1/33
Geschillenkamer
Beslissing ten gronde 19/2021 van 12 februari 2021
Dossiernummer : AH-2018-0124
Betreft : Recht van bezwaar tegen direct marketing en tegen verwerkingen op basis van
het gerechtvaardigd belang bij telecomoperator Telenet BV
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Jelle Stassijns en Frank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
- Telenet BVBA, met zetel te Liersesteenweg 4, 2800 Mechelen; KBO-nr. 0652.615.604, hierna
de “verweerder”, vertegenwoordigd door mr Tim Van Canneyt en mr Louis Vanderdonckt.
.
.
I. FEITEN EN PROCEDURE
.
Beslissing ten gronde 19/2021 - 2/33
1. De verweerder verstrekt telecommunicatie- en TV-diensten. Tussen 17 april 2018 en 8 februari 2019
wisselden de Gegevensbeschermingsautoriteit (GBA) en de verweerder verschillende brieven en e-
mails uit met betrekking tot de behandeling van gegevenslekken door de verweerder en met
betrekking tot de manier waarop de verweerder het recht van bezwaar tegen direct marketing
aanbood. De aanleiding tot de communicatie over het recht van bezwaar was een e-mail die de GBA
van een klant van de verweerder ontving en waaruit bleek dat deze persoon moeilijkheden ondervond
om op de website van de verweerder informatie te vinden over zijn recht van bezwaar tegen direct
marketing en de manier om dit recht uit te oefenen.
2. De GBA werd immers in kopie van een e-mailuitwisseling gezet, waarbij een klant vroeg de verweerder
hoe hij zijn “opt-out” (i.e. recht van bezwaar) tegen direct marketing kon uitoefenen. Op 12 maart
2019 antwoordde de verweerder aan de klant: “Bedankt voor je aanvraag. Je privacyrechten
uitoefenen kan enkel via Mijn Telenet. Voor vragen kan je terecht in een Telenet-winkelpunt”. De klant
antwoorde kort daarop: “Dank voor uw antwoord. Ik ben gaan kijken op Mijn Telenet, maar ik vind
niet direct waar ik voor een opt-out kan kiezen.”
3. Rekening houdend met deze uitwisseling alsook met meldingen betreffende gegevenslekken besliste
het Directiecomité van de GBA op 27 februari 2019 om een zaak aanhangig te maken bij de
Inspectiedienst van de GBA op basis van artikel 63, 1° van de WOG. Het Directiecomité verzocht om
na te gaan of het recht van bezwaar werd nageleefd en, wat betreft gegevenslekken, of de risico-
gebaseerde aanpak (artikelen 32-36 AVG) werd nageleefd.
4. De beweegredenen hiervoor waren onder meer (1) mogelijke gebreken in de wijze waarop het recht
van bezwaar tegen direct marketing (art. 21.2 AVG1) kan worden uitgeoefend en (2) de vraag of de
verweerder de artikelen 32 tot en met 36 AVG naleefde. In het onderzoek van de Inspectiedienst
werden aangaande het tweede punt ook vaststellingen verricht met betrekking tot de rol van de DPO
(art. 37-39 AVG).
5. De Inspectiedienst deed haar waarnemingen inzake de afschaffing/gebrek aan facilitering van het
recht van bezwaar in de periode tussen 10 mei 6 juni 2019.
6. Wat betreft de risico-gebaseerde aanpak richtte de Inspectiedienst een schrijven met vragen aan de
functionaris voor de gegevensbescherming van de verweerder op 9 juli 2019. De verweerder
antwoordde op 9 augustus 2019. Op 17 september 2019 sloot de Inspectiedienst haar verslag van het
onderzoek af, samen met een technisch verslag (hierna tezamen: Inspectieverslag).
1
De opdracht van het Directiecomité betrof art. 21.3 AVG. De Inspectiedienst – die uiteraard vrij is om nieuwe grieven te
onderzoeken - onderzocht ook de naleving van artikel 21.2 AVG.
Beslissing ten gronde 19/2021 - 3/33
7. Het Inspectieverslag doet onder meer de volgende zeven vaststellingen:
1. Het gebruik van een groot aantal documenten, wat de
informatieverstrekking complex, onduidelijk en moeilijk te begrijpen
maakt;
2. De aanwezigheid van foutieve informatie;
3. Het gebruik van technieken die een impact kunnen hebben op de
keuzes van de betrokkene waaronder het verlenen van een vrije
toestemming en het al dan niet kennisnemen van de informatie of de
uitoefening van rechten;
4. De constructie van de informatie in de vorm van een doolhof waarin de
betrokkene geen vlotte toegang kan krijgen tot de informatie;
5. De door Telenet ingestelde standaardkeuzes die niet de meest
privacyvriendelijke zijn en steeds profilering toelaten;
6. De verplichte quasi-automatische aanvaarding van mededeling van
gegevens via cookies;
7. In combinatie met de ontbrekende mogelijkheid om op een eenvoudige
wijze het recht van bezwaar uit te oefenen.
8. Het Inspectieverslag preciseert daarbij dat de uiteindelijke vaststellingen niet enkel betrekking hebben
op de naleving en facilitering van het recht van bezwaar, maar ook op de informatieplicht (artikelen
13 en 14 AVG), de plicht tot het faciliteren van de uitoefening van de rechten (artikel 12.2 AVG) en
het verlenen van een bescherming door standaardinstellingen en door ontwerp (artikel 25 AVG).
9. Op 23 maart 2020 besliste de Geschillenkamer dat het dossier gereed was voor behandeling. Gelet op
het grote aantal grieven dat in het Inspectieverslag opgesomd was en waarvan sommigen nog
juridische of feitelijke ondersteuning behoefden, besloot de Geschillenkamer om haar beslissing op
bepaalde grieven te focussen:
- de naleving van het recht van bezwaar tegen direct marketing in combinatie met informatie
en transparantieplichten (art. 21.2 AVG juncto art. 12 en 13-14 AVG): de Geschillenkamer
verduidelijkte de AVG-bepalingen waarop de verweerder zich kon verweren, en stelde onder
andere dat titel 1 van het Inspectieverslag te maken had met het recht van bezwaar tegen
direct marketing onder artikel 21.2 AVG. De Geschillenkamer stelde ook verdere vragen ter
verduidelijking van de grief van de Inspectiedienst over de ontbrekende mogelijkheid om op
een eenvoudige wijze het recht van bezwaar uit te oefenen. De Geschillenkamer vroeg met
name op welke platformen de betrokkene de mogelijkheid had om zijn recht van bezwaar
onder artikel 21 AVG te uiten wat betreft het verwerken van zijn kijkgedrag en/of het
surfgedrag door Telenet die zowel internetdiensten als televisiediensten aanbiedt.
Beslissing ten gronde 19/2021 - 4/33
- de manier waarop de toestemming – indien verplicht – op de website van de verweerder
vergaard werd, via cookies en of via de privacy-instellingen (art. 7 juncto art. 12 en 13 AVG).
- de meldingsplicht: de Geschillenkamer vroeg de verweerder om zijn standpunt mee te delen
met betrekking tot de vaststellingen van de Inspectiedienst over de risico-gebaseerde aanpak
(focus op meldingsplicht) en de beveiligingsplicht (art. 32 AVG), in verband met de melding
van datalekken.
10. In een brief aan de verweerder stelde de Geschillenkamer een aantal bijkomende vragen en bood ze
de verweerder de mogelijkheid om zijn antwoord te beperken tot de door de Geschillenkamer
aangekaarte aandachtspunten.
11. Op 22 mei legde de verweerder zijn conclusie neer en vroeg om in het kader van een hoorzitting
gehoord te worden. De verweerder verkoos om zijn conclusie niet tot de vragen van de
Geschillenkamer te beperken en antwoordde op alle vaststellingen van de Inspectiedienst. Op 12
augustus 2020 stelde de Geschillenkamer de verweerder in kennis van de datum van de hoorzitting,
welke op 23 september vastgesteld werd. In dezelfde brief vroeg de Geschillenkamer om tegen 9
september een kort antwoord op bijkomende vragen over de uitoefening van het recht van bezwaar
te bezorgen.
12. Op 9 september bezorgde de verweerder zijn antwoord op deze vragen. Na kennisname hiervan
besloot de Geschillenkamer op 21 september om de debatten te heropenen en stuurde zij een brief
aan de verweerder met bijkomende vragen over de manier waarop de verweerder het recht van
bezwaar tegen direct marketing aanbood. De Geschillenkamer vroeg ook hoe betrokkenen die geen
klant zijn bij de verweerder hun recht van bezwaar kunnen uitoefenen. Op vraag van de verweerder
stelde de Geschillenkamer vervolgens een latere datum voor de hoorzitting vast, welke datum bij brief
van 23 september 2020 medegedeeld werd.
13. Op 7 oktober 2020 vond de hoorzitting plaats. Het proces-verbaal van de hoorzitting werd op 23
december 2020 verstuurd en nam akte van het feit dat de pleidooien zich beperkten tot het uitleggen
van de geschreven argumenten zoals uiteengezet in de conclusie en latere brieven van de verweerder
aan de Geschillenkamer. Het proces-verbaal vat enkele elementen samen ter verduidelijking van deze
eerder neergelegde geschreven argumenten.
14. In deze beslissing onderzoekt de Geschillenkamer de grieven en feiten weerhouden door de
Inspectiedienst zoals aangevuld door de antwoorden van de verweerder op de vragen gesteld door
de Geschillenkamer in haar brieven van 12 augustus, 9 en 21 september 2020.
Beslissing ten gronde 19/2021 - 5/33
II. BEOORDELING IN RECHTE
1. Oogmerk en structuur van de beslissing
15. Deze beslissing heeft betrekking op een prioritaire sector zoals aangeduid in het Strategisch Plan 2020
van de GBA, namelijk telecom en media.
16. De Geschillenkamer beoogt met deze beslissing vooral duidelijkheid te verschaffen over de betekenis
van de transparantievereisten uit de AVG voor aanbieders van diensten aan natuurlijke personen. De
overwegingen in deze beslissing hebben dan ook een wijder belang voor andere aanbieders.
