1/33
Geschillenkamer
Beslissing ten gronde 200/2025 van 28 november 2025
Dossiernummers : DOS-2021-01940 en DOS-2021-04314
Betreft : Klacht over verzoek tot inzage en de grondslag voor de verwerking bij een
sollicitatieprocedure
De Geschillenkamer van de Gegevensbeschermingsautoriteit;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerders : Y1, vertegenwoordigd door Meesters Frederic Debusseré en Ruben Roex,
hierna “de eerste verweerder”
Y2, vertegenwoordigd door Meesters Yves Vandendriessche en Bram Baert,
hierna “de tweede verweerder”
Beslissing ten gronde 200/2025 - 2/33
I. Feiten en procedure
1. De klager was van 1 juni 2005 tot en met 14 november 2016 tewerkgesteld bij de eerste
verweerder, Y1 (hierna ‘Y1’). Bij zijn ontslag sloten de klager en Y1 een
dadingsovereenkomst die onder meer bepaalde dat Y1, haar management en haar
aangestelden zich zouden onthouden van publieke negatieve commentaren over de klager,
onder meer ten aanzien van toekomstige werkgevers.
2. Op 6 juli 2020 ontvangt Y1 een aangetekende brief waarin de klager beweert dat Y1 de
dadingsovereenkomst zou hebben geschonden. De klager verwijst daarbij naar een e-mail
van 2 juli 2020 die hij had ontvangen van de tweede verweerder, de vzw Y2 (hierna ‘Y2’), bij
wie hij solliciteerde op 26 juni 2020. In voormelde e-mail deelt een personeelslid van Y2 de
klager mee dat hij niet weerhouden wordt als kandidaat in de selectieprocedure. Daarbij
wordt onder meer verwezen naar een contactopname met een manager van Y1: “Na ons
gesprek van vorige week heb ik uw referenties nagegaan bij […] Y1. […]. De manager van Y1
gaf aan dat er twijfel was en u ook geen ervaring heeft met leiding geven. Op basis van deze
info hebben wij beslist u niet te weerhouden voor de verdere selectieprocedure.”. De klager
is derhalve van oordeel dat Y2 hem niet heeft aangeworven op basis van de door Y1
verstrekte informatie.
3. Op 8 juli 2020 ontvangt Y1 een e-mail van de klager waarin hij stelt dat de doorgifte van zijn
persoonsgegevens aan Y2 in het kader van de referentiecheck een verwerking van
persoonsgegevens uitmaakt waarvoor Y1 als verwerkingsverantwoordelijke moet worden
beschouwd. De klager verzoekt Y1 tevens om informatie te verschaffen omtrent de
verwerking van zijn persoonsgegevens en om een kopie te ontvangen van alle hem
betreffende persoonsgegevens waarover zij beschikt, daarbij respectievelijk verwijzend
naar artikelen 15.1 en 15.3 AVG. Tot slot vraagt de klager uitdrukkelijk naar de rechtsgrond
zoals bedoeld in artikel 6.1 AVG waarop Y1 zich beroept voor de verwerking van zijn
persoonsgegevens.
4. Op 9 juli 2020 laat Y1 per e-mail en telefonisch aan de klager weten dat een bijzondere
gevolmachtigde werd aangesteld om met hem in overleg te treden.
5. Op 13 juli 2020 vindt, op vraag van de klager, buiten de kantoren van Y1 een gesprek plaats
tussen de gevolmachtigde en de klager, waarbij wordt overeengekomen dat er een nieuw
voorstel van dading door Y1 zal worden opgemaakt. Op 29 juli 2020 bezorgt Y1 een ontwerp
van aangepaste dadingsovereenkomst aan de klager. Bij e-mail van 3 augustus 2020
bevestigt de klager het ontwerp te hebben doorgenomen en hierover overleg te willen
plegen. Daaropvolgend trachten de klager en Y1 een datum vast te leggen.
6. In afwachting van een akkoord omtrent de datum voor het geplande overleg, geeft Y1 op 7
augustus 2020 gevolg aan het inzageverzoek van de klager. Y1 verstrekt daarbij evenwel
Beslissing ten gronde 200/2025 - 3/33
slechts algemene informatie met betrekking tot de verwerking van persoonsgegevens
binnen de onderneming. Y1 voegt geen kopie van de persoonsgegevens toe zoals bedoeld
in artikel 15.3 AVG, maar verzoekt de klager om zijn inzageverzoek nader toe te lichten
teneinde beter te kunnen beoordelen op welke persoonsgegevens en op welke
verwerkingsactiviteiten het verzoek betrekking heeft. Daarnaast stelt Y1 nieuwe
tijdstippen voor ten behoeve van verder overleg over het ontwerp van de
dadingsovereenkomst.
7. Y1 voert aan dat er op 26 augustus 2020 een nieuw overlegmoment heeft plaatsgevonden,
tijdens welk de klager te kennen gaf niet akkoord te gaan met het dadingvoorstel, reden
waarom hij een eigen voorstel aan Y1 zou bezorgen. Deze bewering wordt niet betwist door
de klager.
8. Op 8 september 2020 stelt de klager Y1 formeel in gebreke wegens het niet-naleven van
haar verplichtingen uit hoofde van de artikelen 6.1, 15.1 en 15.3 AVG, alsmede wegens de
overschrijding van de in artikel 12, lid 3 en lid 4 AVG vastgestelde termijnen voor het
beantwoorden van zijn inzageverzoek en verzoek tot kopie van zijn persoonsgegevens. De
klager voert nogmaals aan dat Y1 op 2 juli 2020, evenals tussen 8 juli en 29 juli 2020, zijn
persoonsgegevens heeft gedeeld met derden, waardoor hij schade heeft geleden.
De klager verduidelijkt dat hij een adequaat antwoord verwacht op de door hem gestelde
vragen in zijn initiële verzoek van 8 juli 2020, en verzoekt tevens een volledige kopie van
alle hem betreffende persoonsgegevens die in het bezit zijn van Y1, met inbegrip van alle
rapporteringen en aanwervingsdocumenten die zij verkregen heeft ten tijde van zijn
aanwerving, zoals onder andere zijn CV en de beoordeling van het rekruteringsbureau.
9. Op 28 september 2020 antwoordt Y1 bij brief van haar raadslieden op de ingebrekestelling,
waarin zij de beweerde niet-naleving van voormelde AVG-artikelen in zijn geheel ontkent.
Zij herhaalt dat zij het recht heeft de klager te vragen zijn inzageverzoek nader te
specifiëren, opdat zij er een passend gevolg aan kan geven.
10. Op 22 oktober 2020 herhaalt de klager bij brief van zijn raadsman zijn aantijgingen jegens
Y1 omtrent het laattijdige en onvoldoende antwoord op zijn inzageverzoek van 8 juli 2020.
Hij wijst Y1 erop dat hij zijn inzageverzoek niet hoeft te specifiëren, en drukt opnieuw zijn
wens uit om een kopie te krijgen van alle gegevens die in het bezit zijn van Y1.
11. Op 3 november 2020 herhaalt Y1 bij brief van haar raadslieden nogmaals haar standpunten.
Op 26 januari 2021 herhaalt de klager bij brief van zijn raadsman alsnog zijn aantijgingen en
verzoeken.
12. Bij gebrek aan nadere toelichting bij het inzageverzoek bezorgt Y1 de klager op 18 februari
2021 de persoonsgegevens “waarvan [zij] redelijkerwijze kon vermoeden dat ze betrekking
hebben op zijn verzoek”. Y1 gaat ervan uit dat zij met het verschaffen van deze informatie
Beslissing ten gronde 200/2025 - 4/33
volledig heeft voldaan aan de verplichtingen uit hoofde van artikel 15.3 AVG. Aan de overige
verplichtingen uit artikel 15 AVG werd volgens Y1 reeds voldaan.
13. Gezien de klager zich niet kan verzoenen met de door Y1 verstrekte informatie en kopie en
meent dat deze onvolledig zijn, dient hij op 24 maart 2021 via diens toenmalige raadsheer
een klacht in bij de Gegevensbeschermingsautoriteit tegen Y1 (eerste verweerder).
De klager is van oordeel dat Y1 niet over een geldige grondslag beschikt om zijn
persoonsgegevens te verwerken, zowel tijdens als na afloop van de arbeidsovereenkomst,
in overtreding van artikel 6.1 AVG, alsook dat Y1 zijn recht van inzage (art. 15 AVG) heeft
geschonden door hem onvolledige informatie te bezorgen na het verstrijken van de termijn
voorzien in artikel 12.3 AVG.
Verder stelt de klager dat Y1 zijn rechten op rectificatie (art. 16 AVG), op verwijdering van
zijn persoonsgegevens (art. 17 AVG), op beperking (art. 18 AVG) en op bezwaar (art. 21 AVG)
heeft geschonden.
Tot slot beweert de klager dat Y1 niet heeft voldaan aan de beginselen van rechtmatigheid,
behoorlijkheid en transparantie (art. 5.1. a) AVG juncto art. 12.1 AVG en 13 AVG), doelbinding
(art. 5.1. b) AVG), minimale gegevensverwerking (art. 5.1. c) AVG) en juistheid (art. 5.1. d)
AVG) ten aanzien van zijn persoonsgegevens.
14. Op 13 april 2021 wordt de klacht tegen Y1 door de Eerstelijnsdienst ontvankelijk verklaard
op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1
WOG overgemaakt aan de Geschillenkamer.
15. Op 21 april 2021 ontvangt de Eerstelijnsdienst een schrijven van de raadsheren van Y1
waarin zij de aantijgingen in de klacht weerleggen en haar verzoeken om alsnog tussen de
partijen te bemiddelen. Tevens benadrukken de raadsheren van Y1 hun vermoeden “dat de
uitoefening van zijn rechten onder AVG enkel een manier is voor de heer om zijn
onderhandelingspositie voor het sluiten van een nieuwe dading te verbeteren en om een
schadevergoeding te bekomen naar aanleiding van een (beweerde) schending van
voormelde dading”.
16. Op 18 mei 2021 dient de klager via diens toenmalige raadsheer per aangetekende zending
tevens een klacht in bij de Gegevensbeschermingsautoriteit tegen Y2 (tweede
verweerder).
Het voorwerp van de klacht betreft het nalaten tijdig gevolg te geven aan een verzoek tot
inzage (art. 12 juncto 15 AVG), alsmede het ontbreken van een geldige grondslag (art. 6
AVG) voor de verzameling van persoonsgegevens van de klager bij Y1 in het kader van een
sollicitatieprocedure en de daaropvolgende verwerking van deze persoonsgegevens.
Beslissing ten gronde 200/2025 - 5/33
Tevens is de klager van oordeel dat Y2 zijn rechten op rectificatie (art. 16 AVG), op
verwijdering van zijn persoonsgegevens (art. 17 AVG), op beperking (art. 18 AVG) en op
bezwaar (art. 21 AVG) heeft geschonden.
