van de Inspectiedienst, wel ernstige aanwijzingen
waren die een onderzoek door de Inspectiedienst vereisten. De Geschillenkamer is dan ook
van oordeel dat de Inspectiedienst werd ingeschakeld in overeenstemming met artikel 63,
1°, van de WOG en op geldige wijze onderzoek heeft verricht.
16. De verweerder werpt verder op dat de GBA nergens beweert dat er sprake is van niet-
naleving. De verweerder verwijst hiervoor naar het inspectieverslag waarin geen enkele
inbreuk werd vastgesteld, alsmede naar de brief van de Geschillenkamer waarin de
verweerder wordt uitgenodigd om de door hem getroffen maatregelen toe te lichten,
overeenkomstig de artikelen 24 en volgende van de AVG.
17. De Geschillenkamer verklaart dat het vaststaat dat een gegevenslek zich heeft voorgedaan
in 2019, maar dat zij bij haar beslissing wenst rekening te houden met de ontwikkelingen
die zich intussen hebben voorgedaan om een algemeen beeld te krijgen van de huidige
situatie en tot een evenwichtig oordeel te komen. Louter vanuit dit perspectief is de
Geschillenkamer overgegaan tot het behandelen van deze zaak ten gronde en heeft zij, in
het kader van deze procedure, een verzoek gericht aan de verweerder om uitleg te geven
bij de genomen technische en organisatorische maatregelen.
B. Technische en organisatorische maatregelen
18. Volgens de door hem verstrekte informatie heeft de verweerder, zodra hij op de hoogte
was van het gegevenslek, de website van het programma onmiddellijk opgeschort (...) en
alle toegang tot de op het platform opgeslagen gegevens ingetrokken. De verweerder
heeft de impact van het incident beoordeeld en geconcludeerd dat deze geen hoog risico
voor personen betekende. Het incident bleef beperkt tot het programma en had op geen
enkele wijze gevolgen voor het betalingsnetwerk van de verweerder. Niettemin heeft de
verweerder voorzichtigheidshalve op 22 augustus 2019 ook de betrokkenen
geïnformeerd, zodat zij eventuele voorzorgsmaatregelen konden nemen mochten deze
nodig blijken.
19. Met betrekking tot het gegevenslek dat aanleiding heeft gegeven tot de onderhavige
beslissing, moet de Geschillenkamer dus vaststellen dat de verweerder dit gegevenslek
aan de GBA heeft gemeld binnen het door artikel 33 van de AVG voorgeschreven kader,
ondanks het feit dat het gegevenslek volgens de verweerder weinig risico betekende voor
de betrokkenen. Concreet voor wat betreft de melding van het gegevenslek aan de GBA,
heeft de verweerder gehandeld in overeenstemming met de AVG.
20. Bovendien blijkt uit de feitelijke elementen van het dossier dat er zich geen herhaalde
gegevenslekken hebben voorgedaan die wijzen op systematische tekortkomingen
vanwege de verweerder waardoor deze de door artikel 24 juncto artikel 32 van de AVG
Beslissing ten gronde 170/2023 — 6/9
opgelegde verplichtingen niet zou zijn nagekomen. Het gegevenslek is integendeel een
volledig op zichzelf staand feit.
21. Bovendien hebben de door de verweerder aan het dossier toegevoegde documenten de
Geschillenkamer in staat gesteld om een diepgaand inzicht te krijgen in de
toekomstgerichte aanpak van de verweerder om een herhaling van de feiten zoals die zich
hebben voorgedaan te voorkomen. Deze maatregelen werden beoordeeld door de
Geschillenkamer, die tot de volgende conclusies kwam.
