1/29
Geschillenkamer
Beslissing ten gronde 188/2022 van 21 december
2022
Dossiernummer : DOS-2022-00944
Betreft : Publicatie van een nummerplaat zonder toestemming
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: de heer X, vertegenwoordigd door Mr. Hans Leyssen, kantoorhoudende te
2000 Antwerpen, Frankrijklei 104, hierna “de klager”
De verweerster: Y, vertegenwoordigd door Mr. Bob Laes, Mr. Joris Raport en Mr. Elisabeth Van
Nerum, kantoorhoudende te 3000 Leuven, Sint-Maartenstraat 61 bus 2, hierna
“de verweerster”
Beslissing ten gronde 188/2022 - 2/29
I. Feiten en procedure
1. Op 22 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerster.
De klager is eigenaar van een wagen met gepersonaliseerde kentekenplaat via zijn BV,
waarvan hij de enige zaakvoerder is. In een audiovisuele productie van de verweerster wordt
een gelijkaardige wagen met dezelfde gepersonaliseerde kentekenplaat geportretteerd als
de wagen van een criminele organisatie handelend in verdovende middelen. Het kenteken is
volgens de klager duidelijk leesbaar, herkenbaar en minutenlang terug te vinden in de
aflevering. Hierover wordt de klager zeer regelmatig aangesproken, zowel door zaken- als
privérelaties. De klager zegt echter schrijnwerker te zijn en wil niet geassocieerd worden
met het criminele milieu. Hij heeft ook geen toestemming gegeven aan de verweerster om
zijn kenteken te gebruiken. De klager heeft gevraagd aan de verweerster om de
kentekenplaat uit de montage te verwijderen, maar de verweerster heeft dit geweigerd op
basis van haar recht op artistieke expressie.
2. Op 10 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
3. Op 22 maart 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
4. Op 26 april 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit
dat er sprake is van:
1. een inbreuk op artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en l
lid 2 van de AVG; en
2. een inbreuk op artikel 12, lid 1 en lid 4 van de AVG, artikel 17 van de AVG, artikel 24, lid
1 van de AVG en artikel 25, lid 1 van de AVG.
Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, ook vast:
3. inbreuk op artikel 38, lid 1 en artikel 39 van de AVG.
5. Op 29 april 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde.
Beslissing ten gronde 188/2022 - 3/29
6. Op 29 april 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld
van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens
worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster
vastgelegd op 10 juni 2022, deze voor de conclusie van repliek van de klager op 1 juli 2022
en ten slotte deze voor de conclusie van repliek van de verweerster op 22 juli 2022.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster met
betrekking tot de vaststellingen buiten het voorwerp van de klacht werd vastgelegd op 10
juni 2022.
7. Op 10 juni 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de
vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht.
Voor wat betreft de eerste inbreuk voert de verweerster aan dat in onderhavige zaak de
fictieve kentekenplaat geen persoonsgegeven uitmaakt aangezien deze een verwijzing
uitmaakt naar een zeer bekende Turkse voetbalclub waardoor er hoogstens sprake kan zijn
van een toevallige gelijkenis met de kentekenplaat van de klager zonder dat dit een
verwerking van één van zijn persoonsgegevens uitmaakt. Indien er toch sprake zou zijn van
een verwerking van persoonsgegevens van de klager, is de verweerster van oordeel dat zij
niet diende in te gaan op diens verzoek tot gegevenswissing, aangezien de kentekenplaat
die wordt gebruikt op de wagen in de fictiereeks tot stand is gekomen door de eigen
artistieke keuzes van de klaagster overeenkomstig artikel 17, lid 3, a) AVG. Voor wat betreft
de tweede vaststelling voert de verweerster aan dat de klager inderdaad geen privacybeleid
heeft ontvangen aangezien de verweerster niet op de hoogte was dat de klager een wagen
met dezelfde kentekenplaat had, en dus ook niet wist dat zij de persoonsgegevens van de
klager zou verwerken. Tot slot betoogt de verweerster dat artikel 37, lid 1 AVG niet op haar
van toepassing is waardoor geen functionaris voor gegevensbescherming werd aangesteld.
Wel zijn er vijf (één per departement) privacyverantwoordelijken aangeduid.
8. Op 4 juli 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, voor wat
betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager voert aan
dat het gebruik van de gepersonaliseerde kentekenplaat in de fictiereeks wel degelijk een
verwerking van persoonsgegevens in de zin van de AVG uitmaakt en dat deze verwerking
onrechtmatig heeft plaatsgevonden zonder dat de verweerster zich kan beroepen op de
uitzondering ten behoeve van het recht op vrijheid van meningsuiting en informatie
waaronder begrepen de artistieke expressie.
Beslissing ten gronde 188/2022 - 4/29
9. Op 22 juli 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerster
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht waarin zij
haar argumenten uit de eerste conclusie van antwoord opnieuw uiteenzet. Daarnaast
formuleert de verweerster antwoorden op de argumenten van de klager. Zo stelt de
verweerster dat de door de klager voorgestelde wijze om hem te identificeren omslachtig is
en derhalve een inbreuk van de AVG zou uitmaken. Vervolgens beargumenteert de
verweerster op welke wijze de uitzondering uit artikel 17, lid 3, a) AVG op haar van toepassing
is.
II. Motivering
II.1. Definitie “persoonsgegevens”
Vaststellingen in het Inspectieverslag
10. In de loop van het Inspectieonderzoek heeft de verweerster opgeworpen dat er in de situatie
van de klager geen verwerking is van diens persoonsgegevens. De Inspectiedienst
concludeert echter dat er in casu wel sprake is van de verwerking van persoonsgegevens. In
dit kader verwijst de Inspectiedienst naar één van de stukken van de verweerster waarin zij
zelf stelt dat “een kentekenplaat een persoonsgegeven uitmaakt”. Bovendien heeft de GBA
op haar website expliciet het volgende vermeld: “ook informatie die niet toelaat om een
persoon rechtstreeks te identificeren (bv. een naam), maar wel onrechtstreeks (bv.) een
nummerplaat is een persoonsgegeven.” De Inspectiedienst besluit op basis van deze
elementen dat de verweerster wel degelijk de persoonsgegevens van de klager heeft
verwerkt. De verweerster betwist deze conclusie.
Standpunt van de verweerster
11. De verweerster betwist de vaststelling van de Inspectiedienst dat zij zou erkend hebben dat
de kentekenplaat een persoonsgegeven uitmaakt. Deze vaststelling is volgens de
verweerster onjuist. Hoewel zij zeker niet ontkent dat een nummerplaat een
persoonsgegeven kan uitmaken, voert zij aan dat dit in onderhavige zaak niet het geval is.
De verweerster betoogt dat de kentekenplaat in kwestie ontstaan is op basis van artistieke
keuzes die werden gemaakt in het kader van de desbetreffende audiovisuele productie. Het
fictieve personage aan wie de nummerplaat toebehoort, is lid van een familie van
begeesterde supporters van een grote Turkse voetbalploeg. De kentekenplaat werd door
de verweerster zelf ontworpen op basis van de gegevens van deze voetbalploeg (i.e. de
naam en het oprichtingsjaar). Het feit dat deze fictieve kentekenplaat overeenkomt met de
kentekenplaat van de klager, berust volgens de verweerster op louter toeval. Zij kon immers
niet weten dat deze kentekenplaat reeds bestond en aan wie de kentekenplaat toegewezen
was. Ter volledigheid wijst de verweerster erop dat aan het einde van iedere aflevering de
volgende disclaimer wordt meegegeven: “Het programma is volledig fictief. Elke
Beslissing ten gronde 188/2022 - 5/29
overeenkomst met bestaande personen, bedrijven of gebeurtenissen berust op puur
toeval”.
Standpunt van de klager.
12. De klager voert aan dat de kentekenplaat in kwestie wel degelijk zijn persoonsgegeven
uitmaakt, aangezien deze verre van fictief, zelf verzonnen of speciaal ontworpen is door de
verweerster. De kentekenplaat werd door de Dienst voor Inschrijvingen van Voertuigen aan
de klager toegewezen. Daarnaast voert de klager aan dat de wagen van de klager en de
wagen uit de audiovisuele productie gelijkaardig zijn.
13. De klager verwijst naar de definitie van “persoonsgegevens” en “verwerking” uit artikel 4
AVG en stelt dat deze definities geenszins het bestaan van enig intentioneel element in
hoofde van de verwerkingsverantwoordelijke vereisen. De klager stelt dat een
kentekenplaat van een voertuig een essentiële informatiedrager is aan de hand waarvan de
natuurlijke persoon die het voertuig steeds bestuurt op onrechtstreekse wijze kan worden
geïdentificeerd. Dit is eens te meer het geval wanneer de personalisatie van deze
kentekenplaat zijn grondslag vindt in de etniciteit en de favoriete voetbalclub van de
betrokkene. Deze zienswijze wordt volgens de klager bevestigd door de Eerstelijnsdienst en
de Inspectiedienst van de GBA.
14. In tegenstelling tot wat de verweerster beweert, is het volgens de klager zeer eenvoudig om
hem te identificeren aan de hand van zijn kentekenplaat. De klager voert aan dat gebruik
moet worden gemaakt van de online publiek beschikbare applicatie van het Belgisch
Gemeenschappelijk Waarborgfonds, waar men na het ingeven van een welbepaalde
kentekenplaat de verzekeringsgegevens (zoals de BA-verzekeraar en het polisnummer) kan
achterhalen van een voertuig dat op een bepaalde datum de desbetreffende kentekenplaat
droeg. Vervolgens kan men contact opnemen met de betrokken BA-verzekeraar om met
opgave van het polisnummer en de datum van een zelf verzonnen ongeval of een andere
smoes de identiteit van de verzekerde te achterhalen, zijnde de Z. Vervolgens kan men via
de Kruispuntbank van Ondernemingen nagaan wie de zaakvoerder is van deze BV.
Aangezien de Z een eenmanszaak betreft, kan de verweerster de identiteit van de klager
gemakkelijk achterhalen. De klager stelt dan ook dat de verweerster dit voorafgaand
onderzoek had kunnen en moeten doen om de identiteit van de klager te achterhalen.