Aanbieders in de sector hebben een voorbeeldfunctie, mede omdat het verwerken van
persoonsgegevens voor hen een kernactiviteit is.
17. Deze beslissing bevat opmerkingen over de bevoegdheid van de Geschillenkamer, rekening houdend
met de toepasselijke wetgeving en de betrokken verwerkingen van persoonsgegevens (Titel 2). In
Titel 3 oordeelt de Geschillenkamer over het recht van bezwaar tegen direct marketing verwerkingen
(21.2 AVG), in verband met transparantieverplichtingen (art. 12.1 AVG) en informatieverplichtingen
(art. 13 en 14 AVG) alsook de verplichting om de uitoefening van de rechten onder de AVG te faciliteren
(artikel 12.2 AVG).
18. De Geschillenkamer behandelt in Titel 4 het gebrek aan recht van bezwaar tegen verwerkingen
gebaseerd op het gerechtvaardigd belang en die geen direct markering uitmaken, alsmede het gebrek
aan informatie over de uitoefeningswijze van dit recht van bezwaar (art. 21.1 AVG juncto artikelen
12.1, 13 en 14 AVG).
19. De Geschillenkamer antwoordt vervolgens op de grieven inzake cookies (Titel 5) en de melding van
gegevenslekken (Titel 6). In Titel 7 reageert de Geschillenkamer op de argumenten van de verweerder
met betrekking tot het recht op eerlijk proces en de beginselen van behoorlijk bestuur. Tot slot
motiveert de Geschillenkamer de sancties en maatregelen.
2. Bevoegdheid van de Geschillenkamer - verduidelijking met betrekking tot de
toepasselijke wetgeving in verhouding tot de verwerkte persoonsgegevens
2.1 De verwerkte persoonsgegevens
Beslissing ten gronde 19/2021 - 6/33
20. De vaststellingen van de Inspectiedienst hebben betrekking op de verwerkingen van de verweerder
tussen 10 en 14 mei 2019. Op dat moment was het Privacybeleid van 25 mei 2018 van toepassing.
Volgens dit privacybeleid verwerkt de verweerder verkeersgegevens, gebruikersgegevens en gegevens
omtrent gebruik van zijn klanten.2
21. De Geschillenkamer neemt nota van het feit dat de verweerder gegevens over het kijkgedrag
verzamelt, inclusief gegevens over de opt-out voor aanbevelingen van TV-programma’s. De
Geschillenkamer neemt ook akte van het feit dat de “gegevens over je gebruik” van de producten van
de verweerder op een niet-limitatieve manier in het Privacybeleid gedefinieerd worden en dus3
potentieel ook gegevens over het gebruik van de internetproducten of, anders gezegd, het surfgedrag
omvatten. De verweerder maakt profielen op basis van het surfgedrag, zoals aangegeven in artikel 7
van het Privacybeleid. De verweerder doet dit in de gevallen waarin de betrokken klant in de door de
verweerder aangeboden privacy-instellingen (algemeen – gericht – persoonlijk – uniek) voor de
privacy-instelling “uniek” kiest.4
22. Uit het inspectieverslag blijkt immers dat de verweerder zowel televisiediensten als internetdiensten
aanbiedt. De verweerder heeft dus de mogelijkheid om gegevens over zowel het kijkgedrag als het
surfgedrag van zijn klanten te verwerken, zoals blijkt uit een in het Inspectieverslag aangehaald
persbericht van 24 april 2018 in de Standaard “Proficiat u koos voor TV-reclame op maat”. Volgens
dat persbericht informeerde de verweerder zijn klanten toen met een grote e-mailreclamecampagne
dat ze in de toekomst TV-reclame op maat zouden ontvangen. TV-kijkers van de verweerder met een
decoder zouden gepersonaliseerde TV-reclame krijgen gebaseerd op het kijkgedrag en, desgevallend,
ook op basis van surfgegevens, wat betreft klanten die het privacyniveau “ uniek” zouden kiezen.
2.2 De toepasselijke wetgeving
2
De verschillende categorieën van verwerkte gegevens - wat betreft de klanten van de verweerder - worden in het Privacybeleid
gedefinieerd. Het gaat onder andere om :
verkeersgegevens: “deze bijzondere technische gegevens hebben we nodig om je verkeer over elektronische
communicatienetwerken af te wikkelen, zoals je IP-adres of MAC-adres”
gebruikersgegevens (“persoonsgegevens die je als gebruiker van onze producten en diensten kunnen identificeren,
bv. je naam”) en de keuzes die de klant maakt in de loop van het gebruik van de producten van de verweerder
(“bijvoorbeeld je opt-out voor aanbevelingen van TV-programma’s”);
gegevens over je gebruik: “de gegevens die wij ontvangen wanneer je onze producten en diensten gebruikt.
Bijvoorbeeld: de opgeroepen (mobiele) telefoonnummers, de datum, het tijdstip, de duur en de locatie van een
gesprek of internetverbinding, hoe je gebruik maakt van onze nieuwsbrieven of websites of gegevens betreffende
het gebruik van onze TV-diensten (zoals welke films je bekijkt en bestelt uit onze TV-theek, wat je opneemt, pauzeert,
verder-en terugspoelt dan wel uitgesteld bekijkt, wat je favoriete TV-kanalen zijn of welke apps op onze decoder je
recent hebt gebruikt).” […]
Wat betreft niet-klanten van de verweerder zijn de verwerkte gegevens beperkt, zoals door de verweerder in zijn brief van 6
oktober 2020 aan de Geschillenkamer uitgelegd.
3
Art. 3.C van het Privacybeleid van de verweerder “Daarnaast registreren onze systemen ook persoonsgegevens die worden
gegenereerd tijdens jouw gebruik van onze producten en diensten (bijvoorbeeld […]”..
4
Zie over de privacy-instellingen titel 3.4.3 punt 80 van deze beslissing.
Beslissing ten gronde 19/2021 - 7/33
23. Er bestaat onduidelijkheid over de toepasselijkheid van de regels uit de ePrivacy Richtlijn 5, zoals
geïmplementeerd in de Wet van 13 juni 2005 betreffende de elektronische communicatie (hierna
“WEC”) op het verwerken van gegevens betreffende surfgedrag en kijkgedrag door
telecomoperatoren. Artikel 122 van de WEC voorziet, ter omzetting van de ePrivacy Richtlijn, specifieke
verplichtingen inzake transparantie voorafgaand aan de verwerking van verkeersgegevens (zoals
gegevens betreffende surfgedrag) alsook toestemmingsverplichtingen.
Volgens Advies 01/2017 van de Groep Gegevensbescherming is de ePrivacy Richtlijn in principe van
toepassing op de verwerking van gegevens die zijn verzameld bij het aanbieden van digitale
omroepdiensten (zoals gegevens betreffende kijkgedrag), ook al sluit de ePrivacy Richtlijn
omroepdiensten uit van haar toepassingsgebied6.
24. Gezien de verweerder volgens zijn Privacybeleid en de pers zowel kijkgedrag- als gegevens betreffende
surfgedrag verwerkt, heeft de Geschillenkamer aan de verweerder gevraagd om zijn gemotiveerd
standpunt te geven over de toepasselijke wetgeving.
25. De verweerder verduidelijkte nader dat hij voor het personaliseren van TV-reclame enkel
verkeersgegevens, TV-kijkgedrag en salesprofileringen verwerkt, en dat hij uiteindelijk beslist heeft
om gegevens betreffende surfgedrag voor het personaliseren van TV-reclame niet te verwerken7. De
Geschillenkamer neemt hiervan akte en dient haar bevoegdheid met betrekking tot het verwerken van
gegevens betreffende surfgedrag niet te onderzoeken.
26. Wat betreft gegevens betreffende kijkgedrag is de Geschillenkamer bevoegd om toezicht te houden
op de naleving van de AVG-regels inzake het recht van bezwaar (art. 21.1 en 21.2 AVG) en de
transparantieverplichtingen (art. 12 en 13-14 AVG).
27. Voor alle duidelijkheid stelt de Geschillenkamer vast dat het feit dat recht van bezwaar en de
transparantieregels voor een deel in de WEC (recht om de toestemming in te trekken) geregeld
worden, geen afbreuk doet aan haar bevoegdheid om toe te zien op de toepassing van de AVG wat
betreft de transparantieverplichtingen en recht van bezwaar, ook in het geval de WEC eveneens van
toepassing zijn. Zoals de EDPB uitlegt, blijven autoriteiten voor gegevensbescherming bevoegd te
oordelen over – elementen van – verwerkingen waarvoor de ePrivacy richtlijn geen specifieke regels
5
Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van
persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn
betreffende privacy en elektronische communicatie), PB L 201/37, zoals gewijzigd bij Richtlijn 2009/136.
6
WP247, beschikbaar op: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610140.
7
Conclusie van de verweerder, p. 38; brief van de verweerder aan de Geschillenkamer dd. 6 oktober 2020, p. 6.
Beslissing ten gronde 19/2021 - 8/33
stelt. Het enkele feit dat een onderdeel van de verwerking onder de reikwijdte van de ePrivacy richtlijn
beperkt de bevoegdheid van de GBA niet.8
3. Het recht van bezwaar met het oog op direct marketing en transparantie
3.1 De onderzochte grieven
28. De Geschillenkamer onderzocht de grieven van de Inspectiedienst over
- het recht van bezwaar tegen verwerkingen met het oog op direct marketing (art. 21.2 AVG,
en niet art. 21.3 AVG, zoals oorspronkelijk vermeld in de opdracht van het Directiecomité van
de het Inspectieverslag9);
- de transparantie van de informatie op basis van art. 12.1 AVG ;
- de informatieverplichtingen op basis van art. 13 en 14 AVG.
