APD/GBA (Belgium) - 199/2025

1/35

Geschillenkamer

Beslissing ten gronde 199/2025 van 27 november 2025

Deze beslissing werd gedeeltelijk vernietigd door het Marktenhof (2025/AR/2079) voor zover de
Geschillenkamer Infobel NV gelast om de persoonsgegevens te wissen waarvoor zij niet kan aantonen
dat zij voor de verwerking ervan over een geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en
24 AVG; gelast om alle ontvangers van de voornoemde persoonsgegevens in kennis te brengen van de
onderhavige beslissing alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde
rechtsgrond voor de verwerkingen niet overeenstemt met de AVG; en een administratieve boete oplegt
van 40.000,00 € wegens de inbreuken op artikelen 5.1.a), 6.1, en 24 AVG, voor wat betreft de
onrechtmatige verwerking van persoonsgegevens. Gebruik makend van haar volle rechtsmacht heeft
het Marktenhof Infobel NV veroordeeld tot betaling van een administratieve geldboete van 5.000,00 €
wegens schendingen van de artikelen 5.1.a), 6.1 en 24 van de AVG.

Dossiernummer : DOS-2025-01687

Betreft : De verkoop van persoonsgegevens voor direct marketingdoeleinden door een
gegevensmakelaar

De Geschillenkamer van de Gegevensbeschermingsautoriteit,

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;

Gelet op de stukken van het dossier;

Heeft de volgende beslissing genomen inzake:

De klager: X, hierna “de klager”

De verweerder: INFOBEL, met maatschappelijke zetel te Sint-Jobsesteenweg 506, 1180 Ukkel,
met ondernemingsnummer 0453.604.761, vertegenwoordigd door Meester
Marcel Joachimowicz, hierna “de verweerder”

Beslissing ten gronde 199/2025 — 2/35

I. Feiten en procedure

1. Op 18 oktober 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen Z1, Z2, Z3 en Infobel.

2. De klacht betreft de verwerking van de persoonsgegevens van de klager door de
verweerders, met als uiteindelijke doel het verzenden van direct marketing door Z1 naar de
klager. Z1 verkreeg de betrokken persoonsgegevens via Z3, een media-agentschap
gespecialiseerd in direct marketing. Z3 had op haar beurt deze gegevens ontvangen van
Infobel (voorheen Kapitol), een commerciële gegevensmakelaar, die de gegevens
oorspronkelijk had verkregen van Z4 (voorheen Z4).

3. Op 25 oktober 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.

4. Op 11 maart 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde.

5. Op 11 maart 2024 worden de betrokken partijen per aangetekende zending in kennis gesteld
van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens
worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.

6. Op 12 maart 2024 verzoekt Infobel een wijziging van de proceduretaal naar het Frans en een
uitstel van de conclusietermijnen.

7. Op 18 maart 2024 geeft Z1 te kennen gebruik te willen maken van de mogelijkheid om te
worden gehoord, overeenkomstig artikel 98 WOG.

8. Op 25 maart 2024 verzoekt Z3 eveneens een wijziging van de proceduretaal naar het Frans
en een uitstel van de conclusietermijnen.

9. Op 27 maart 2024 stelt de Geschillenkamer aan de partijen voor dat iedere partij zijn
conclusie in zijn eigen taal opstelt. Iedere partij staat dan zelf in voor de vertaling van de
conclusies van de overige partijen. De uiteindelijke beslissing van de Geschillenkamer zal
zowel in het Frans als in het Nederlands worden opgesteld. Voorts beslist de
Geschillenkamer de termijnen met twee weken te verlengen, aangezien tot dit schrijven niet
duidelijk was in welke taal de conclusies voor iedere partij konden worden ingediend.

10. Op 28 maart 2024 verzoekt Z1 om afzonderlijke conclusietermijnen te voorzien voor Z1
enerzijds en Infobel en Z3 anderzijds.

11. Op 3 april 2024 sluit Z3 zich aan bij het verzoek van Z1 om afzonderlijke conclusietermijnen
te voorzien voor iedere verwerende partij.

Beslissing ten gronde 199/2025 — 3/35

12. Op 8 april 2024 oordeelt de Geschillenkamer dat het niet noodzakelijk is de
conclusietermijnen op te splitsen. De verwerende partijen hebben immers de mogelijkheid
om op elkaars conclusies te reageren in de syntheseconclusies, evenals tijdens de
hoorzitting. Rekening houdend met de doorgifte van een kopie van het dossier aan de
verweerders, past de Geschillenkamer de termijnen een laatste keer aan.

13. Op 16 mei 2024 ontvangt de Geschillenkamer de conclusies van antwoord vanwege de
verwerende partijen.

14. Op 6 juni 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager.

15. Op 27 juni 2024 ontvangt de Geschillenkamer de conclusies van dupliek van de verwerende
partijen.

16. Op 28 oktober 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 28 november 2024. Om de hoorzitting vlot te laten verlopen, verzoekt de
Geschillenkamer de partijen in hun ontvangstbevestiging aan te geven of zij instemmen met
een tweetalige hoorzitting in het Nederlands en Frans.

17. Aangezien de Geschillenkamer geen bezwaar ontvangt met betrekking tot een tweetalige
hoorzitting informeert zij de partijen op 19 november 2024 dat de hoorzitting tweetalig en
zonder tolk zal plaatsvinden. De Geschillenkamer informeert de partijen dat zij, indien zij
daartegen alsnog bezwaar willen maken, dit uiterlijk op 22 november 2024 kenbaar moeten
maken.

18. Op 26 november 2024 informeert de Geschillenkamer de partijen dat zij wegens overmacht
de hoorzitting moet uitstellen naar 17 december 2024.

19. Op 17 december 2024 worden de partijen gehoord door de Geschillenkamer.

20. Op 3 januari 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.

21. Op 8 januari 2025 ontvangt de Geschillenkamer vanwege Infobel enkele opmerkingen met
betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.

22. Op 9 januari 2025 ontvangt de Geschillenkamer vanwege Z3 en Z1 enkele opmerkingen met
betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.

23. Op basis van de stukken in het dossier stelt de Geschillenkamer dat Z4 mogelijk derde-
belanghebbende is in de zin van 108, § 3, lid 2 WOG, in verband met de mogelijke inbreuken
door Infobel. Op 31 januari 2025 wordt Z4 per aangetekende zending in kennis gesteld van
de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens
wordt zij op grond van artikel 98 WOG in kennis gesteld van de mogelijkheid om tussen te
komen in de procedure. De Geschillenkamer informeert de overige partijen dat zij, bij de
eventuele tussenkomst van Z4, de gelegenheid krijgen daarop te reageren.

Beslissing ten gronde 199/2025 — 4/35

24. Op 26 februari 2025 bevestigt Z4 haar tussenkomst als derde-belanghebbende in de
procedure.

25. Op 14 maart 2025 ontvangt de Geschillenkamer de conclusie van antwoord vanwege Z4.

26. Op 18 maart 2025 ontvangt de Geschillenkamer de conclusie van repliek vanwege de klager.

27. Op 31 maart 2025 meldt Z3 dat zij niet wenst te repliceren.

28. Op 8 april 2025 ontvangt de Geschillenkamer de conclusie van dupliek vanwege Infobel.

29. Op 9 april 2025 ontvangt de Geschillenkamer de conclusie van dupliek vanwege Z1.

30. Op 24 april 2025 beslist de Geschillenkamer om het dossier te splitsen in twee afzonderlijke
dossiers. Deze beslissing is ingegeven door, enerzijds, de noodzaak om de efficiëntie van de
procedure te waarborgen aangezien meerdere verwerende partijen betrokken zijn, en
anderzijds door het bestaan van wezenlijke verschillen in de aard van de
gegevensverwerkingen die aan de respectieve verweerders ten laste worden gelegd.
Terwijl de verwerkingen door Z1 en Z3 zich voornamelijk situeren binnen het kader van direct
marketing, betreffen de verwerkingen door Infobel het verhandelen van
gegevensbestanden. De Geschillenkamer informeert de partijen dat de klacht van de klager
tegen Z1, Z2 en Z3 zal worden verdergezet met dossiernummer DOS-2023-04302. De
klacht van de klager tegen Infobel zal worden verdergezet met dossiernummer DOS-2025-
01687.

31. In DOS-2023-04302 neemt de Geschillenkamer Beslissing 77/2025. Deze beslissing wordt
op 29 april 2025 ter informatie verstuurd naar Infobel en Z4.

32. De huidige beslissing betreft DOS-2025-01687, en is slechts gericht tegen Infobel.

33. Op 15 mei 2025 beslist de Geschillenkamer om de partijen ambtshalve te horen. De partijen
worden ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 25 juni 2025. Z4 wordt
als derde-belanghebbende eveneens uitgenodigd naar de hoorzitting.

34. Op 26 mei 2025 informeert Infobel de Geschillenkamer dat zij beroep heeft ingesteld tegen
Beslissing 77/2025 in DOS-2023-04302. Infobel verzoekt aan de Geschillenkamer om de
hoorzitting in DOS-2025-01687 uit te stellen.

35. Op 4 juni 2025 informeert de Geschillenkamer de partijen dat de hoorzitting in DOS-2025-
01687 niet zal worden uitgesteld.

36. Op 25 juni 2025 worden de partijen gehoord door de Geschillenkamer.

37. Op 10 juli 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.

38. Op 24 juli 2025 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen
met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.

Beslissing ten gronde 199/2025 — 5/35

39. Op 26 september 2025 heeft de Geschillenkamer aan de verweerder het voornemen
kenbaar gemaakt om over te gaan tot het opleggen van sancties, waaronder een
administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de
gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd.

40. Op 13 oktober 2025 ontvangt de Geschillenkamer de reactie van de verweerder op het
voornemen tot het opleggen van sancties, waaronder een administratieve geldboete,
alsmede het bedrag daarvan.

II. Motivering

II.1. Overzicht

41. Voorafgaand aan de toetsing van de naleving van de wettelijke bepalingen, wordt de
gegevensverwerking omschreven in deel II.2 van deze beslissing, waarin de rol en het
standpunt van de derde belanghebbende ook worden toegelicht.

42. Betreffende de vermeende inbreuken, toetst de Geschillenkamer de naleving van de
artikelen die in de conclusiebrief van 11 maart 2024 werden vermeld. De Geschillenkamer
informeerde de verweerder op deze datum dat de volgende mogelijke inbreuken op haar
betrekking hadden: artikel 5.1.a) AVG j° artikel 6 AVG (onrechtmatig verkrijgen en verder
verkopen van persoonsgegevens); artikel 24.1 AVG (controleren rechtmatigheid dataset);
artikel 17 AVG (geen uitvoering aan een verzoek tot gegevenswissing).