Beoordeling door de Geschillenkamer
15. De Geschillenkamer herinnert eraan dat de AVG niet van toepassing is op de verwerking van
alle soorten gegevens, maar alleen op de verwerking van persoonsgegevens.
Overeenkomstig artikel 4(1) AVG zijn persoonsgegevens “alle informatie over een
geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als
identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden
Beslissing ten gronde 188/2022 - 6/29
geïdentificeerd, met name aan de hand van een identificator zoals een naam, een
identificatienummer, locatiegegevens, een online identificator of van een of meer
elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische,
economische, culturele of sociale identiteit van die natuurlijke persoon”.
16. Er zijn 4 elementen in de definitie van persoonsgegeven te onderscheiden :
1) betrekking hebben op
2) een geïdentificeerde of
3) identificeerbare
4) natuurlijke persoon.
17. Wil er sprake zijn van persoonsgegevens dan moeten de gegevens in principe betrekking
hebben op een natuurlijke persoon. Gegevens hebben alleen betrekking op een natuurlijke
persoon wanneer deze geïdentificeerd is of identificeerbaar is. Een persoon is
geïdentificeerd wanneer deze uniek van alle andere personen binnen een groep te
onderscheiden is. Een persoon is identificeerbaar wanneer deze nog niet geïdentificeerd is,
maar dit zonder onevenredige inspanning wel mogelijk is.
18. Om de identiteit van een persoon vast te stellen wordt doorgaans gebruik gemaakt van
gegevens die een unieke, persoonlijke relatie tot die persoon hebben, zogenaamde
‘identificatoren’. Bij identificatoren kan worden gedacht aan gegevens zoals een naam, adres
en geboortedatum. Deze gegevens zijn in combinatie met elkaar dusdanig uniek voor een
bepaalde persoon, dat een persoon op basis ervan met zekerheid of grote waarschijnlijkheid
geïdentificeerd kan worden. Dit worden direct identificerende gegevens genoemd.
Personen kunnen ook geïdentificeerd worden op basis van andere, minder directe
identificatoren, zoals uiterlijke kenmerken, sociale en economische kenmerken en online
identificatoren. Hoewel deze gegevens op zichzelf meestal niet leiden tot de identificatie
van een persoon, kunnen zij door hun onderlinge samenhang of door koppeling aan andere
gegevens alsnog hiertoe leiden. Dit worden indirect identificerende gegevens genoemd.
19. Kortom, of een gegeven ook een persoonsgegeven is in de zin van artikel 4(1) AVG voor een
verwerkingsverantwoordelijke, is dus afhankelijk van de vraag of het gegeven of de
gegevens die de verwerkingsverantwoordelijke verwerkt hem in staat stellen om iemand
direct of indirect te identificeren. Wanneer de persoon nog niet geïdentificeerd is (als er
geen direct identificerende gegevens worden verwerkt) moet de
verwerkingsverantwoordelijke bepalen of de persoon niet alsnog identificeerbaar is.
20. Zoals reeds vermeld betreft het gegeven in kwestie een kentekenplaat, hetgeen een
indirect identificerend gegeven kan uitmaken. Bij de beoordeling of er sprake is van
identificeerbaarheid in deze zaak verwijst de Geschillenkamer naar Overweging 26 van de
AVG.
Beslissing ten gronde 188/2022 - 7/29
21. Overweging 26 van de AVG licht toe dat om te bepalen of een natuurlijke persoon
identificeerbaar is, rekening moet worden gehouden met alle middelen waarvan
redelijkerwijs valt te verwachten dat zij worden gebruikt door de
verwerkingsverantwoordelijke of door een andere persoon (een derde) om de natuurlijke
persoon direct of indirect te identificeren. Om uit te maken of van middelen redelijkerwijs
valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren,
moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd
benodigd voor identificatie, met inachtneming van de beschikbare technologie op het
tijdstip van verwerking en de technologische ontwikkelingen.
22. Het advies 4/2007 over het begrip persoonsgegevens 1 van de Groep Gegevensverwerking
stelt hieromtrent het volgende: “[i]ndien, rekening houdend met "alle middelen waarvan
redelijkerwijs mag worden aangenomen dat zij door de verwerkingsverantwoordelijke of
een andere persoon", die mogelijkheid tot identificatie niet bestaat of te verwaarlozen is,
moet de persoon niet worden beschouwd als "identificeerbaar", en zou de informatie niet als
"persoonsgegevens" worden beschouwd. Het criterium van "alle middelen waarvan
redelijkerwijs mag worden aangenomen dat zij door de verwerkingsverantwoordelijke of
door een andere persoon" moet met name rekening houden met alle betrokken factoren. De
kosten van de identificatie zijn één factor, maar niet de enige. Er moet rekening gehouden
worden met het beoogde doel, de wijze waarop de verwerking is gestructureerd, het door
de verwerkingsverantwoordelijke verwachte voordeel, het risico van organisatorisch
disfunctioneren en technische storingen.” (vrije vertaling)
23. De registratie en toekenning van kentekenplaten gebeurt door de Dienst voor Inschrijving
van Voertuigen, van de Federale Overheidsdienst Mobiliteit. De Geschillenkamer stelt vast
dat via de website2 van de Federale Overheidsdienst Mobiliteit de beschikbaarheid van een
gepersonaliseerde kentekenplaat kan nagegaan worden. Indien de verweerster deze
website zou geconsulteerd hebben, zou zij kunnen vastgesteld hebben dat de beoogde
kentekenplaat reeds in gebruik was, zonder evenwel de identiteit van de houder ervan te
kennen. Voor familie, buren en kennissen is die gepersonaliseerde kentekenplaat echter wél
een middel dat kan worden gebruikt om de klager te identificeren (voor nadere motivering
lees hieronder randnummers 24 en 25). De Geschillenkamer herinnert eraan dat, zoals
uiteengezet door de Groep Gegevensverwerking 29, bij de analyse of een gegeven ook een
persoonsgegeven is, er moet rekening gehouden worden met het beoogde doel en de wijze
waarop de verwerking is gestructureerd. Door het doel van de verwerking in kwestie
(prominent verschijnen in een bekende audiovisuele productie) en de wijze waarop deze
verwerking heeft plaatsgevonden (een bekende audiovisuele productie, de uitzending op
1
Artikel 29 Data Protection Working Party, Opinion 4/2007 on the concept of personal data, 20 June 2007.
2
https://www.mobilit.fgov.be/WebdivPub/wmvpstv1?SUBSESSIONID=3228997.
Beslissing ten gronde 188/2022 - 8/29
een van de grootste tv-zenders van Vlaanderen alsook de beschikbaarheid van deze
productie op streamingdiensten), concludeert de Geschillenkamer dat de klager
identificeerbaar is.
24. Wat het vierde element ("natuurlijke persoon") betreft, betekent dit dat gegevens over
vennootschappen, personenvennootschappen en andere rechtspersonen/juridische
personen niet als zodanig door de AVG worden beschermd. Het Hof van Justitie heeft
niettemin geoordeeld dat "voor zover de officiële titel van de rechtspersoon een of meer
natuurlijke personen identificeert", de rechtspersoon op grond van de artikelen 7 3 en 84 van
het Handvest van de grondrechten van de Europese Unie aanspraak kan maken op de
bescherming van gegevens die met hem verband houden.5 Aangezien de AVG een
uitwerking is van de overkoepelende waarborgen die in deze Handvestbepalingen zijn
neergelegd, kan een dergelijke bescherming voor rechtspersonen ook uit de AVG
voortvloeien, hoewel deze bescherming niet de rechtspersoon als zodanig betreft, maar de
natuurlijke perso(o)n(en) die deze vormen, en zich waarschijnlijk voornamelijk voordoet in
gevallen waarin de rechtspersoon in feite een eenmanszaak is of een klein familiebedrijf met
een transparante "bedrijfssluier".6
25. De Geschillenkamer stelt vast dat de wagen en de kentekenplaat ingeschreven zijn op naam
van de Z als rechtspersoon, en niet op naam van de klager als natuurlijke persoon. Deze BV
is echter een eenpersoonszaak die niet beschikt over een vloot van voertuigen, waardoor er
dus een directe link bestaat tussen de kentekenplaat en de klager. Aangezien de klager als
natuurlijk persoon de wagen met deze specifieke kentekenplaat gebruikt, wordt hij door zijn
omgeving geassocieerd met deze wagen met kentekenplaat zonder dat deze omgeving op
de hoogte is of de wagen is ingeschreven op naam van zijn eenmanszaak, dan wel op naam
van de klager als particulier. Gelet op bovenstaande concludeert de Geschillenkamer dat de
kentekenplaat in de specifieke omstandigheden van onderhavige zaak een kentekenplaat
uitmaakt.
II.2. Artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en lid 2 van de
AVG
3
Artikel 7: Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn
communicatie.
4
Artikel 8:
1. Eenieder heeft recht op bescherming van zijn persoonsgegevens.
2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of
op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over
hem verzamelde gegevens en op rectificatie daarvan.
3. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd.
5
Zie hieromtrent HvJEU, zaak C-92 / 09 en 93 / 09, Schecke, § 53, zaak C-419 / 14, WebMindLicenses, § 79 ; Zaak T-670 /
16, Digital Rights Ireland, §25.
6
L.A. BYGRAVE en L. TOSONI, « Article 4(1) Personal Data » in C. KUNER et.al. « EU General Data Protection Regulation, a
commentary, Oxford University Press, 2020, p. 111.
Beslissing ten gronde 188/2022 - 9/29
Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG
26. Aangezien de Geschillenkamer tot de conclusie is gekomen dat de kentekenplaat onder de
omstandigheden van deze zaak een persoonsgegeven uitmaakt, betekent dat het vertonen
van dit persoonsgegeven in de audiovisuele productie een verwerking uitmaakt. De
verweerster werpt op dat zij niet wist dat zij een persoonsgegeven verwerkte. De
Geschillenkamer vestigt er de aandacht op dat de al dan niet aanwezigheid van een intentie
geen criterium vormt voor de verwerking van persoonsgegevens in de zin van artikel 4(2)
AVG.7 Ongeacht of het de bedoeling was van de verweerster om het persoonsgegeven te
verwerken, is het enkele feit dat de kentekenplaat wel degelijk werd vertoond in de
audiovisuele productie voldoende om dit als verwerking te bestempelen die in
overeenstemming met de grondbeginselen inzake gegevensbescherming zoals begrepen
in artikel 5 AVG moet gebeuren.