Tenslotte stelt de klager dat Y2 artikel 14 AVG heeft geschonden door hem onvoldoende
informatie te verstrekken over de bron van de hem betreffende persoonsgegevens, als
onderdeel van het antwoord op zijn inzageverzoek (ex artikel 15.1. g) AVG). De klager is
immers van mening dat Y2 ertoe verplicht is de naam en familienaam mee te delen van de
persoon binnen Y1 die zijn persoonsgegevens met haar zou hebben gedeeld.
17. Op 4 juni 2021 wordt de klacht tegen Y2 door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
18. Ingevolge de twee voornoemde klachten die handelen over dezelfde feiten, werden
derhalve twee dossiers aanhangig gemaakt bij de Geschillenkamer : DOS-2021-01940 en
DOS-2021-04314. Op 2 augustus 2021 besluit de Geschillenkamer op basis van de
voorgelegde stukken tot voeging van beide klachten, gelet op hun onderlinge verband.
Deze beslissing doet uitspraak over beide klachten. Op 2 augustus 2021 beslist de
Geschillenkamer eveneens op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier
gereed is voor behandeling ten gronde.
19. Op 2 augustus 2021 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 van
de WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen
om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie
van antwoord van de verweerders werd daarbij vastgelegd op 27 september 2021, deze
voor de conclusie van repliek van de klager op 18 oktober 2021 en deze voor de conclusie
van dupliek van de verweerders op 8 november 2021.
20. Op 3 augustus 2021 bevestigen de partijen hun goede ontvangst van de voormelde
aangetekende zending, alsmede hun akkoord voor verdere uitwisselingen omtrent de zaak
langs elektronische weg.
21. Op 27 september 2021 ontvangt de Geschillenkamer de conclusies van antwoord vanwege
Y1 respectievelijk Y2.
22. Op 18 oktober 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
23. Op 8 november 2021 ontvangt de Geschillenkamer de conclusies van dupliek van Y1
respectievelijk Y2.
24. De Geschillenkamer is zich ervan bewust dat tussen de neerlegging van de laatste
conclusie en de uitspraak in deze zaak een aanzienlijke periode is verstreken. Zij wenst zich
Beslissing ten gronde 200/2025 - 6/33
hiervoor uitdrukkelijk te verontschuldigen bij de partijen. Ondanks dit tijdsverloop acht de
Geschillenkamer het aangewezen om in deze zaak alsnog een gemotiveerde beslissing te
nemen die geanonimiseerd gepubliceerd zal worden op haar website. Dit gebeurt niet enkel
met het oog op een zorgvuldige behandeling van voorliggende klacht, maar ook met de
bedoeling om bij te dragen aan een correct en uniform begrip van de geldende
verplichtingen voor de betrokken actoren. Onderhavig geschil biedt immers een geschikte
gelegenheid om de toepasselijke regels inzake de verwerking van persoonsgegevens in het
kader van referentiechecks bij sollicitaties nader toe te lichten..
II. Motivering
II.1. Omvang van het geschil
25. Ter inleiding stelt de Geschillenkamer vast dat deze zaak kadert binnen een ruimer geschil
tussen de klager en Y1 (de eerste verweerder) omtrent de schending van een onderling
afgesloten dadingsovereenkomst ten gevolge van het ontslag van de klager in november
2016. De bevoegdheid van de Geschillenkamer in de voorliggende zaak beperkt zich
uiteraard tot vragen omtrent gegevensbescherming. De Geschillenkamer zal zich
uitspreken omtrent de vermeend onrechtmatige verwerking van referenties betreffende
de klager door beide verweerders (Sectie II.2.), alsook over de vermeende schending van
zijn recht op inzage naar aanleiding van de verzoeken die de klager bij elk van beide
verweerders indiende (Sectie II.3.). Voorts volgt een beoordeling van de Geschillenkamer
omtrent de mogelijke schending van de andere rechten uit hoofde van de AVG door beide
verweerders (Sectie II.4.), alsook van de vermeende schending van de basisbeginselen
inzake de verwerking van persoonsgegevens door Y1 (Sectie II.5.).
II.2. De verwerking van persoonsgegevens in het kader van een sollicitatieprocedure
II.2.1. Het begrip “persoonsgegeven” — Art. 4.1) AVG
26. Allereerst dient de Geschillenkamer na te gaan in welke mate de verweerders
persoonsgegevens aangaande de klager verwerkt hebben.
27. Artikel 4.1) AVG definieert het begrip “persoonsgegevens” als zijnde “alle informatie over
een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als
identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan
worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een
identificatienummer, locatiegegevens, een online identificator of van een of meer
elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische,
economische, culturele of sociale identiteit van die natuurlijke persoon”. Deze definitie
omvat dus vier constitutieve en cumulatieve elementen:
Beslissing ten gronde 200/2025 - 7/33
a. “alle informatie”
28. De Geschillenkamer wijst erop dat het begrip “persoonsgegevens”, zoals uitgelegd in
artikel 4.1) AVG juncto overweging 26 AVG, het Advies 4/2007 van de Groep
Gegevensbescherming, alsook de rechtspraak van het Hof van Justitie, ruim dient te
worden geïnterpreteerd en dat dit zowel objectieve als subjectieve informatie omvat,
ongeacht of deze informatie al dan niet correct dan wel bewezen is.1 Het begrip “alle
informatie” gehanteerd in artikel 4.1) AVG dient bijgevolg letterlijk te worden
geïnterpreteerd, ongeacht de aard, de inhoud of vorm van de betrokken informatie.
Overweging 26 AVG benadrukt overigens deze extensieve uitlegging van het begrip
“persoonsgegevens”, door te stellen dat “de beginselen van gegevensbescherming voor
elk gegeven betreffende een geïdentificeerde of identificeerbare persoon [moeten]
gelden”.2
29. Dit werd eveneens bevestigd door de Groep Gegevensbescherming in zijn Advies 4/2007
over het begrip persoonsgegeven, waarin deze hieromtrent het volgende stelt: “Wat de
aard van de informatie betreft, omvat ‘persoonsgegeven’ alle soorten uitspraken over een
persoon. Ook ‘subjectieve’ informatie, meningen en oordelen vallen eronder. […] Om als
‘persoonsgegeven’ te worden aangemerkt, is het niet nodig dat de informatie waar is of
bewezen.”3
30. Voorgaande werd inmiddels meermaals benadrukt door het Hof van Justitie van de
Europese Unie. In zijn arrest “Nowak” van 20 december 2017 stelt het Hof in dit verband
meer bepaald: “Het gebruik van de woorden “iedere informatie’ in de definitie van het
begrip ‘persoonsgegevens’ […] wijst er immers op dat het de bedoeling van de
Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot
gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elk soort informatie,
zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of
beoordelingen, op voorwaarde dat deze informatie de betrokkene ‘betreft’ ”.4
31. Meer specifiek oordeelde het Hof van Justitie in het arrest Nowak dat de evaluatie en
opmerkingen van een examinator met betrekking tot een door de betrokkene afgelegd
examen als persoonsgegevens in de zin van huidig artikel 4.1) AVG dienen te worden
beschouwd. Het Hof wees er tevens op dat het niet-kwalificeren van deze gegevens als
zijnde persoonsgegevens, deze informatie volledig zou onttrekken aan de bescherming
van de beginselen en waarborgen inzake persoonsgegevens en meer bepaald aan de
1
A. FOCQUET (ED.), JULIE MANNEKENS EN SOFIE DEPREZ, Handboek Gegevensbescherming in de diepte en in de praktijk, LeA
Uitgevers 2024, Leuven, p. 15 ; C. DOCKSEY en H. HIJMANS, “The Court of Justice as a Key Player in Privacy and Data Protection:
An Overview of Recent Trends” in Case Law at the Start of a New Era of Data Protection Law, EDPL Review 2019, p. 302-304.
2
Onderlijning door de Geschillenkamer.
3
Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 6 (onderlijning door de Geschillenkamer).
4
HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 34.
Beslissing ten gronde 200/2025 - 8/33
rechten van toegang, rectificatie en verzet evenals het toezicht van de toezichthoudende
autoriteiten.5
32. De Groep Gegevensbescherming en het Hof van Justitie verduidelijkten verder dat deze
informatie zowel betrekking kan hebben op het persoonlijke leven van de betrokkene als
diens professionele6 of publieke activiteiten: “ ‘Persoonsgegevens’ omvatten informatie
die betrekking heeft op iemands privéleven of familie- en gezinsleven in strikte zin, maar
ook informatie over allerlei activiteiten die iemand onderneemt, bijvoorbeeld over iemands
beroepsrelaties of economisch of sociaal gedrag. Het gaat hier dus om informatie over
personen, ongeacht de positie of de hoedanigheid van die personen (consument, patiënt,
werknemer, klant, enz.).”7
33. Op grond van de bovenstaande elementen kan de Geschillenkamer tot het besluit komen
dat het eerste constitutief element te dezen aanwezig is.
b. “over”
34. Een tweede constitutief element van de definitie van het begrip “persoonsgegeven” uit
artikel 4.1) AVG houdt in dat de informatie dient te gaan “over” een natuurlijke persoon, de
betrokkene. In zijn Advies 4/2007 wijst de Groep Gegevensbescherming erop dat zulks
zowel direct als indirect het geval kan zijn, in zoverre de informatie “verwijst naar de
identiteit, de kenmerken of het gedrag van een persoon of indien dergelijke informatie
wordt gebruikt om de wijze waarop die persoon wordt behandeld of beoordeeld te bepalen
of te beïnvloeden”.8
35. De Groep Gegevensbescherming preciseert in dit verband dat informatie die niet direct
betrekking heeft op een natuurlijke persoon alsnog als “informatie over” de betrokken
natuurlijke persoon kan worden beschouwd in de volgende twee gevallen:
a. Wanneer de gegevens worden gebruikt of naar verwachting kunnen worden
gebruikt met als doel de betrokkene te beoordelen, op een bepaalde manier te
behandelen of zijn status of gedrag te beïnvloeden; of
b. Wanneer het gebruik van de gegevens naar verwachting een impact kan hebben
op bepaalde personen, waarbij het irrelevant is of deze impact groot of klein is.
5
HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 49.
6
EHRM, 16 februari 2000, nr. 27798.
7
Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 7. Cf. in diezelfde zin de conclusie van advocaat-
generaal E. Sharpston van 12 december 2013 in de gevoegde zaken C-141/12 en C-372/12 (Y.S.), randnr. 45.
8
Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 10.