29. Daarnaast onderzocht de Geschillenkamer het recht van bezwaar tegen verwerkingen gebaseerd op
het gerechtvaardigd belang (art. 21.1 AVG). Wat betreft het recht van bezwaar tegen direct marketing
onderzocht de Geschillenkamer ook de verplichtingen van de verweerder tot het faciliteren van de
rechten van betrokkenen onder artikel 12.2 AVG, en meer bepaald het recht van bezwaar op basis
van artikel 13.2.b AVG.
3.2 Kwalificatie van de betrokken verwerkingen en bevoegdheid van de
Geschillenkamer
30. Krachtens artikel 21.2 van de AVG heeft de betrokkene wiens persoonsgegevens voor direct marketing
doeleinden worden verwerkt ten alle tijde het recht bezwaar te maken tegen de verwerking van hem
betreffende persoonsgegevens, met inbegrip van profilering die betrekking heeft op direct marketing.
31. De AVG definieert niet wat onder “direct marketing” verstaan wordt. Tot op heden bestaat er geen
wettelijke, officiële of algemeen aanvaarde definitie van dit begrip op Europees niveau. De GBA
verduidelijkte haar interpretatie van dit wettelijk begrip in aanbeveling 1/202010: “Elke communicatie,
in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht
op de promotie of verkoop van diensten, producten (al dan niet tegen betaling), alsmede merken of
ideeën, geadresseerd door een organisatie of persoon die handelt in een commerciële of niet-
8
Groep 29, WP 29, Opinion 5/2019 on the interplay between the ePrivacy Directive and the GDPR, para 69.
9
De Geschillenkamer verduidelijkte de zijn inziens relevante bepalingen in haar brief aan de verweerder van 23 maart 2020.
10
GBA, Aanbeveling nr. 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden”, p. 9, beschikbaar op de GBA website.
Beslissing ten gronde 19/2021 - 9/33
commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen in een privé-of
professionele context en die de verwerking van persoonsgegevens met zich meebrengt ”. Onder “direct
marketing” worden dus verschillende vormen van promotie verstaan, zoals nieuwsbrieven per e-mail,
commerciële telefoontjes of sms’jes of e-mails, of online reclame en dit, al dan niet in een commerciële
context.
32. De verweerder betwist niet dat hij gegevens van klanten verwerkt met direct marketing doeleinden,
en derhalve onder art. 21.2 AVG een recht van bezwaar tegen deze verwerkingen moet aanbieden.
33. Onder artikel 4.B van zijn Privacybeleid van 25 mei 2018 kondigt de verweerder aan dat de verwerkte
gegevens voor de volgende direct marketing (promotie) doeleinden gebruikt worden:
- om de klant over (nieuwe) producten en diensten van de verweerder en andere bedrijven
binnen de groep van de verweerder aan te bieden.
Een voorbeeld van promotie voor eigen producten en diensten en speciale acties is:
“je kan een sms-bericht ontvangen op het moment dat je bundel op is met een
voorstel om over te stappen naar een nieuw tariefplan.”
- en om gepersonaliseerde TV-reclame aan te bieden.
Een voorbeeld van gepersonaliseerde TV-reclame is: “aan de hand van je profiel
kunnen we een aantal TV-zenders waar we mee samenwerken de standaard TV-
reclame aanpassen aan je interesses en voorkeuren. De combinatie van
gebruikersgegevens (bijvoorbeeld je leeftijd, taal, postcode, product-mix en socio-
demografische gegevens zoals gezinssamenstelling en statistische gegevens op
straatniveau) en je gegevens over je gebruik (zijnde je TV-kijkgedrag) laten ons toe
om je TV-ervaring te personaliseren”.
34. De Geschillenkamer oordeelt hoe het recht van bezwaar onder de AVG moet worden verstrekt in
verband met deze direct marketing verwerkingen via verschillende kanalen, ook al is direct marketing
via elektronische vorm (b.v. e-mails) geregeld in artikel VI.111 van het Wetboek Economisch Recht
dat artikel 5.3 van de ePrivacy Richtlijn in de Belgische wetgeving implementeert.11
35. In het bijzonder is de Geschillenkamer bevoegd om te oordelen of de uitoefening van het recht van
bezwaar tegen direct marketing door de verweerder al dan niet conform artikel 12.2 AVG (verplichting
tot het faciliteren van het recht) en al dan niet conform de verplichtingen inzake transparante
informatie (artikel 13.2.b AVG) verstrekt wordt.
11
Zie titel 2.2 hierboven.
Beslissing ten gronde 19/2021 - 10/33
3.3 Inbreuken op het recht van bezwaar tegen direct marketing als dusdanig (art.
12.2 en art. 21.2 AVG) - Gebrek aan geconsolideerde bezwaarmogelijkheid
(“opt-out”) in de periode tussen de inwerkingtreding van de AVG en 18 maart
2019
36. De Geschillenkamer stelt vast dat artikel 7.c van het Privacybeleid van 25 mei 201812 de klant de
mogelijkheid bood om bezwaar te maken tegen alle mogelijke vormen van marketing opgesomd in
het Privacybeleid, i.e. sms, e-mail, telefoon, brieven, nieuwsbrieven per e-mail. Daarvoor moest de
klant zijn bezwaar per vorm van marketing uitdrukken: op de website van een externe provider
(Robinsonlijst voor commerciële brieven, Belmeniet-register voor telefoontjes), in het marketing
bericht zelf voor sms’jes en nieuwsbrieven (reageren met “STOP” op het nummer dat de sms stuurde,
of gebruikmaken van de uitschrijfmogelijkheid in de commerciële e-mails)13.
37. Mocht de klant geen enkele vorm van commerciële communicatie willen ontvangen, dan nodigde
artikel 7.c van het Privacybeleid de klant uit om contact op te nemen met de klantendienst van de
verweerder of zich naar één van de winkelpunten van verweerder te begeven14.
38. De Geschillenkamer oordeelt dat het recht van bezwaar in casu niet voldoende gefaciliteerd is, omdat
de betrokkenen tegen alle vormen van direct marketing afzonderlijk (bv. via e-mail, telefoon, enz.)
bezwaar moet maken zonder de mogelijkheid te krijgen om gemakkelijk (bv. door op een vakje te
klikken) tegen alle vormen van direct marketing tegelijk bezwaar te maken en zonder dat bezwaar via
een gepast communicatiekanaal te mogen uiten.
39. Het recht van bezwaar moet immers via gepaste communicatiekanalen aangeboden worden, rekening
houdend met de kanalen waarmee de verwerkingsverantwoordelijke en de betrokkene met elkaar in
het kader van de aangeboden diensten communiceren. In Aanbeveling 1/2020 over direct marketing
stelt de GBA ook dat de betrokkene zijn recht van bezwaar tegen direct marketing gemakkelijk moet
kunnen uitoefenen, rekening houdend met de middelen waarmee de verwerkingsverantwoordelijke
met betrokkene communiceert: “als de verplichte informatie digitaal wordt verstrekt of als u de
persoon contacteert via digitale kanalen, zou één enkele klik moeten volstaan ”15.
12
Technisch verslag Inspectiedienst, p. 22.
13
Stuk 1 van de verweerder, p. 12.
14
Ibid.
15
GBA, Aanbeveling nr.01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden, randnummer 162, p. 54.
Beslissing ten gronde 19/2021 - 11/33
40. De Geschillenkamer stelt vast dat overeenkomstig de AVG het recht op bezwaar op een behoorlijke
manier moet worden gefaciliteerd, via gepaste communicatiekanalen. Er bestaat een parallel met
artikel 7.3 AVG dat voorschrijft dat het intrekken van de toestemming even gemakkelijk moet zijn als
het geven ervan. De Geschillenkamer oordeelt dat het even simpel moet zijn om zijn bezwaar uit te
drukken als om zijn gegevens te verstrekken of de verwerkingsverantwoordelijke in het kader van zijn
producten en diensten te contacteren. De Geschillenkamer oordeelt dat het voor de uitoefening van
het recht van bezwaar ter beschikking gestelde communicatiemedium evenredig moet zijn aan het
middel waarmee de verwerkingsverantwoordelijke met de betrokkene communiceert: als de
verwerkingsverantwoordelijke de verplichte informatie op grond van de artikelen 13 en14 via zijn
website meedeelt en/of als de betrokkene van de verwerkingsverantwoordelijke digitale
marketingberichten krijgt, dan moet het recht van bezwaar ook via online kunnen worden geuit.
41. In casu stelt de Geschillenkamer dus vast dat de verweerder de mogelijkheid moet aanbieden om een
bezwaar tegen direct marketing online uit te drukken, aangezien de persoonsgegevens online werden
verstrekt en de direct marketing communicatie online gebeurt: het volstaat niet om van de betrokkene
klant te eisen dat hij zich naar een winkel van de verweerder begeeft, of telefonisch een klantendienst
van de verweerder moet contacteren, als zijn persoonsgegevens online werden verzameld en/of de
direct marketing berichten online worden verstuurd.
42. Samengevat, gelet op de hierboven uiteengezette feiten en gelet op de verplichting om het recht van
bezwaar tegen direct marketing communicatie conform 12.2 AVG te faciliteren, is de Geschillenkamer
van oordeel dat de verwerkingsverantwoordelijke niet enkel de mogelijkheid moet voorzien om het
bezwaar granulair per communicatiekanaal (e-mail, sms, enz.) aan te bieden, maar dat hij ook een
eenvoudige manier moet verstrekken om gemakkelijk alle vormen van commerciële communicatie te
weigeren, en dit, via gepaste communicatiekanalen, rekening houdend met de kanalen waarmee de
verweerder zijn direct marketing berichten stuurt en/of de persoonsgegevens verzamelt.