27. Als verwerkingsverantwoordelijke is de verweerster verplicht de
gegevensbeschermingsbeginselen in acht te nemen en moet zij kunnen aantonen dat deze
beginselen worden nageleefd (verantwoordingsplicht - artikel 5, lid 2 AVG).
28. Bovendien moet zij, eveneens in haar hoedanigheid van verwerkingsverantwoordelijke, alle
nodige maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in
overeenstemming met de AVG wordt uitgevoerd (artikel 24 en 25 AVG).
29. In het kader van zijn onderzoek omtrent de verantwoordingsplicht heeft de Inspectiedienst
het volgende gestuurd aan de verweerster om de volgende documenten over te maken:
“Een kopie van de documenten van [de verweerster] over de maatregelen en beslissingen
die werden genomen om de naleving van de beginselen inzake verwerking van
persoonsgegevens te waarborgen ten aanzien van de klager op basis van artikel 5, artikel
24, lid 1 en artikel 25 van de AVG.”
30. De verweerster heeft hierop een antwoord geformuleerd maar bezorgde, aldus de
Inspectiedienst, geen documenten waaruit blijkt welke maatregelen en beslissingen werden
genomen om de beginselen inzake verwerking van persoonsgegevens te waarborgen
specifiek ten aanzien van de klager op basis van artikel 5, artikel 24, lid 1 en artikel 25, lid 1
en lid 2 van de AVG. De Inspectiedienst stelt vast in haar verslag dat de overgemaakte
documenten betrekking hebben op het transparantiebeginsel in artikel 5, lid 1, a) AVG, maar
dat de verweerster niet verduidelijkt hoe de andere beginselen van artikel 5, lid 1 AVG
7
Artikel 4 AVG: “Voor de toepassing van deze verordening wordt verstaan onder:
[…]
2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van
persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen,
structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending,
verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van
gegevens”
Beslissing ten gronde 188/2022 - 10/29
worden gewaarborgd. Bovendien concludeert de Inspectiedienst dat bepaalde elementen
niet in concreto worden toegelicht door de verweerster, zoals of de klager, wiens
persoonsgegevens werden verwerkt door de verweerster, effectief een kopie heeft
gekregen van diens algemeen privacybeleid. Tijdens het onderzoek stelt de verweerster dat
zij geen persoonsgegevens verwerkt heeft. De Inspectiedienst volgt deze visie niet en stelt
dat de verweerster wel persoonsgegevens verwerkt.. Hierbij verwijst de Inspectiedienst
naar de webpagina van de Gegevensbeschermingsautoriteit
(https://www.gegevensbeschermingsautoriteit.be/burger/privacy/lexicon) waarop vermeld
staat dat “ook informatie die niet toelaat om een persoon rechtstreeks te identificeren (bv.
een naam), maar wel onrechtstreeks (bv. een nummerplaat) een persoonsgegeven is”.
Bijgevolg komt de Inspectiedienst tot de vaststelling dat er een inbreuk is op artikel 5, artikel
24, lid 1 en artikel 25, lid 1 AVG.
31. In haar conclusies betwist de verweerster deze vaststelling. De verweerster verduidelijkt dat
zij van mening was dat zij in casu geen persoonsgegevens verwerkte. Verder toont de
verweerster aan welke stappen zij onderneemt in het geval van gelijkaardige verwerkingen
van persoonsgegevens, te weten het verwerken van nummerplaten in andere audiovisuele
producties wanneer zij wel van oordeel is dat zij persoonsgegevens verwerkt. 8
32. De Geschillenkamer stelt dat de Inspectiedienst als onderzoekorgaan van de GBA belast is
met het onderzoeken van klachten over en ernstige aanwijzingen van inbreuken op de
Europese en Belgische wetgeving inzake persoonsgegevens, waaronder de AVG. Eén van
de manieren waarop het onderzoek gevoerd wordt, is zich van alle nuttige inlichtingen en
documenten laten voorzien. Deze mogelijkheid laat de verwerkingsverantwoordelijken
en/of verwerkers toe uit te leggen en aan te tonen welke maatregelen zijn genomen om de
toepasselijke wetgeving na te leven.9
33. In het kader van het onderzoek van de naleving van de grondbeginselen en de
verantwoordingsplicht, zoals begrepen in artikel 5 van de AVG, heeft de Inspectiedienst een
algemeen verzoek gericht aan de verwerkingsverantwoordelijke om het volgende over te
maken:
“Een kopie van de documenten van [de verweerster] over de maatregelen en beslissingen
die werden genomen om de naleving van de beginselen inzake verwerking van
persoonsgegevens te waarborgen ten aanzien van de klager op basis van artikel 5, artikel
24, lid 1 en artikel 25 van de AVG.”
34. De Geschillenkamer stelt vast dat de vraag van de Inspectiedienst slaat op de verwerking
van de persoonsgegevens van de klager, te weten het publiceren van een kentekenplaat in
8
zie infra.
9
Charter van de Inspectiedienst, augustus 2022, online te raadplegen via
https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf
Beslissing ten gronde 188/2022 - 11/29
een audiovisuele productie. De verweerster voert aan dat zij in casu geen dergelijk document
voorafgaandelijk heeft overgemaakt aan de klager omdat ze van oordeel was dat geen
persoonsgegeven verwerkt werd, en bovendien, dat ze ook niet wist dat deze kentekenplaat
aan een persoon toegewezen was en al helemaal niet aan wie deze kentekenplaat
toegekend was. Verder maakt de verweerster de documenten over dewelke zij hanteert
wanneer zij wel – bewust – persoonsgegevens van betrokkenen verwerkt. Zoals hierboven
uiteengezet is de Inspectiedienst in casu van oordeel dat bepaalde informatie, die voor de
Inspectiedienst essentieel is om tot een goede beoordeling te komen, ontbreekt. Bijgevolg
werd door de Inspectiedienst geoordeeld dat er sprake was van een schending van artikel 5,
artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG.
35. De Geschillenkamer herinnert eraan dat een onderzoek door de Inspectiedienst op een
loyale wijze dient te gebeuren. Indien het antwoord van de verwerkingsverantwoordelijke
voor de Inspectiedienst niet volstaat, komt het normaal gesproken toe aan de
Inspectiedienst om te verduidelijken op welke punten meer informatie gevraagd wordt. Dit
kan bijvoorbeeld door specifiekere vragen te stellen over een bepaald onderwerp of door
concrete documenten of informatie op te vragen. Het is immers voor de
verwerkingsverantwoordelijke niet altijd gemakkelijk om op dergelijk algemene en ruime
vraag een omvattend antwoord te formuleren of de exacte documenten te bezorgen die de
Inspectiedienst wenst te onderzoeken. Indien de Inspectiedienst specifiekere vragen zou
gesteld hebben of concrete documenten zou opgevraagd hebben en de
verwerkingsverantwoordelijke niet de gevraagde informatie heeft kunnen aanleveren, komt
het toe aan de Inspectiedienst om een schending van de verantwoordingsplicht zoals
begrepen in artikel 5, lid 2 en artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG vast te stellen. De
Geschillenkamer merkt hierbij op dat de Inspectiedienst geen bijkomende vragen gesteld
heeft over welbepaalde onderwerpen en dat er geen welbepaalde documenten werden
opgevraagd om tot een goede beoordeling van de zaak te kunnen komen. De
Geschillenkamer stelt dan ook vast dat het Inspectieonderzoek niet voldoende specifiek
gevoerd werd voor wat betreft deze vaststelling. Bijgevolg komt de Geschillenkamer tot de
conclusie dat het in casu disproportioneel is om een schending van de artikelen 5, 24, lid 1 en
25, lid 1 en 2 AVG vast te stellen op basis van een algemene vraag in het kader van de
verantwoordingsplicht, waarop geantwoord werd door de verweerster, zonder verdere
opvolgvragen van de Inspectiedienst. Het komt toe aan de Inspectiedienst om op basis van
een loyaal onderzoek een eventuele tekortkoming van artikel 5, artikel 2, lid 1 en artikel 25,
lid 1 en lid 2 AVG door de verweerster aan te tonen.
Artikel 5, lid 1 AVG
36. De Geschillenkamer stelt vast dat, op basis van het aangeleverde antwoord van de
verweerster in het kader van het onderzoek, de Inspectiedienst tot de vaststelling komt dat
Beslissing ten gronde 188/2022 - 12/29
er een inbreuk is op alle grondbeginselen met betrekking tot de bescherming van
persoonsgegevens zoals bepaald in artikel 5, lid 1 AVG. Hoewel artikel 5, lid 1 en lid 2 AVG
nauw met elkaar verbonden zijn, betekent een eventuele schending van de
verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een schending van
artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele veruitwendiging om door
middel van documenten de naleving van de materiële grondbeginselen van de AVG aan te
tonen. Beide elementen dienen dus ook apart beoordeeld te worden.
37. De Geschillenkamer stelt vast dat het Inspectieverslag enkel vaststellingen bevat omtrent
het transparantiebeginsel zoals begrepen in artikel 5, lid 1, a). De Geschillenkamer zal dan
ook deze vaststelling behandelen. Zoals hierboven reeds uiteengezet stelde de
Inspectiedienst vast dat bepaalde elementen niet in concreto worden toegelicht door de
verweerster, zoals of de klager, wiens persoonsgegevens werden verwerkt door de
verweerster effectief een kopie heeft gekregen van diens algemeen privacybeleid.