43. De eerste twee vermeende inbreuken worden samen behandeld in deel II.3 van deze
beslissing. Artikel 24 AVG legt algemene verantwoordingsplichten en nalevingsvereisten op
aan verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens1. Het heeft
een rechtstreekse invloed op de beoordeling van andere artikelen, waaronder artikel 5.1.a)
en 6.1 AVG, waardoor het in dit geval passend is deze vermeende inbreuken samen te
beoordelen.

44. De derde vermeende inbreuk wordt behandeld in deel II.4 van deze beslissing.

II.2. Beschrijving van de verwerking

Toelichting van de verweerder

45. De hoofdactiviteiten van de verweerder zijn, enerzijds, het gratis aanbieden van een
telefoongidsdienst, en anderzijds het verkopen van gegevens voor historisch en statistisch

1
Arrest van het Hof van Justitie van de Europese Unie van 27 oktober 2022, Z4 NV tegen Gegevensbeschermingsautoriteit,
C-129/21, ECLI-EU:C:2022:833, punt 81

Beslissing ten gronde 199/2025 — 6/35

onderzoek of voor commerciële doeleinden2. Zij stelt dat persoonsgegevens de kern van
haar commerciële activiteiten vormen3.

46. In dit kader sloot de verweerder meerdere contracten met Z4 (voorheen “Z4”) die in deze
procedure betrokken is als belanghebbende derde.

47. De verweerder verwijst in haar syntheseconclusies naar de contracten “(…) (2004)” en “(…)
(18 november 2013)”. Zij stelt dat Z4 haar met deze contracten het recht verleende om
toegang te krijgen tot en gebruik te maken van de (…)-database van Z4, en met name voor
marketingdoeleinden binnen de grenzen en voorwaarden van genoemde overeenkomsten4.
De verweerder verwijst naar artikel 2.a) van de overeenkomst (…), gewijzigd bij een
aanvullende overeenkomst “(…)” van 18 juni 2018, waarin de “database (…)” wordt
gedefinieerd als:

"het geheel van namen, telefoonnummers en/of faxnummers en adressen van
klanten (natuurlijke personen of rechtspersonen) die in België een
telefoonaansluiting hebben bij Z4, en b) bij derde operatoren indien Z4 zowel met
deze derde operatoren als met de Gebruiker passende overeenkomsten heeft
gesloten. In alle gevallen, met uitzondering van: a) “Restrictelijst”-nummers; b)
privénummers; met inbegrip van gegevensupdates...5".

De derde belanghebbende partij, waarmee deze contracten werden afgesloten, spreekt
deze interpretatie van de contracten tegen (zie hieronder).

48. De verweerder stelt in haar syntheseconclusies dat Z4 op 3 mei 2006 de volgende
persoonsgegevens van de klager verstrekte: de voornaam, naam, straatnaam, huisnummer,
postcode, stad, en de aanmaakdatum en bron van de gegevens. Dit gebeurde volgens de
verweerder in het kader van de contracten “(…)” van 2004 en “(…)” van 20136. In haar reactie
op de tussenkomst van de derde belanghebbende preciseert zij dat Z4 de
persoonsgegevens van de klager verstrekte in het kader van de “Services Orders” van de

2
Punt 1.1 van de syntheseconclusies van de verweerder: “Depuis près de 30 années, elle oeuvre d’une part à offrir gratuitement
un service d’annuaire universel au citoyen belge, mais parallèlement et notamment afin de financer ce service universel et sa
propre existence, elle travaille à la mise à disposition de données à des fins d’enquêtes, historiques, statistiques, ou encore à
des fins commerciales.
Active dans tous les pays du monde, la concluante propose également de multiples solutions B2B dont une large gamme de
produits et de services qui permettent d’améliorer, d’acquérir ou d’utiliser des données à des fins de publication, marketing,
webvertising, etc.”
3
Punt 1.2 van de syntheseconclusies van de verweerder: “Consciente que la donnée à caractère personnel est le coeur de son
activité commerciale, elle en a fait le coeur de ses préoccupations quotidiennes.”
4
Punt 1.4 van de syntheseconclusies van de verweerder.
5
Vrije vertaling van punt 1.4 syntheseconclusies verweerder en stuk 6 verweerder. Originele versie: “l’ensemble des noms, des
numéros de téléphone et/ou numéros de fax et des adresses des clients (personne physique ou morale) disposant d’un
raccordement téléphonique, en Belgique, auprès de Z4 et b) auprès d’opérateurs tiers dans le cas où Z4 a prévu des accords
appropriés tant avec ces opérateurs tier qu’avec l’Utilisateur. Dans tous les cas, à l’exclusion de : a) des numéros « Restrictel »;
b) des numéros privés; y inclus les Mises à jour des données…”
6
Punt 3.1 van de syntheseconclusies van de verweerder.

Beslissing ten gronde 199/2025 — 7/35

wijziging N2 en 2/A “data Sales”, en deze gegevens slechts bijgewerkt werden in het kader
van het (...) contract7.

49. Volgens de verweerder werden deze gegevens aan haar marketing database toegevoegd
op basis van toestemming die de klager zou hebben gegeven aan Z4. De klager zou namelijk
bij het afsluiten van een telefoonabonnement toestemming hebben gegeven voor het
gebruik van zijn gegevens voor marketingdoeleinden8. De klager spreekt tegen dat hij
toestemming zou hebben gegeven voor de verwerking van zijn persoonsgegevens door
Infobel9.

50. De naam, voornaam en het adres van de klager werden door de verweerder doorverkocht
aan een derde partij in het kader van een marketingcampagne per papieren post10.

51. Tijdens de hoorzitting op 25 juni 2025 stelt de DPO van Infobel dat de betrokken databank
sinds 2023 niet meer door Infobel wordt gebruikt. Dit werd besloten op basis van juridische
ontwikkelingen bij het Hof van Justitie van de EU die twijfels deden rijzen over de kwaliteit
van de toestemming. Bovendien zouden de gegevens niet langer commercieel interessant
zijn gebleven. Infobel stelt dat de gegevens werden verwijderd11.

Toelichting van de derde belanghebbende (Z4):

52. Op 31 januari 2025 informeerde de Geschillenkamer de partijen dat Z4 mogelijke derde-
belanghebbende was wiens belangen mogelijk kunnen worden geschaad door de procedure
ten gronde (art. 108.3, 2de lid van de WOG). Z4 kreeg de gelegenheid om desgewenst tussen
te komen in de procedure voor de Geschillenkamer. Zij bevestigde haar tussenkomst op 26
februari 2025. De Geschillenkamer ontving haar conclusies op 14 maart 2025.

53. Z4 is een telecomoperator. In het kader van haar activiteiten had zij een databank ontwikkeld
met alle namen, telefoonnummers en/of faxnummers en adressen van haar klanten
(natuurlijke of rechtspersonen) met een vaste telefoon- en/of faxaansluiting.

54. Z4 (destijds Z4) en de verweerder (destijds Kapitol) sloten oorspronkelijk overeenkomsten
met het oog op het opstellen en publiceren van telefoongidsen door de verweerder.

55. Het “(...)-contract” en het “(…)-Contract” betreffen volgens Z4 afzonderlijke contractuele
relaties met de verweerder. Volgens Z4 betreffen deze contracten, in tegenstelling tot wat
de verweerder stelt, enkel het opvragen van gegevens door de verweerder, hetgeen vereist
dat de opvragende partij (de verweerder) reeds over bepaalde gegevens beschikt12. Z4

7
Punt 3 van de reactie van de verweerder op de tussenkomst van de derde belanghebbende.
8
Punt 1.6 van de syntheseconclusies van de verweerder en de brief van de verweerder naar de klager van 12 oktober 2022
9
Conclusies van de klager tegen Infobel, pagina 1
10
Punt 1.5 (pagina 5-6) van de syntheseconclusies van de verweerder
11
PV van de hoorzitting van 25 juni 2025, pagina 5
12
Punt 22 van de conclusies van de derde belanghebbende

Beslissing ten gronde 199/2025 — 8/35

merkt op dat de verweerder in paragraaf 1.6 van haar syntheseconclusies beweert dat zij de
persoonsgegevens van de klager ontving op basis van het (...)-Contract. Zij stelt echter, op
basis van het voorgaande, dat de verweerder toen al minstens één datapunt met betrekking
tot de klager moest verwerken13.

56. Voorts merkt Z4 op dat de gegevens van de klager van 2006 dateren. Zij verwijst naar de
richtsnoeren van de WP29 in april 2018, en onder andere naar passages als: “Het is
belangrijk dat verwerkingsverantwoordelijken de bestaande werkprocessen en
registratiemethodes vóór 25 mei 2018 nauwgezet evalueren om er zeker van te zijn dat de
toestemming voldoet aan de standaard van de AVG (zie overweging 171 van de AVG)”.
Volgens Z4 kan het enkel de verantwoordelijkheid van de verweerder zijn geweest om te
evalueren of enige verwerking door Infobel van de persoonsgegevens van de klager vanaf
25 mei 2018, voldeed aan de vereisten van de AVG14.

57. Z4 stelt verder dat de verweerder zich niet kan beroepen op de toestemming die de klager
gaf voor de publicatie van zijn gegevens in telefoongidsen. Zij verwijst in dat kader naar het
arrest Proximus van het Hof van Justitie van de Europese Unie betreffende telefoongidsen,
waarin het Hof bevestigde dat toestemming gegeven voor de publicatie van
contactgegevens in telefoongidsen, geldt voor om het even welke aanbieder van
telefoongidsen, maar dat niemand zich op een dergelijke toestemming mag beroepen om
deze contactgegevens voor andere doeleinden te verwerken. Het Hof van Justitie oordeelde
namelijk:

“Indien de partij die de gegevens van de abonnee verzamelt of een derde aan wie
de gegevens zijn doorgezonden, deze gegevens voor een ander doel wenst te
gebruiken, moet daarentegen opnieuw de toestemming van de abonnee worden
verkregen, hetzij door de partij die de gegevens oorspronkelijk heeft verzameld
hetzij door de derde aan wie de gegevens zijn doorgezonden […]”15

58. Z4 stelt dat “enige verwerking door [de verweerder] naar aanleiding van het verkrijgen van
persoonsgegevens onder het (...)-Contract of het (…)-Contract […] op een afzonderlijke
rechtsgrond [dient] te rusten, zij het een andere toestemming (niet langer doelgebonden
maar wel met identificatie van de verwerkingsverantwoordelijke) of een andere rechtsgrond
[…]16” Z4 stelt dat de verweerder in het huidige geval “nooit aan [haar] gevraagd [heeft] om
enige toestemming te verkrijgen van haar klanten (laat staan, ex-klanten) voor de
verwerking door [de verweerder] van persoonsgegevens om direct marketing doeleinden17.”