43. Op basis van de vaststellingen van het Inspectieverslag stelt de Geschillenkamer vast dat een
dergelijke geconsolideerde online uitschrijfmogelijkheid tussen 25 mei 2018 tot en met minstens 17
maart 2019 niet bestond16. Derhalve werd er in deze periode een inbreuk gepleegd op art. 21.2 juncto
12.2 AVG.
44. Deze inbreuk is te meer belangrijk aangezien de CBPL nochtans de verweerder in haar brief van 4 mei
2018 had gewaarschuwd: “Het recht van bezwaar moet volgens de AVG worden gefaciliteerd, wat
betekent dat er een makkelijk vindbare uitschrijfmogelijkheid zou moeten zijn. Andere
verantwoordelijken passen dit consequent toe via eenvoudige tools zoals, een online
16
Zie beslissing van de Geschillenkamer 72/2020, paras 23-26.
Beslissing ten gronde 19/2021 - 12/33
uitschrijfformulier, een gebruikelijke opt-out weblink in correspondentie, de GSM of een helpline. […]
De verwijzing naar tal van externe lijsten (Robinson lijst, bel me niet lijst) is een bijkomende
bemoeilijking van het recht, dat blijkbaar wordt versnipperd in deelcategorieën naargelang de vorm
van marketing door of namens Telenet groep.”.
45. De verweerder had deze geconsolideerde uitschrijfmogelijkheid uit eigen beweging moeten
implementeren, overeenkomstig de verantwoordelijkheid van de verwerkingsverantwoordelijke op
grond van artikel 24 AVG. Desondanks heeft verweerder gewacht op de opmerkingen van de
Inspectiedienst tot 18 maart 2019 alvorens aan deze tekortkoming te verhelpen. De Geschillenkamer
stelt derhalve voor de periode tot en met 18 maart 2019 een inbreuk vast op de plicht om het recht
van bezwaar tegen direct marketing conform art. 12.2 AVG juncto art. 21.2 AVG te faciliteren.
46. De verweerder legt uit dat hij sinds 18 maart 2019 een uitschrijfknop heeft voorzien, en dat deze knop
vanuit verschillende delen van zijn website beschikbaar is 17: “Om het gemak bij het vinden van het
online uitschrijfformulier voor gebruikers te vergroten heeft Telenet meerdere pistes op de website
uitgewerkt waarlangs de betrokkene zijn recht op verzet kan uitoefenen. Zo kan de betrokkene zijn
recht op bezwaar uitoefenen (i) via de Privacy-instellingen (ii) via de pagina ‘Wat betekent GDPR voor
mij’? en (iii) via de afzonderlijke uitschrijfknop die de betrokkenen te zien krijgt op de Contactpagina
voor de Telenet klantendienst.”. Deze uitschrijfknop biedt inderdaad de mogelijkheid om “een volledige
uitschrijving voor alle commerciële communicatie” te vragen18.
47. Op basis van de stukken van de verweerder stelt de Geschillenkamer vast dat deze uitschrijfknop als
volgt in het deel “je persoonsgegevens beheren” aangeboden wordt: verschillende aanvragen inzake
persoonsgegevens worden voorgesteld (bv. het verwijderen of aanpassen van persoonsgegevens),
inclusief het recht van bezwaar tegen alle communicatiekanalen.
17
Conclusie van de verweerder, p. 45.
18
Brief van de verweerder dd. 9 september 2020, p. 7.
Beslissing ten gronde 19/2021 - 13/33
3.4 Inbreuken op de informatie en transparantieverplichtingen
3.4.1 Context
48. De Inspectiedienst oordeelt dat de informatiearchitectuur op de website van de verweerder op een
“doolhof” gelijkt gelet op de overmaat aan informatie en op de veelvuldige herhalingen.19 De
Inspectiedienst onderstreept dat de verweerder 14 keer moet klikken om het Privacybeleid in zijn
geheel te kunnen raadplegen, hetgeen volgens de Inspectiedienst een inbreuk op artikelen 13 en 14
AVG uitmaakt, alsook een inbreuk op artikel 12 AVG, in de mate dat deze informatie de uitoefening
van de rechten, inclusief het recht van bezwaar, niet faciliteert.
49. Artikelen 13 en 14 geven een lijst van te verstrekken informatie afhankelijk van de omstandigheden
(wanneer persoonsgegevens bij de betrokkene zijn verzameld of, bij wijze van alternatief, niet
rechtstreeks bij hem worden verkregen). Artikelen 13.2.b en 14.2.b AVG schrijven voor dat de
verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens, of, wanneer
de gegevens niet direct bij hem verkregen werden, binnen een redelijke termijn en uiterlijk op het
tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt, informatie moet verstrekken
over het recht om tegen de verwerking bezwaar te maken, dit om een behoorlijke en transparante
verwerking te waarborgen.
19
Vaststellingen 1 en 4 van het Inspectieverslag.
Beslissing ten gronde 19/2021 - 14/33
50. Artikel 12.1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen” neemt
“opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie […] in verband met de
verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke vorm en in
duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind
bestemd is”. Artikel 12.2 schrijft voor dat de verwerkingsverantwoordelijke de uitoefening van de
rechten van de betrokkene, waaronder het recht van bezwaar, moet faciliteren. Volgens overweging
39 van de AVG betekent de verplichting tot transparantie dat de personen op een toegankelijke en
begrijpelijke manier geïnformeerd moeten worden, o.a. over de wijze waarop hun rechten uitgeoefend
kunnen worden.
51. De Geschillenkamer moet oordelen of de inhoud en structuur van de privacy-verbonden informatie op
de website van de verweerder voldoende lezersvriendelijk en overzichtelijk is om aan de eisen van
artikelen 13, 14 en 12.2 AVG te voldoen.
52. De Geschillenkamer begrijpt uit het Inspectieverslag, het technisch verslag en de argumenten van de
verweerder dat de relevante operationele informatie over het recht van bezwaar zich niet in het
Privacybeleid van de verweerder, doch voornamelijk in het klantenportaal Mijn Telenet bevindt. De
Geschillenkamer beschikt niet over vaststellingen van de Inspectiedienst over de Mijn Telenet
applicatie. De Geschillenkamer onderstreept dat de verweerder door de informatie voornamelijk in het
besloten klantgedeelte van zijn website te verstrekken, in onvoldoende mate zijn verplichtingen
nakomt om de uitoefening van de rechten, inclusief het recht van bezwaar, te faciliteren. Niet-klanten
moeten ook, vooraleer ze met verweerder contracteren, op het publieke deel van de website van
verweerder een goed beeld kunnen krijgen van de manier waarop de verweerder als toekomstige
dienstverlener hun persoonsgegevens zal verwerken. Conform de richtsnoeren van de Groep 29 20
moet de verwerkingsverantwoordelijke gedetailleerde informatie over het recht van bezwaar
overeenkomstig artikel 21 AVG lid 2 uitdrukkelijk onder de aandacht van de betrokkene brengen, en
dit uiterlijk op het moment van het eerste contact met de betrokkene. Daarbij moet deze informatie
duidelijk en gescheiden van enige andere informatie aangeboden worden (artikel 21, lid 4). De
informatie over het recht van bezwaar en de manier om dit recht uit te oefenen moet dus makkelijk
vindbaar zijn op het publieke deel van website van de verweerder en niet alleen in Mijn Telenet.
20 Groep 29, WP251, Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van
Verordening (EU) 2016/679, 3 oktober 2017, p. 21.
Beslissing ten gronde 19/2021 - 15/33
3.4.2 Structuur van de website in informatielagen en gebrek aan een duidelijke
eerste laag synthesepagina
53. De verweerder stelt dat zijn documentatiearchitectuur goed ontworpen is, met als eerst aangeboden
informatie (eerste laag informatie) zijn Privacybeleid bestaande uit uitklapbare hoofdstukken, conform
de eisen van de AVG zoals door de EDBP geïnterpreteerd21. De verweerder geeft als voorbeeld het feit
dat de Gegevensbeschermingsautoriteit ook haar eigen Privacybeleid in uitklapbare hoofdstukken als
eerste laag informatie aanbiedt22.
54. De Geschillenkamer oordeelt dat de verweerder zijn Privacybeleid als eerste document mag gebruiken
om aan de informatieverplichtingen van art. 13 en 14 te voldoen, voor zover dit eerste laag document
voldoende duidelijk (niet te gedetailleerd) en overzichtelijk is voor een doorsnee internetgebruiker.
55. Ook de Groep 29 oordeelt dat een eerste laag informatie helder, overzichtelijk en niet te gedetailleerd
moet zijn: “Het ontwerp en de lay-out van de eerste laag van de privacyverklaring/mededeling dienen
zodanig te zijn dat de betrokkene een duidelijk overzicht heeft van de informatie over de verwerking
van zijn of haar persoonsgegevens die aan hem of haar beschikbaar is gesteld en van de plaats
waar/de wijze waarop hij of zij die gedetailleerde informatie kan vinden binnen de lagen van de
privacyverklaring/mededeling”23.
56. Voorts oordeelt de Geschillenkamer dat de verweerder zijn Privacybeleid in uitklapbare hoofdstukken
mag voorstellen op voorwaarde dat deze informatie voldoende duidelijk (eenvoudig) en toegankelijk
is. Overweging 39 van de AVG stelt immers: “Overeenkomstig het transparantiebeginsel moeten
informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig
toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt.”. Dat de
internetgebruiker ten tijde van het Inspectieverslag 14 keer moest klikken om een volledig overzicht
te krijgen van het Privacybeleid dat in de vorm van hoofstukken met hyperlinks aangeboden wordt,
acht de Geschillenkamer niet problematisch, in de mate dat de verweerder tevens een geconsolideerde
versie van het Privacybeleid op zijn website – via een hyperlink op elke webpagina van de website –
ter beschikking stelde met een overzicht van de relevante titels24.
57. De Geschillenkamer beschikt over drie versies van dit Privacybeleid, dd. 25 mei 2018 , dd. 17 maart
2019 en dd. 19 mei 2020, die wat betreft de hier aangekaarte punten niet verschillen.
21
Conclusie van de verweerder dd. 22 mei 2020, p. 15 en 34.
22
Conclusie van de verweerder dd. 22 mei 2020, p. 20.
23
EDPB, Richtsnoeren m.b.t. transparantie (WP260rev01), § 35.