38. In haar conclusies betwist de verweerster de vaststellingen uit het Inspectieverslag. Zij stelt
dat binnen haar organisatie verschillende privacyverantwoordelijken werden aangeduid per
departement, ook voor het departement fictie. Toen de verweerster het schrijven van de
klager ontving via het infoadres (dus niet via een specifiek e-mailadres bestemd voor
privacy-aangelegenheden) heeft zij alles in het werk gesteld om accuraat en tijdig te kunnen
antwoorden. Verder herhaalt de verweerster dat zij niet ontkent dat een kentekenplaat een
persoonsgegeven kán uitmaken, maar dat dit in casu niet het geval is. Vervolgens licht de
verweerster toe welke passende en technische organisatorische maatregelen zij neemt om
ervoor te zorgen dat met betrekking tot audiovisuele producties de persoonsgegevens van
betrokkenen worden verwerkt overeenkomstig de AVG. Zo zorgt zij ervoor dat in gevallen
waarin er wel sprake zou kunnen zijn van de verwerking van persoonsgegevens in haar
audiovisuele producties door het filmen en naderhand in beeld te brengen van een
bestaande nummerplaat van een betrokkene die hiervoor geen toestemming heeft
gegeven, deze relevante scènes worden geschrapt, bijgeknipt of dat het kentekenplaat
onleesbaar wordt gemaakt (bijvoorbeeld d.m.v. blurring). Daarnaast, in andere gevallen waar
er persoonsgegevens van betrokkenen worden verwerkt in het kader van een audiovisuele
productie (en dat is dan in hoofdzaak het geval in non-fictie producties), is de gangbare
werkwijze binnen de organisatie van de verweerster dat ofwel, voor betrokkenen die een
grotere rol binnen de productie vervullen, in de overeenkomsten met hen de nodige
bepalingen inzake gegevensbescherming worden opgenomen, ofwel, voor betrokkenen die
een kleinere rol of een kortstondige deelname binnen de productie vervullen, een verkorte
‘quit claim’ wordt ondertekend. Zowel voornoemde contracten als quit claims bevatten
clausules met betrekking tot de verwerking van persoonsgegevens. Deze documenten
worden aan de betrokkenen bezorgd en toegelicht voorafgaand aan de samenwerking
tussen de verweerster en de betrokkene, tezamen met het Algemeen Privacybeleid. In het
Beslissing ten gronde 188/2022 - 13/29
geval van de klager is er geen sprake van een ondertekend contract of quit claim, aangezien
de verweerster er überhaupt niet vanuit ging dat enig persoonsgegeven werd verwerkt, laat
staan dat zij überhaupt wist wiens persoonsgegeven het betrof. Het klopt verder dat ook na
het schrijven van de raadsman van de klager het Algemeen Privacybeleid niet aan hem werd
overgemaakt door de verweerster. Deze reflex werd niet gemaakt omwille van het feit dat
de verweerster vooreerst de overtuiging was toegedaan dat het in deze niet om de
verwerking van een persoonsgegeven ging. De verweerster stelt dat, in het geval er door de
Geschillenkamer toch zou worden geoordeeld dat een verwerking van persoonsgegevens
van de klager heeft plaatsgevonden, zij wenst te benadrukken dat deze situatie, waarbij er
een vermeende verwerking van persoonsgegevens heeft plaatsgevonden zonder dat de
betrokkene hierover werd geïnformeerd en zonder dat deze het Algemeen Privacybeleid
heeft ontvangen, een éénmalig en op zichzelf staand geval uitmaakt dat niet strookt met de
gangbare werkwijze inzake het beleid inzake de bescherming van persoonsgegevens in
hoofde van de verweerster.
39. De Geschillenkamer stelt vast dat de verweerster bij de totstandkoming van de audiovisuele
productie niet op de hoogte was van de identiteit van de klager, als houder van de
gepersonaliseerde kentekenplaat.
40. Het Inspectieverslag stelt vervolgens vast dat de verweerster heeft nagelaten om het
Algemeen Privacybeleid over te maken aan de klager nadat deze met haar contact had
genomen met het verzoek om zijn kentekenplaat te verwijderen uit de productie. De
verweerster voert aan dat zij deze reflex niet maakte omdat zij meende dat er geen sprake
was van verwerking van persoonsgegevens. De Geschillenkamer stelt vast dat in deze brief
enkel het verzoek tot gegevenswissing opgenomen is. De verweerster kon niet
redelijkerwijs verwachten dat de klager ook het Algemeen Privacybeleid wilde ontvangen
wanneer de brief van de klager waarin de gegevenswissing verzocht wordt, geen enkele
vraag naar of vermelding van het Algemeen Privacybeleid, bevatte.
41. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er geen sprake is van een
inbreuk op het transparantiebeginsel zoals begrepen in artikel 5, lid 1, a) AVG voor wat
betreft het niet overmaken van het Algemeen Privacybeleid.
42. De Geschillenkamer stelt vast dat het Inspectieverslag een schending van alle
basisbeginselen van artikel 5 vaststelt. Deze schending vloeit voort uit de vermeende niet-
naleving van de bovenvermelde verantwoordingsplicht. De Geschillenkamer wijst erop dat
het vaststellen van een vermeende inbreuk op alle grondbeginselen inzake
gegevensverwerking op basis van een vermeende vaststelling van de
verantwoordingsplicht disproportioneel is. Bijgevolg concludeert de Geschillenkamer dat de
vaststelling van de Inspectiedienst omtrent deze beginselen niet voldoende gestaafd is door
Beslissing ten gronde 188/2022 - 14/29
bewijs10 waardoor het verder behandelen van deze vaststellingen onmogelijk is. Gelet op het
bovenstaande is de Geschillenkamer van oordeel dat er geen sprake is van een inbreuk op
de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG.
II.3. Artikel 5, lid 1, a) en artikel 6 van de AVG inzake de rechtmatigheid
43. In zijn conclusies werpt de klager op dat de litigieuze verwerking gebeurde zonder
toestemming en daarom onrechtmatig is in de zin van artikel 5, lid 1, a) AVG is. De klager stelt
dat hij aan de verweerster geen toestemming heeft gegeven voor het wereldwijd vertonen
van zijn gepersonaliseerde kentekenplaat, zodat deze verwerking van zijn persoonsgegeven
op grond van artikel 6 AVG onrechtmatig is.
44. De klager stelt dat een belangenafweging tussen enerzijds het recht van de klager op
bescherming van zijn persoonsgegevens en anderzijds het gerechtvaardigd belang van de
verweerster, te weten de vrijheid van meningsuiting en informatie (inclusief de vrijheid van
artistieke expressie) evenzeer resulteert in een beoordeling in het nadeel van
laatstgenoemde.
De Geschillenkamer herinnert eraan dat, om zich op deze rechtsgrond uit artikel 6, lid 1, f)
AVG te kunnen beroepen voor de verwerking van persoonsgegevens, moet het
gerechtvaardigde belang van de verwerkingsverantwoordelijke of derden worden
afgewogen tegen de belangen of de grondrechten en fundamentele vrijheden van de
betrokkenen. Het gerechtvaardigd belang hangt nauw samen met – doch verschilt van – het
begrip verwerkingsdoel, dat ingevolge artikel 5, lid 1, b) AVG specifiek moet zijn. Terwijl het
'doel' betrekking heeft op de specifieke reden waarom de gegevens worden verwerkt, d.w.z.
het doel of de intentie van de gegevensverwerking, houdt het begrip 'belang' verband met
het ruimere belang dat een verwerkingsverantwoordelijke bij de verwerking kan hebben, of
het voordeel dat de verwerkingsverantwoordelijke — of een derde, die niet noodzakelijk als
medeverwerkingsverantwoordelijke hoeft te worden gekwalificeerd — uit de verwerking
haalt.11
45. Overeenkomstig artikel 6, lid 1, f) van de AVG en de rechtspraak van het Hof van Justitie dient
aan drie cumulatieve voorwaarden te zijn voldaan opdat een
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze
rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een
gerechtvaardigd belang van de verwerkingsverantwoordelijke of van de derde(n)
aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking
van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de
10
Cf. Sectie A.1 van het sepotbeleid van de Geschillenkamer.
11
HvJEU Arrest van 11 december 2019, TK v. Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064,
para. 44. Zie in die zin ook beslissing 21/2022 van 2 februari 2022.
Beslissing ten gronde 188/2022 - 15/29
derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de
gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”)12.
46. Met andere woorden, om zich conform artikel 6, lid 1, f) van de AVG te kunnen beroepen op
de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de
verwerkingsverantwoordelijke aan te tonen dat:
1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen
worden erkend (de “doeltoets”)13;
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen
(de “noodzakelijkheidstoets”); en
3) de afweging van deze belangen ten opzichte van de belangen, fundamentele
vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke of een derde partij (de “afwegingstoets”).
47. In casu stelt de Geschillenkamer vast dat het belang van de verweerster bestaat uit het
creëren van audiovisuele producties als uitoefening van haar artistieke expressie, die wordt
gevat onder de grondwettelijk beschermde vrijheid van meningsuiting. Met het oog hierop
worden persoonsgegevens van de klager verwerkt.
48. Artistieke expressie omvat onder andere het creëren van fictieve personages en hun
leefwereld. Hierbij kan de verweerster gebruik maken van publieke gegevens, zoals in casu
het geval is. De kentekenplaat past bij het fictieve personage, wiens zoon een fan is van de
Turkse voetbalclub Galatasaray S.K., die opgericht werd in 1905. Bijgevolg is het gebruik van
deze kentekenplaat in het kader van de vormgeving van een fictief personage een
uitsluitend artistieke uitdrukkingsvorm. Er is naar het oordeel van de Geschillenkamer geen
twijfel dat wordt voldaan aan de doeltoets uit de rechtspraak van het Hof van Justitie. Gelet
op het artistieke doel om de link met de voetbalclub te benadrukken en de vrijheid voor de
verweerster in deze context om daarbij een geschikt middel te kiezen, meent de
Geschillenkamer dat ook aan de noodzakelijkheidstoets wordt voldaan.
49. Wat betreft de afwegingstoets, het belang van de klager bestaat uit de bescherming van zijn
persoonsgegevens en het daarmee in verband staande feit dat hij wordt aangesproken over
de gelijkenis tussen zijn kentekenplaat en de fictieve kentekenplaat.