13
Punt 29 van de conclusies van de derde belanghebbende
14
Punten 30-34 van de conclusies van de derde belanghebbende
15
Hof van Justitie van de Europese Unie, 27 oktober 2022, Z4, C-129/21, Proximus, para. 50
16
Punt 39 van de conclusies van de derde belanghebbende
17
Punt 40 van de conclusies van de derde belanghebbende

Beslissing ten gronde 199/2025 — 9/35

59. Bovendien stelt Z4 dat het (...)-Contract, noch het (…)-Contract, enige garantie bevat door Z4
dat de verkregen persoonsgegevens rechtmatig voor direct marketingdoeleinden verwerkt
mogen worden18.

II.3. Betreffende de vermeende inbreuken op artikel 5.1.a) AVG juncto artikel 6 AVG en
artikel 24 AVG

60. Artikel 5.1.a) AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen
rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Artikel 6.1 AVG
bepaalt dat de verwerking van persoonsgegevens slechts rechtmatig is indien en voor
zover deze rust op één van de in artikel 6.1.a) – f) AVG vastgelegde grondslagen. De
verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt
voldaan aan de voorwaarden van een van deze mogelijke grondslagen. Ten slotte moet de
verwerkingsverantwoordelijke overeenkomstig artikel 24 AVG passende technische en
organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming met deze verordening wordt uitgevoerd.

61. In casu beroept de verweerder zich op artikel 6.1.a) AVG: “de betrokkene heeft
toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer
specifieke doeleinden”. Meer bepaald stelt de verweerder dat de persoonsgegevens van
de klager werden toegevoegd aan haar marketingdatabank op basis van de toestemming
die de klager zou hebben gegeven aan zijn telecomoperator19. De verweerder stelt dat de
inhoud van de database (…) betrekking heeft op persoonsgegevens van telefoonabonnees
die bij het afsluiten van een telefoonabonnement toestemming hebben gegeven voor het
gebruik van hun gegevens voor marketingdoeleinden20. Om dit aan te tonen verwijst de
verweerder naar stuk 13 van haar syntheseconclusies, waarin de algemene voorwaarden
van Z4 (versie van 01/11/03) zijn opgenomen. De verweerder stelt dat de klager in 2006
toestemming zou hebben gegeven voor het doorgeven van zijn persoonsgegevens voor
het doeleinde van direct marketing. Zij verwijst daarbij nogmaals naar de algemene
voorwaarden van Z4 en stelt dat zij deze toestemming is blijven verifiëren. Tijdens de
hoorzitting op 17 december 2024 herhaalt de verweerder dat de klager in 2006 zijn
toestemming zou hebben gegeven voor het doorgeven van zijn persoonsgegevens voor
het doeleinde van direct marketing21. De verweerder verwijst nogmaals naar de algemene
voorwaarden van Z4 en dat zij de toestemming is blijven verifiëren22. Wanneer zij gevraagd

18
Punt 45 van de conclusies van de derde belanghebbende
19
Zie brief van de verweerder aan de klager op 12 oktober 2022
20
Syntheseconclusies verweerder, pagina 12
21
PV hoorzitting van 17 december 2024, pagina 5
22
Tijdens de hoorzitting van 25 juni 2025 verduidelijkt Infobel dat dit ging om een verificatie of de klager zich had afgemeld.
Infobel gaat ook na of het telefoonnummer en adres steeds actueel zijn via Bpost, Experian en telecomoperators, en of de

Beslissing ten gronde 199/2025 — 10/35

wordt hoe deze verificatie plaatsvond, stelt de verweerder dat indien Z4 de gegevens
overmaakte, zij daarmee bevestigde dat zij steeds de toestemming van de betrokkenen
had om dit te doen23.

62. De DPO van Infobel stelde tijdens de hoorzitting op 27 juni 2025 voorts dat de e-
Privacyrichtlijn bepaalt dat toestemming de enige rechtmatigheidsgrond is voor direct
marketing. Dat betekent dat de toegang tot een database voor direct marketing gebaseerd
moet zijn op die toestemming. Aangezien Z4 op de hoogte was van de door Infobel
nagestreefde doeleinden, kon Infobel volgens haar DPO ervan uitgaan dat Z4 de nodige
toestemming van de betrokken personen had verkregen. Indien dat niet het geval was
geweest, zou de overeenkomst tussen Z4 en Infobel geen zin hebben gehad24.

63. De klager en de derde belanghebbende betwisten dat de verweerder zich kan beroepen op
artikel 6.1.a) AVG. De klager zelf stelt dat hij nooit toestemming heeft gegeven aan Infobel
voor de verwerking van zijn persoonsgegevens25. De derde belanghebbende stelt dat de
verweerder zich niet kan beroepen op de toestemming die zij van de klager verkreeg voor
de publicatie van zijn gegevens in telefoongidsen. Zij stelt dat “enige verwerking door [de
verweerder] naar aanleiding van het verkrijgen van persoonsgegevens onder het (...)-
Contract of het (…)-Contract […] op een afzonderlijke rechtsgrond [dient] te rusten, zij het
een andere toestemming (niet langer doelgebonden maar wel met identificatie van de
verwerkingsverantwoordelijke) of een andere rechtsgrond […]26” Z4 stelt dat de
verweerder in het huidige geval “nooit aan [haar] gevraagd [heeft] om enige toestemming
te verkrijgen van haar klanten (laat staan, ex-klanten) voor de verwerking door [de
verweerder] van persoonsgegevens om direct marketing doeleinden27.”

Toetsing van de toestemming

64. Aangezien de verweerder zich beroept op artikel 6.1.a) AVG, dient de Geschillenkamer te
toetsen of sprake is van een rechtsgeldige toestemming om de gegevens van de klager te
verwerken. Toestemming wordt in artikel 4.11 AVG gedefinieerd als “elke vrije, specifieke,
geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een
verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van
persoonsgegevens aanvaardt”.

65. De Geschillenkamer zal geen andere mogelijke rechtsgronden in art. 6 AVG onderzoeken.
Immers, de verwerkingsverantwoordelijke kan de toestemming niet voor andere

betrokkene zich heeft aangemeld op een opt-out lijst zoals de Robinson lijst. Zie PV hoorzitting van 25 juni 2025, pagina 5 en
opmerkingen van de verweerder van 24 juli 2025.
23
PV hoorzitting van 17 december 2024, pagina 5
24
PV hoorzitting van 25 juni 2025, pagina 4
25
Zie klacht en pagina 1 van de conclusies van de klager tegen de verweerder
26
Punt 39 van de conclusies van de derde belanghebbende
27
Punt 40 van de conclusies van de derde belanghebbende

Beslissing ten gronde 199/2025 — 11/35

rechtsgronden verruilen wanneer problemen worden ondervonden of aan de orde worden
gesteld met betrekking tot de geldigheid van de toestemming28. Wegens de verplichting
de rechtsgrond te vermelden waarop de verwerkingsverantwoordelijke zich bij het
verzamelen van persoonsgegevens baseert, moet hij alvorens te beginnen met
verzamelen, hebben beslist wat de passende rechtsgrond hiervoor is29. Het Europees
Comité voor gegevensbescherming (hierna: de EDPB) specifieert verder dat “Het doen
voorkomen dat gegevens worden verwerkt op basis van toestemming, terwijl men zich in
werkelijkheid op een andere rechtsgrond baseert, [wezenlijk oneerlijk zou] zijn ten aanzien
van de betrokkenen”30.

66. De EDPB identificeert vier elementen die aanwezig moeten zijn voor geldige
toestemming31: toestemming is (1) vrij/vrijelijk gegeven; (2) specifiek; (3) op informatie
berustende; en (4) een ondubbelzinnige wilsuiting waarmee de betrokkene door middel van
een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van
persoonsgegevens aanvaardt.

67. Artikel 7.1 AVG bepaalt dat “de verwerkingsverantwoordelijke [moet] kunnen aantonen dat
de betrokkene toestemming heeft gegeven voor de verwerking van zijn
persoonsgegevens.” Dit volgt ook uit artikel 24.1 AVG, op basis waarvan de
verwerkingsverantwoordelijke moet “kunnen aantonen dat de verwerking in
overeenstemming met deze verordening wordt uitgevoerd.” In de volgende punten gaat de
Geschillenkamer na of de verweerder aantoont dat de betrokkene toestemming heeft
gegeven voor het verzamelen en doorverkopen van zijn gegevens door de verweerder voor
doeleinden van direct marketing.

Vrij/vrijelijk gegeven

68. Volgens de EDPB impliceert het element “vrij” werkelijke keuze en controle voor de
betrokkenen. Als algemene regel schrijft de AVG voor dat als een betrokkene geen
werkelijke keuze heeft, zich gedwongen voelt om toestemming te geven of het voor hem
negatieve gevolgen zal hebben als hij niet toestemt, de toestemming niet geldig is32.

69. Artikel 7.4 AVG bepaalt dat bij de beoordeling van de vraag of de toestemming vrijelijk kan
worden gegeven, er “onder meer ten sterkste rekening [wordt] gehouden met de vraag of
voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst,

28
Zie bijvoorbeeld beslissingen 81/2020, 38/2021, 54/2023, 77/2023 en 109/2024 van de Geschillenkamer
29
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 123
30
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 122
31
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 11
32
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 13

Beslissing ten gronde 199/2025 — 12/35

toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk
is voor de uitvoering van die overeenkomst.” Overweging 43 van de AVG specificeert dat
de toestemming “wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke
toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen
ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een
overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de
toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die
uitvoering”. De EDPB vat samen: “Indien toestemming is opgenomen als een niet-
onderhandelbaar onderdeel van de voorwaarden, wordt deze verondersteld niet vrijelijk te
zijn verleend”33.

70. In het onderhavige geval verwijst de verweerder naar de algemene voorwaarden van Z4
(versie van 01/11/03)34, waaruit de toestemming van de klager zou volgen. Het doel van de
uitvoering van de overeenkomst tussen Z4 en de klager was het verlenen van
telefoniediensten. Er is geen sprake van een direct en objectief verband35 tussen de
uitvoering van de overeenkomst tussen Z4 en de klager en het doorverkopen van de
persoonsgegevens van de klager door de verweerder.

71. Op basis van het bovenstaande moet er overeenkomstig artikel 7.4 AVG worden
verondersteld dat de toestemming ongeldig was. Artikel 7.4 AVG is niet op absolute wijze
geformuleerd, waardoor er in “zeer” uitzonderlijke36 gevallen kan worden geoordeeld dat
dergelijke conditionaliteit de toestemming niet ongeldig zou maken. Hoe dan ook ligt de
bewijslast in artikel 7.4 bij de verwerkingsverantwoordelijke37. In casu heeft de verweerder
niet aangetoond dat de toestemming van de klager niettemin vrijelijk zou zijn gegeven. De
Geschillenkamer beschikt ook anderszins niet over elementen die een indicatie geven dat
hier sprake zou kunnen zijn van een zeer uitzonderlijk geval.