24
Conclusie van de verweerder, p. 17.
Beslissing ten gronde 19/2021 - 16/33
58. De Geschillenkamer oordeelt echter dat het Privacybeleid van de verweerder in casu onvoldoende
helder is om als eerste laag informatie te functioneren. Het Privacybeleid bevat een zeer gedetailleerd
niveau van informatie, hetgeen wordt geïllustreerd door de veelvuldige interne kruisverwijzingen die
de concrete uitoefening van een recht, zoals het recht van bezwaar, bemoeilijken. In de plaats van
een directe link naar de operationele pagina te verstrekken waar het recht van bezwaar kan worden
uitgeoefend, krijgt de lezer een beschrijvende uitleg over de manier om het recht van bezwaar uit te
oefenen. Deze beschrijving volstaat niet om de betrokkene te faciliteren zijn recht van bezwaar
concreet uit te oefenen.
59. Een voorbeeld is hoofdstuk 8 van dit Privacybeleid over het recht van bezwaar dat naar hoofdstuk 7
verwijst, terwijl hoofdstuk 7 dan opnieuw naar hoofdstuk 8 van het Privacybeleid verwijst.
60. Wat betreft de lezersvriendelijkheid van dit document stelt de Geschillenkamer vast dat de interne
kruisverwijzingen in het Privacybeleid met de nummers van de titels van de uitklapbare hoofdstukken
overeenstemmen, wat het surfen door het Privacybeleid aan de hand van deze nummers enigszins
vergemakkelijkt. Desalniettemin merkt de Geschillenkamer op dat het Privacybeleid interne
kruisverwijzingen bevat zonder mogelijkheid om door te klikken (geen toegevoegde hyperlinks).
61. De Geschillenkamer stelt eveneens vast dat de voorstelling van de privacy-instellingen fouten bevat.
De verweerder geeft de keuze tussen 4 niveaus van privacy die met verschillende gradaties van direct
marketing overeenstemmen. De indeling “algemeen”, “persoonlijk”, “doelgericht” en “uniek” werd ten
tijde van het Inspectieverslag niet altijd consequent toegepast25. Het is nochtans de
verantwoordelijkheid van de verweerder om de correctheid van deze privacy-informatie te garanderen.
62. Inzake de structuur van de website merkt de Geschillenkamer op dat het document Privacybeleid
hiërarchisch onduidelijke informatie bevat met betrekking tot de bescherming van de
persoonsgegevens op de website van de verweerder. Ten tijde van de vaststellingen van de
Inspectiedienst bevatte eenzelfde webpagina van de website van de verweerder verschillende vensters
met hyperlinks naar privacy gerelateerde informatie die apart en niet geïntegreerd aangeboden werd,
waardoor de informatie overdadig is en niet duidelijk gestructureerd, doordat veel min of meer, doch
niet volledig, identieke mededelingen zijn opgenomen, zoals “Eerste hulp bij GDPR: belangrijke
begrippen”; “Wat betekent GDPR voor mij”; “Eerste hulp bij GDPR”; “jouw privacy is belangrijk voor
ons”; “Privacy”; “Ik heb WIGO en meerdere privacyniveaus”; “Netwerkbeheer: hoe respecteert Telenet
mijn privacy”26. Dat het Privacybeleid van de verweerder onderaan elke webpagina van de verweerder
25
Inspectieverslag, p. 15.
26
Verslag van de bevindingen en Technische analyse, p. 7,schermafdruk 9..
Beslissing ten gronde 19/2021 - 17/33
in een hyperlink te vinden is, neemt immers niet weg dat de publiek toegankelijke informatie, onder
andere met betrekking tot het recht van bezwaar, niet duidelijk is gestructureerd.
63. Meer fundamenteel stelt de Geschillenkamer vast dat het niveau van informatie en de veelvuldige
interne kruisverwijzingen in het Privacybeleid moeilijk verenigbaar zijn met een lezersvriendelijke
eerste laag informatie die de uitoefening van de rechten in de zin van artikelen 12.1, 12.2, 13 en 14
AVG kan faciliteren. Op het publieke deel van de website is (1) geen gemakkelijk beschikbare
operationele informatie te vinden voor de uitoefening van het recht van bezwaar in de eerste laag
informatie, rekening houdend met (2) een complexe en niet voldoende transparante wisselwerking
tussen de privacyinstellingen en het recht van bezwaar tegen alle vormen van direct marketing.
64. De Geschillenkamer stelt vast dat er voorbeelden bestaan van een uitklapbaar privacybeleid dat een
gepaste transparantie verschaft, met een toegankelijke en operationele communicatie over de
uitoefeningswijze van de rechten, zoals de website van de Franse toezichthouder CNIL.27 De eerste
bladzijde van het Privacy beleid van de CNIL bevat, onder een korte beschrijving van de inhoud van
het beleid, een duidelijke link naar een webformulier waardoor het mogelijk is om rechten uit te
oefenen, en dit, onder een duidelijke titel “exercer vos droits“ (vrije vertaling: “uw rechten uitoefenen”)
die de aandacht voldoende trekt.
27
Conclusie van de verweerder, p. 19.
Beslissing ten gronde 19/2021 - 18/33
De Geschillenkamer zou in dit kader een aantal aanbevelingen willen doen:
(a) Wat betreft de verwijzing naar de uitoefeningswijze van de rechten
waaronder het recht van bezwaar tegen direct marketing
65. Weliswaar moet de verweerder een specifieke complexiteit beheren: de gegevens van de
websitegebruikers en van de klanten van de verweerder worden niet op dezelfde manier verwerkt, en
klanten van de verweerder hebben toegang tot een specifieke toebedeelde applicatie “Mijn Telenet”
die enkel door in te loggen bereikbaar is28.
66. De Geschillenkamer geeft bij wijze van beste praktijk de volgende suggestie: De verweerder zou vanuit
zijn publieke pagina een link kunnen aanbieden naar het deel van zijn website (de Mijn Telenet
28
Conclusie van de verweerder, p. 33.
Beslissing ten gronde 19/2021 - 19/33
klantenapplicatie) waar de rechten door klanten kunnen beheerd worden. Om het recht van bezwaar
te faciliteren kan er dus bijvoorbeeld een link verstrekt worden naar Mijn Telenet waar de klant (na
identificatie en authenticatie) direct op de pagina terechtkomt waar hij zijn recht van bezwaar kan
uitoefenen. Dit is dus niet de startpagina van Mijn Telenet, maar wel de pagina waar het recht van
bezwaar tegen direct marketing op een geconsolideerde of granulaire manier kan worden uitgeoefend.
67. De verweerder kan deze webpagina op Mijn Telenet met betrekking tot het recht van bezwaar (en
eventueel andere rechten) zodanig inrichten dat de klant zijn recht van bezwaar naar behoren kan
uitoefenen (zie titel 3.3.1). Uiteraard is de verweerder niet verplicht om enkel een geconsolideerd
recht van bezwaar tegen alle vormen van direct marketing aan te bieden: het staat de verweerder
daarnaast ook vrij om een recht van bezwaar per type marketing (bv. e-mails) aan te bieden.
(b) Wat betreft het niveau van detail in de eerste laag informatie en het gebrek aan
synthesepagina m.b.t. de beschikbare privacy-informatie
68. De Geschillenkamer begrijpt dat de verweerder zijn Privacybeleid als eerste laag informatie voorstelde
in de hoop om hiermee een volledige verplichte informatie onder artikel 13 en 14 AVG te verstrekken.
De Geschillenkamer begrijpt dat de keuze van de gepaste informatie een moeilijke oefening is, gelet
op de plicht om volledige informatie te verstrekken enerzijds, en de plicht om voldoende overzichtelijke
informatie te verstrekken anderzijds, en dat deze keuze een kwestie van appreciatie is. Bij de
beoordeling van de vraag of aan artikel 12.1 AVG wordt voldaan, meer in het bijzonder aan de
verplichting om beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie in een
duidelijke taal te verstrekken, gaat de Geschillenkamer uit van een doorsnee betrokkene-
internetgebruiker.
69. Bij wijze van aanbeveling of beste praktijk wijst de Geschillenkamer op de door de verweerder in zijn
pleitbundel aangehaalde pagina “Wat betekent GDPR voor mij”. Deze kan als voorbeeld van een goed
begin van eerste laag informatie fungeren (voor zover alle informatie op een geïntegreerde manier
wordt aangeboden uiteraard, zie ook onder randnummer 62). Op deze bladzijde vindt men een
duidelijke en qua lay-out klantvriendelijke voorstelling waar de gebruiker alle nodige informatie kan
vinden om zijn rechten concreet te beheren, naast de privacy-instellingen en (sindsdien toegevoegd)
de cookievoorkeuren29.
29
Print screen van het publiek deel van website van de verweerder op 9-12-2020
(https://www2.telenet.be/nl/klantenservice/wat-betekent-gdpr-voor-mij/), dat met de vaststellingen van de Inspectiedienst in
zijn Inspectieverslag overeenstemt.
Beslissing ten gronde 19/2021 - 20/33
70. Als de websitebezoeker op het venster “je persoonsgegevens beheren” klikt, komt hij terecht op een
webpagina waar zijn rechten (beschreven als “aanvragen”) als volgt kan beheren30.
71. Onderaan deze vensters vindt de websitebezoeker een link naar de bladzijde waar hij deze aanvragen,
onder andere het recht van bezwaar, kan invullen31:
30
Ibid.
31
Ibid.
Beslissing ten gronde 19/2021 - 21/33
72. Op deze pagina vindt men rechtstreekse links naar operationele functionaliteiten met betrekking tot
de rechten. Echter, deze pagina is op dit moment, gelet op de structuur van de website van de
verweerder, niet de eerste laag informatie die de internetbezoeker kan vinden.
73. De Geschillenkamer heeft aan de verweerder gevraagd hoe deze webpagina op zijn website
toegankelijk is, om na te gaan of deze webpagina niet de facto als eerste laag informatie fungeert.