50. Voor wat betreft de belangen van de klager stelt de Geschillenkamer dat het weinig
aannemelijk is dat de klager zeer grote hinder ondervindt van deze gelijkenis. Het zijn immers
enkel zijn persoonlijke en/of zakelijke relaties die de overeenkomst tussen beide
kentekenplaten kunnen ontdekken en de klager hiermee confronteren. De audiovisuele
12
HvJEU Arrest van 4 mei 2017, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde t. Rīgas pašvaldības SIA
„Rīgas satiksme”, C-13/16; ECLI: EU:C:2017:336, para. 28-31. Zie ook HvJEU Arrest van 11 december 2019, TK t/ Asociaţia
de Proprietari bloc M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, para. 40.
13
Waarbij het begrip “doel” moet worden gelezen in het licht van de voorgaande punten van deze beslissing.
Beslissing ten gronde 188/2022 - 16/29
productie is fictief en bovendien bestaat er geen andere link tussen de klager en het fictief
personage. Daarnaast wordt bij elke aflevering geduid dat het een fictieve productie betreft
en dat elke overeenkomst met personen berust op louter toeval. Hierbij merkt de
Geschillenkamer op dat er, ondanks de overeenstemmende kentekenplaten, geen andere
gelijkenis, overeenstemming of enige andere link bestaat tussen het fictieve personage en
de klager. In dit kader herinnert de Geschillenkamer er ook aan dat de verweerster geen
weet had van het bestaan van de kentekenplaat van de klager waardoor zij hieruit ook geen
inspiratie geput heeft. De creatie kwam bijgevolg zelfstandig door de verweerster tot stand.
51. Bijgevolg concludeert de Geschillenkamer dat het voor deze persoonlijke of zakelijke
relaties duidelijk zou moeten kunnen zijn dat de klager geen enkele band heeft met milieus
waarin het fictieve personage uit de audiovisuele producties zich begeeft.
52. De Geschillenkamer wijst er ook op dat de klager ervoor gekozen heeft om een
kentekenplaat aan te vragen, bestaande uit publieke gegevens verbonden aan een
voetbalclub die wereldwijd bekend is. Het kon dan ook door de klager voorzienbaar zijn dat
deze gegevens gebruikt zouden kunnen worden voor artistieke doeleinden. De
omstandigheid dat de verweerster als programmamaker niet noodzakelijk deze
nummerplaat had kunnen gebruiken maakt niet dat de litigieuze verwerking onrechtmatig
zou zijn op grond van artikel 6, lid 1, f) AVG. De keuze om een personage vorm te geven aan
de hand van een bepaalde culturele achtergrond met verwijzing naar een zeer
betekenisvolle voetbalclub binnen deze cultuur, valt onder de vrijheid van de artistieke
uitdrukkingsvorm.
53. Gelet op het bovenstaande concludeert de Geschillenkamer dat in casu het belang van de
artistieke expressie van de verweerster zwaarder weegt dan het recht op bescherming van
persoonsgegevens van de klager. Derhalve wordt door de verweerster voldaan aan de
afwegingstoets. De gegevens mochten derhalve worden verwerkt. De vraag in hoeverre de
mogelijke nadelige gevolgen voor de klager hadden kunnen worden beperkt door gebruik te
maken van het recht op gegevenswissing wordt hieronder in Sectie II.4 besproken.
54. De Geschillenkamer stelt dan ook vast dat er geen sprake is van een inbreuk op artikel 5,
lid 1, a) en artikel 6, lid 1, f) AVG.
II.4. Inbreuk op artikel 12, lid 1 en lid 4 van de AVG, artikel 17 van de AVG, artikel 24, lid 1
van de AVG en artikel 25, lid 1 van de AVG
55. De Inspectiedienst stelt vast dat de verweerster de verplichtingen opgelegd door artikel 12,
lid 1 en lid 4, artikel 17, artikel 24, lid 1 en artikel 25, lid 1 van de AVG niet heeft nageleefd. De
Inspectiedienst wijst in dat verband ten eerste op het feit dat het verzoek van de klager om
zijn gepersonaliseerde kentekenplaat te wissen uit de audiovisuele productie werd
afgewezen omwille van het “recht op artistieke expressie”, zonder daarbij te verduidelijken
Beslissing ten gronde 188/2022 - 17/29
welke bepaling van artikel 17, lid 3 AVG wordt ingeroepen. Ten tweede is volgens de
Inspectiedienst deze toelichting niet transparant overeenkomstig artikel 12, lid 1 en lid 4
AVG aangezien het voor de klager niet duidelijk is op welke basis precies zijn onderzoek
geweigerd werd en bovendien geen melding werd gemaakt van de mogelijkheid klacht in te
dienen bij de GBA. De Geschillenkamer zal eerst de weigering om over te gaan tot
gegevenswissing beoordelen en vervolgens de transparantieverplichtingen voortvloeiend
uit artikel 12 AVG.
II.4.1. Artikel 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG
56. De Geschillenkamer wijst erop dat op 5 januari 2022 de klager zijn verzoek tot
gegevenswissing heeft uitgeoefend ten aanzien van de verweerster, dewelke geweigerd
werd door de verweerster op basis van haar vrijheid van artistieke expressie.
57. De Inspectiedienst stelt vast in haar Inspectieverslag dat de gegevenswissing onrechtmatig
geweigerd werd door de verweerster. Hierbij verwijst de Inspectiedienst naar de wet van 30
juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de
verwerking van persoonsgegevens 14 (hierna: wet van 30 juli 2018). Deze wet voorziet
uitzonderingen op de rechten van de betrokkenen voor verwerkingen van
persoonsgegevens ten behoeve van onder meer “artistieke uitdrukkingsvormen”. De
Inspectiedienst benadrukt echter dat die uitzonderingen niet van toepassing zijn voor de
artikelen 12, 17, 24 en 25 van de AVG. Bovendien moeten die uitzonderingen worden gelezen
in het licht van artikel 85, lid 2 van de AVG en dus effectief “noodzakelijk zijn om het recht op
bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van
meningsuiting en van informatie”. De klager treedt deze visie bij in zijn conclusies.
58. De verweerster betwist deze vaststelling van de Inspectiedienst. Ze voert aan in haar
conclusies dat de wet van 30 juli 2018 in artikel 24 inderdaad bepaalt dat een aantal
bepalingen van de AVG niet van toepassing zijn “op verwerkingen van persoonsgegevens
voor journalistieke doeleinden en ten behoeve van academische, artistieke of literaire
uitdrukkingsvormen”. De verweerster treedt vooreerst de vaststelling van de
Inspectiedienst bij dat artikel 17 van de AVG inderdaad niet voorkomt in de opsomming van
de artikelen van de AVG waar de uitzonderingen uit de wet op van toepassing zijn.
59. In dit verband verwijst de verweerster naar de Memorie van Toelichting bij het wetsontwerp
van de Wet van 30 juli 2018 waarin het volgende wordt verduidelijkt: “[h]et wetsontwerp
stelt de verwerkingsverantwoordelijke voor journalistieke, academische, artistieke of
literaire doeleinden niet vrij van de verplichting om het recht om vergeten te worden te
verlenen aan de betrokken persoon (artikel 17 van de Verordening). Artikel 17.3 van de AVG
14
Wet 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens, BS 5 september 2018.
Beslissing ten gronde 188/2022 - 18/29
stelt zelf dat het recht om vergeten te worden niet van toepassing is op verwerkingen voor
doeleinden van vrije meningsuiting en vrije informatie. De verordening is dus rechtstreeks
van toepassing en het is dus niet nodig dat de wet die vrijstelling opnieuw aanmaakt.”15
60. Deze positie werd eveneens gevolgd door de Raad van State, door het volgende te stellen:
“in artikel 29 (huidig artikel 24) terecht niet [wordt] bepaald dat het niet van toepassing is op
de verwerking van gegevens voor journalistieke, academische, artistieke of literaire
doeleinden, aangezien reeds in die uitsluiting wordt voorzien in paragraaf 3, a), zelf van dat
artikel 17”.16
61. De Geschillenkamer verwijst naar de opzet van artikel 85 AVG dat de algemene opdracht
formuleert aan de (nationale) wetgever om te waken over de verzoening van de verhouding
tussen de vrijheid van meningsuiting en de bescherming van persoonsgegevens. De
Belgische wetgever heeft deze verhouding geregeld in de wet van 30 juli 2018. Artikel 24
van deze wet stelt dat voor verwerkingen voor journalistieke, academische, artistieke of
literaire doeleinden bepaalde rechten van de betrokkene niet van toepassing zijn. De wet
verwijst in dit verband naar de artikelen 7 tot 10, artikel 11, lid 2, de artikelen 13 tot 16, 18 tot
20 en 21, lid 1 AVG. In de AVG is immers voor deze artikelen geen dergelijke uitzondering
voorzien voor verwerkingen van persoonsgegevens voor journalistieke, academische,
artistieke of literaire doeleinden. Artikel 24 van de wet van 30 juli 2018 stelt de
verwerkingsverantwoordelijke voor journalistieke, academische, artistieke of literaire
doeleinden echter niet expliciet vrij van de verplichting om het recht op gegevenswissing
(“recht om vergeten te worden”) te verlenen aan de betrokken persoon (artikel 17 AVG). Een
dergelijke expliciete vrijstelling is ook niet noodzakelijk aangezien, zoals ook terecht
opgemerkt door de verweerster, artikel 17, lid 3 AVG rechtstreeks toepasselijk is in het
Belgisch recht.
62. Op basis van het bovenstaande treedt de Geschillenkamer het standpunt van de
verweerster bij en oordeelt dat artikel 17, lid 3 AVG zelf de mogelijke uitzonderingsgronden
op het recht op gegevenswissing voorziet, zonder dat deze moeten hernomen worden in de
wet van 30 juli 2018.
63. De Geschillenkamer verwijst naar artikel 17, lid 1 van de AVG dat bepaalt dat de betrokkene
het recht heeft om van de verwerkingsverantwoordelijke zonder onredelijke vertraging
wissing van de hem betreffende persoonsgegevens te verkrijgen. Op basis van datzelfde
artikel, punt c), is de verwerkingsverantwoordelijke verplicht om de persoonsgegevens
15
Wetsontwerp van 11 juni 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking
van persoonsgegevens, Parl.St. Kamer nr. 54-3216/001, 54.
16
Advies van 19 april 2018 van de Raad van State, Afdeling Wetgeving over een voorontwerp van wet ‘betreffende de
bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens’, Parl.St. Senaat nr.