22. De verweerder blijft met succes zijn procedures voor leveranciers ontwikkelen. Deze
ontwikkelingen omvatten een aantal initiatieven die verder gaan dan de wettelijke
vereisten. In het kader van zijn streven naar voortdurende beveiliging herziet en verbetert
de verweerder zijn gegevensbeveiligingsmaatregelen door rekening te houden met de
technologische vooruitgang die op de markt beschikbaar is, en door de "stand van de
techniek", die voortdurend evolueert, te volgen. Met name heeft de verweerder:
- zijn due diligence-vragenlijsten voor leveranciers en zijn beleid en processen voor
risicobeoordeling van leveranciers bijgewerkt;
- audits uitgevoerd bij leveranciers die actief zijn in Europa;
- certificeringen gecontroleerd van leveranciers die actief zijn in Europa;
- opleidingen gegeven aan medewerkers van verschillende diensten over rollen en
verantwoordelijkheden in het risicobeheer met betrekking tot leveranciers;
- het leveranciersbeheerprogramma onmiddellijk opgenomen in de andere processen
van het bedrijf;
- een nieuw risiconiveau toegevoegd aan zijn risicobeoordelingsmodel;
- zijn monitoringtools bijgewerkt om deze controle en monitoring van leveranciers
doeltreffender te maken en de tools flexibeler te beheren;
- zijn team voor leveranciersevaluatie uitgebreid;
- zijn vragenlijst voor herbeoordeling bijgewerkt;
- een nieuwe gestandaardiseerde lijst met beveiligingsmaatregelen ingevoerd waaraan
alle leveranciers moeten voldoen;
- zijn risicobeoordelingsprocedure verfijnd om de middelen effectiever over de afdelingen
te verdelen; en
- gezorgd voor een voortdurende bewustmaking van het programma ten aanzien van de
leveranciers, onder andere door middel van opleiding van leidinggevenden en
betrokkenheid van het hoogste managementniveau; en door op grote schaal het e-
Beslissing ten gronde 170/2023 — 7/9
mailadres aan Business Owners te communiceren, zodat zij gemakkelijk contact kunnen
opnemen met het team voor hulp of in het geval van problemen met leveranciers.
23. Uit al deze elementen blijkt dat i) de verweerder snel het nodige heeft gedaan zodra het
gegevenslek zich voordeed; (ii) de Inspectiedienst niet heeft vastgesteld dat de verweerder
een overtreding heeft begaan; (iii) de verweerder omstandig heeft aangetoond dat
verregaande maatregelen werden genomen en dat deze maatregelen aan voortdurende
actualisering zijn onderworpen om dergelijke feiten in de toekomst te voorkomen. Dit
brengt de Geschillenkamer ertoe te concluderen dat de verweerder geen inbreuk op de
AVG heeft gepleegd.
Beslissing ten gronde 170/2023 — 8/9
III. Publicatie van de beslissing
24. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Overeenkomstig haar Beleid inzake de publicatie van de
beslissingen1, publiceert de Geschillenkamer elk van haar beslissingen met het oog op
administratieve transparantie, die vereist is zowel uit hoofde van haar taken als
toezichthoudende autoriteit voor gegevensbescherming (artikel 57.1.b) en d), gelezen in
samenhang met artikel 51 van de AVG), als uit hoofde van haar hoedanigheid als
administratieve autoriteit die onderworpen is aan de beginselen van behoorlijk bestuur. Het
is in die hoedanigheid dat de onderhavige beslissing wordt gepubliceerd.
25. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks
worden bekendgemaakt.
26. Bovendien werd bij de beslissing over de publicatie ook rekening gehouden met het feit dat
er zeven klachten waren ingediend door Duitse burgers die wilden weten welke
beveiligingsmaatregelen door de verweerder waren genomen om gegevenslekken te
voorkomen. Deze klachten houden rechtstreeks verband met het gegevenslek dat het
voorwerp uitmaakt van de onderhavige beslissing. Niet alleen hebben deze klagers recht
op een beslissing van de Geschillenkamer, die noodzakelijkerwijs dezelfde overwegingen
moet bevatten als in de onderhavige beslissing, maar ook kan niet worden genegeerd dat
de klagers door de aard van de feiten die ten grondslag liggen aan hun klacht en gericht zijn
tegen de verweerder in de onderhavige beslissing, op de hoogte zijn van de identiteit van
de verweerder. De Geschillenkamer heeft echter niet de bevoegdheid om de klagers te
verbieden de door de Geschillenkamer genomen beslissing openbaar te maken en deze te
publiceren. Daarom is de Geschillenkamer van oordeel dat niet kan worden ingegaan op het
verzoek van de verweerder om niet over te gaan tot publicatie, omdat publicatie van deze
beslissing mogelijk een invloed kan hebben op de dagelijkse werking van de verweerder
door een toestroom aan vragen van klanten die ten onrechte zouden zijn gealarmeerd.
27. De Geschillenkamer is echter van oordeel dat de onderhavige beslissing daarentegen
aantoont dat de verweerder alles in het werk heeft gesteld om de verwerking van de
persoonsgegevens van de klanten uit te voeren in overeenstemming met de AVG, met
name met betrekking tot gegevensbeveiliging, en een modelvoorbeeld is voor zijn
bedrijfstak voor wat betreft gegevensbescherming en de aandacht en de voortdurende
1
Gegevensbeschermingsautoriteit, Geschillenkamer, Beleid van de Geschillenkamer van de Autoriteit betreffende publicaties
van de beslissingen : https://www.gegevensbeschermingsautoriteit.be/publications/beleid-van-de-geschillenkamer-inzake-
de-publicatie-van-de-beslissingen.pdf