Beslissing ten gronde 200/2025 - 9/33
36. De Groep Gegevensbescherming wijst er hierbij op dat, zolang de mogelijkheid bestaat dat
de betrokkene bijvoorbeeld anders zal worden behandeld ten gevolge van de verwerking
van de betrokken gegevens, er sprake is van een impact op de persoon. 9
37. Dit werd tevens bevestigd door het Hof van Justitie, dat in dit verband stelde dat deze
tweede voorwaarde “is vervuld wanneer de informatie wegens haar inhoud, doel of gevolg
gelieerd is aan een bepaalde persoon”.10
38. In casu stelt de Geschillenkamer vast dat de betrokken informatie — i.e. referenties
omtrent de relevante ervaring en kwalificaties van de klager — onmiskenbaar kan herleid
worden tot de klager en een impact kan hebben op hem, met als gevolg dat het tweede
constitutieve element aanwezig is.
c. “een geïdentificeerde of identificeerbare” “natuurlijke persoon”
39. Een persoon is “geïdentificeerd” wanneer die persoon individueel onderscheiden is van
andere personen binnen een bepaalde groep, aan de hand van één of meerdere
identificatoren.11
40. Gelet op het feit dat de uitwisseling van referenties over een individuele kandidaat
noodzakelijkerwijze met zich meebrengt dat de betrokkene minstens onrechtstreeks
identificeerbaar is voor de voormalige en toekomstige werkgever, stelt de
Geschillenkamer vast dat de betrokkene onweerlegbaar werd geïdentificeerd en de door
de verweerders uitgewisselde informatie in casu aldus betrekking heeft op een
“geïdentificeerd of identificeerbaar persoon” in de zin van artikel 4.1) AVG.
41. Er dient bijgevolg te worden vastgesteld dat ook het derde en vierde constitutieve element
van het begrip persoonsgegevens te dezen aanwezig zijn. De Geschillenkamer oordeelt
derhalve dat de referenties omtrent de relevante ervaring en kwalificaties van de klager
weldegelijk als hem betreffende persoonsgegevens moeten worden aanzien.
II.2.2. Het begrip “verwerking” – Art. 4.2) AVG
42. Overeenkomstig artikel 2.1 juncto overweging 15 van de AVG, is zij van toepassing op de
volledige dan wel gedeeltelijk geautomatiseerde verwerkingen van persoonsgegevens,
evenals op de niet-geautomatiseerde verwerkingen van persoonsgegevens die in een
bestand zijn opgenomen, dan wel bestemd zijn om daarin te worden opgenomen.
9
Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 11-12.
10
HvJEU, 20 december 2017, C-434/16, Nowak t. Data Protection Commissioner, ECLI:EU:C:2017:994, randnr. 35 (eigen
onderlijning).
11
Groep Gegevensbescherming Artikel 29, Advies 4/2007, 20 juni 2007, p. 13.
Beslissing ten gronde 200/2025 - 10/33
Overeenkomstig artikel 4.2) AVG dient als een “verwerking” van persoonsgegevens te
worden beschouwd: “een bewerking of een geheel van bewerkingen met betrekking tot
persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via
geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren,
opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel
van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of
combineren, afschermen, wissen of vernietigen van gegevens”.
43. In voorliggende zaak poneren beide verweerders dat het litigieuze telefoongesprek louter
mondeling heeft plaatsgevonden, niet werd opgenomen of anderszins geregistreerd, noch
op enigerlei wijze inhoudelijk werd verwerkt. Bijgevolg kan er geenszins sprake zijn van een
verwerking in de zin van de AVG, aldus de verweerders. De klager meent daarentegen dat
de AVG wel van toepassing is, gezien er volgens hem weldegelijk sprake is geweest van een
verwerking van persoonsgegevens. Op 2 juli 2020 ontving Y2 immers persoonsgegevens
van de klager via Y1, dewelke Y2 vervolgens heeft verwerkt in een e-mail aan de klager, wat
een bestand is.
44. De Geschillenkamer wijst erop dat de doorgifte van persoonsgegevens tijdens een
mondeling telefoongesprek weldegelijk een “verwerking” van persoonsgegevens uitmaakt
in de zin van artikel 4.2) AVG. Dat artikel stipuleert immers duidelijk dat het “verstrekken
door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen”12 van
persoonsgegevens, een “verwerking” in de zin van de AVG uitmaakt. De Geschillenkamer
wijst tevens op het arrest Endemol Shine Finland, waarin het Hof van Justitie
ondubbelzinnig heeft vastgesteld dat het begrip “verwerking” als bedoeld in artikel 4.2)
AVG noodzakelijkerwijs de mondelinge verstrekking van persoonsgegevens omvat. 13
45. Aangezien een mondelinge verstrekking als zodanig een niet-geautomatiseerde
verwerking is, moet de Geschillenkamer in onderhavig geval nagaan of de door Y1
verstrekte gegevens in een “bestand” zijn “opgenomen” of “bestemd zijn om daarin te
worden opgenomen”. Volgens artikel 4.6) AVG dient het begrip “bestand” te worden
uitgelegd als “elk gestructureerd geheel van persoonsgegevens die volgens bepaalde
criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan
wel op functionele of geografische gronden is verspreid”. De Geschillenkamer wijst erop
dat deze bepaling een ruime omschrijving geeft van het begrip “bestand”. Bovendien
beoogt de vereiste dat het geheel van persoonsgegevens moet zijn “gestructureerd
volgens bepaalde criteria”, uitsluitend ervoor te zorgen dat de persoonsgegevens
gemakkelijk kunnen worden teruggevonden. Behalve dit vereiste bevat artikel 4.6) AVG
12
Onderlijning door de Geschillenkamer
13
HvJEU, 7 maart 2024, C-740/22, Endemol Shine Finland, ECLI:EU:C:2024:216, randnr. 32
Beslissing ten gronde 200/2025 - 11/33
geen enkele bepaling over de wijze waarop een bestand moet worden gestructureerd, en
over de vorm die een dergelijk bestand moet hebben. 14
46. In casu voert Y1 aan dat zij geen enkel bestand, zoals het personeelsdossier van de klager,
zou hebben geraadpleegd om de daarin opgenomen informatie aan Y2 te verstrekken. De
Geschillenkamer merkt op dat zij niet dient te verifiëren of Y1 al dan niet een bestand heeft
geraadpleegd waarin de persoonsgegevens van de klager zijn opgenomen. De
Geschillenkamer oordeelt namelijk dat Y1 wist, of had moeten weten, dat de door haar
meegedeelde informatie omtrent de klager zou worden opgenomen in een bestand door
Y2, namelijk in het rekruteringsdossier dat deze laatste bijhoudt over de klager. Gelet op
die omstandigheden, oordeelt de Geschillenkamer dat het mondeling verstrekken aan Y2
van informatie over de klager door Y1 een verwerking van persoonsgegevens vormt die
binnen de materiële werkingssfeer van de AVG valt.
47. De Geschillenkamer acht het tevens voldoende bewezen dat Y2 de persoonsgegevens van
de klager in het kader van de sollicitatieprocedure heeft verwerkt in de zin van artikel 4.2)
AVG, en bovendien dat die persoonsgegevens werden opgenomen in een bestand. De
Geschillenkamer stelt immers vast dat Y2 de inhoud van het gesprek, ofschoon niet
verbatim, minstens wel in algemene termen, schriftelijk heeft vastgelegd in een e-mail aan
de klager.
48. Bijgevolg zal de Geschillenkamer zich in een volgende sectie (II.2.3) moeten buigen over
de rechtmatigheid van de verwerkingen door beide verweerders.
II.2.3. Rechtmatigheid van de verwerkingen — Art. 6.1 AVG
49. Nu het vaststaat dat beide verweerders persoonsgegevens over de klager hebben
verwerkt in de zin van de AVG, dient de Geschillenkamer zich te buigen over de
rechtmatigheid van deze verwerkingen. Om een logische redenering te waarborgen, zal zij
eerst de rechtmatigheid beoordelen van de verzameling en verdere verwerking van
referenties door Y2 (de tweede verweerder). Aansluitend zal zij de rechtmatigheid
onderzoeken van de doorgifte van de persoonsgegevens van de klager door Y1 (de eerste
verweerder)
a. De rechtmatigheid van de verzameling en verdere verwerking van
referenties door Y2 (de tweede verweerder)
50. De Geschillenkamer stelt vast dat Y2 zich beroept op de toestemming van de klager voor
de verzameling en verdere verwerking van referenties. Hiertoe brengt Y2 de door haar
opgemaakte notulen van het sollicitatiegesprek aan, waaruit moet blijken dat de klager zijn
14
Zie ook HvJEU, 7 maart 2024, C-740/22, Endemol Shine Finland, ECLI:EU:C:2024:216, randnr. 37 ; HvJEU, 10 juli 2018, C-25/17,
Jehovan todistajat, ECLI:EU:C:2018:551, randnrs. 57-58
Beslissing ten gronde 200/2025 - 12/33
toestemming heeft gegeven voor het contacteren van Y1.15 Daarnaast voert Y2 aan dat,
gezien de klager Y1 uit eigen beweging in zijn CV heeft vermeld, dit kan gelden als een
geldige toestemming.
51. De Geschillenkamer herinnert eraan dat uit de artikelen 4.11) en 7 AVG, samen gelezen met
overweging 43 AVG, volgt dat in de context van een sollicitatieprocedure de toestemming
van de betrokkene slechts in uitzonderlijke gevallen kan dienen als een rechtmatige
rechtsgrond voor de verzameling en verdere verwerking van referenties. Het staat met
name vast dat de verhouding tussen een potentiële werkgever en een sollicitant wordt
gekenmerkt door de afhankelijke positie van laatstgenoemde, hetgeen leidt tot een
veronderstelde wanverhouding waarbinnen toestemming in principe niet vrijelijk gegeven
kan worden.
52. De Geschillenkamer aanvaardt daarentegen dat toestemming als rechtsgrond kan gebruikt
worden, indien de verwerkingsverantwoordelijke de toestemming van de betrokkene heeft
verkregen middels de ondertekening van een verklaring waarvan hij de draagwijdte
duidelijk kon begrijpen en die ten minste volgende elementen bevat:
a. De identiteit van de organisatie of de personen die de toekomstige werkgever wil
raadplegen
b. De aard van de opgevraagde gegevens
c. De redenen voor het verzamelen van de gegevens
d. De periode waarin de toestemming zal worden gebruikt
De Geschillenkamer benadrukt dat dergelijke toestemming alleen als vrijelijk wordt
beschouwd indien de betrokkene geen negatieve gevolgen riskeert wanneer hij zijn
toestemming niet verleent.16 In de context van een sollicitatieprocedure betekent dit, bij
wijze van voorbeeld, dat de potentiële werkgever in geen geval de verwachting mag
wekken bij de sollicitant dat zijn kandidatuur ongunstig zal worden beoordeeld of niet in
aanmerking zal komen wanneer hij geen toestemming verleent voor het opvragen van
referenties.
53. De Geschillenkamer aanvaardt tevens dat toestemming als geldige rechtsgrond kan
gebruikt worden indien de sollicitant spontaan, zonder vraag vanuit de potentiële
werkgever, in zijn CV uitdrukkelijk een referentiepersoon aanduidt met de bedoeling deze
te contacteren. De Geschillenkamer benadrukt dat, ook in dit geval, de
verwerkingsverantwoordelijke haar informatieverplichtingen in artikel 14 AVG dient na te
komen.