63.192/2, 80, nr. 4.4; Wetsontwerp van 11 juni 2018 betreffende de bescherming van natuurlijke personen met betrekking
tot de verwerking van persoonsgegevens, Parl.St. Kamer nr. 54-3216/001, 54.
Beslissing ten gronde 188/2022 - 19/29
zonder onredelijke vertraging te wissen, onder andere wanneer de betrokkene
overeenkomstig artikel 21, lid 1 AVG bezwaar maakt tegen de verwerking en er geen
prevalerende dwingende gerechtvaardigde gronden zijn voor de verwerking. Zoals
hierboven uiteengezet heeft de klager een verzoek overeenkomstig artikel 17, lid 1, c) AVG
gericht aan de verweerster.
64. Artikel 17, lid 3, a) AVG stelt evenwel dat artikel 17, lid 1 AVG niet van toepassing is wanneer
een dergelijke verwerking noodzakelijk is voor het uitoefenen van het recht op vrijheid van
meningsuiting en informatie. Dit artikel voorziet hiermee een uitzonderingsregeling met een
belangenafweging tussen twee grondrechten, te weten de balans tussen het recht op
vrijheid van meningsuiting en informatie enerzijds en het recht op bescherming van
persoonsgegevens anderzijds.17 Het is op deze grond dat de verweerster geweigerd heeft
om uitvoering te verlenen aan het verzoek tot gegevenswissing van de klager.
65. In het kader van onderhavig dossier zal de Geschillenkamer aldus nagaan of het verzoek tot
gegevenswissing overeenkomstig 17, lid 1, c) AVG terecht door de verweerster geweigerd
werd overeenkomstig artikel 17, lid 3, a) AVG en met name of het recht op vrijheid van
meningsuiting en informatie, enerzijds, en het recht op bescherming van persoonsgegevens,
anderzijds, op juiste wijze ten opzichte van elkaar zijn afgewogen.
66. De Geschillenkamer wijst erop dat in deze zaak de klacht werd ingediend tegen de
verweerster als productiehuis, dat onder andere fictieve audiovisuele producties maakt.
Vooreerst herinnert de Geschillenkamer eraan dat het recht op vrijheid van meningsuiting
en informatie wordt beschermd door artikel 10, lid 1 van het Europees Verdrag van de
Rechten van de Mens (hierna: “EVRM”). “Dit recht omvat de vrijheid een mening te koesteren
en de vrijheid om inlichtingen of denkbeelden te ontvangen of te verstrekken, zonder
inmenging van enig openbaar gezag […]" en het gelijkluidende artikel 11 van het
Grondrechtenhandvest van de Europese Unie (hierna: “Handvest”), waarvan het tweede lid
nog in het bijzonder de eerbiediging van vrijheid en de pluriformiteit van de media waarborgt.
67. Zoals ook aangehaald door de verweerster is het recht op vrijheid van meningsuiting, waar
artikel 17, lid 3, a) AVG naar verwijst, niet alleen van toepassing op bepaalde soorten
informatie, ideeën of uitdrukkingsvormen zoals van politieke aard, het omvat ook artistieke
uitingen.18 Het Europees Hof van de Rechten van de Mens (EHRM) stelde eveneens: “[d]e
bevestiging, voor zover nog nodig, dat deze interpretatie juist is, wordt geleverd door de
tweede zin van lid 1 van artikel 10 (art. 10-1), waarin sprake is van "omroep-, televisie- of
bioscoopondernemingen", media waarvan de activiteiten zich uitstrekken tot het terrein van
de kunst. Een bevestiging dat het begrip vrijheid van meningsuiting ook artistieke uitingen
omvat, is ook te vinden in artikel 19, lid 2, van het Internationaal Verdrag inzake
17
Zie arrest HvJEU van 24 september 2019, G.C e.a. v CNIL, ECLI:EU:C:2019:773, § 56 e.v.
18
EHRM, 25 mei 1988, 10737/83, Müller and Others v. Switzerland, § 27.
Beslissing ten gronde 188/2022 - 20/29
burgerrechten en politieke rechten, dat informatie en denkbeelden "in de vorm van kunst"
uitdrukkelijk rekent tot het recht op vrijheid van meningsuiting. ”19 Bijgevolg ressorteren
uitingen van kunstexpressie onder de bescherming van artikel 10 EVRM en artikel 11 van het
Handvest.
68. Zoals reeds vermeld, staat in onderhavige zaak de afweging tussen het recht op vrijheid van
meningsuiting en informatie, en in het bijzonder de vrijheid van artistieke expressie, van de
verweerster (artikel 10 EVRM en artikel 11 Handvest) en het recht op bescherming van
persoonsgegevens van de klager (artikel 8 Handvest) centraal. Het gaat dus om een
afweging van fundamentele rechten.
69. De Geschillenkamer wijst in dit verband op de rechtspraak van het Hof van Justitie in het
kader van de verwijderingsverzoeken aan zoekmachines, meest recentelijk het arrest
Google, C-460/20.20 Hierin stelt het Hof: “De omstandigheid dat artikel 17, lid 3, onder a),
AVG uitdrukkelijk bepaalt dat het recht op gegevenswissing van de betrokkene is
uitgesloten wanneer de verwerking noodzakelijk is voor de uitoefening van het in artikel 11
van het Handvest gewaarborgde recht op, onder meer, vrijheid van informatie, geeft
uitdrukking aan het feit dat het recht op bescherming van persoonsgegevens geen absoluut
recht is, maar, zoals is benadrukt in overweging 4 van deze verordening, moet worden bezien
in verhouding tot de functie ervan in de maatschappij en overeenkomstig het
evenredigheidsbeginsel moet worden afgewogen tegen andere grondrechten. [..]In de AVG,
en meer bepaald in artikel 17, lid 3, onder a), is dus expliciet het vereiste neergelegd dat er
een afweging moet worden gemaakt tussen de in de artikelen 7 en 8 van het Handvest
neergelegde grondrechten op eerbiediging van het privéleven en op bescherming van
persoonsgegevens enerzijds, en het door artikel 11 van het Handvest gewaarborgde
grondrecht op vrijheid van informatie anderzijds.”
70. Het antwoord op de vraag welk van deze beide rechten in het concrete geval zwaarder
weegt, moet worden gevonden door een afweging van alle ter zake dienende
omstandigheden van het geval.21 Deze toetsing dient in één keer te gebeuren, waarbij het
oordeel dat een van beide rechten, gelet op alle ter zake dienende omstandigheden,
zwaarder weegt dan het andere recht, met zich meebrengt dat de inbreuk op het andere
recht voldoet aan de noodzakelijkheidstoets van het desbetreffende lid 2 van artikel 8 en
artikel 10 EVRM, als gespecificeerd in artikel 52 van het Handvest.
71. Hieromtrent stelt het arrest Karatas t. Turkije van het EHRM dat de vrijheid van artistieke
expressie het volgende omvat: “met name binnen de vrijheid om informatie en idealen te
ontvangen en door te geven, die de mogelijkheid biedt om deel te nemen aan de openbare
19
EHRM, 25 mei 1988, 10737/83, Müller and Others v. Switzerland, § 27. Zie ook HvJEU, C-460/20, § 62.
20
HvJEU, 8 december 2022, ECLI:EU:C:2022:962, §§ 60-62.
21
EHRM, VGT Verein gegen Tierfabriken t. Zwitserland, 28 juni 2001, § 68.
Beslissing ten gronde 188/2022 - 21/29
uitwisseling van culturele, politieke en sociale informatie en idealen van allerlei aard. Zij die
kunstwerken creëren, uitvoeren, verspreiden of tentoonstellen dragen bij tot de uitwisseling
van ideeën en meningen die essentieel is voor een democratische samenleving. Vandaar de
verplichting voor de staat om niet onnodig inbreuk te maken op hun vrijheid van
meningsuiting” 22 (vrije vertaling).
72. De verweerster voert aan dat de keuzes die werden gemaakt om de personages van de
audiovisuele productie vorm te geven onder de vrijheid van de artistieke uitdrukkingsvorm
vallen. De verweerster heeft de creatieve keuze gemaakt om bepaalde van haar personages
een Turkse achtergrond te geven, met een familie die passioneel supportert voor de
voetbalclub Galatasaray met een wagen met gepersonaliseerde nummerplaat die naar deze
club verwijst. De verweerster verduidelijkt hieromtrent dat de letters en cijfers van de
kentekenplaat verwijzen naar de naam van de club zelf en het oprichtingsjaar 1905.
73. Daartegenover stelt de klager dat deze nummerplaat hem toegewezen werd waardoor dit
zijn persoonsgegeven is. Door de publicatie van deze nummerplaat wordt hij door zijn
relaties (zowel privé als zakelijk) aangesproken over eventuele banden met een criminele
bende, aangezien het fictief personage met deze nummerplaat banden zou hebben met het
criminele milieu.
74. De Geschillenkamer stelt vast dat de conceptie van het personage in kwestie, met diens
wagen en kentekenplaat, een uiting is van de artistieke vrijheid van de verweerster.
Galatasaray is een zeer bekende club met een zeer grote supportersaanhang, zeker in de
Turkse gemeenschap. Bijgevolg is het niet ondenkbaar dat, bij het creëren van een fictief
Turks personage en diens achtergrond en leefwereld verwijzingen naar één van de grootste
en populairste Turkse voetbalclubs worden opgenomen. Hierbij maakte de verweerster een
keuze, mede gelet op de beperkte plaats op een kentekenplaat, voor publieke gegevens
waaruit meteen duidelijk blijkt dat het om die voetbalploeg gaat, te weten afkorting van de
naam en het oprichtingsjaar. Dit zijn gegevens die de Turkse gemeenschap meteen
associeert met de voetbalploeg in kwestie.
75. Het is dan ook aannemelijk dat per toeval en via een gelijkaardige denkpiste een identieke
kentekenplaat werd gekozen door de klager. Hierbij merkt de Geschillenkamer op dat er,
buiten de overeenstemmende kentekenplaat geen enkele link bestaat tussen de klager en
verweerster. Het persoonsgegeven werd niet verzameld of verkregen van de klager en er is
ook geen andere link tussen de klager en het fictieve personage en de milieus waarin zij zich
bevinden.