Specifiek

72. Volgens artikel 6.1.a) AVG, moet de toestemming van de betrokkene worden verleend met
betrekking tot “een of meer specifieke” doeleinden, en dient een betrokkene een keuze te
hebben ten aanzien van elk van deze doeleinden38. Volgens de EDPB moet de
verwerkingsverantwoordelijke zorgen voor:

33
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 13
34
Syntheseconclusies verweerder, stuk 13
35
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 30
36
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 35
37
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 36
38
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 55

Beslissing ten gronde 199/2025 — 13/35

“i) specificatie van doeleinden als een bescherming tegen “function creep”,

ii) granulariteit in toestemmingsverzoeken, en

iii) een duidelijk onderscheid tussen informatie over het verkrijgen van
toestemming voor verwerkingsactiviteiten en informatie over andere zaken39”

73. Betreffende i), de specificatie van doeleinden, verwijst de EDPB in haar richtsnoeren naar
een advies van de Groep 29 over doelbinding, waarin het volgende werd gezegd: “Om deze
redenen voldoet een doel dat vaag of algemeen is, zoals “verbetering van de
gebruikerservaring”, “marketingdoeleinden”, doeleinden met betrekking tot IT-beveiliging,
of “toekomstig onderzoek” – zonder meer informatie – meestal niet aan de criteria voor
“specifiek”.40”

74. In de algemene voorwaarden van Z4 wordt er vermeld dat de persoonsgegevens “door Z4
op de markt [kunnen] worden gebracht, met uitzondering van de verkeers- en
facturatiegegevens. Klanten die niet willen dat hun gegevens door Z4 worden
gecommercialiseerd, kunnen echter op elk moment en door contact op te nemen met de
lokale dienst van Z4, vragen om gratis te worden opgenomen op een speciale lijst, de
zogenaamde ‘Restrictelijst’. Privé nummers worden automatisch opgenomen op de
Restrictelijst41.” Hieruit volgt niet dat de verweerder, een partij die niet wordt vermeld in de
algemene voorwaarden, voor haar eigen doeleinden, die evenmin worden vermeld, zich zou
kunnen beroepen op deze zelfde toestemming.

75. Betreffende ii), de granulariteit in toestemmingsverzoeken, schrijft de EDPB dat indien de
verwerkingsverantwoordelijke verschillende doeleinden voor verwerking heeft
samengevoegd en niet heeft getracht om voor elk doel afzonderlijke toestemming te
krijgen, er sprake is van een gebrek aan vrijheid42. Dit betekent dat een
verwerkingsverantwoordelijke die toestemming wil krijgen voor een aantal verschillende
doeleinden, voor elk doel een afzonderlijke opt-in moet aanbieden om gebruikers in staat
te stellen om specifieke toestemming te verlenen voor specifieke doeleinden43.

76. In casu is er geen sprake van een afzonderlijke opt-in die werd aangeboden om
betrokkenen in staat te stellen specifieke toestemming te geven voor specifieke

39
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 55
40
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 56 en voetnoot
41
Vrije vertaling: originele versie: “Les données précitées peuvent également être commercialisées par Z4, à l’exception des
données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4
peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale,
dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.”
42
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 44
43
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 60

Beslissing ten gronde 199/2025 — 14/35

doeleinden, en met name niet voor het specifieke doeleinde van het doorverkopen van de
persoonsgegevens voor direct marketing doeleinden door Infobel.

77. In conclusie heeft de verweerder geen begin van bewijs geleverd dat de klager specifiek
toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens door de
verweerder voor de doorverkoop voor marketingdoeleinden.

Op informatie berustende

78. Voorts vereist de AVG dat toestemming geïnformeerd moet zijn. Opdat de betrokkene een
geïnformeerde beslissing kan nemen, is het noodzakelijk om voorafgaand aan het
verkrijgen van zijn toestemming informatie te verstrekken. Indien de
verwerkingsverantwoordelijke geen toegankelijke informatie verstrekt, is toestemming
een ongeldige grond voor verwerking44.

79. Overweging 42 AVG bepaalt dat, opdat toestemming met kennis van zaken wordt gegeven,
“de betrokkene ten minste bekend [moet] zijn met de identiteit van de
verwerkingsverantwoordelijke en de doeleinden van de verwerking van de
persoonsgegevens.”

80. De EDPB is van mening dat ten minste de volgende informatie nodig is voor het verkrijgen
van rechtmatige toestemming45:

i. de identiteit van de verwerkingsverantwoordelijke46,

ii. het doel van elk van de verwerkingen waarvoor toestemming wordt gevraagd47,

iii. welk(e) (soort) gegevens worden verzameld en gebruikt48,

iv. het bestaan van het recht om toestemming in te trekken49,

v. informatie over het gebruik van de gegevens voor geautomatiseerde
besluitvorming overeenkomstig artikel 22, lid 2, onder c), indien van toepassing50,
en

vi. informatie over de risico's van dergelijke doorgiften bij ontstentenis van een
adequaatheidsbesluit en van passende waarborgen, zoals beschreven in artikel 46.

44
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 62
45
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 64
46
Zie overweging 42 AVG: “Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend
zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens […]”
47
Ibidem
48
Zie ook WP29 Advies 15/2011 over de definitie van “toestemming” (WP 187), blz. 19-20
49
Zie artikel 7.3 AVG
Zie ook WP29-richtsnoeren betreffende geautomatiseerde individuele besluitvorming en profilering in de zin van
50

Verordening 2016/679 (WP251), paragraaf IV.B, blz. 20 e.v.

Beslissing ten gronde 199/2025 — 15/35

In het onderhavige geval is de informatie opgenomen in i. tot en met iv. van toepassing.

81. Om te beginnen met i. en ii., de voorwaarden die expliciet worden vermeld in Overweging
42, merkt de Geschillenkamer op dat de identiteit van Infobel nergens wordt vermeld in de
algemene voorwaarden van Z4, en als gevolg ook niet het doel van haar verwerking van de
persoonsgegevens. Overweging 42 AVG bepaalt nochtans duidelijk dat er slechts sprake
kan zijn van geïnformeerde toestemming indien de betrokkenen ten minste bekend is met
de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van
de persoonsgegevens. De EDPB specificeert dat “ingeval meerdere (gezamenlijke)
verwerkingsverantwoordelijken zich op de gevraagde toestemming willen baseren of als
de gegevens zullen worden doorgegeven aan of verwerkt door andere
verwerkingsverantwoordelijken die zich op de oorspronkelijke toestemming willen
baseren, al deze organisaties moeten worden genoemd51.”

82. Uit de stukken blijkt nergens dat de klager op de hoogte was dat de verweerder op enig
moment zijn gegevens zou verwerken, laat staan dat de klager voldoende op de hoogte was
van de doeleinden waarvoor deze verwerking zou geschieden. Tijdens de hoorzitting op 17
december 2024 vraagt de Geschillenkamer aan de verweerder of de klager uitdrukkelijk op
de hoogte werd gesteld van het feit dat Infobel zijn gegevens zou verwerken. De
verweerder antwoordde dat er destijds geen melding werd gemaakt van de identiteit van
Infobel. Om deze reden zou Infobel, rekening houdend met de nieuwe rechtspraak, het
gebruik van de betrokken gegevens hebben stopgezet52.

83. De klager had onmogelijk kunnen weten op basis van de algemene voorwaarden van Z4 dat
de verweerder zijn gegevens zou verwerken met als doeleinde de commercialisering van
zijn gegevens voor direct marketing. In de algemene voorwaarden staat dat Z4 zelf de
gegevens op de markt kan brengen53, maar dit strekt niet tot de verdere commercialisering
ervan door de verweerder.

84. Betreffende iii. en iv. , merkt de Geschillenkamer op dat de klager deels geïnformeerd werd.
In de algemene voorwaarden van Z4 wordt opgenomen welke persoonsgegevens van de
klager zouden worden verwerkt, en op pagina 12 van de algemene voorwaarden wordt
opgenomen dat de klanten kunnen vragen aan Z4 om op een lijst te staan (“liste Restrictel”)
indien zij niet wensen dat hun gegevens gecommercialiseerd worden door Z454. Aangezien

51
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 65
52
PV hoorzitting van 17 december 2024, pagina 5
53
Originele versie waarover de Geschillenkamer beschikt: “Les données précitées peuvent également être commercialisées
par Z4, à l’exception des données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient
commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur
une liste spéciale, dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.”
54
Originele versie waarover de Geschillenkamer beschikt: “Toutefois, les clients ne souhaitant pas que leurs données soient
commercialisées par Z4 peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur
une liste spéciale, dénommée « liste Restrictel ».

Beslissing ten gronde 199/2025 — 16/35

de klager niet wordt geïnformeerd over de verwerking van zijn persoonsgegevens door
Infobel, kan hij echter onmogelijk weten dat hij rechtstreeks bij Infobel zijn toestemming
kan intrekken voor de verwerking van zijn persoonsgegevens door Infobel.

85. In conclusie heeft de verweerder niet aangetoond dat de klager geïnformeerde
toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens door de
verweerder voor de doorverkoop voor marketingdoeleinden.

Ondubbelzinnige wilsuiting door middel van een verklaring of een ondubbelzinnige
actieve handeling

86. Artikel 4.11 AVG bepaalt dat toestemming moet worden gegeven “door middel van een
verklaring of een ondubbelzinnige actieve handeling”. Overweging 32 AVG specificeert dat
toestemming moet worden gegeven door middel van een “duidelijke actieve handeling”, en
noemt enkele voorbeelden: “een schriftelijke verklaring, ook met elektronische middelen,
of een mondelinge verklaring, […] het klikken op een vakje bij een bezoek aan een
internetwebsite, het selecteren van technische instellingen voor diensten van de
informatiemaatschappij…”. Daarentegen bepaalt overweging 32 dat “Stilzwijgen, het
gebruik van reeds aangekruiste vakjes of inactiviteit” niet als toestemming mag gelden.

87. In het onderhavige geval wordt er in de algemene voorwaarden van Z4 vermeld dat de
persoonsgegevens “door Z4 op de markt [kunnen] worden gebracht, met uitzondering van
de verkeers- en facturatiegegevens. Klanten die niet willen dat hun gegevens door Z4
worden gecommercialiseerd, kunnen echter op elk moment en door contact op te nemen
met de lokale dienst van Z4, vragen om gratis te worden opgenomen op een speciale lijst,
de zogenaamde ‘Restrictelijst’. Privé nummers worden automatisch opgenomen op de
Restrictelijst55.”