15
Stuk 4 bij de conclusies van antwoord van de tweede verweerder d.d. 27 september 2021
16
EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, versie 1.1., 4 mei 2020, p. 8-10
Beslissing ten gronde 200/2025 - 13/33
54. Gelet op bovenstaande en op de verweermiddelen van de partijen, oordeelt de
Geschillenkamer dat Y2 niet aantoont dat de mondelinge toestemming van de klager die
tijdens het sollicitatiegesprek werd verleend, voldoet aan de vereiste onder de AVG van
een vrije wilsuiting. De notulen van een sollicitatiegesprek kunnen bij gebreke aan
ondertekening door de betrokkene immers niet als een geldige toestemming dienen, om
de eenvoudige reden dat de notulen niet door de betrokkene werden genomen. Uit de
overgemaakte stukken blijkt tenslotte evenmin dat de klager Y1 als een referentiepersoon
in zijn CV heeft vermeld, hetgeen desgevallend als geldige toestemming zou kunnen
dienen. Y1 werd door de klager immers uitsluitend genoemd in het onderdeel
‘werkervaring’, maar wordt nergens expliciet genoemd als referentie.
55. Gelet op bovenstaande, oordeelt de Geschillenkamer dat Y2 niet rechtmatig kon
steunen op de toestemming van de klager conform artikel 6.1. a) AVG voor het
raadplegen en de daaropvolgende verwerking van referenties.
56. De Geschillenkamer stelt vast dat de Y2 zich voor de litigieuze verwerking tevens beroept
op haar gerechtvaardigd belang conform artikel 6.1. f) AVG. De Geschillenkamer heeft er in
haar eerdere beslissingen reeds op gewezen dat de verwerkingsverantwoordelijke
voorafgaand aan de verwerking één rechtmatigheidsgrond dient aan te wijzen op basis
waarvan zij de verwerking van persoonsgegevens wenst uit te voeren. 17 De verschillende
rechtmatigheidsgrondslagen brengen verschillende gevolgen met zich mee, met name wat
de rechten van de betrokkenen betreft. Om voornoemde reden is het niet toegestaan dat
een verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, beroept op de
ene, dan weer op de andere rechtsgrond voor éénzelfde verwerking.
57. Gezien Y2 voor de verzameling van referenties van de klager echter niet rechtmatig kon
steunen op diens toestemming, gaat de Geschillenkamer alsnog na of zij op basis van haar
gerechtvaardigd belang de persoonsgegevens van de klager kon verwerken.
58. Het Hof van Justitie heeft in haar rechtspraak 18 verduidelijkt dat moet voldaan zijn aan drie
cumulatieve voorwaarden opdat een verwerkingsverantwoordelijke zich rechtmatig kan
beroepen op artikel 6.1.f) AVG. Meer bepaald dient de verwerkingsverantwoordelijke aan
te tonen dat:
a) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden
beschouwd (de “doeltoets”);
17
Beslissing ten gronde 55/2021 d.d. 22 april 2021 van de Geschillenkamer,
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-55-2021.pdf; Beslissing ten gronde
138/2021 d.d. 8 december 2021 van de Geschillenkamer, https://gegevensbeschermingsautoriteit.be/publications/beslissing-
ten-gronde-nr.-138-2021.pdf
18
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme”, ECLI:EU:C:2017:336, randnr. 28 (“Arrest Rīgas”).
Beslissing ten gronde 200/2025 - 14/33
b) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
c) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden
en grondrechten van de betrokkene doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
59. Wat betreft de eerste voorwaarde, de zogenaamde “doeltoets”, is de Geschillenkamer van
oordeel dat het controleren van referenties in navolging van een sollicitatiegesprek
inderdaad moet worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd
belang. Werkgevers hebben er immers alle belang bij om betrouwbare en gekwalificeerde
werknemers aan te werven. De Geschillenkamer meent dat de raadpleging van werkgevers
die eerder met de klager hebben samengewerkt een betrouwbaar en evenwichtig beeld kan
vormen van diens functioneren in een professionele context. De Geschillenkamer stelt aldus
vast dat aan de doeltoets werd voldaan.
60. Teneinde te voldoen aan de tweede voorwaarde, de “noodzakelijkheidstoets”, dient Y2 aan
te tonen dat de verwerkingen in casu noodzakelijk waren om bovenvermeld gerechtvaardigd
belang na te streven. De Geschillenkamer wijst erop dat bij de beoordeling of er sprake is van
een “noodzakelijke” verwerking, de verwerkingsverantwoordelijke dient na te gaan of het
nagestreefde gerechtvaardigde belang niet op een even doeltreffende wijze gerealiseerd
kan worden met alternatieve middelen die minder ingrijpend zijn voor de fundamentele
rechten en vrijheden van de betrokkene. Indien er redelijke en even doeltreffende, maar
minder ingrijpende alternatieven bestaan, kan de verwerking niet als “noodzakelijk” worden
aangemerkt.19
Y2 voert aan dat, hoewel zij beschikte over het curriculum vitae, de motivatiebrief, alsook
over de informatie uit het sollicitatiegesprek met de klager, het voor haar noodzakelijk was
om de door de klager geponeerde stellingen omtrent zijn ervaring en leiderschap te
verifiëren. Y2 acht de raadpleging van referenties een noodzakelijke verwerking om een
totaalbeeld van de klager te kunnen schetsen en te achterhalen hoe hij zich in een
arbeidsomgeving werkelijk gedraagt, hetgeen niet kon worden afgeleid uit de volgens Y2
eenzijdige verklaringen van de klager in voormelde bronnen.
De Geschillenkamer is van oordeel dat het verifiëren van referenties een gangbaar en redelijk
middel is voor werkgevers om inzicht te krijgen in de professionele vaardigheden van een
sollicitant, op voorwaarde dat zij de verzamelde informatie niet bij de klager zelf kan
opvragen. Hierop gelet, acht de Geschillenkamer het in casu dan ook noodzakelijk voor Y2
om, middels de raadpleging van voormalige werkgevers van de klager, werkgerelateerde
19
HvJEU, 4 juli 2023, C-252/21, Meta t. Bundeskartellamt, ECLI:EU:2023:537, randnr. 108; EDPB, Guidelines 1/2024 on
processing of personal data based on Article 6(1)(f) GDPR, Version 1.0, 8 oktober 2024, randnr. 29
Beslissing ten gronde 200/2025 - 15/33
informatie te verzamelen die relevant is voor de beoordeling van diens geschiktheid voor de
functie waarvoor hij solliciteerde, te meer nu Y2 twijfels had over de waarachtigheid van de
beweringen van de klager. De Geschillenkamer wijst erop dat de betreffende informatie
mogelijks niet op objectieve wijze bij de klager zelf kon worden verkregen. Aangezien de
klager als sollicitant een duidelijk belang heeft bij een positieve voorstelling van zaken,
ontbreekt de noodzakelijke onafhankelijkheid en verificatiemogelijkheid indien Y2
uitsluitend een beslissing moet nemen op basis van zijn verklaringen. In onderhavig geval
acht de Geschillenkamer de raadpleging van referenties door Y2 dan ook een noodzakelijke
verwerking van persoonsgegevens in het licht van het nagestreefde gerechtvaardigde
belang, en komt zij aldus tot de conclusie dat ook aan de noodzakelijkheidstoets werd
voldaan.
61. Teneinde na te gaan of aan de derde voorwaarde, de zogenaamde “afwegingstoets”, is
voldaan, moet beoordeeld worden of het gerechtvaardigd belang van Y2 zwaarder weegt
dan de fundamentele rechten en vrijheden van de klager. Overeenkomstig overweging 47
AVG dient bij die afweging tevens rekening gehouden te worden met de redelijke
verwachtingen van de klager. Er dient meer bepaald te worden geëvalueerd of “de
betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens
redelijkerwijs mag verwachten dat de verwerking met dat doel kan plaatsvinden”.
De Geschillenkamer herhaalt in dit verband dat het belang van Y2, als potentiële werkgever,
om een zorgvuldig selectieproces te voeren, legitiem is, en dat het verifiëren van referenties
in onderhavige zaak een proportioneel en noodzakelijk middel vormde om de
betrouwbaarheid en geschiktheid van de klager te beoordelen. Tegenover dit belang staan
de fundamentele rechten en vrijheden van de klager, wiens persoonsgegevens in navolging
van een telefonisch gesprek zijn verwerkt. De Geschillenkamer oordeelt dat de verwerking
beperkt is gebleven tot relevante, op de functie gerichte informatie, en plaatsvond in een
context waarin de redelijke verwachtingen van de betrokkene niet zijn overschreden. De
Geschillenkamer is immers van oordeel dat het binnen de redelijke verwachting van de
klager valt dat voormalige werkgevers, die door hem worden vermeld in zijn CV en expliciet
worden aangehaald tijdens het sollicitatiegesprek, door Y2 worden gecontacteerd voor het
inwinnen of verifiëren van informatie. In het licht van deze redelijke verwachting, en gelet op
de wijze waarop de verwerking heeft plaatsgevonden, stelt de Geschillenkamer vast dat het
belang van Y2 in dit geval zwaarder weegt dan de rechten en vrijheden van de klager.
62. De Geschillenkamer concludeert dat Y2 rechtmatig kon steunen op artikel 6.1. f) AVG
voor de verwerking van persoonsgegevens tijdens de raadpleging van referenties ten
behoeve van een sollicitatieprocedure. De Geschillenkamer benadrukt dat een
verwerkingsverantwoordelijke die zich in deze context beroept op artikel 6.1 f) AVG, de
Beslissing ten gronde 200/2025 - 16/33
betrokkene voorafgaand aan het opvragen van referenties moet informeren over diens
recht om hiertegen bezwaar te maken, zoals bepaald in artikel 21.4 AVG.
b. Rechtmatigheid van de doorgifte van de persoonsgegevens van de klager
door de eerste verweerder (Y1).
63. Zoals uiteengezet heeft de Geschillenkamer vastgesteld dat het mondeling verstrekken van
informatie van de klager door Y1 aan Y2 een verwerking van persoonsgegevens vormt
waarvoor Y1 als verwerkingsverantwoordelijke moet worden aangemerkt. Derhalve diende
Y1 voor die verwerking te beschikken over een rechtmatige rechtsgrond. Nu Y1 aanvoert dat
voornoemde verwerking geen rechtsgrond behoefde, constateert de Geschillenkamer dat
Y1 een inbreuk heeft gemaakt op artikel 6.1. AVG.
64. Bij wege van volledigheid wijst de Geschillenkamer erop dat het doorgeven van informatie
over een voormalige werknemer aan een potentiële werkgever in het kader van een
referentiecheck in de regel enkel mogelijk is op basis van de toestemming van de
betrokkene. Wanneer de informatieverstrekker kan verifiëren dat de potentiële werkgever
de informatie opvraagt op grond van voorafgaande, vrije en geïnformeerde toestemming
van de betrokkene, hoeft hij zelf geen bijkomende toestemming te vragen. Ontbreekt
dergelijke toestemming, bijvoorbeeld omdat de potentiële werkgever handelt op basis van
gerechtvaardigd belang, dan moet de informatieverstrekker zelf een afzonderlijke
toestemming van de betrokkene verkrijgen vooraleer hij diens persoonsgegevens vrijgeeft.