76. Dat de combinatie van deze gegevens door de toewijzing van de kentekenplaat door de
Dienst Inschrijving Voertuigen een persoonlijk karakter heeft gekregen voor de klager, doet
22
EHRM,Karatas t. Turkije, 8 juli 1999, § 49.
Beslissing ten gronde 188/2022 - 22/29
volgens de Geschillenkamer geen afbreuk aan het publiek karakter van de club en het
artistiek denkproces op basis van dewelke het personage met diens wagen met
kentekenplaat tot stand gekomen is.
77. De Geschillenkamer stelt hieromtrent vast dat de informatie in verband met de toewijzing
van kentekenplaten ook niet vrij beschikbaar is. De voormelde website van de Dienst
Inschrijving Voertuigen laat toe om na te gaan of een bepaalde gepersonaliseerde
nummerplaat nog beschikbaar is. Tevens was het voor de verweerster onmogelijk om de
identiteit van de houder van deze bepaalde nummerplaat te achterhalen.
78. De klager voert aan dat het publiceren van de kentekenplaat niet noodzakelijk is in een
democratische samenleving. Bij de beoordeling van de noodzakelijkheidsvoorwaarde gaat
het EHRM uit van een globale aanpak. Men dient te kijken naar het spanningsveld tussen
beide rechten in de context van de volledige zaak. 23 De Geschillenkamer stelt vast dat de
verweerster had kunnen nagaan of deze gepersonaliseerde kentekenplaat nog vrij was via
de voormelde website van de Dienst voor Inschrijvingen van Voertuigen. De omstandigheid
dat de verweerster als programmamaker niet noodzakelijk deze nummerplaat had kunnen
gebruiken, maar een andere had kunnen kiezen, verhindert niet dat deze creatieve keuze valt
onder de artistieke expressie zoals beschermd in artikel 10 EVRM.
79. Voor wat betreft de grieven van de klager omtrent het feit dat hij hieromtrent wordt
aangesproken door familie, vrienden en zakelijke relaties, merkt de Geschillenkamer op dat
enkel personen uit de omgeving van de klager de link kunnen leggen tussen de wagen en de
persoon van de klager, in de veronderstelling dat deze relaties de audiovisuele productie in
kwestie gezien hebben en de gelijkenis tussen de kentekenplaten opgemerkt hebben.
Daarnaast wordt ook bij elke aflevering expliciet vermeld dat elke overeenkomst met
personen of organisaties op louter toeval berust. Naast het gebruik van de
overeenstemmende nummerplaat in de fictiereeks wordt ook op geen enkel moment een
link gelegd naar of gefocust op de persoon van de klager, of elementen aangehaald die
verwijzen naar hem persoonlijk of naar zijn privésfeer. Dit wordt ook verklaard door het feit
dat de verweerster niet op de hoogte was, of kon zijn, van de identiteit van de klager op het
moment van de totstandkoming van de audiovisuele productie. De Geschillenkamer merkt
tot slot op dat de klager de keuze heeft gemaakt om publieke gegevens van een zeer
bekende club te vermelden op een kentekenplaat. Hij kon dus redelijkerwijze verwachten
dat deze gegevens ook door andere personen bedacht konden worden.
80. De Geschillenkamer besluit dan ook dat de overeenkomst tussen beide kentekenplaten
toevallig op basis van een gelijklopend denkproces van de klager en de verweerster tot
stand gekomen zijn, namelijk het uitdrukken van een identiteit als fervent supporter van
23
EHRM VGT Verein gegen Tierfabriken t. Zwitserland, 28 juni 2001, § 68 en EHRM, Feldek t. Slovakije, 12 juli 2001, §77.
Beslissing ten gronde 188/2022 - 23/29
Galatasaray. Hierbij hebben beide partijen gebruik gemaakt van de naam en het
oprichtingsjaar van de club, zijnde bekende publieke gegevens met een directe associatie
met de club. Gelet op het voorgaande zijn de omstandigheden aan de zijde van de klager van
onvoldoende gewicht, om het recht op vrijheid van meningsuiting, inbegrepen het recht op
artistieke expressie van de verweerster, zoals gewaarborgd door artikel 10 EVRM te
beperken dan wel te ontnemen. De Geschillenkamer concludeert dat er geen sprake is van
een inbreuk op artikel 17 AVG.
II.4.2. Artikel 12, lid 1 en 4 AVG
81. Op basis van artikel 12 van de AVG moet de verwerkingsverantwoordelijke de betrokkenen
transparant informeren en in principe binnen 1 maand en kosteloos antwoorden op hun
verzoeken. Het is daarbij essentieel dat de verstrekte informatie begrijpelijk en gemakkelijk
toegankelijk is voor de betrokkenen. Verder is het belangrijk dat de
verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkenen op basis
van artikelen 15 tot en met 22 van de AVG faciliteert. Tot slot moet de
verwerkingsverantwoordelijke de betrokkenen bij de afwijzing van hun verzoek meedelen
waarom dat verzoek werd afgewezen en de betrokkenen informeren over de mogelijkheid
om een klacht in te dienen bij een toezichthoudende autoriteit alsook beroep bij de rechter
in te stellen.
82. De verweerster voert aan dat, hoewel zij in haar antwoordschrijven aan de klager dd. 21
januari 2022 niet uitdrukkelijk heeft verwezen naar de specifieke rechtsgrond van artikel 17,
lid 3, a) van de AVG, zij in haar antwoordschrijven wel zeer duidelijk aangegeven heeft op
basis van welke gronden zij besloot geen gevolg te hebben moeten geven aan het verzoek
tot het wissen van de kwestieuze nummerplaat uit de fictiereeks, waardoor zij, indien er door
de Geschillenkamer toch zou worden geoordeeld dat een verwerking van
persoonsgegevens van de klager heeft plaatsgevonden, alsnog voldoet aan haar
verplichting onder artikel 12, lid 1 van de AVG die de verwerkingsverantwoordelijke oplegt
om, in geval zij geen gevolg geeft aan het verzoek van de betrokkene, deze laatste
“onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek [mee te delen]
waarom het verzoek zonder gevolg is gebleven”.
83. De Geschillenkamer stelt vast dat de verweerster in het voormeld schrijven dd. 21 januari
2022 heeft toegelicht dat zij meent geen gevolg te moeten geven aan het verzoek tot
gegevenswissing omdat zij meent dat er geen sprake is van een verwerking van
persoonsgegevens. In ondergeschikte orde, indien er toch sprake zou zijn van de verwerking
van een persoonsgegeven, beroept zij zich op haar recht op artistieke expressie, onderdeel
van het recht van meningsuiting, om niet tot de wissing van de kentekenplaat over te gaan.
In dit kader wijst de Geschillenkamer erop dat de verweerster de redenen van de weigering
om tot wissing over te gaan toegelicht heeft, zonder vermelding van de relevante
Beslissing ten gronde 188/2022 - 24/29
wetsartikelen hieromtrent. De Geschillenkamer oordeel dat in casu de toelichting inzake de
weigering tot gegevenswissing duidelijker had kunnen worden geformuleerd ten opzichte
van de klager. Het bijkomend vermelden van de wetsartikelen en een meer omstandige
uitleg had ook een bijdrage kunnen leveren aan de duidelijkheid van de weigering.
84. Daarnaast stelt de verweerster dat de klager vertegenwoordigd werd door een raadsman
die op de hoogte was van de toepasselijke wetgeving en dus de mogelijkheid om klacht in te
dienen bij de GBA, aangezien deze al had meegedeeld dat hij mogelijks klacht zou indienen
bij de GBA. De Geschillenkamer neemt kennis van deze uitleg, maar acht deze niet
overtuigend. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat deze
transparantiebeginselen uit artikel 12, lid 4 AVG van toepassing zijn, ongeacht of de klager
of diens raadsman op de hoogte is van de klachtenprocedure bij de GBA.
85. Gelet op het bovenstaande is de Geschillenkamer van oordeel dat de verweerster op een
meer zorgvuldige wijze met de transparantieverplichting had kunnen omgaan. Er is sprake
van een inbreuk op artikel 12, lid 1 AVG, doch deze inbreuk is niet van zodanig ernstige aard
dat daarvoor een sanctie moet worden opgelegd. Het volstaat de verweerster te
waarschuwen voor de toekomst dat de transparantiebeginselen uit artikel 12, lid 4 AVG
van toepassing zijn ongeacht of de klager of diens raadsman al dan niet hiervan op de hoogte
zijn.
II.5. Artikel 38, lid 1 en artikel 39 van de AVG
86. De Inspectiedienst stelt vast dat de verweerster de verplichtingen opgelegd door artikel 38,
lid 1 van de AVG en door artikel 39, lid 1 van de AVG niet heeft nageleefd. De Inspectiedienst
verwijst in dat verband naar de volgende elementen:
87. “Met het oog op het informeren en sensibiliseren van het betrokken personeel met
betrekking tot de verwerking van persoonsgegevens door (medewerkers van) [de
verweerster] werd door cliënte het nodige overleg georganiseerd tussen haar medewerkers
en haar juridisch adviseurs met het oog op het opmaken en implementeren van de nodige
documentatie om te voldoen aan haar verplichtingen onder de AVG en werden intern de
nodige informatiemomenten georganiseerd om dit toe te lichten. Daarnaast werd een
“Privacy- en Vertrouwelijksheidsbeleid” voor de medewerkers van de verweerster
opgemaakt en geïmplementeerd, dat de medewerkers van [de verweerster] dienen na te
leven en waarin het beleid wordt toegelicht voor het omgaan met vertrouwelijke informatie,
inclusief persoonsgegevens, door deze medewerkers. U vindt een kopie van dit beleid in
bijlage 3”.