88. Tijdens de hoorzitting op 17 december 2024 vroeg de Geschillenkamer aan de verweerder
of de toestemming die de klager zou in 2006 zou hebben gegeven geen “opt-out” was. De
verweerder antwoordde dat “het geen ‘opt-out’ betrof, maar een ‘opt-in’, die wellicht te
breed was, maar zeker conform in zijn tijd”56.

89. De Geschillenkamer oordeelt dat de bovenstaande bepaling van de algemene voorwaarden
van Z4 duidelijk een zogenoemde “opt-out” is, en dus niet kan gelden als toestemming. Bij
stilzwijgen van de betrokkene wordt namelijk zijn toestemming verondersteld. Overweging
32 AVG bepaalt duidelijk dat “Stilzwijgen, het gebruik van reeds aangekruiste vakjes of

55
Vrije vertaling: originele versie: “Les données précitées peuvent également être commercialisées par Z4, à l’exception des
données de trafic et de facturation. Toutefois, les clients ne souhaitant pas que leurs données soient commercialisées par Z4
peuvent, à tout moment et en s’adressant au service local de Z4, demander à figurer gratuitement sur une liste spéciale,
dénommée « liste Restrictel ». Les numéros privés sont portés d’office sur la liste Restrictel.”
56
Vrije vertaling uit het Frans. Franse versie uit PV van de hoorzitting, met aanpassingen van de verweerder op 8 januari 2025:
“M. (…) demande si le consentement donné par le plaignant en 2006 n'était pas un "opt-out". M. (…) répond qu'il ne s'agissait
pas d'un "opt-out", mais d'un "opt-in", peut-être trop large, mais certainement conforme en son temps. Il ajoute que néanmoins,
Infobel S.A. a reçu la confirmation de Z4 en 2018 et 2020 que le plaignant aurait renouvelé son consentement.”

Beslissing ten gronde 199/2025 — 17/35

inactiviteit” niet als toestemming mag gelden”. Voorts verwijst de Geschillenkamer naar de
volgende paragraaf in de richtsnoeren van de EDPB:

“Een verwerkingsverantwoordelijke moet zich er ook van bewust zijn dat
toestemming niet kan worden verkregen door middel van dezelfde handeling als
die voor het instemmen met een overeenkomst of het aanvaarden van algemene
voorwaarden van een dienst. Allesomvattende aanvaarding van algemene
voorwaarden kan niet worden beschouwd als een duidelijke actieve handeling
waarmee toestemming wordt gegeven voor het gebruik van persoonsgegevens57.”

90. Aldus staat buiten twijfel dat de toestemming van de klager niet geldig kon worden
verkregen via de algemene voorwaarden van Z4.

91. Betreffende artikel 24 AVG

92. De AVG bepaalt in artikel 7.1 dat de verwerkingsverantwoordelijke moet kunnen aantonen
dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn
persoonsgegevens58. De bewijslast rust op de verwerkingsverantwoordelijke59. Deze
bepaling wordt weerspiegeld in artikel 24.1 op basis waarvan de
verwerkingsverantwoordelijke een algemene plicht heeft om passende technische en
organisatorische maatregelen te treffen om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming met deze verordening wordt uitgevoerd.

93. De Geschillenkamer herinnert eraan dat het louter verwijzen naar verklaringen en
contractuele afspraken met andere partijen (in casu, de derde belanghebbende) niet
volstaat. Overeenkomstig artikel 24 AVG en artikel 7.1 AVG is de
verwerkingsverantwoordelijke zelf verplicht om te kunnen aantonen dat de betrokkene
toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. De bewijslast
rust op de verweerder. Het behoort niet tot de bevoegdheden van de Geschillenkamer om
te oordelen over contractuele disputen tussen de verweerder en de derde
belanghebbende, met name betreffende het (contractuele) recht van de verweerder om de
betrokken gegevens door te verkopen voor direct marketingdoeleinden. In de onderhavige
beslissing onderzoekt zij louter of de verweerder haar verplichtingen in de AVG is
nagekomen. De verweerder is als verwerkingsverantwoordelijke op basis van artikel 24
AVG verplicht om dit zelf te kunnen aantonen, zoals hierboven reeds werd toegelicht.

57
Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 81
58
Zie ook Overweging 42: “Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene,
moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking.
59
Zie ook Europees Comité voor gegevensbescherming (European Data Protection Board), Richtsnoeren 05/2020 inzake
toestemming overeenkomstig Verordening 2016/679, Versie 1.1, Vastgesteld op 4 mei 2020, punt 104

Beslissing ten gronde 199/2025 — 18/35

94. De Geschillenkamer gaf de verweerder dan ook meermaals ruim de mogelijkheid om aan te
tonen dat de klager geldige toestemming had gegeven. Tijdens de hoorzitting op 25 juni
2025 kreeg de verweerder nogmaals een kans om dit aan te tonen. De Geschillenkamer
benadrukte het belang hiervan in haar uitnodiging naar deze hoorzitting, waarin zij de
volgende paragraaf opnam:

“Tijdens de hoorzitting zal Infobel in het bijzonder de gelegenheid krijgen om aan te
tonen dat zij de persoonsgegevens van de klager (en van de andere betrokkenen in
dezelfde databank) verwerkt heeft op basis van een geldige rechtsgrond, zoals vereist
op grond van artikel 6 AVG. De Geschillenkamer merkt op dat Infobel heeft verwezen
naar een veronderstelde toestemming die de klager voor het eerst gaf in 2006, en dat
Infobel S.A. dit daarna is blijven verifiëren. Infobel zou in 2018 en 2020 bevestiging
hebben ontvangen van Z4 dat de klager zijn toestemming zou hebben vernieuwd.
Infobel wordt nadrukkelijk uitgenodigd om concrete, verifieerbare bewijzen van
deze (oorspronkelijke en herhaalde) toestemming voor te leggen tijdens de
hoorzitting, in overeenstemming met de verantwoordingsplicht (artikel 5.2 AVG).”

95. Tijdens deze hoorzitting vroeg de Geschillenkamer dan ook nadrukkelijk aan de verweerder
of zij over een document beschikt waarmee zij de opt-in toestemming van de klager uit
2006 of recenter kan aantonen. Infobel antwoordde dat het 19 jaar geleden is sinds 2006
en dat de bewaartermijn 5 jaar is. Wat het bewijs betreft, stelde Infobel dat zij facturen kan
tonen van de raadpleging van de database (…). De Geschillenkamer vroeg of het enkele feit
dat de klager in de database (…) staat, voor Infobel betekent dat de klager een “opt-in”
toestemming heeft gegeven. Infobel bevestigde dat de database aangeeft dat, als iemand
erin staat, deze persoon nog steeds akkoord gaat met het gebruik van zijn gegevens voor
marketingdoeleinden. Z4 benadrukte echter dat de contracten geen enkele garantie
bieden dat Infobel de gegevens kon verwerken zoals Infobel heeft gedaan60.

96. Bovendien stelt de verweerder dat zij, naast de vermeende toestemming van 2006, ook in
2018 en 2020 bevestiging zou hebben ontvangen van Z4 dat de klager zijn toestemming
zou hebben vernieuwd. De Geschillenkamer merkt op dat Z4 dit betwist61, en dat Infobel
geen enkel stuk voorlegt om deze stelling te bewijzen.

97. In conclusie, de verweerder legde gedurende de hele procedure voor de Geschillenkamer
geen enkel stuk voor waaruit blijkt dat de klager op enig moment zijn toestemming heeft
gegeven voor de betreffende gegevens verwerking. Uit geen enkel stuk blijkt zelfs dat de
klager op de hoogte was van het feit dat de verweerder zijn persoonsgegevens verwerkte,

60
PV hoorzitting van 25 juni 2025, pagina 6
61
Punt 57 van de conclusies van de derde belanghebbende

Beslissing ten gronde 199/2025 — 19/35

totdat hij zijn recht van inzage uitoefende bij de uiteindelijke verzender van direct
marketing.

98. De Geschillenkamer oordeelt dat de verweerder niet aantoont dat de klager via een vrije,
specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn toestemming heeft
verleend aan de verweerder om zijn gegevens te verwerken met het doel ze te verkopen
voor marketingdoeleinden. Aldus heeft de verweerder inbreuk gemaakt op artikel 5.1.a)
AVG juncto artikel 6 AVG en artikel 24 AVG.

II.4. Betreffende de vermeende inbreuk op artikel 17 AVG

99. Artikel 17.1 AVG verleent de betrokkene het recht op wissing van persoonsgegevens, en
verplicht de verwerkingsverantwoordelijke deze persoonsgegevens zonder onredelijke
vertraging te wissen wanneer een van de gevallen in artikel 17.1.a) – f) AVG van toepassing
is.

100. De klager verzocht op 4 november 2022 aan de verweerder om zijn persoonsgegevens te
wissen. Hij verwees naar de gronden opgenomen in artikel 17.1.b) en 17.1.c) AVG:

“b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig
artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere
rechtsgrond voor de verwerking;

c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de
verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden
voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking
overeenkomstig artikel 21, lid 2”

101. Op 12 oktober 2022 schrijft de verweerder een brief naar de klager. In deze brief antwoordt
de verweerder zowel op het verzoek van inzage van de klager als op het verzoek van
gegevenswissing. Betreffende het verzoek tot gegevenswissing, schrijft de verweerder dat
zij het nodige heeft gedaan om de gegevens van de klager “uit het marketingbestand te
verwijderen op 11/10/2022”.

102. Op 7 november 2022 bevestigt de verweerder nogmaals aan de klager dat de gegevens
verwijderd zijn uit het marketingbestand.

103. De verweerder stelt in haar conclusies dat zij de gegevens van de klager op 11 oktober 2022
heeft verwijderd van haar databank van marketing gegevens.

104. De Geschillenkamer oordeelt dat er geen inbreuk op artikel 17 AVG kan worden
vastgesteld.

III. Over de corrigerende maatregelen en straffen

Beslissing ten gronde 199/2025 — 20/35

105. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de
bevoegdheid om:

1° een klacht te seponeren;

2° de buitenvervolgingstelling te bevelen;

3° een opschorting van de uitspraak te bevelen;

4° een schikking voor te stellen;

5° waarschuwingen en berispingen te formuleren;

6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;

7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;

8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;

9° te bevelen dat de verwerking in overeenstemming wordt gebracht;

10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;

11° de intrekking van de erkenning van certificatie-instellingen te bevelen;

12° dwangsommen op te leggen;

13° administratieve geldboeten op te leggen;

14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;

15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat
haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven;

16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.