II.3. Wat betreft de uitoefening van het recht op inzage van de klager
65. In beide klachten meent de klager dat de respectievelijke verweerder naliet om tijdig en
adequaat gevolg te geven aan een verzoek tot inzage in zijn persoonsgegevens. De
Geschillenkamer onderzoekt in volgende secties derhalve enerzijds of de verweerders
tijdig gevolg gaven aan het inzageverzoek van de klager (II.3.1), en anderzijds of de door de
verweerders verstrekte informatie inhoudelijk in lijn ligt met de verplichtingen die
voortvloeien uit de AVG (II.3.2).
II.3.1. Behandelingstermijn van de verzoeken — Artikel 12 AVG
66. Uit de stukken in het dossier blijkt dat het verzoek tot inzage van de klager werd ingediend
ten aanzien van Y1 (de eerste verweerder) op datum van 8 juli 2020. Op 7 augustus 2020
geeft Y1 gevolg aan het verzoek, waarbij zij evenwel slechts algemene informatie met
betrekking tot de verwerking van persoonsgegevens binnen de onderneming meedeelt.
Daarnaast deelde Y1 aan de klager mee dat, indien hij bijkomende informatie wenst, hij een
beschrijving van de aard en de context van zijn verzoek moet toevoegen, zodat zij een
Beslissing ten gronde 200/2025 - 17/33
betere beoordeling kan maken op welke persoonsgegevens en verwerkingsactiviteiten het
inzageverzoek betrekking heeft.
67. Op 8 september 2020 stelt de klager Y1 formeel in gebreke wegens, onder andere, de
overschrijding van de in artikel 12, lid 3 en lid 4 AVG vastgestelde termijnen voor het
beantwoorden van zijn inzageverzoek en verzoek tot kopie van zijn persoonsgegevens. Op
28 september 2020 antwoordt Y1 bij brief van haar raadslieden op de ingebrekestelling,
waarin zij o.a. stelt dat zij, in overeenstemming met artikel 12.3 AVG, de klager binnen de
termijn van één maand heeft geïnformeerd over “welk gevolg” aan zijn inzageverzoek is
gegeven. Y1 wijst de klager erop dat deze bepaling niet inhoudt dat zij het inzageverzoek
ook binnen één maand integraal dient uit te voeren. Op 22 oktober 2020 ontkent de klager
bij brief van zijn raadslieden deze interpretatie. Hij voert aan dat, gezien er binnen één
maand geen adequaat antwoord werd geformuleerd op zijn inzageverzoek, en Y1 heeft
nagelaten de klager binnen één maand na ontvangst van het verzoek in kennis te stellen
van een eventuele verlenging van die termijn, er een inbreuk is ontstaan op artikel 12, lid 3
en lid 4 van de AVG.
68. De Geschillenkamer herinnert eraan dat artikel 12.3 AVG vereist dat de
verwerkingsverantwoordelijke de betrokkene onverwijld en in elk geval binnen één maand
na ontvangst van een verzoek op grond van artikel 15 AVG informeert omtrent het gevolg
dat aan dat verzoek wordt gegeven. Deze termijn kan met maximaal twee maanden worden
verlengd, rekening houdend met de complexiteit en het aantal verzoeken, op voorwaarde
dat de verwerkingsverantwoordelijke binnen één maand na ontvangst van het verzoek de
betrokkene in kennis stelt van de redenen voor deze vertraging. Deze
informatieverplichting met betrekking tot de verlenging van de termijn en de motivering
daarvan mag niet worden verward met de afzonderlijke verplichting om, overeenkomstig
artikel 12.4 AVG, de betrokkene zonder onredelijke vertraging en uiterlijk binnen één
maand te informeren wanneer de verwerkingsverantwoordelijke besluit géén gevolg te
geven aan het verzoek, evenals over de redenen voor dat besluit.
69. De Geschillenkamer stelt op basis van de verweermiddelen van Y1 vast dat zij op grond van
artikel 15.4 AVG gedeeltelijk geweigerd heeft gevolg te geven aan het verzoek om inzage,
zoals nader toegelicht in randnummer 99 van deze beslissing. Dit betekent dat zij de klager
hier, conform artikel 12.4 AVG, onverwijld en uiterlijk binnen één maand van op de hoogte
moest stellen, evenals van de redenen voor die weigering. De Geschillenkamer stelt vast
dat Y1 heeft nagelaten dit te doen, en stelt aldus vast dat zij een inbreuk pleegde op
artikel 12.4 AVG.
70. De Geschillenkamer wijst er tevens op dat de ontvangst van het inzageverzoek door de
verwerkingsverantwoordelijke in beginsel het startpunt vormt van de termijn van één
maand waarbinnen, overeenkomstig artikel 12.3 AVG, informatie moet worden verstrekt
Beslissing ten gronde 200/2025 - 18/33
over het gevolg dat een het verzoek is gegeven.20 De Geschillenkamer preciseert dat dit, in
de regel, betekent dat de informatie opgenomen in artikel 15, lid 1 en lid 2 AVG, alsook de
kopie van de persoonsgegevens bedoelt in artikel 15.3 AVG, zonder onredelijke vertraging
en uiterlijk binnen één maand integraal aan de betrokkene moeten worden verstrekt. In
tegenstelling tot wat Y1 meermaals aanvoert, benadrukt de Geschillenkamer dat een
loutere reactie binnen de termijn van één maand – bijvoorbeeld door simpelweg te stellen
dat het verzoek behandeld zal worden – vanzelfsprekend niet voldoende is om te voldoen
aan de verplichtingen die voortvloeien uit artikel 12.3 AVG juncto artikel 15 AVG.
71. In onderhavig geval stelt de Geschillenkamer vast dat Y1 op 7 augustus 2020 inhoudelijk
heeft gereageerd op het inzageverzoek van de klager, in overeenstemming met de in
artikel 12.3 AVG bepaalde termijn. Met betrekking tot de kopie van persoonsgegevens
heeft Y1 echter, in lijn met de mogelijkheid voorzien in overweging 63 AVG, de klager
verzocht om zijn inzageverzoek nader te preciseren.
72. De Geschillenkamer herinnert eraan dat overweging 63 AVG in fine stelt dat “wanneer de
verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de
betrokkene verwerkt, […] hij de betrokkene voorafgaand aan de informatieverstrekking
[moet] kunnen verzoeken om te preciseren op welke informatie of welke
verwerkingsactiviteiten het verzoek betrekking heeft”. De Geschillenkamer wijst erop dat
deze overweging in samenhang dient gelezen te worden met artikel 12.2 AVG, die bepaalt
dat de verwerkingsverantwoordelijke verplicht wordt de uitoefening van de rechten van de
betrokkene te faciliteren. Hieruit volgt dat de verwerkingsverantwoordelijke een verzoek
om specificatie mag doen indien het inzageverzoek in zeer algemene bewoordingen is
gesteld, waardoor de hij geconfronteerd wordt met de uitdaging om een volledig antwoord
te verstrekken, terwijl tegelijkertijd moet worden voorkomen dat een overvloed aan
informatie wordt verstrekt die voor de betrokkene niet relevant is en die hij of zij niet
doeltreffend kan verwerken.21
Gelet hierop, en in lijn met de richtsnoeren 01/2022 van de European Data Protection
Board, wijst de Geschillenkamer erop dat in dergelijk geval de ingang van de in artikel 12.3
AVG bedoelde termijn wordt opgeschort tot het moment dat de betrokkene de gevraagde
verduidelijking verstrekt. De verwerkingsverantwoordelijke kan in dat geval het antwoord
van de betrokkene afwachten alvorens aanvullende informatie te verstrekken
overeenkomstig diens wens.22 Hetzelfde geldt bijvoorbeeld wanneer de
20
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 maart 2023, randnr. 57
21
Ibid., randnr. 35
22
Ibid., randnr. 159
Beslissing ten gronde 200/2025 - 19/33
verwerkingsverantwoordelijke contact opneemt met de betrokkene vanwege
onduidelijkheid over diens identiteit. 23
73. Het is belangrijk te benadrukken dat het verzoek om specificatie niet mag worden
aangewend om de reikwijdte van het antwoord op het inzageverzoek te beperken, noch om
informatie over de verwerking of persoonsgegevens van de betrokkene achter te houden.
Indien de betrokkene, na te zijn verzocht om zijn verzoek nader te preciseren, bevestigt dat
hij of zij alle persoonsgegevens wenst te ontvangen die op hem of haar betrekking hebben,
dient de verwerkingsverantwoordelijke deze uiteraard volledig te verstrekken. 24
74. De Geschillenkamer stelt in casu vast dat de klager in zijn ingebrekestelling van 8
september 2020 voor het eerst ondubbelzinnig verduidelijkt waarop zijn inzageverzoek
betrekking heeft. De klager preciseert immers dat hij een afdoend antwoord verwacht op
de vragen die hij in zijn oorspronkelijk verzoek van 8 juli 2020 heeft gesteld, en verzoekt
daarnaast een volledige kopie van alle hem betreffende persoonsgegevens die in het bezit
zijn van Y1, met inbegrip van alle rapporteringen en aanwervingsdocumenten die zij
verkregen heeft ten tijde van zijn aanwerving, zoals onder andere zijn curriculum vitae en
de beoordeling van het rekruteringsbureau. Tevens bij brief van zijn raadsman van 22
oktober 2020, verduidelijkt de klager dat hij een kopie wil van alle gegevens dewelke Y1
over hem verwerkt en nog in haar bezit zijn. Tot slot, bij brief van zijn raadsman van 26
januari 2021 verduidelijkt de klager nogmaals dat hij een kopie wil van ieder bestand
(document, tekst, intern rapport, e-mail, foto, video-opname, etc.) dewelke Y1 verwerkt en
waarop hij identificeerbaar is.25
75. Derhalve komt de Geschillenkamer tot de conclusie dat Y1 de door haar gevraagde
precisering voor het eerst op 8 september 2020 van de klager heeft ontvangen. De
Geschillenkamer oordeelt bijgevolg dat de stelling van Y1 in haar brief van 3 november
2020 – namelijk dat de klager zijn verzoek weigerde te specificeren en dat dit de enige
reden was waarom hij nog geen kopie van zijn persoonsgegevens had ontvangen –
ongegrond is. Nu de klager reeds op 8 september 2020 verduidelijkt dat hij een volledige
kopie wil van alle hem betreffende persoonsgegevens, diende Y1 hier uiterlijk op 8 oktober
2020 aan te voldoen. De Geschillenkamer stelt echter vast dat Y1 pas op 18 februari 2021
een kopie bezorgt aan de klager van de gegevens “waarvan [zij] redelijkerwijze kon
vermoeden dat ze betrekking hebben op zijn verzoek”.
76. Gelet op bovenstaande, concludeert de Geschillenkamer dat werd aangetoond dat Y1
een inbreuk pleegde op artikel 12, lid 2 en lid 3 van de AVG.
23
Artikel 11.2 AVG juncto Artikel 12.6 AVG
24
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 March 2023, randnr. 35
25
Onderlijning door de Geschillenkamer
Beslissing ten gronde 200/2025 - 20/33
77. Het inzageverzoek gericht aan Y2 (de tweede verweerder), dateert eveneens van 8 juli
2020. De Geschillenkamer stelt vast dat Y2 op 27 juli 2020 getracht heeft om op dit
verzoek te reageren, maar dat haar antwoord de klager op die datum niet heeft bereikt. Y2
verklaart immers dat haar antwoord, ten gevolge van een materiële vergissing, werd
verstuurd naar een verkeerd e-mailadres dat nagenoeg identiek is aan dat van de klager.