88. De Inspectiedienst stelt echter dat de verweerster niet aantoont:
- wat het voormelde “nodige overleg” en “de nodige informatiemomenten” in de praktijk
betekenen (er werd immers geen ondersteunend bewijs geleverd voor deze aspecten);
Beslissing ten gronde 188/2022 - 25/29
- of en in voorkomend geval hoe zijn functionaris voor gegevensbescherming betrokken is
en/of was bij de totstandkoming en opvolging van het voorgaande;
- of en in voorkomend geval hoe zijn functionaris voor gegevensbescherming betrokken is
en/of was bij de totstandkoming en opvolging van het “Privacy- en
Vertrouwelijkheidsbeleid” (bv. aan de hand van ondersteunende documenten zoals interne
mails);
- hoe de naleving van het “Privacy- en Vertrouwelijkheidsbeleid” in de praktijk wordt
gewaarborgd. Richtlijnen inzake gegevensbescherming opleggen is op zich immers
onvoldoende als de naleving ervan niet effectief wordt gewaarborgd door de verweerster
met medewerking van zijn functionaris voor gegevensbescherming.
89. De AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat
betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan
regels onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te
voldoen aan haar verplichtingen onder de AVG, maar helpen ook de functionaris voor
gegevensbescherming om zijn taken naar behoren uit te oefenen.
90. De Geschillenkamer herinnert eraan dat artikel 38, lid 1 AVG voorschrijft dat de
verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor
gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die
verband houden met de bescherming van persoonsgegevens. Op basis van artikel 39, lid 1
AVG moet de functionaris voor gegevensbescherming (a) de verwerkingsverantwoordelijke
informeren en adviseren over diens verplichtingen uit hoofde van de AVG en andere
Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en (b) toezien op
naleving van de AVG, van andere Unierechtelijke of lidstaatrechtelijke
gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke
of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip
van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de
verwerking betrokken personeel en de betreffende audits.
91. De verweerster beklemtoont in haar conclusies dat zij evenwel op het ogenblik van de
invoering van de AVG medio 2018 weloverwogen beslist heeft om geen functionaris voor
gegevensbescherming aan te stellen. Hieromtrent verwijst zij naar artikel 37, lid 1 van de
AVG waarin de aanwijzing van een functionaris voor gegevensbescherming verplicht wordt
gemaakt in drie gevallen:
“1. De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor
gegevensbescherming aan in elk geval waarin:
a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in
het geval van gerechten bij de uitoefening van hun rechterlijke taken;
Beslissing ten gronde 188/2022 - 26/29
b) een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met
verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en
stelselmatige observatie op grote schaal van betrokkenen vereisen; of
c) de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met
grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9
en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare
feiten als bedoeld in artikel 10.”
92. De verweerster meent dat geen van deze drie gevallen op haar van toepassing is. Ze is geen
overheidsinstantie of overheidsorgaan, noch is zij als producent van audiovisuele werken
een grootschalige verwerker van bijzondere categorieën van gegevens, noch van
persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten.
93. De hoofdactiviteit van de verweerster is het produceren van audiovisuele werken. Omdat de
verweerster weliswaar regelmatig persoonsgegevens verwerkte (en verwerkt) in het kader
van (een deel van) haar activiteiten (i.e. voor een deel van haar non-fictie activiteiten), maar
anderzijds haar hoofdactiviteit zich niet toespitst op verwerkingen die “regelmatige en
stelselmatige observatie van betrokkenen” vereist “op grote schaal”, werd artikel 37, lid 1
van de AVG niet van toepassing geacht en werd aldus besloten om geen functionaris voor
gegevensbescherming aan te stellen. Wél achtte verweerster het nuttiger en praktischer –
zoals dat ook op vandaag nog steeds het geval is – om te werken met een aantal
privacyverantwoordelijken (vijf om precies te zijn), één per departement. Voormelde
overwegingen en besluit – om geen functionaris voor gegevensbescherming, maar wel
privacyverantwoordelijken per departement aan te stellen – werden destijds in 2018
uitdrukkelijk opgenomen in het samenvattend overzicht van alle maatregelen die de
verweerster toen heeft genomen om de ondernemingsactiviteiten AVG-conform te maken.
94. Zoals gesteld door de verwerkingsverantwoordelijke maakt artikel 37, lid 1 van de AVG dat
de aanwijzing van een functionaris voor gegevensbescherming verplicht wordt gemaakt in
drie gevallen (zie randnummer 92). De Geschillenkamer treedt het standpunt van de
verweerster bij en stelt vast dat geen van deze drie gevallen uit artikel 37 AVG van
toepassing is op de verwerkingsverantwoordelijke, waardoor zij niet verplicht is om een
functionaris voor gegevensbescherming aan te stellen. Bijgevolg zijn de verplichtingen voor
de functionaris voor gegevensbescherming zoals bepaald in artikel 38 en 39 AVG ook niet
van toepassing in deze zaak.
95. Dit betekent echter niet dat de verweerster geen maatregelen genomen heeft om
persoonsgegevens conform de AVG te verwerken. Aan de hand van concrete voorbeelden
weerlegt de verweerster in haar conclusies de vaststellingen van de Inspectiedienst. Voor
wat betreft de vaststelling van de Inspectiedienst dat de verweerster niet zou aantonen wat
het ‘voormelde overleg’ en ‘de nodige informatiemomenten” in de praktijk betekenen, maakt
Beslissing ten gronde 188/2022 - 27/29
de verweerster een verslag over van de belangrijkste concrete maatregelen en stappen die
zij heeft uitgevoerd sinds de inwerkingtreding van de AVG. De verweerster maakt hiertoe
mails over inzake informatiesessies die werden gegeven, alsook aanwezigheidslijsten met
handtekening. Voor wat betreft het traject inzake transformatie naar AVG-conformiteit
maakt de verweerster verschillende e-mailconversaties over waaruit blijkt dat er een directe
en nauwe samenwerking blijkt tussen de advocaten van de verweerster en enkele van de
privacyverantwoordelijken van de verweerster. De verweerster maakt ook e-
mailcorrespondentie over waaruit blijkt dat de raadsleden enerzijds en de
privacyverantwoordelijken anderzijds nauw overleg hebben omtrent het Privacy- en
Vertrouwelijkheidsbeleid. Voor wat de verdere opvolging betreft, verwijst de verweerster
naar haar stukken waaronder een document inzake de te volgen procedure in het geval van
een gegevenslek. Nieuwe werknemers worden eveneens systematisch geïnformeerd
omtrent het privacy- en vertrouwelijkheidsbeleid en dienen zich er middels hun
overeenkomst met de verweerster akkoord mee te verklaren.
96. Tot slot stelt de Inspectiedienst dat de verweerster niet aantoont hoe de naleving van het
privacy- en vertrouwelijkheidsbeleid in de praktijk wordt gewaarborgd. Vooreerst kan erop
gewezen worden dat de verweerster heel wat organisatorische en technische maatregelen
voorziet onder andere om toegang door onbevoegden en/of ongewilde of onbedoelde
verspreiding te beveiligen. Daarbij kan in eerste instantie verwezen worden naar het lijstje
met de belangrijkste beveiligingsmaatregelen op IT-vlak. De verweerster licht eveneens
haar procedures inzake gegevenslekken toe in haar conclusies. Verder verwijst de
verweerster naar het gebruik van de quit claims (zie sectie II.2). Productiemedewerkers
weten dat zij daarbij ook steeds voldoende exemplaren van de nodige
toestemmingsformulieren omtrent de verwerking van persoonsgegevens moeten
meenemen naar de opnamelocaties (en doen dat ook), zodat de kandidaat-deelnemers
voldoende geïnformeerd hun – al dan niet akkoord – kunnen bevestigen met de verwerking
van hun persoonsgegevens. Ook bij het afsluiten van de overeenkomsten met nieuwe
medewerkers (vast in dienst of freelance) wordt voldoende informatie verschaft. Verder
krijgen zij consequent de nodige toelichting – inclusief middels bezorging van de tekst van
het ‘Privacy- en Vertrouwelijkheidsbeleid’ – alvorens zij zich middels de ondertekening van
hun overeenkomst akkoord verklaren met de privacyregels. Ten laatste verwijst de
verweerster nog een keer naar de klacht die de aanleiding heeft gevormd voor huidige
procedure. Van zodra het schrijven van de raadsman van de klager ontvangen werd door de
verweerster, werd de klacht onverwijld overgemaakt aan de heer privacyverantwoordelijke
voor het departement fictie en de advocaten van de verweerster met verzoek om de
verweerster hierin bij te staan. De privacyverantwoordelijke heeft de zaak daarop verder
opgevolgd met de raadslieden van de verweerster waaruit opnieuw blijkt dat de verweerster
haar privacybeleid weldegelijk ernstig neemt en het niet beperkt blijft tot het louter
Beslissing ten gronde 188/2022 - 28/29
“opleggen van richtlijnen” middels de nodige teksten, zoals de Inspectiedienst verkeerdelijk
meende vast te stellen.
97. De Geschillenkamer stelt dat het in casu disproportioneel is om een schending van de
artikelen 38, lid 1 en 39 AVG vast te stellen. Aangezien de verweerster niet verplicht is om
een functionaris voor de gegevensbescherming aan te stellen, zijn de verplichtingen
ingevolge de artikelen 38 en 39 AVG niet van toepassing op de verweerster. Bijgevolg
concludeert de Geschillenkamer dat er geen inbreuk op de artikelen 38, lid 1 en 39, AVG
werd begaan door de verweerster.
III. Publicatie van de beslissing
98. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 100, §1, 1° WOG te seponeren voor wat betreft de inbreuken op:
o de artikelen 5, 24, lid 1 en 25 lid 1 en lid 2 AVG
o de artikelen 5, lid 1, a) en artikel 6 AVG,
o de artikelen, 17 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de
AVG; en
o de artikelen 38, lid 1 en 39 AVG.
- op grond van artikel 100, §1, 2° WOG de buitenvervolging te bevelen voor wat betreft de
inbreuk op artikel 12, lid 1 AVG.
- op grond van artikel 100, §1, 5° WOG de verweerster voor de toekomst te waarschuwen
dat de transparantieverplichtingen in artikel 12, lid 4 AVG dienen te worden nageleefd.
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep te Brussel), met de Gegevensbeschermingsautoriteit als verweerster.
Beslissing ten gronde 188/2022 - 29/29
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 24. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.25, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
24
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
25
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief
gezonden aan de griffier van het gerecht of ter griffie neergelegd.