III.1. Corrigerende maatregelen

106. De Geschillenkamer oordeelde dat de verweerder inbreuk maakte op artikel 5.1.a) AVG
juncto artikel 6 AVG en artikel 24 AVG door niet aan te tonen dat de klager via een vrije,
specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn toestemming heeft verleend
aan de verweerder om zijn gegevens te verwerken met het doel ze te verkopen voor
marketingdoeleinden.

107. De Geschillenkamer beslist, ten eerste, om de verweerder krachtens artikel 58.2.g) AVG
alsmede artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van

Beslissing ten gronde 199/2025 — 21/35

persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over
een geldige rechtsgrond beschikt overeenkomstig artikelen 5.1.a), 6.1 en 5.2 AVG.
Overeenkomstig Art. 108, § 1, derde lid WOG is dit bevel niet uitvoerbaar bij voorraad.

108. Voorts beslist de Geschillenkamer om de verweerder krachtens 58.2.g) AVG alsmede artikel
100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde
persoonsgegevens in kennis te brengen van het voorgaande bevel alsmede de
onderhavige beslissing, en te benadrukken dat de aangehaalde rechtsgrond voor de
verwerkingen niet overeenstemt met de AVG.

109. Deze bevelen zijn noodzakelijk om de onrechtmatige verwerking van persoonsgegevens
stop te zetten.

III.2. Administratieve geldboete

110. Naast de corrigerende maatregelen, beslist de Geschillenkamer tot het opleggen van een
administratieve geldboete met het oog op een krachtige handhaving van de regels van de
AVG. Zoals duidelijk blijkt uit overweging 148 AVG62, stelt de AVG immers voorop dat bij elke
inbreuk — dus ook bij een eerste vaststelling van een inbreuk — straffen, met inbegrip van
administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd.

111. De Geschillenkamer wijst er ook op dat het haar soevereine verantwoordelijkheid als
onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen
van de AVG en de WOG — om de passende corrigerende maatregelen en sancties vast te
stellen. Dit volgt uit artikel 83 AVG zelf, maar ook het Marktenhof heeft in haar rechtspraak
het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer benadrukt
aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn arresten
van 7 juli 2021 en 6 september 202363.

112. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op
de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de
Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt
de administratieve geldboete op in toepassing van artikel 58.2.i) AVG. Het instrument van

62
Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd.
Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een
natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden
gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met
schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze
waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden
genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere
verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet
onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het
Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.”
63
Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2021/AR/320, pp. 37-47; Hof van
Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2020/AR/1160, p. 34.

Beslissing ten gronde 199/2025 — 22/35

administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe voorzien
de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen
genoemd in artikel 100, § 1, 8° en 9° WOG.

113. In haar arrest Deutsche Wohnen oordeelde het Hof van Justitie van de EU dat slechts een
administratieve geldboete kan worden opgelegd indien vaststaat dat de
verwerkingsverantwoordelijke opzettelijk of uit nalatigheid de betrokken inbreuk heeft
begaan64. De huidige beslissing houdt hiermee rekening in randnummer 124.

114. Artikel 83 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening moet
worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met de
zwaarte van de inbreuken, de duur van de inbreuken, en het nodige afschrikwekkende effect
om toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van elke factor
herhaald wordt, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin het
opleggen van een administratieve geldboete en de hoogte ervan samen worden behandeld.

115. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen, wordt
van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes aanpassen
en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor de berekening
van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld op 24 mei 2023)
is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de boete,
afhankelijk van de omstandigheden van de zaak. De toepassing van deze Richtsnoeren is
noodzakelijk om de coherentie van de toepassing van de AVG te waarborgen.
Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboeten voor
inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen65. Deze
vijf stappen worden in de volgende paragrafen systematisch doorlopen. De Geschillenkamer
herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet van toepassing zijn66.

III.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 AVG

116. Ter herinnering, de Geschillenkamer beslist een geldboete op te leggen wegens een inbreuk
op artikel 5.1.a) AVG juncto artikel 6 en artikel 24 AVG, doordat de verweerder niet
aantoonde dat de klager via een vrije, specifieke, geïnformeerde en ondubbelzinnige
wilsuiting zijn toestemming heeft verleend aan de verweerder om zijn gegevens te
verwerken met het doel ze te verkopen voor marketingdoeleinden.

64
Zie arrest van het Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.
65
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 9
66
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 6

Beslissing ten gronde 199/2025 — 23/35

117. De Geschillenkamer oordeelt dat de inbreuken op deze afzonderlijke artikelen van de AVG
als één enkele inbreuk dienen te worden beschouwd. De bepalingen waarop de inbreuken
werden gemaakt streven namelijk doelen na die onlosmakelijk met elkaar verbonden zijn
(het beginsel van rechtmatigheid, de voorwaarden van rechtmatigheid, en de
verantwoordelijkheid van de verwerkingsverantwoordelijke om te kunnen aantonen dat de
verwerking in overeenstemming met de AVG wordt uitgevoerd).

118. Samenvattend oordeelt de Geschillenkamer in casu dat zij één enkele geldboete dient op te
leggen.

III.2.2. Uitgangsbedrag voor de berekening

119. De berekening van administratieve geldboeten begint bij een geharmoniseerd
uitgangsbedrag op basis van de richtsnoeren 04/2022 van de EDPB67. Hierbij wordt
rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel 83,
leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de onderneming.

Indeling van de inbreuk volgens zijn aard op grond van artikel 83, leden 4 tot en met 6
AVG

120. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die
strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder
artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een
maximumboete van 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete
van maximaal 20 000 000 EUR of 4 % van de van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is.

121. Voor de inbreuk op artikelen 5.1.a) AVG juncto artikel 6 en artikel 24 AVG, bedraagt de
zwaarste administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot
20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande
boekjaar, indien dit cijfer hoger is.

122. Aangezien de hogere boete van toepassing is, overeenkomstig artikel 83.5.a) AVG, kan de
Geschillenkamer een administratieve boete opleggen van maximaal 20 000 000 EUR of
maximaal 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit
hoger is.

Zwaarte van de inbreuk:

67
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 18.

Beslissing ten gronde 199/2025 — 24/35

123. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard van de
inbreuk merkt de Geschillenkamer op dat het beginsel van rechtmatigheid (artikel 5.1.a) en
6 AVG) een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd
wordt. Het wordt eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten
van de Europese Unie. Inbreuken op dit kernbeginsel vormen derhalve zwaarwegende
inbreuken. Met betrekking tot de ernst van de inbreuk merkt de Geschillenkamer op dat de
litigieuze verwerking plaatsvond in het kader van de zakelijke activiteiten van de verweerder.
Deze laatste specialiseert zich in het beschikbaar stellen van gegevens tegen betaling.
Bovendien merkt de Geschillenkamer op dat de verwerking omvangrijk is, aangezien het
minstens de persoonsgegevens van alle klanten van Z4 betreft (met uitzondering van privé-
nummers en “restrictie” nummers) ten tijde van de verzameling van de persoonsgegevens68.
Wegens deze redenen moet de inbreuk ernstiger beoordeeld worden. Betreffende de duur
van de inbreuk, merkt de Geschillenkamer op dat Infobel stelt dat zij de gegevens in 2006
verzamelde en tot 2023 verwerkte69. De Geschillenkamer concludeert dat de
gegevensinbreuk reeds meerdere jaren duurt.

124. Artikel 83.2.b) AVG – De opzettelijke of nalatige aard van de inbreuk: In casu is er volgens
de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de verweerder om met
opzet artikelen 5.1.a), 6.1 en 24 AVG te overtreden door ongeldig beroep te maken op artikel
6.1.a) AVG als rechtsgrond, doch minstens sprake van een ernstige nalatigheid, waarmee
wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU70. De
AVG bepaalt duidelijk dat “de verwerkingsverantwoordelijke [moet] kunnen aantonen dat de
betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens”
en dat de verwerkingsverantwoordelijke moet “kunnen aantonen dat de verwerking in
overeenstemming met deze verordening wordt uitgevoerd.” Ondanks het feit dat de
verweerder deze persoonsgegevens verwerkte in het kader van haar professionele
activiteiten, waarbij de verwerking van persoonsgegevens de kernactiviteit uitmaakt,
leverde zij geen begin van bewijs van een “vrije, specifieke, geïnformeerde en
ondubbelzinnige wilsuiting waarmee de [klager] door middel van een verklaring of een
ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens
aanvaardt”. Bovendien merkt de Geschillenkamer op dat de verweerder, naast de
bepalingen van de AVG, zich sinds 2020 ook kon beroepen op Richtsnoeren van de EDPB
inzake de toestemming om na te gaan of zij al haar verplichtingen naleefde71.
De Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had moeten zijn

68
Stuk 5 van de conclusies van de verweerder, pagina 1.
69
Syntheseconclusies van de verweerder en PV van de hoorzitting van 25 juni 2025.
70
Zie arrest Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.
71
Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (Versie 1.1, Vastgesteld op 4 mei 2020).

Beslissing ten gronde 199/2025 — 25/35

dat zij zich in casu niet kon beroepen op een rechtsgeldige toestemming van de betrokkenen
in het onderhavige geval om hun gegevens te verwerken.

125. Artikel 83.2.g) AVG – De categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft: De litigieuze verwerking betreft de voornaam, naam, straatnaam,
huisnummer, postcode, stad, en de aanmaakdatum en bron van de gegevens van de
betrokkenen. Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of
bijzondere aard zijn, oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën
van persoonsgegevens waarvan betrokkenen doorgaans niet redelijkerwijs zouden
verwachten dat die onrechtstreeks door derden worden verzameld en verwerkt. Dit
categorie wordt als neutraal beoordeeld.

126. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van de
inbreuk bepaald. De Geschillenkamer neemt in aanmerking dat het een ernstige,
omvangrijke en langdurige inbreuk betreft van een fundamenteel beginsel van de AVG in het
kader van de kernactiviteit van de verweerder, die met ernstige nalatigheid werd gepleegd.
De Geschillenkamer concludeert dat het gaat om een inbreuk van gemiddelde zwaarte.
Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vaststellen op een punt tussen de 10 en 20 %
van het toepasselijke wettelijke maximumbedrag72. Aangezien de verweerder de inbreuk
pleegde uit nalatigheid, en dit niet klaarblijkelijk met opzet deed, beslist de Geschillenkamer
om het uitgangsbedrag te verlagen.

127. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening vaststellen op 15 %
van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG.

De omzet van de verweerder als relevant element om rekening mee te houden met het
oog op het opleggen van een doeltreffende, afschrikkende en evenredige
geldboete op grond van artikel 83.1 AVG

128. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de
administratieve geldboeten die worden opgelegd doeltreffend, evenredig en afschrikkend
zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de omvang van de
onderneming tot uiting komen.

129. Artikelen 83.4 tot 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het
voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve
geldboete. Hieromtrent geldt dat de term “voorgaande” in overeenstemming met de
rechtspraak van het Hof van Justitie in het mededingingsrecht geïnterpreteerd moet

72
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60.