Y2 verklaart dat zij ervan uitging dat haar antwoord succesvol werd afgeleverd aangezien
zij geen foutmelding ontving. Zij meende aldus te hebben voldaan aan het inzageverzoek
van de klager.
78. Het is pas middels de ingebrekestelling van 8 september 2020 dat Y2 erop werd gewezen
dat haar e-mail de klager niet had bereikt. In reactie daarop verstuurd Y2 op 10 september
2020 een nieuwe e-mail naar de klager, dit keer naar het juiste e-mailadres, waarin zij de in
artikel 15.1 AVG opgesomde gegevens aan de klager verstrekt. Op 16 september 2020
verstuurt Y2 een mail naar de klager waarin zij uitlegt dat haar initieel antwoord hem niet
heeft bereikt omdat deze per vergissing naar het verkeerde, doch een bestaand, e-
mailadres werd verstuurd. Y2 geeft tevens aan dat zij de Gegevensbeschermingsautoriteit
op de hoogte heeft gesteld van het gegevenslek, waarvan zij de ontvangstbevestiging
kreeg op 14 september 2020.
79. Y2 voert aan dat, hoewel de gegevens werden doorgestuurd naar een foutief e-mailadres,
zij weldegelijk tijdig reageerde op het verzoek van de klager, waardoor een schending van
artikel 12.3 AVG niet kan worden weerhouden.
80. De Geschillenkamer herinnert er nogmaals aan dat artikel 12.3 AVG de
verwerkingsverantwoordelijke verplicht om onverwijld en in ieder geval binnen één maand
na ontvangst van het verzoek informatie te verstrekken over het gevolg dat aan het
verzoek is gegeven. De Geschillenkamer wijst erop dat deze bepaling logischerwijs een
daadwerkelijke bezorging van die informatie aan de betrokkene inhoudt. Een loutere
verzending van een antwoord naar een verkeerd e-mailadres, zonder dat dit de betrokkene
effectief bereikt, kan dan ook niet worden beschouwd als een tijdige reactie.
81. Gelet op bovenstaand, concludeert de Geschillenkamer dat Y2 een inbreuk pleegde op
artikel 12.3 AVG.
II.3.2. Behandeling van de inzageverzoeken — Artikel 15 AVG
82. De klager stelt dat Y1 (de eerste verweerder) zijn verzoek tot inzage ontoereikend heeft
beantwoord. Nu de Geschillenkamer reeds heeft vastgesteld dat Y1 laattijdig heeft
gereageerd26, zal zij zich in het vervolg van haar beoordeling uitsluitend buigen over de
vraag of Y1 heeft voldaan aan haar materiële verplichtingen krachtens artikel 15, lid 1 en 3,
26
Zie randnummers 66 t.e.m. 76 van deze beslissing
Beslissing ten gronde 200/2025 - 21/33
AVG – ongeacht of deze naleving binnen of buiten de termijn van één maand heeft
plaatsgevonden.
a) In feite
83. In zijn verzoek van 8 juli 2020 wijst de klager Y1 op het feit dat zij persoonsgegevens hem
betreffende zou hebben gedeeld met Y2. Daarnaast wijst hij erop dat hij van juni 2005 tot
november 2016 bij Y1 werkzaam was, aanvankelijk via een selectiebureau en nadien in
rechtstreeks dienstverband. Vervolgens vraagt de klager alle informatie te verkrijgen die
wordt opgesomd in artikel 15.1 AVG, en drukt hij zijn wens uit om een kopie van alle
gegevens te verkrijgen in het bezit van Y1 conform artikel 15.3 AVG. Ten slotte verzoekt hij
Y1 om mee te delen op welke rechtsgrond, zoals bedoeld in artikel 6.1 AVG, de verwerking
van zijn persoonsgegevens berust, en – voor zover deze verwerking op toestemming is
gebaseerd – hem een kopie van die toestemming te verstrekken.
84. In haar antwoord van 7 augustus 2020 op het inzageverzoek van de klager deelt Y1 slechts
algemene informatie mee over de verwerking van persoonsgegevens binnen de
onderneming. Gelet op de verweermiddelen van Y1, stelt de Geschillenkamer vast dat Y1
enkel de informatie heeft verstrekt zoals opgenomen in haar privacyverklaring die van
toepassing is op actieve werknemers. Ter illustratie wijst de Geschillenkamer op het
voorbeeld waarbij Y1, met betrekking tot de verwerkingsdoeleinden, onder andere stelt dat
de persoonsgegevens van de klager zouden worden verwerkt “ter uitvoering en opvolging
van de arbeidsovereenkomst en het correct beheer van het personeelsdossier”. Tevens
met betrekking tot de verwerkingsgronden (art. 6.1. AVG), de betrokken categorieën van
persoonsgegevens (art. 15.1 b) AVG) en de ontvangers van persoonsgegevens (art. 15.1 c)
AVG), verwijst Y1 naar de algemene informatie zoals opgenomen in haar privacyverklaring
die van toepassing is op haar actieve werknemers.
Tot slot verzoekt Y1 de klager om een beschrijving van de aard en de context van het
verzoek bij te voegen, zodat zij een betere beoordeling kan maken op welke
persoonsgegevens en verwerkingsactiviteiten het verzoek betrekking heeft.
85. In haar antwoord van 28 september 2020 op de ingebrekestelling van de klager voegt Y1
toe dat zij tevens persoonsgegevens van de klager verwerkt op basis van artikel 6.1 f) AVG,
meer bepaald op basis van haar gerechtvaardigd belang ter vrijwaring van haar
bewijsvoering in het kader van lopende geschillen. In haar antwoord van 18 februari 2021
voegt Y1 conform artikel 15.1 d) AVG daaraan toe dat zij de persoonsgegevens van de
klager zal blijven verwerken (opslaan) voor zolang dat noodzakelijk is ter bewijsvoering in
het kader van lopende geschillen.
Beslissing ten gronde 200/2025 - 22/33
86. In datzelfde antwoord van 18 februari 2021 wijst Y1 erop dat, voor wat betreft de informatie
over de rechten vermeldt in artikelen 15.1 e) AVG en 15.1 f) AVG, zij deze in haar initiële
antwoord niet aan de klager heeft verstrekt, nu het duidelijk bleek dat de klager reeds
kennis had van deze rechten aangezien hij ze letterlijk citeerde in zijn inzageverzoek van 8
juli 2020. Wat betreft de informatie in de artikelen 15.1 g) AVG en 15.1 h) AVG legt Y1 uit dat
zij hierover niets kon meedelen, gezien deze bepalingen in casu niet van toepassing zijn. Bij
een gebrek aan verduidelijking vanwege de klager omtrent de reikwijdte van zijn
inzageverzoek, voegt Y1 tevens een kopie toe van persoonsgegevens van de klager
“waarvan [zij] redelijkerwijze mag aannemen dat zij het voorwerp vormen van het verzoek
tot inzage”.
87. Met het verschaffen van die informatie geeft Y1 de klager te kennen dat zij volledig heeft
voldaan aan haar verplichtingen uit artikel 15, lid 1 en lid 3 van de AVG.
b) Standpunt van Y1 (de eerste verweerder)
88. In haar verweer voert Y1 aan dat de essentie van de tegen haar ingediende klacht terug te
brengen is tot verschillende beweerde schendingen van de AVG die zij zou hebben begaan
bij een doorgifte van persoonsgegevens aan Y2 in het kader van een sollicitatieprocedure.
Volgens Y1 is dit de reden waarom de klager zijn inzageverzoek aan haar richtte, en zij heeft
het verzoek van de klager ook in deze context begrepen. Zoals nader toegelicht in sectie
II.2.2 van deze beslissing, voert Y1 aan dat de louter telefonische doorgifte van
persoonsgegevens geen verwerking uitmaakt waarop de AVG van toepassing is. Het was
volgens Y1 dan ook onmogelijk om aan het verzoek van de klager tegemoet te komen,
aangezien de persoonsgegevens waarnaar hij op zoek was niet bestonden en de beweerde
verwerking nooit had plaatsgevonden. Om die reden heeft Y1 in haar brief van 7 augustus
2020 algemene informatie verschaft over de verwerkingen van persoonsgegevens die
typisch kaderen in een arbeidsrelatie en zoals deze omschreven worden in haar
privacyverklaring van toepassing op haar werknemers.27
89. Aangezien de verwerking waar de klager naar verwees niet bestond, en het verzoek
volgens Y1 bijgevolg onduidelijk was, nodigde zij de klager uit om bijkomende informatie te
verschaffen over de aard en de context van zijn verzoek, in overeenstemming met
overweging 63 in fine van de AVG. Volgens Y1 was deze vraag om verduidelijking tevens
gerechtvaardigd, aangezien de klager 11 jaar voor haar heeft gewerkt, waardoor zij
onvermijdelijk nog een substantiële hoeveelheid persoonsgegevens verwerkt, ondanks het
feit dat zij ook heel wat persoonsgegevens van de klager heeft gewist, zoals zijn mailbox. 28
27
Y1, conclusie van dupliek van d.d. 8 ,november 2021, p. 7-9
28
Y1, conclusie van dupliek van d.d. 8 ,november 2021, p. 9-11
Beslissing ten gronde 200/2025 - 23/33
90. Y1 voert aan dat, ondanks haar herhaald aandringen, de klager in daaropvolgende
communicatie elke verduidelijking omtrent zijn inzageverzoek weigerde. Volgens Y1 bleef
de klager immers halsstarrig verzoeken om informatie over een vermeende, maar niet-
bestaande verwerking, en om een kopie van persoonsgegevens die zij niet had verwerkt,
namelijk de mondelinge doorgifte van persoonsgegevens tijdens het telefoongesprek met
Y2.29
91. Niettemin is Y1 van mening dat zij als verwerkingsverantwoordelijke ertoe gehouden is om,
binnen de mate van het mogelijke en het redelijke, een gevolg te geven aan het verzoek van
de klager. Om die reden heeft zij bij brief van 3 november 2020 de klager een voorstel
gedaan om een kopie te verstrekken van de persoonsgegevens die zij nog in haar
gearchiveerde personeelsdossier heeft, alsook de e-mailcommunicatie te verstrekken
betreffende de klager die naar aanleiding van onderhavige zaak werd gedaan. Daarbij
maakt Y1 echter het voorbehoud dat zij geen e-mails zal verstrekken die al in het bezit zijn
van de klager.
Y1 voert aan dat, hoewel de klager in zijn brief van 26 januari 2021 instemde met dit
voorstel, hij zijn verzoek tot inzage op dat moment heeft uitgebreid door tevens te
verzoeken om een kopie van ieder bestand (document, tekst, intern rapport, e-mail, foto,
video-opname, etc.) dat Y1 verwerkt en waarop hij identificeerbaar is.