Dit zou de grieven van de Geschillenkamer inzake de transparantie van de website voor een deel
kunnen wegnemen. In zijn brief dd. 9 september 2020 stelt de verweerder dat de pagina “Wat
betekent GDPR voor mij” geen officiële informatie onder artikelen 13-14 AVG uitmaakt, en dat het
sluitstuk van de privacy-informatie dat als eerste laag fungeert, de webpagina met het Privacybeleid
van de verweerder is32. Het antwoord van de verweerder betwist de argumenten van de
Geschillenkamer inzake de transparantie daarmee niet.
74. De verweerder voegt hier aan toe dat alle privacy-gerelateerde documentatie het voorwerp van een
herziening uitmaakt en dat de beschikbaarheid van alle privacy-gerelateerde informatie onderdeel van
deze herziening uitmaakt 33.
75. De afwezigheid van een duidelijke eerste laag informatie die gemakkelijk naar de operationele
uitoefening van de rechten (waaronder het recht van bezwaar tegen direct marketing) leidt, heeft dus
een negatieve weerslag op de transparantie van de informatie inzake het recht van bezwaar die
idealiter in verschillende lagen verstrekt moet worden. De verweerder is uiteraard vrij om de gepaste
techniek te kiezen teneinde dit te verbeteren: bijvoorbeeld, het privacybeleid lezersvriendelijker maken
en van de nodige directe links voorzien, of een pagina zoals “Wat betekent GDPR voor mij”, die al
directe links naar het recht van bezwaar inhoudt, als eerste laag informatie gebruiken.
32
Brief van de verweerder, 9 september 2020, p. 8.
33
Conclusie van de verweerder, p. 8.
Beslissing ten gronde 19/2021 - 22/33
3.4.3 Gevaar voor verwarring wat betreft de draagwijdte van de privacy-instellingen
76. De Geschillenkamer neemt nota van het feit dat de klant die zijn recht van bezwaar tegen alle vormen
van marketing via de geconsolideerde uitschrijfknop uitoefent automatisch door de verweerder op
Privacyniveau 1 (“algemeen”) wordt gezet34. De Geschillenkamer oordeelt dat de wisselwerking tussen
dit geconsolideerd recht van bezwaar en de privacy-instellingen, meer bepaald het Privacyniveau 1
van de verweerder, niet duidelijk beschreven is. Zoals hieronder uitgelegd kan de betrokkene die het
bestaan van een recht van bezwaar tegen direct marketing niet kent, gelet op de structuur en inhoud
van de beschikbare privacy-informatie op de website, de indruk krijgen dat de privacy-instelling
“algemeen” de meest beschermende keuze op de website van de betrokkene is.
77. De privacy-instellingen worden beschreven als de manier bij uitstek om de “Telenet-ervaring” te
bepalen en de privacy-instelling “algemeen” wordt als de meest beschermende privacy-ervaring van
verweerder beschreven, waardoor de betrokkene omtrent de draagwijdte van de privacy-instellingen
en hun verhouding tot het recht van bezwaar een verkeerde indruk krijgt.
78. Op de webpagina “Wat betekent GDPR voor mij” leest men: “Hoe uw Telenet-ervaring eruitziet, kiest
u helemaal zelf. Van meest privacy-beschermend naar 100 % gepersonaliseerd.”35, en onder deze
zinnen staat een lijst van de vier beschikbare privacyniveaus, Algemeen, Gericht, Persoonlijk en
Uniek36.
34
Brief van de verweerder aan de Geschillenkamer van 9 september 2020, p. 7.
35
Pleitbundel, stuk 2, p. 9.
36
Ibid.
Beslissing ten gronde 19/2021 - 23/33
79. Het niveau 1 (“algemeen) wordt dus - ten onrechte - op deze pagina beschreven alsof het de meest
gunstige privacykeuze was, terwijl er daarnaast nog de mogelijkheid is om een recht van bezwaar
tegen direct marketing onder art. 21.2 AVG uit te drukken alsook – zoals hieronder verder uitgelegd37
– een recht van bezwaar tegen verwerkingen verricht onder de rechtsgrond gerechtvaardigd belang
onder art. 21.1 AVG.
80. De verweerder legt uit dat de uitoefening van het recht van bezwaar tegen alle vormen van direct
marketing een extra bescherming is naast de privacy-instellingen op de website van de verweerder38:
81. De Geschillenkamer begrijpt dus dat de verweerder de uitoefening van het recht van bezwaar tegen
alle vormen van marketing mogelijk maakt, zonder commerciële communicatie, zodat het
privacyniveau “Algemeen” niet de meest beschermende privacy-ervaring is. De beschrijving van het
Privacyniveau “Algemeen” als “de meest beschermende” instelling kan dus tot verwarring leiden.
(a) Er is geen duidelijke informatie te vinden m.b.t. het bestaan en de uitoefeningswijze van het
recht van bezwaar op de Mijn Telenet pagina waar de privacyniveaus gekozen worden
37
Zie onder titel 4.
38
Pleitbundel, stuk 2, p. 7.
Beslissing ten gronde 19/2021 - 24/33
82. De Mijn Telenet privacy-instellingen lijken geen duidelijke uitnodiging om het recht van bezwaar uit te
oefenen te bevatten. Eens de betrokkene zijn privacy-instellingen selecteert in Mijn Telenet, is het
volgens de Geschillenkamer niet duidelijk voor hem dat hij daarbij ook over een recht van bezwaar
beschikt39. De inleidingsbanner bovenaan de pagina bevat een uitleg over de privacy-instellingen,
waaruit blijkt dat de Mijn Telenet-instellingen de manier bij uitstek zijn om te bepalen welke
persoonsgegevens de klant met de verweerder deelt40.
83. Helemaal onderaan de pagina bevindt zich een knop: “Een aanvraag over je persoonsgegevens
sturen”. Er wordt echter niet direct vermeld dat deze knop de mogelijkheid geeft om de privacy-
instelling te nuanceren en de verwerking van de medegedeelde persoonsgegevens door de verweerder
te beperken via een bezwaar tegen direct marketing. Ter illustratie toont de Geschillenkamer de
relevante schermafdruk.
39
Zie stuk 30 juncto stuk 21 van de verweerder.
40
Deze inleidende banner luidt als volgt : « Dat je voorzichtig omspringt met je persoonlijke gegevens vinden we bij Telenet
logisch. Wij denken er net zo over. Jou data is van jou. Punt. Jij bepaalt dus zelf welke persoonsgegevens je met ons wil delen,
en hoe persoonlijk je Telenet-ervaring mag zijn. Daarvoor zijn er 4 privacy-niveaus: “Algemeen”, “Gericht”, “Persoonlijk” en
“Uniek”. Hoe beter we je leren kennen, hoe beter we kunnen zorgen voor een Telenet-ervaring die echt bij je past. Da’s logisch.
[…]” (Stuk 21 van de verweerder, p. 1)
Beslissing ten gronde 19/2021 - 25/33
Beslissing ten gronde 19/2021 - 26/33
84. Uit de stukken die verweerder heeft overgelegd blijkt dat pas als de betrokkene op de knop “Een
aanvraag over je persoonsgegevens sturen” klikt, hij terecht komt op de pagina “Je persoonsgegevens
beheren”. Daar krijgt hij de mogelijkheid om een vakje te selecteren waardoor hij concreet “ een
volledige uitschrijving voor alle commerciële communicaties” kan aanvragen, naast andere mogelijke
vragen betreffende zijn persoonsgegevens (een overzicht van de verwerkte persoonsgegevens, het
verwijderen ervan, enz.).
85. De structuur van Mijn Telenet is volgens de Geschillenkamer dus zodanig dat het voor de doorsnee
klant die op de pagina over de privacyniveaus belandt, niet direct duidelijk is dat de knop “een
aanvraag over je persoonsgegevens sturen” 41 hem een extra mogelijkheid biedt om meer
privacybescherming te krijgen, tenzij de klant doorklikt op deze knop of het gedetailleerde
privacybeleid (eerste laag privacy-informatie van de verweerder) precies gelezen heeft, wat volgens
de Geschillenkamer niet van een doorsnee klant verwacht kan worden.
86. Zelfs voor klanten die kennis hebben van het bestaan van een recht van bezwaar is het niet altijd
eenvoudig de relevante webpagina te vinden waar hij dit recht concreet kan uitoefenen, aangezien de
verweerder hem vanuit de webpagina met het privacybeleid verwijst naar “Mijn Telenet” zonder directe
link naar de relevante webpagina. Er is dus in hoofde van de gebruiker van de website van verweerder
een risico om het recht van bezwaar niet te vinden.
(b) De indruk ontstaat dat de privacy-instellingen toelaten om de te verkrijgen reclame (direct
marketing) te bepalen
87. Artikel 4.B van het Privacybeleid omvat telkens hetzelfde bericht onder elk privacyniveau, zowel wat
betreft reclame voor eigen producten als voor gepersonaliseerde TV-reclame: “Je privacy-instelling
(waarover meer in punt 7 van dit privacybeleid) bepaalt in welke mate je dit soort reclame ontvangt,
en hoe je je kan aan- en afmelden”42. In zijn conclusie zelf stelt de verweerder de verschillende
privacy-opties voor als een “privacydashboard”43.
88. De Geschillenkamer oordeelt dat deze manier om de privacy-instellingen in het Privacybeleid voor te
stellen een risico op verwarring inhoudt, wegens het verzwijgen van de wisselwerking tussen de
privacy-instellingen en het recht van bezwaar.
89. Hieraan doet niet af dat de verweerder stelt dat de privacy-instellingen op zijn website in feite niets
te maken hebben met het recht van bezwaar. In antwoord op de vraag van de Geschillenkamer Mijn
41
Stuk 21 van de verweerder, p. 2.
42
Privacybeleid, stuk 1 van de verweerder.
43
Zie conclusie van de verweerder, 22 mei 2020, p. 30 en 31.