Beslissing ten gronde 199/2025 — 26/35

worden, zodat de relevante gebeurtenis voor de berekening het boetebesluit van de
toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding73.

130. Bij haar schrijven van 13 oktober 2025, heeft de verweerder de Geschillenkamer
meegedeeld dat haar jaaromzet van het boekjaar 2024 een bedrag van 5 946 608 EUR
bedroeg.

131. De Geschillenkamer stelt vast dat 4% van de jaaromzet van het voorgaande boekjaar 237
864,32 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale
administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR.

132. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG stelde de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vast op 15 % van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een
uitgangsbedrag van 3 000 000 EUR.

133. Overeenkomstig de Richtsnoeren van de EDPB74, kan de Geschillenkamer voor
ondernemingen met een jaaromzet van 2 miljoen EUR tot 10 miljoen EUR overwegen om de
berekening voort te zetten op basis van een bedrag tussen de 0,3 en 2 % van het
vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is.

134. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG wordt het uitgangsbedrag van
3 000 000 EUR verlaagd naar 45 000 EUR (1,5 % van het uitgangsbedrag).

III.2.3. Verzwarende en verzachtende omstandigheden

135. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft
gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard van
de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft
(zie hierboven), rekening houden met de overige verzwarende en verzachtende factoren
zoals genoemd in artikel 83.2 AVG75.

a. Artikel 83.2.c) AVG – De door de verwerkingsverantwoordelijke of de verwerker
genomen maatregelen om de door betrokkenen geleden schade te beperken:
De Geschillenkamer houdt rekening met het feit dat de verweerder tijdens de
hoorzitting op 25 juni 2023 stelde dat de betrokken databank sinds 2023 niet meer
wordt gebruikt en dat de gegevens werden verwijderd, onder andere op basis van
juridische overwegingen die twijfels deden rijzen over de kwaliteit van de
toestemming. Dit wordt als een verzachtende omstandigheid beoordeeld.

73
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 131.
74
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 65.
75
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 70.

Beslissing ten gronde 199/2025 — 27/35

b. Artikel 83.2.d) AVG – De mate waarin de verwerkingsverantwoordelijke of de
verwerker verantwoordelijk is gezien de technische en organisatorische
maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32:
Niet van toepassing.
c. Artikel 83.2.e) AVG – Eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker: De Geschillenkamer houdt
rekening met het gegeven dat de verweerder niet schuldig werd verklaard aan
eerdere overtredingen op de AVG. Deze factor kan dus als neutraal worden
beschouwd.
d. Artikel 83.2.f) AVG – De mate waarin er met de toezichthoudende autoriteit is
samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen
daarvan te beperken: De Geschillenkamer merkt op dat de verweerder zich
coöperatief heeft opgesteld ten opzichte van haar. Overeenkomstig de
richtsnoeren van de EDPB beschouwt de Geschillenkamer de gewone verplichting
tot samenwerking als neutraal gelet op de algemene verplichting tot medewerking
ex artikel 31 AVG.
e. Artikel 83.2.h) AVG – De wijze waarop de toezichthoudende autoriteit kennis
heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld:
Niet van toepassing.
f. Artikel 83.2.i) AVG – De naleving van de in artikel 58, lid 2, genoemde
maatregelen, voor zover die eerder ten aanzien van de
verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot
dezelfde aangelegenheid zijn genomen: Niet van toepassing.
g. Artikel 83.2.j) AVG – Het aansluiten bij goedgekeurde gedragscodes
overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen
overeenkomstig artikel 42: Niet van toepassing.
h. Artikel 83.2.k) AVG – Elke andere op de omstandigheden van de zaak
toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële
winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk
voortvloeien: De verweerder maakte gedurende een periode van meerdere jaren
financiële winst door het verwerken van persoonsgegevens zonder een geldige
rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld.

136. De Geschillenkamer neemt in aanmerking dat de verweerder tijdens de hoorzitting op 25
juni 2025 stelde dat de betrokken databank sinds 2023 niet meer wordt gebruikt en dat de
gegevens werden verwijderd, onder andere op basis van juridische overwegingen die
twijfels deden rijzen over de kwaliteit van de toestemming. Dit wordt als een verzachtende
omstandigheid beoordeeld. De Geschillenkamer beslist om het boetebedrag met
10 000 EUR te verlagen naar 35 000 EUR.

137. De Geschillenkamer stelt echter ook vast dat de verweerder gedurende een periode van
meerdere jaren financiële winst maakte door het verwerken van persoonsgegevens zonder
een geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld.
De Geschillenkamer beslist om het boetebedrag voor deze inbreuk met 5 000 EUR te
verhogen naar 40 000 EUR.

138. De Geschillenkamer concludeert dat geen overige omstandigheid zodanig relevant is dat
het meegerekend dient te worden als een verzwarende of verzachtende omstandigheid. Het

Beslissing ten gronde 199/2025 — 28/35

staat de verweerder vrij om hierop te reageren, en in het bijzonder om relevante informatie
te verstrekken waarvan de Geschillenkamer nog geen kennis heeft mogen nemen

III.2.4. Afstemming met maximumbedragen

139. Het maximumbedrag voor de boete in het onderhavige geval werd hierboven reeds
berekend. Deze bedraagt overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of tot
4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger
is.

140. Bij haar schrijven van 13 oktober 2025, heeft de verweerder de Geschillenkamer
meegedeeld dat haar jaaromzet van het boekjaar 2024 een bedrag van 5 946 608 EUR
bedroeg.

141. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4 % van de brutomarge in
het voorgaande boekjaar 237 864,32 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR.
Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5
AVG tot 20 000 000 EUR.

142. In casu bedraagt de geldboete 40 000 EUR, hetgeen ruim onder de maximale boete van
20 000 000 EUR is.

III.2.5. Doeltreffendheid, evenredigheid en afschrikkend effect

Doeltreffendheid

143. Overweging 148 AVG benadrukt dat administratieve geldboeten moeten worden opgelegd
“[m]et het oog op een krachtiger handhaving van de regels van deze verordening”. De
opgelegde geldboete moet daarom hoog genoeg zijn om deze doelstelling te
verwezenlijken.

144. De Geschillenkamer overweegt dat de geldboete van 40 000 EUR geschikt is om de
fundamentele beginselen waarop inbreuk werd gemaakt krachtig te handhaven.

Evenredigheid

145. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet
onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde geldboete
evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name
de ernst ervan.

146. In casu werd de betreffende inbreuk als van gemiddelde zwaarte beoordeeld.
Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer, bij inbreuken
van gemiddelde zwaarte, het uitgangsbedrag voor de verdere berekening vast te stellen

Beslissing ten gronde 199/2025 — 29/35

op een punt tussen de 10 en 20 % van het toepasselijke wettelijke maximumbedrag76. De
Geschillenkamer merkt op dat de inbreuk langdurig en omvangrijk was, en dat het met
ernstige nalatigheid werd gepleegd. Daarom stelde de Geschillenkamer het uitgangsbedrag
voor de verdere berekening vast op 15 % van het wettelijke maximumbedrag dat is
opgenomen in artikel 83.5 AVG.

147. De Geschillenkamer houdt ook rekening met de omzet van de verweerder, waardoor zij
slechts 1,5 % van het uitgangsbedrag gebruikte voor de berekening van de boete (zie
hierboven). De Geschillenkamer nodigde de verweerder uit om overeenkomstig
randnummer 140 van Richtsnoeren 04/2022 van de EDPB informatie te verstrekken indien
zij van oordeel is dat de onderhavige boete haar levensvatbaarheid onherroepelijk in gevaar
zou brengen. Aangezien de verweerder dit niet deed, begrijpt de Geschillenkamer dat dit niet
het geval is.

148. Bovendien heeft de Geschillenkamer beslist om de boete met 10 000 EUR te verlagen
dankzij de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen
om de door betrokkenen geleden schade te beperken.

149. De Geschillenkamer oordeelt dat de boete evenredig is.

Afschrikkend effect

150. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de
specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete
een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en
regelingen te schenden.

151. Het afschrikkende karakter van de boete moet twee dimensies hebben. Het moet de
persoon aan wie de boete wordt opgelegd ervan weerhouden de inbreuk in de toekomst te
herhalen, maar het moet ook andere personen ervan weerhouden het inbreukmakende
gedrag van de eerste persoon te herhalen. De Geschillenkamer moet derhalve geenszins de
“minst belastende maatregel” kiezen maar is er integendeel toe gehouden een sanctie vast
te stellen die voldoende “belastend” is om aan de vereisten van artikel 83.1 AVG te voldoen.

152. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op
de AVG betreft, doet op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer
om een administratieve geldboete op te leggen als dat op basis van objectieve redenen de
meest passende sanctie blijkt te zijn.

153. De Geschillenkamer verwijst naar randnummers 144 tot en met 148 van deze beslissing
waarin zij de proportionaliteit van de administratieve geldboete onderzoekt. De minder

76
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60.

Beslissing ten gronde 199/2025 — 30/35

dwingende maatregelen die volgens de verweerder dienen te worden overwogen zijn een
waarschuwing of een berisping. Aangezien een waarschuwing gericht is naar de toekomst,
en de Geschillenkamer oordeelt dat er in het onderhavige geval een inbreuk werd gepleegd,
is het niet van toepassing. Betreffende de mogelijkheid om een berisping uit te spreken,
merkt de Geschillenkamer op dat dit niet doeltreffend, evenredig of afschrikkend zou zijn in
het onderhavige geval. Zoals opgemerkt in randnummer 136 van deze beslissing, heeft de
verweerder jarenlang financiële winst gemaakt op basis van een onrechtmatige verwerking
van persoonsgegevens. Een administratieve geldboete is de enige passende maatregel om
te vermijden dat dergelijke praktijken commercieel onaantrekkelijk zijn, en aldus een
afschrikwekkend effect kan bekomen. Voor dezelfde reden zou de vermindering van het
bedrag van de geldboete naar 0 EUR of naar 1 symbolische EUR zou een miskenning van
artikel 83.1 AVG zijn, aangezien dit onmogelijk kan voldoen aan de vereisten dat een
administratieve geldboete “doeltreffend, evenredig en afschrikkend” is.