Y1 voert aan dat zij op 18 februari 2021 integraal en volledig gevolg heeft gegeven aan dit
verzoek. Daarbij heeft zij echter de verstrekking van een kopie van de persoonsgegevens
beperkt, door zich te beroepen op artikel 12.5 en artikel 15.4 AVG juncto overweging 63
AVG. Vooreerst betoogt Y1 dat zij geen kopie moet verstrekken van de e-mails die de
klager zelf naar haar heeft gestuurd in het kader van onderhavige zaak, gezien de klager
logischerwijze reeds integraal over deze persoonsgegevens beschikt. Dit zou volgens Y1
immers volledig voorbijgaan aan het doel van het inzagerecht: de klager is al op de hoogte
van het feit dat Y1 de door hem gestuurde e-mails verwerkt en voor welk doel ze dat doet.
Ten tweede voert Y1 aan dat zij geen kopie heeft verstrekt van de interne communicatie en
communicatie met haar raadslieden die betrekking hebben op het geschil met de klager,
aangezien dit haar rechten van verdediging zou aantasten. Tot slot voert Y1 aan dat het haar
eveneens is toegelaten om interne rapportages en e-mails die betrekking hebben op
bedrijfscijfers en -aangelegenheden, en die om die reden als zakengeheim moeten worden
beschouwd, niet te verstrekken aan de klager. Volgens Y1 beschikte zij aldus op grond van
artikel 15.4 AVG en 12.5 AVG over het recht om voornoemde informatie uit de verstrekte
kopie aan de klager te weren. 30
29
Ibid., p. 14-16
30
Ibid., 17-22
Beslissing ten gronde 200/2025 - 24/33
c) Oordeel van de Geschillenkamer
92. Vooreerst onderstreept de Geschillenkamer het belang van de mogelijkheid tot
uitoefening van het recht op inzage voor betrokkenen. Het algemene doel van dit recht
bestaat erin om betrokkenen voldoende, transparante en gemakkelijk toegankelijke
informatie te verstrekken over de verwerking van hun persoonsgegevens. Hierdoor
kunnen betrokkenen zich informeren over het bestaan en de aard van de verwerking, en
krijgen zij de mogelijkheid om de rechtmatigheid ervan alsook de juistheid van de verwerkte
gegevens te beoordelen. Voorts onderstreept de Geschillenkamer dat de uitoefening van
het recht op inzage functioneert als een essentiële, doch geen noodzakelijke, voorwaarde
voor de effectieve uitoefening van andere rechten die de AVG aan betrokkenen toekent,
zoals het recht op rectificatie en het recht op gegevenswissing. 31
93. Daarnaast wijst de Geschillenkamer erop dat betrokkenen in geen geval verplicht zijn om
hun inzageverzoek te motiveren of te rechtvaardigen. Zolang aan de vereisten van artikel
15 AVG wordt voldaan, moeten de doeleinden achter het verzoek als irrelevant worden
beschouwd.32 De Geschillenkamer wijst er in casu dan ook op dat de vooringenomenheid in
hoofde van Y1 omtrent de reikwijdte van het inzageverzoek – namelijk dat deze enkel
betrekking zou hebben op de mondelinge doorgifte van persoonsgegevens aan Y2 – geen
rechtvaardiging kan vormen om het verzoek tot inzage onvolledig of in algemene termen
te beantwoorden. De Geschillenkamer oordeelt dat, hoewel de klager in zijn initiële
inzageverzoek inderdaad verwijst naar de doorgifte van persoonsgegevens aan Y2, het Y1
niet vrijstaat om eenzijdig de omvang van het verzoek te beperken tot die specifieke
verwerking. De Geschillenkamer stelt immers vast dat de klager zijn verzoek tevens in
algemene termen omschrijft, bijvoorbeeld door te stellen dat hij duidelijke informatie wenst
over “alle bepalingen onder artikel 15, lid 1 AVG”, evenals door te stellen dat hij “een kopie
van alle gegevens in uw bezit” wenst zoals gewaarborgd in artikel 15.3 AVG. Om die reden
acht de Geschillenkamer het argument van Y1, namelijk dat zij van oordeel was dat het
inzageverzoek van de klager beperkt was tot de doorgifte van persoonsgegevens aan Y2,
niet overtuigend.
94. Zoals eerder aangehaald, stelt de Geschillenkamer vast dat Y1 met betrekking tot de
verwerkingsdoeleinden, de categorieën van verwerkte persoonsgegevens en de
(categorieën van) ontvangers aan wie deze gegevens zijn of zullen worden verstrekt,
uitsluitend verwijst naar informatie die kenmerkend is voor een arbeidsrelatie, zoals
beschreven in de privacyverklaring die van toepassing is op haar werknemers. De
31
HvJEU, 7 mei 2009, C-553/07, College van burgemeesters en wethouders van Rotterdam t. M.E.E. Rijkeboer,
ECLI:EU:C:2008:773, randnrs. 49 en 51; HvJEU, 17 juli 2014, gevoegde zaken C-141/12 en C-372/12, YS e.a. t. Minister voor
Immigratie, Integratie en Asiel, ECLI:EU:C:2014:2081, randnr. 44
32
HVJEU, 26 oktober 2023, C-307/22, FT (Copies du dossier médical), ECLI:EU:C:2023:811, randnr. 38
Beslissing ten gronde 200/2025 - 25/33
Geschillenkamer merkt in dit verband op dat de verstrekte algemene informatie niet
volstaat om te voldoen aan de verplichtingen die de AVG oplegt, aangezien de klager op het
moment van zijn verzoek reeds vijf jaar niet meer bij Y1 in dienst was. Een verwijzing naar
een privacyverklaring die uitsluitend geldt voor actieve werknemers is in dat geval niet
alleen irrelevant, maar ook onjuist. De Geschillenkamer onderstreept dat een
verwerkingsverantwoordelijke, in het kader van een verzoek om inzage, alle beschikbare
informatie dient te actualiseren en af te stemmen op de concrete verwerkingen die
daadwerkelijk plaatsvinden met betrekking tot de betrokkene die het verzoek indient. De
Geschillenkamer wijst Y1 er derhalve op dat zij gehouden was om enkel informatie te
verstrekken over de persoonsgegevens van de klager die op het moment van zijn
inzageverzoek daadwerkelijk worden verwerkt of bewaard. 33
95. Aangaande de bewaartermijnen stelt de Geschillenkamer vast dat Y1 aangeeft de
persoonsgegevens van de klager te blijven bewaren “voor zolang dat noodzakelijk is ter
bewijsvoering in het kader van lopende geschillen”. Hiertoe merkt de Geschillenkamer op
dat Y1 in haar verweermiddelen uitdrukkelijk stelt dat zij, omwille van de lange
arbeidsrelatie met de klager, onvermijdelijk nog een substantiële hoeveelheid
persoonsgegevens verwerkt. Hieruit, alsmede uit de stukken in het dossier, leidt de
Geschillenkamer af dat Y1 nog voor andere doeleinden persoonsgegevens van de klager
verwerkt. In dat verband benadrukt de Geschillenkamer dat, indien er voor de
persoonsgegevens van de klager verschillende bewaartermijnen gelden, zij die termijnen
dient te preciseren voor alle verwerkingsactiviteiten en/of gegevenscategorieën, hetgeen
zij nagelaten heeft te doen.34
96. Met betrekking tot de informatie opgenomen in artikel 15.1 e) en f) AVG, stelt de
Geschillenkamer vast dat Y1 deze niet in haar initiële antwoord aan de klager heeft
verstrekt, nu het volgens haar duidelijk was dat de klager reeds kennis had van deze
rechten. Zij stelt tevens vast dat Y1 in haar antwoord van 18 februari 2021 het nalaat deze
informatie aan de klager mede te delen. De Geschillenkamer wijst Y1 erop dat de AVG een
objectieve informatieverplichting oplegt aan de verwerkingsverantwoordelijke, hetgeen
betekent dat zij de informatie uit artikel 15.1 AVG volledig aan de betrokkene moet
verstrekken, zonder een inschatting te maken van diens voorkennis. Gelet op de
verplichting om de uitoefening van de rechten van de betrokkene te faciliteren op grond
van artikel 12.2 AVG, moet de verwerkingsverantwoordelijke in staat zijn om per
verwerkingsactiviteit de klager te informeren over zijn rechten, dewelke zullen afhangen
33
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 maart 2023, randnr. 113
34
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 maart 2023, randnr. 118
Beslissing ten gronde 200/2025 - 26/33
van de rechtsgrond. Informatie over rechten die niet van toepassing zijn op de betrokkene
in een specifieke situatie, moet worden vermeden.35
97. Gelet op bovenstaande oordeelt de Geschillenkamer dat Y1 een inbreuk pleegde op
artikel 15.1 a) t.e.m. f) van de AVG.
98. Aangaande de verplichting in hoofde van Y1 om overeenkomstig artikel 15.3 AVG een kopie
te verstrekken van de persoonsgegevens die zij verwerkt, stelt de Geschillenkamer vast
dat de verweerder op 18 februari 2021 een kopie verstrekt aan de klager “van de
persoonsgegevens waarvan [zij] redelijkerwijze mag aannemen dat zij het voorwerp
vormen van het verzoek tot inzage”. De Geschillenkamer merkt echter op dat geen der
partijen die kopie als stuk heeft overgemaakt aan de Griffie van de Geschillenkamer,
waardoor zij geen kennis kan nemen van de inhoud ervan.
99. De Geschillenkamer stelt daarnaast vast dat Y1 zich beroept op artikel 12.5 AVG, 15.4 AVG
juncto overweging 63 AVG om bepaalde documenten, die persoonsgegevens van de
klager bevatten, niet te verstrekken. Het gaat met name om:
- E-mails die de klager zelf naar Y1 heeft gestuurd naar aanleiding van onderhavig
geschil;
- Interne communicatie en communicatie met haar raadslieden die betrekking hebben
op onderhavig geschil, gezien de verstrekking daarvan de rechten van verdediging van
Y1 zou aantasten.
- Interne rapportages en e-mails die betrekking hebben op bedrijfscijfers en –
aangelegenheden en die om die reden als zakengeheim beschouwd moeten worden.
100. De Geschillenkamer herinnert eraan dat artikel 15.4 van de AVG het recht om een kopie te
verkrijgen beperkt met de volgende bewoordingen: "Het recht om een kopie te verkrijgen,
doet geen afbreuk aan de rechten en vrijheden van anderen". Overweging 63 van de AVG
specifieert uitdrukkelijk in dat verband: "dat recht mag geen afbreuk doen aan de rechten
of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom
en met name aan het auteursrecht dat de software beschermt.” Artikel 15.3 AVG kan
daarnaast tevens worden beperkt op grond van artikel 12.5 AVG in geval van “kennelijk
ongegronde of buitensporige verzoeken”.