Beslissing ten gronde 19/2021 - 27/33
Telenet-instellingen (“algemeen”, “gericht”, enz.) al dan niet een manier zijn om het recht van bezwaar
onder art. 21.2 of 21.1 AVG uit te oefenen, stelde de verweerder immers dat de keuze tussen
verschillende privacyniveaus die de verweerder aanbiedt (“algemeen”, “gericht”, “persoonlijk”,
“uniek”) niet beoogt het recht van bezwaar tegen direct marketing te vervangen44.
90. De Geschillenkamer acht deze uitleg problematisch, in de mate dat de privacy-instellingen volgens het
privacybeleid – zoals hierboven aangetoond – bepalend zijn voor de berichten die de klant al dan niet
ontvangt en hoe hij zich kan afmelden, zowel wat betreft berichten over producten en diensten binnen
de groep van de verweerder als wat betreft TV-reclame van derden, die aan de hand van het profiel
van de klant worden aangemaakt.
91. Ook binnen de webpagina “Beheer uw instellingen” 45 worden de instellingen beschreven als een
manier om de commerciële communicatie te beheren (weliswaar met de focus op de aan de
verweerder verstrekte gegevens).
92. Onder de webpagina “Je persoonsgegevens beheren”46 wordt uitgelegd dat de klant die zijn recht van
bezwaar heeft uitgeoefend en van gedachte veranderd is zijn privacyniveau kan aanpassen naar
“gericht”, “persoonlijk” of “uniek”. De Geschillenkamer stelt dientengevolge vast dat de privacy-
instellingen een manier zijn om de commerciële communicatie opnieuw te activeren, maar niet om
deze te deactiveren. Dit kan volgens de Geschillenkamer bij gebrek aan een meer duidelijke uitleg tot
misverstanden leiden, in de context waar het privacyniveau “Algemeen” meermaals als het “meest
beschermende” privacyniveau beschreven wordt.
93. Hoofdstuk 7 van het Privacybeleid bevat een verwijzing naar het recht van bezwaar (“opt-out voor
direct marketing”) bij wijze van antwoord op de vraag “Hoe bepaal je welke persoonsgegevens we
voor commerciële doeleinden mogen gebruiken en hoe”? De Geschillenkamer stelt vast dat betrokkene
die het Privacybeleid als eerste document zou raadplegen, in dat document, in de aanhef van de uitleg
over het recht van bezwaar, aangemoedigd wordt om zijn privacy-instellingen te kiezen, alsof hij daar
alle aspecten van zijn persoonsgegevens zal kunnen beheren, van de meest naar de minst
beschermende privacy-optie.
44
Brief van de verweerder aan de Geschillenkamer, 6 oktober 2020, p. 3.
45
Stuk 2 van de pleitbundel van de verweerder, p. 9.
46
Stuk 4 van de verweerder, p. 2.
Beslissing ten gronde 19/2021 - 28/33
94. De Geschillenkamer acht de wisselwerking tussen het recht van bezwaar en de privacy-instelling
“Algemeen” verwarrend, aangezien de gebruiker de indruk kan krijgen dat het hier om de meest
beschermende optie gaat. Deze verwarring is des te groter in het geval waar de klant rechtstreeks via
Mijn Telenet op de privacy-instellingen belandt.47 Daarenboven is de wisselwerking tussen het recht
van bezwaar tegen alle vormen van direct marketing en het privacyniveau “Algemeen” op een niet
coherente manier voorgesteld (het Privacyniveau “Algemeen” laat nog “algemene commerciële
communicatie” toe).
3.4.5. Inbreuken op artikelen 21.2 AVG juncto artikelen 12.1 en 12.2, 13 en 14 AVG
95. De Geschillenkamer oordeelt dat de keuze van de verweerder om het recht van bezwaar los te
koppelen van de privacy-instellingen tot verwarring bij de betrokkenen kan leiden in de mate dat het
eerste (niveau “Algemeen”) als de “meest beschermend” privacyniveau beschreven wordt. Hiermee
is de verweerder onvoldoende transparant wat betreft het bestaan en de uitoefeningswijze van het
recht van bezwaar onder artikel 21.2 AVG juncto artikelen 12.1, 12.2, 13 en 14 AVG.
96. De Geschillenkamer onderstreept dat het de plicht is van de verweerder om een toegankelijke en
begrijpelijke informatie te verschaffen over het bestaan en de uitoefening van de rechten, inclusief
het recht van bezwaar, dewelke begrijpelijk moet zijn en gemakkelijk zichtbaar en toegankelijk vanuit
alle delen van de website, van waar de klant ook surft. De verwerkingsverantwoordelijke heeft een
keuze tussen de gepaste informatiemiddelen die het bestaan en de concrete uitoefeningswijze van de
rechten van de betrokkene, waaronder het recht van bezwaar tegen direct marketing, op zijn website
begrijpelijk te maken. Hij heeft echter wel een verplichting om de uitoefening van de
gegevensbeschermingsrechten op zijn website door zijn privacyinformatie te vergemakkelijken.
97. De Geschillenkamer stelt dus vast dat de structuur van de website en van Mijn Telenet niet als een
beste praktijk kan aangemerkt worden en aan verbetering toe is, teneinde beter te voldoen aan de
verplichting om een recht van bezwaar tegen direct marketing conform artikel 21.2 juncto 12.2 AVG
te faciliteren alsook transparante informatie conform art. 12.1, 13.2.b en 14.2.b AVG te verstrekken.
4. Recht van bezwaar tegen verwerkingen gebaseerd op het gerechtvaardigd belang
98. In zijn brief van 9 juli 2018 aan de verweerder een onderscheid tussen het verlenen van het recht van
bezwaar tegen direct marketing (art. 21.2 AVG) en het verlenen van het recht van bezwaar tegen
andere vormen van verwerkingen, waarvoor de verweerder – volgens zijn eigen verklaringen – een
47
Volgens het navigatieschema dat verweerder in stukken 21 juncto 30 heeft overgelegd.
Beslissing ten gronde 19/2021 - 29/33
webformulier met vrije-tekstveld aan het ontwikkelen was (art. 21.1 AVG). De Geschillenkamer heeft
omtrent deze verwerkingen op basis van een gerechtvaardigd belang uitleg gevraagd in haar brief van
12 augustus 2020, met gebruikmaking van haar bevoegdheid om de aan haar voorgelegde stukken
en feiten te kwalificeren en de debatten hieromtrent desnoods te heropenen.48
99. Het recht van bezwaar kan immers eveneens worden uitgeoefend buiten de context van verwerkingen
voor marketingdoeleinden, voor verwerkingen die berusten op de verwerkingsgronden algemeen
belang en gerechtvaardigde belangen (artikel 6.1 onder e) resp. onder f) AVG). Om artikel 21.1 AVG
geldig in te roepen moet de betrokkene zijn bezwaar kunnen verantwoorden, op basis van redenen
die specifiek te maken hebben met redenen die verband houden met zijn situatie.
100. Het Inspectieverslag heeft het recht van bezwaar onder artikel 21.1 AVG niet onderzocht, maar de
verweerder heeft zelf in zijn brief van 9 september 2020 dit aspect van het recht van bezwaar
toegelicht: “inzake de verzetmogelijkheid tegen verwerkingen die geschieden op grond van artikel 6.1
(f) AVG (met uitzondering van de verwerkingen voor het doeleinde van de direct marketing) is Telenet
in de uitvoeringsfase van het implementeren van dit free tekst webform ” 49. De Geschillenkamer neemt
dus akte van het feit dat de verweerder nog geen mogelijkheid aanbiedt om bezwaar te maken tegen
verwerkingen verricht op grond van artikel 6.1.f AVG, wat nochtans onder artikel 21.1 AVG is vereist.
101. Op basis van de stukken in het dossier stelt kan de Geschillenkamer niet vaststellen of er wel
verwerkingen zijn die op basis van de rechtsgrond “gerechtvaardigd belang” plaatsvinden. Bij gebrek
aan bewijs stelt de Geschillenkamer geen inbreuk vast op de verplichting om een recht van bezwaar
onder artikel 21.1 AVG aan te bieden. De Geschillenkamer gaat er op basis van de goede trouw van
uit dat de verweerder die mogelijkheid heeft willen voorzien om eventueel in de toekomst aan te
wenden, maar er op heden géén gebruik van maakt.
102. De Geschillenkamer onderstreept ook dat de verweerder niet heeft geantwoord op haar vraag over
“hoe en waar op de Telenet website” de klant/internetbezoeker geïnformeerd wordt over het bestaan
en doelen van de verwerkingen op grond van artikel 6.1.f AVG. De Geschillenkamer beveelt aan dat,
mocht de verweerder alsnog persoonsgegevens op grond van gerechtvaardigd belang gaan
verwerken, zij een gepaste mogelijkheid moeten voorzien voor het uitoefenen van het recht van
bezwaar met behulp van een webformulier met vrije-tekstveld.
5. De verplichte quasi-automatische acceptatie van mededeling van gegevens via cookies
48
Zie meer uitgebreid beslissing van de Geschillenkamer 17/2020 van 21 februari 2020.
49
Brief van 9 september 2020 van de verweerder, p. 4.
Beslissing ten gronde 19/2021 - 30/33
103. Ten tijde van het Inspectieverslag vroeg de verweerder de toestemming van de website bezoeker voor
het plaatsen van cookies door middel van de volgende cookiebanner: “Door verder gebruik te maken
van deze website ga je akkoord met het plaatsen van cookies ”50. Zoals door de Inspectiedienst
beschreven, volstond als toestemming dat de betrokkenen het venster sloten en verder surften. De
Geschillenkamer oordeelt dat een dergelijke manier om de toestemming te verkrijgen niet voldoet aan
de eisen van de AVG. Immers, de artikelen 4.11 juncto 7.1 AVG vereisen een ondubbelzinnige en
specifieke toestemming. 51
104. Zoals uitgelegd door de EDPB, betekent het vereiste van een ondubbelzinnige en specifieke
toestemming dat noch stilzwijgen, noch een gebrek aan actie/handeling in hoofde van de betrokkene
noch het simpel gebruik van een dienst, kan worden beschouwd als een geldige toestemming52. De
Geschillenkamer wijst ook op overweging 32 van de AVG, volgens dewelke een impliciete toestemming
uit den boze is.