154. De sanctie heeft als doel de inbreukpleger ervan te weerhouden dezelfde inbreuk nogmaals
te plegen (specifieke afschrikking) en anderen ervan te weerhouden in de toekomst
dezelfde inbreuk te plegen (algemene afschrikking). De Geschillenkamer moet bij het
bepalen van de sanctie rekening houden met beide aspecten.77 Het staat buiten kijf dat een
berisping of waarschuwing minder afschrikkend en derhalve minder doeltreffend is als
sanctie dan een geldboete. Het Marktenhof heeft in dit verband geoordeeld dat

“Het opleggen van geldboetes verhoogt ontegensprekelijk de draagkracht en
impact van een beslissing van de Geschillenkamer ten opzichte van een
eenvoudige berisping of waarschuwing. Het komt toe aan de Geschillenkamer zelf
om daarin een keuze te maken en die beslissing afdoende te motiveren […]”78

155. De verweerder voert daarna een middel met drie onderdelen aan, op basis waarvan de
administratieve geldboete volgens haar verwijderd of verminderd moet worden.

156. Ten eerste voert de verweerder aan dat er geen inbreuk wegens nalatigheid was. De
verweerder stelt dat de ongeldigheid van de toestemming waarop haar verwerking van
persoonsgegevens was gebaseerd, niet neerkomt op haar nalatigheid, wat een schending
van de AVG zou betekenen, maar hoogstens op een contractuele fout van Z4, die de
persoonsgegevens aan haar heeft verkocht. Volgens de verweerder is er hoogstens sprake
van “onoplettendheid”. De Geschillenkamer volgt dit standpunt niet, en oordeelde in
randnummer 123 van deze beslissing dat er minstens sprake is van een ernstige nalatigheid,
waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de
EU.79 De AVG bepaalt duidelijk dat “de verwerkingsverantwoordelijke [moet] kunnen

77
Europees Comité voor Gegevensbescherming, Richtsnoeren 4/2022, randnr. 142.
78
Brussel (Marktenhof), 20 december 2023, 2023/AR/817, randnr. 64
79
Zie arrest Hof van Justitie van de Europese Unie C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.

Beslissing ten gronde 199/2025 — 31/35

aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn
persoonsgegevens” en dat de verwerkingsverantwoordelijke moet “kunnen aantonen dat
de verwerking in overeenstemming met deze verordening wordt uitgevoerd.” Ondanks het
feit dat de verweerder deze persoonsgegevens verwerkte in het kader van haar
professionele activiteiten, waarbij de verwerking van persoonsgegevens de kernactiviteit
uitmaakt, leverde zij geen begin van bewijs van een “vrije, specifieke, geïnformeerde en
ondubbelzinnige wilsuiting waarmee de [klager] door middel van een verklaring of een
ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens
aanvaardt”. Bovendien merkt de Geschillenkamer op dat de verweerder, naast de
bepalingen van de AVG, zich sinds 2020 ook kon beroepen op Richtsnoeren van de EDPB
inzake de toestemming om na te gaan of zij al haar verplichtingen naleefde80.
De Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had moeten zijn
dat zij zich in casu niet kon beroepen op een rechtsgeldige toestemming van de betrokkenen
in het onderhavige geval om hun gegevens te verwerken. De verweerder kan in ieder geval
niet stellen dat Z4 verantwoordelijk was voor de inbreuk, aangezien de verweerder als
verwerkingsverantwoordelijke zelf verantwoordelijk is om aan te kunnen tonen dat zij de
gegevens verwerkt op basis van een geldige rechtsgrond.

157. Ten tweede voert de verweerder aan dat er geen risico was, of dat deze risico
verwaarloosbaar was. Om dit te ondersteunen, voert de verweerder aan dat de betrokken
gegevens online, in papieren en in elektronische gidsen beschikbaar zijn. Volgens de
verweerder lijkt het duidelijk dat gegevens die zo gemakkelijk beschikbaar zijn, door derden
kunnen worden verzameld en verwerkt met inachtneming van de bepalingen van de AVG.
Voorts stelt de verweerder dat als zij de gegevens niet had gekocht van Z4, die de gegevens
verzamelde op basis van toestemming, zij haar eigen verwerking van diezelfde gegevens zou
hebben kunnen baseren op een gerechtvaardigd belang. Dit zou, volgens de verweerder, een
verzachtende omstandigheid zijn. De Geschillenkamer aanvaardt deze argumenten niet. Het
feit dat de gegevens niet van bijzonder gevoelige aard zijn, en hypothetisch beschikbaar zijn
op openbare bronnen, heeft niet als gevolg dat de klager had kunnen verwachten dat zij
doorverkocht zouden worden aan derde partijen. Het hypothetische scenario waarin de
verweerder de gegevens niet van Z4 zou hebben gekocht, maar via een andere bron zou
hebben verzameld, kan ook niet worden aanvaard omdat het hypothetisch is. De
Geschillenkamer handhaaft haar oorspronkelijke beoordeling van de factor in artikel 83.2.g)
AVG als neutraal.

158. Ten derde voert de verweerder aan dat haar houding tegenover de
Gegevensbeschermingsautoriteit rechtvaardigt dat de boete verlaagt moet worden naar 9
000 EUR. De verweerder stelt namelijk dat het feit dat zij zich medewerkend heeft

80
Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (Versie 1.1, Vastgesteld op 4 mei 2020).

Beslissing ten gronde 199/2025 — 32/35

opgesteld tegenover de Gegevensbeschermingsautoriteit als een verzachtende
omstandigheid moet worden beoordeeld en een vermindering van de boete met 31 000
EUR (77.5%) rechtvaardigt. Zoals reeds eerder opgemerkt beschouwt de Geschillenkamer
de gewone verplichting tot samenwerking als neutraal gelet op de algemene verplichting tot
medewerking in artikel 31 AVG. De naleving van een wettelijke verplichting kan niet op
zichzelf beschouwd worden als een verzachtende omstandigheid. Bovendien herinnert de
Geschillenkamer eraan dat zij de boete verlaagt met 10 000 EUR omdat de verweerder
besloot de betrokken gegevens te verwijderen.

159. Uiterst subsidiair verzoekt de verweerder dat de Geschillenkamer 0,3% van het
uitgangsbedrag van 3 000 000 euro aanhoudt, wat neerkomt op een bedrag van 9 000 EUR,
hetgeen de verweerder bereid zou zijn te aanvaarden. De Geschillenkamer verwijst in dit
verband naar randnummer 127 en volgende van deze beslissing, waarin zij rekening houdt
met de omzet van de verweerder als relevant element. De Geschillenkamer herinnert eraan
dat zij het uitgangsbedrag voor de berekening van de geldboete vast stelde op 15 % van het
wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG, hetgeen in casu leidt tot
een uitgangsbedrag van 3 000 000 EUR. Overeenkomstig de Richtsnoeren van de EDPB81,
kan de Geschillenkamer voor ondernemingen met een jaaromzet van 2 miljoen EUR tot
10 miljoen EUR overwegen om de berekening voort te zetten op basis van een bedrag
tussen de 0,3 en 2 % van het vastgestelde uitgangsbedrag. Aangezien de jaaromzet van de
verweerder van het boekjaar 2024 een bedrag van 5 946 608 EUR bedroeg, beslist
de Geschillenkamer dat dit in casu gepast is, hetgeen leidde tot het aangepaste bedrag van
45 000 EUR (1,5 % van het uitgangsbedrag). De Geschillenkamer oordeelt een verlaging
van het uitgangsbedrag naar 0,3% in plaats van 1,5% niet overeenkomt met de jaaromzet
van de verweerder, hetgeen ruim over de 2 miljoen EUR is (5 946 608 EUR). Bovendien dient
deze verlaging ervoor te zorgen dat de geldboete betaalbaar is voor de verweerder zonder
haar voorbestaan in het gedrang te brengen. De Geschillenkamer nodigde de verweerder uit
om informatie te verstrekken indien zij van mening was dat de geldboete haar economische
levensvatbaarheid onherstelbaar in gevaar zou brengen. Aangezien de verweerder dit niet
heeft gedaan, begrijpt de Geschillenkamer dat dit niet het geval is, en dat deze verdere
verlaging disproportioneel zou zijn. Aldus oordeelt zij dat de verlaging van de boete tot 1,5%
van het uitgangsbedrag ruim voldoende is om de boete betaalbaar te maken rekening
houdend met de omzet van de verweerder.

160. De Geschillenkamer merkt op dat de verweerder zich niet verzet tegen de verlaging van de
boete met 10 000 EUR wegens de verwijdering van de betreffende gegevens, noch tegen
de verhoging van de boete met 5 000 EUR wegens het feit dat zij gedurende een periode

81
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 65.

Beslissing ten gronde 199/2025 — 33/35

van meerdere jaren financiële winst maakte door het verwerken van persoonsgegevens
zonder een geldige rechtsgrond.

Betreffende de overige maatregelen

161. Voorts stelt de verweerder dat zij de betrokkenen niet kan informeren aangezien de
betreffende gegevens verwijderd werden. De Geschillenkamer heeft geen voornemen
kenbaar gemaakt om dit te bevelen aan de verweerder. Zij heeft de verweerder echter wel
ingelicht dat zij voornemens was om de verweerder op grond van artikel 100, § 1, 10° van de
WOG te gelasten om alle ontvangers van de voornoemde persoonsgegevens in kennis te
brengen van de onderhavige beslissing alsmede het voorgaande bevel, en te benadrukken
dat de aangehaalde rechtsgrond voor de verwerkingen niet overeenstemt met de AVG.

162. Overigens merkt de Geschillenkamer op dat de verweerder op basis van artikel 105 WOG
stelt dat feiten verjaren vijf jaar na het plegen ervan. De Geschillenkamer verwijst echter
naar hetzelfde artikel waar bepaald wordt dat de verjaring wordt gestuit door daden van
onderzoek of vervolging, zoals in casu het geval is.

III.2.6. Besluit

163. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden
eigen aan deze zaak, acht de Geschillenkamer het passend om

- de verweerder op grond van artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen
van persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over
een geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 24 AVG;

- de verweerder op grond van artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers
van de voornoemde persoonsgegevens in kennis te brengen van de onderhavige beslissing
alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde rechtsgrond voor
de verwerkingen niet overeenstemt met de AVG;

- Krachtens artikel 58.2.i) AVG alsmede artikel 100, § 1, 13° WOG juncto 101 WOG, een
administratieve geldboete ter hoogte van 40 000 EUR EUR op te leggen aan de
verweerder wegens de inbreuken op artikelen 5.1.a), 6.1, en 24 AVG, voor wat betreft de
onrechtmatige verwerking van persoonsgegevens.

IV. Publicatie van de beslissing

164. De verweerder verzoekt dat de Geschillenkamer haar identificatiegegevens niet opneemt in
de beslissing die op de website van de GBA zal worden gepubliceerd, aangezien dit de
“vereiste” en toegekende anonimiteit van de partijen in de zaak met referentienummer DOS-
2023-04302 in gevaar zou kunnen brengen.

Beslissing ten gronde 199/2025 — 35/35

Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.

Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten82. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.83, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).

(Get). Hielke HIJMANS

Directeur van de Geschillenkamer

82
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
83
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.