105. In het arrest Planet4953 oordeelde het Hof van Justitie dat het vooraf aanvinken van een vakje niet
aangemerkt kan worden als een actieve toestemming: “ de eis van een „wilsuiting” van de betrokkene”
verwijst “duidelijk naar een actieve en niet naar een passieve gedraging”. Toestemming door middel
van een standaard aangevinkt selectievakje impliceert echter geen actieve gedraging van de gebruiker
van een website”54. Ook het Hof verwijst daarbij naar overweging 32 van de AVG.
106. In dit arrest interpreteerde het Hof het feit dat de wilsuiting van artikel 2, onder h), van de richtlijn
95/46 “in die zin ‘specifiek’ moet zijn dat deze precies op de verwerking van de betrokken gegevens
gericht moet zijn en niet kan worden afgeleid uit een algemene wilsuiting die op iets anders betrekking
heeft.”
107. Het Hof oordeelde ook dat deze uitleg zich des te meer opdrong in het licht van de AVG55, “aangezien
hier een „vrije, specifieke, geïnformeerde en ondubbelzinnige” wilsuiting van de betrokkene wordt
vereist, in de vorm van een verklaring of een „ondubbelzinnige actieve handeling” die zijn toestemming
voor een hem betreffende verwerking van persoonsgegevens weergeeft.”.
50
Verslag van de bevindingen en technische analyse, stuk 20, p. 20.
51
“In deze context kan moeilijk aangenomen dat de term “toestemming” overeenkomt met de eisen van de AVG”, Verslag van
de bevindingen en technische analyse, stuk 20, p. 20
52
“The use of pre-ticked opt-in boxes is invalid under the GDPR. Silence or inactivity on the part of the data subject, as well
as merely proceeding with a service cannot be regarded as an active indication of choice.”, Guidelines 5/2020 on consent under
Regulation 2016/679, 4 mei 2020, § 79.
53
HvJEU, 1 oktober 2019, C-673/17, Planet49, ECLI:EU:C:2019:801, § 52.
54
Ibid, § 52.
55
Ibid, § 62.
Beslissing ten gronde 19/2021 - 31/33
108. In lijn met dit arrest en met recente beslissingen van andere gegevensbeschermingsautoriteiten 56,
oordeelt de Geschillenkamer dat de verweerder ten tijde van het Inspectieverslag geen geldige
toestemming vroeg voor het verder surfen op de website, in de omstandigheden zoals in het
Inspectieverslag beschreven, omdat de toestemming niet specifiek was, aangezien de gebruiker met
één handeling toestemming gaf om informatie of diensten aangeboden op de website te gebruiken en
om zijn persoonsgegevens via cookies te laten verwerken.
109. De Geschillenkamer stelt dus een inbreuk op artikel 7 juncto 4.11 AVG vast, maar beslist om geen
sanctie uit te spreken, rekening houdend met het feit dat de verweerder zijn cookiebanner uit eigen
beweging en sinds 8 december 2019 – dus binnen een redelijke termijn na het Planet49 arrest – heeft
aangepast. De nieuwe cookiebanner gaat niet langer uit van een impliciete toestemming (“ door verder
gebruik te maken van deze website”) maar geeft de keuze tussen “aanbevolen cookies aanvaarden”
en “cookievoorkeuren aanpassen”57.
6. Het recht op een eerlijk proces en de beweerde schending van de algemene beginselen
van behoorlijk bestuur
110. De verweerder beklaagt zich over onzorgvuldigheden in het Inspectieverslag, alsook over
tegenstellingen tussen dit verslag en de brief van de Geschillenkamer van 23 maart 2020 waarin de
Geschillenkamer de grieven van de Inspectiedienst aan de hand van bijkomende vragen meende te
verduidelijken en waar gepast aan te vullen58. De verweerder betwist ook het feit dat de
Geschillenkamer eigen vaststellingen maakte. Volgens verweerder berust de bevoegdheid om
vaststellingen te maken enkel bij de Inspectiedienst.
111. In haar Beslissing 17/2020 heeft de Geschillenkamer de kern van haar bevoegdheid uitgelegd. 59 Het
behoort tot haar taak dat zij als orgaan van de toezichthouder de feiten die haar worden voorgelegd
kan kwalificeren en verder onderzoeken. De Geschillenkamer kan dus publiek beschikbare informatie
of informatie die aan een groot aantal klanten wordt aangeboden gebruiken om daarover vragen te
stellen. De Geschillenkamer meent dat een dergelijke uitbreiding van het debat met de rechten van
de verdediging verenigbaar is voor zover het recht op tegenspraak verzekerd is60.
7. Sancties en maatregelen
56
CNIL, Délibération 2020-091 du 17 septembre 2020, art. 2, §27.
57
Conclusie van de verweerder, p. 41.
58
Conclusie van de verweerder.
59
GK, beslissing ten gronde nr. 17/2020,28 april 2020
Beslissing ten gronde 19/2021 - 32/33
112. De Geschillenkamer is bevoegd om alle in artikel 100 WOG opgesomde sancties en maatregelen op te
leggen. Gelet op de vastgestelde inbreuken heeft de Geschillenkamer bij het bepalen van de gepaste
maatregel en sanctie in casu rekening gehouden de omstandigheden van de zaak, en besloten
vanwege de beperkte ernst van de aanwijzingen van inbreuk en de bereidheid van verweerder deze
op te heffen en geen geldboete op te leggen.
113. Tevens oordeelt de Geschillenkamer dat het gepast is om een berisping op te leggen wegens inbreuk
op het recht van bezwaar met het oog op direct marketing (art. 21.2 AVG) juncto art 12.2 AVG, en
meer bepaald het gebrek aan geconsolideerde bezwaarmogelijkheid in de periode tussen de
inwerkingtreding van de AVG en 18 maart 2019. Hierbij acht de Geschillenkamer het van belang dat
de verweerder niet uit eigen beweging in een geconsolideerde online uitschrijfmogelijkheid voorzag
en de aanmaning van de Inspectiedienst afwachtte. De Geschillenkamer houdt echter rekening met
het feit dat deze inbreuk ondertussen door de geconsolideerde uitschrijfknop opgelost is, en dit, nog
voordat de Inspectiedienst zijn inspectieverslag aan de Geschillenkamer overmaakte.
114. Tevens stelt de Geschillenkamer beperkte inbreuken vast op de informatie en
transparantieverplichtingen onder artikel 12.1, 12.2, 13 en 14 AVG met een impact op de uitoefening
van de rechten inclusief het recht van bezwaar (21.2 AVG) (titel 3.4) en meer bepaald, het gebrek aan
een duidelijke eerste laag synthesepagina m.b.t. de beschikbare privacy-informatie, die een
gemakkelijke toegang zou bieden tot de concrete uitoefeningswijze van de rechten vanuit deze
pagina, alsook de onduidelijke verhouding tussen de privacy-instellingen en het recht van bezwaar
tegen direct marketing berichten doordat de privacy-instellingen op de website van de verweerder op
een potentieel verwarrende manier worden beschreven.
115. Ook doet de Geschillenkamer aanbevelingen wat betreft het gebrek aan recht van bezwaar tegen
verwerkingen gebaseerd op het gerechtvaardigd belang en die geen direct marketing uitmaken, het
gebrek aan informatie m.b.t. de uitoefeningswijze van dit recht van bezwaar, en het verzuim om dit
recht te faciliteren (art. 21.1 AVG juncto artikelen 12.1, 13 en 14 AVG) (titel 4.)
116. De Geschillenkamer oordeelt echter dat deze inbreuken niet van dien aard zijn dat daar een sanctie
voor moet worden opgelegd en beveelt de buitenvervolgingstelling (artikel 100 § 1, 2 ° WOG).
117. Hierbij houdt de Geschillenkamer rekening met de inspanningen van de verweerder op de website om
privacy-informatie aan te bieden, alsook de bereidwilligheid van de verweerder en zijn samenwerking
in de procedure. De Geschillenkamer noemt in dit verband bijvoorbeeld het voorleggen van relevante
stukken in aanvulling op de vaststellingen van de Inspectiedienst en als antwoord op de vragen van
Beslissing ten gronde 19/2021 - 33/33
de Geschillenkamer in de context waar de Inspectiedienst geen vaststellingen in het klantgedeelte van
de website heeft gemaakt.
118. De Geschillenkamer acht deze zaak vooral van belang als opportuniteit om bij wijze van beste
praktijken aanbevelingen te doen rond bepaalde te nemen acties ter verhoging van de transparantie,
vooral in de telecommunicatiesector. Hierbij draagt de Geschillenkamer bij aan de expliciete taak van
toezichthoudende autoriteiten om de verwerkingsverantwoordelijken en de verwerkers beter bekend
te maken met hun verplichtingen uit hoofde van de AVG, ingevolge artikel 57.1.b) van deze
verordening.
119. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer,
wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Gezien de
motivering in deze beslissing naar de inhoud en de kenmerken van de website van de verweerder
verwijst is het evenwel onmogelijk om de onrechtstreekse identificatie van de verweerder te
vermijden, ook al zou zijn naam niet rechtstreeks worden bekendgemaakt. Derhalve oordeelt de
Geschillenkamer dat de directe identificatie van de verweerder in deze beslissing hem niet meer nadeel
zou brengen dan de indirecte identificatie. Daarom besluit de Geschillenkamer om de
identificatiegegevens van de verweerder bekend te maken.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
o op grond van artikel 100, §1, 5° WOG, een berisping te formuleren ingevolge
de inbreuk op art. 21.2 AVG juncto art. 12.2 AVG;
o voor het overige op grond van artikel 100 § 2 1° WOG een
buitenvervolginstelling te bevelen.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
Hielke Hijmans
Voorzitter van de Geschillenkamer