101. Derhalve wijst de Geschillenkamer erop dat noch artikel 12.5 AVG, noch artikel 15.4 AVG,
het een verwerkingsverantwoordelijke toelaat om het recht om een kopie te verkrijgen te
beperken op grond van het feit dat de betrokkene reeds in het bezit zou zijn van die
persoonsgegevens. De Geschillenkamer herinnert eraan dat het in artikel 15 neergelegde
recht van inzage, waarvan het recht om een kopie te verkrijgen integraal deel uitmaakt, het
35
Ibid., randnr. 119
Beslissing ten gronde 200/2025 - 27/33
de klager in staat moet stellen zich ervan te vergewissen dat de hem betreffende
persoonsgegevens juist zijn en rechtmatig worden verwerkt, zelfs indien deze
persoonsgegevens vervat zitten in e-mails die hij zelf naar de
verwerkingsverantwoordelijke heeft verzonden.
102. Met betrekking tot artikel 15.4 AVG Juncto overweging 63 AVG merkt de Geschillenkamer
op dat het inzagerecht geen afbreuk mag doen aan de rechten of vrijheden van anderen,
waarbij “anderen” moet worden begrepen als elke andere natuurlijke persoon of
rechtspersoon dan de betrokkene die het inzagerecht uitoefent. Het is bijgevolg mogelijk
dat het recht om een kopie te verkrijgen wordt beperkt indien dat recht afbreuk zou doen
aan de rechten of vrijheden van de verwerkingsverantwoordelijke zelf, zoals in casu wordt
aangevoerd.36
103. De Geschillenkamer herinnert eraan dat het recht op inzage een fundamenteel recht is,
verankerd in artikel 8, lid 2 van het Handvest van de Grondrechten van de EU. Dit heeft tot
gevolg dat het slechts beperkt mag worden in overeenstemming met artikel 52, lid 1 van
het Handvest, dat vereist dat elke beperking op een EU-grondrecht “evenredig” is. Artikel
15.4 van de AVG moet dan ook worden geïnterpreteerd in het licht van het Handvest,
hetgeen impliceert dat tegenstrijdige rechten per geval zorgvuldig moeten worden
afgewogen ten opzichte van het inzagerecht van de betrokkene.37
Zoals nader toegelicht in overweging 63 van de AVG, mag deze afweging er niet toe leiden
dat aan de betrokkene alle informatie wordt onthouden. De verwerkingsverantwoordelijke
is er daarom toe gehouden om, waar mogelijk, de gevraagde persoonsgegevens alsnog te
verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen.
In de onderhavige zaak betekent dit dat Y1 ertoe gehouden is om de persoonsgegevens
van de klager aan deze te verstrekken. De Geschillenkamer wijst Y1 er derhalve op dat zij
aan haar verplichting onder artikel 15.3 AVG kan voldoen door, bijvoorbeeld: (i) gedeeltelijke
toegang te verlenen tot de bestanden, waardoor de klager enkel toegang kan verschaffen
tot zijn eigen persoonsgegevens, (ii) anonimisering of blokkering van gegevens toe te
passen om gevoelige bedrijfsinformatie te beschermen, of (iii) een contextuele
samenvatting te verlenen van de verwerkte persoonsgegevens van de klager. Dergelijke
maatregelen zijn inderdaad passend wanneer volledige inzage afbreuk zou doen aan de
rechten van verdediging van Y1, dan wel haar zakengeheimen zou blootgeven.
104. De Geschillenkamer stelt echter vast dat Y1 op geen enkele wijze aantoont dat zij een
afweging heeft gemaakt tussen haar eigen rechten en het recht op inzage van de klager,
dan wel heeft getracht de klager een kopie van zijn persoonsgegevens te verstrekken op
36
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 maart 2023, randnr. 171
37
Ibid., randnr. 173
Beslissing ten gronde 200/2025 - 28/33
een wijze die geen afbreuk doet aan haar eigen rechten en vrijheden. Voorts oordeelt de
Geschillenkamer, meer in het algemeen, dat een kopie van de persoonsgegevens “waarvan
[zij] redelijkerwijze mag aannemen dat zij het voorwerp vormen van het verzoek tot inzage”,
onvoldoende is in het licht van artikel 15.3 AVG. Zoals bevestigd door het Hof van Justitie
van de Europese Unie, houdt het recht om van de verwerkingsverantwoordelijke een kopie
te verkrijgen immers in dat de betrokkene een getrouwe en begrijpelijke reproductie moet
krijgen van alle persoonsgegevens die zij verwerkt.38 Dit impliceert derhalve dat de
verwerkingsverantwoordelijke de reikwijdte van de kopie niet op eigen initiatief kan
beperken, alsook dat het niet kan volstaan dat louter een kopie wordt verstrekt van de
persoonsgegevens waarvan zij aanneemt dat zij het voorwerp uitmaken van het verzoek.
105. Om de redenen hierboven opgesomd, concludeert de Geschillenkamer dat Y1 een
inbreuk pleegde op artikel 15.3 AVG.
106. De klager stelt ook dat Y2 (de tweede verweerder) zijn verzoek tot inzage ontoereikend
heeft beantwoord. Nu de Geschillenkamer reeds heeft vastgesteld dat Y2 laattijdig heeft
gereageerd39, zal zij zich in het vervolg van haar beoordeling uitsluitend buigen over de
vraag of Y2 heeft voldaan aan haar materiële verplichtingen krachtens artikel 15, lid 1 en 3,
AVG – ongeacht of deze naleving binnen of buiten de termijn van één maand heeft
plaatsgevonden.
a) In feite
107. De klager oefent op 8 juli 2020 zijn recht van inzage uit ten aanzien van Y2, waarin hij
informatie vraagt omtrent de verwerking van zijn persoonsgegevens overeenkomstig
artikel 15.1 AVG, meer bepaald de informatie opgenomen in onderdelen a) tot en met g) van
dat artikel. Op 10 september 2020 stuurt Y2 een e-mail naar de klager, waarin zij een
antwoord formuleert op alle voornoemde onderdelen van artikel 15.1 AVG.
108. De klager voert aan dat Y2 een inbreuk pleegde op artikel 15.1 g) AVG, alsook op artikel 14.1
a) en b) AVG, gezien zij weigert de identiteit van de persoon binnen Y1 mede te delen die zij
heeft gecontacteerd om zijn persoonsgegevens te verkrijgen in het kader van de
sollicitatieprocedure. De klager voert aan dat een loutere verwijzing naar Y1 als firma in zijn
geheel, onvoldoende is in het licht van deze bepalingen.
38
HvJEU, 4 mei 2023, C-487/21, F.F. t. Österreichische Datenschutzbehörde, ECLI:EU:C:2023:369, randnr. 45
39
Zie punten 77 t.e.m. 81 van deze beslissing
Beslissing ten gronde 200/2025 - 29/33
b) Standpunt van Y2 (de tweede verweerder)
109. Y2 ontkent een inbreuk gepleegd te hebben op voormelde artikelen. Zij stelt immers dat zij
reeds in haar mail van 2 juli 2020, waarin de klager werd geïnformeerd dat hij niet
weerhouden werd voor de verdere selectieprocedure, heeft aangegeven dat de manager
van Y1 werd gecontacteerd. Bovendien heeft zij ook in haar antwoord op het inzageverzoek
aan de klager meegegeven dat zijn persoonsgegevens werden vergaard bij Y1.
110. Y2 voert aan dat zij conform artikel 14.1 a) en b) heeft gehandeld, alsook dat artikel 15.1 g)
nergens bepaalt dat in casu de manager van Y1 met naam en voornaam zou moeten worden
genoemd.
c) Oordeel van de Geschillenkamer
111. De Geschillenkamer brengt in herinnering dat, overeenkomst artikel 15.1 g) AVG, de
betrokkene het recht heeft alle beschikbare informatie te verkrijgen over de bron van zijn
persoonsgegevens indien deze niet bij de betrokkene zelf werden verzameld.
112. De Geschillenkamer benadrukt dat het gebruik van de bewoording “alle beschikbare
informatie” duidt op een hoge mate van specificiteit ten aanzien van de bronnen waaruit de
verwerkingsverantwoordelijke de gegevens heeft verkregen. Zo is het niet alleen
belangrijk dat de verwerkingsverantwoordelijke informatie verstrekt omtrent de identiteit
van de bron, maar ook welke persoonsgegevens uit welke bron zijn verkregen. De
verwerkingsverantwoordelijke is er tevens toe gehouden de betrokkene te informeren
omtrent de vorm waarin de gegevens werden verkregen.40
113. Echter, vergelijkbaar met de informatie over de (categorieën) van ontvangers die op grond
van artikel 15.1 c) AVG aan de betrokkene moet worden verstrekt, is het doel van de
informatieplicht onder 15.1 g) AVG om de betrokkene in staat te stellen zijn rechten onder
de AVG effectief uit te oefenen, zowel jegens de verwerkingsverantwoordelijke zelf, als
rechtstreeks bij de persoon of entiteit die de persoonsgegevens heeft verstrekt (i.e. “de
gegevensbron”).
Toegepast op onderhavige zaak, concludeert de Geschillenkamer dat Y2 niet verplicht was
om de naam en voornaam van de referentiepersoon binnen Y1 mede te delen aan de klager.
In dit geval volstond het dat Y2 aan de klager meedeelde dat diens persoonsgegevens
werden verkregen via Y1 “als onderneming”, gelet op het feit dat deze informatie voldoende
was om de klager in staat te stellen zijn rechten bij Y1 uit te oefenen, hetgeen hij in casu dan
ook heeft gedaan.
40
EDPB, Guidelines 01/2022 on data subject rights – Right of access – version 2.1, 28 maart 2023, randnr. 120
Beslissing ten gronde 200/2025 - 30/33
114. Gelet op bovenstaand, besluit de Geschillenkamer dat Y2 geen inbreuk pleegde op
artikel 15.1 g) AVG, noch een inbreuk pleegde op artikel 14.1 a) en b) AVG.
II.4. Wat betreft de vermeende schending van andere rechten uit hoofde van de AVG door
beide verweerders
115. In beide klachten voert de klager aan dat, naast zijn recht op inzage, respectievelijke
verweerders tevens zijn andere rechten uit hoofde van de AVG hebben miskend. Meer
bepaald voert de klager aan dat beide verweerders zijn recht op rectificatie (artikel 16 AVG),
op gegevenswissing (artikel 17 AVG), op beperking (artikel 18 AVG) en op bezwaar (artikel
21 AVG) hebben geschonden.
116. De Geschillenkamer stelt echter vast dat de klager noch ten aanzien van Y1, noch ten
aanzien van Y2, zijn rechten krachtens voornoemde artikelen heeft uitgeoefend. Hoewel de
Geschillenkamer herhaalt dat de uitoefening van het recht op inzage functioneert als een
essentiële voorwaarde voor de effectieve uitoefening van de andere rechten die de AVG
aan betrokkenen toekent, oordeelt zij dat een miskenning van het recht op inzage niet
automatisch leidt tot een schending van andere rechten onder de AVG.
117. Gelet op bovenstaande, oordeelt de Geschillenkamer dat niet werd aangetoond dat
de verweerders in casu de rechten van de klager zoals opgenomen in de artikelen
17, 18, 19 en 21 AVG hebben miskend.
II.5. Wat betreft de vermeende schending van de basisbeginselen inzake de verwerking
van persoonsgegevens door Y1 (de eerste verweerder)
118. Aangezien reeds is vastgesteld dat Y1 (de eerste verweerder) heeft gehandeld in strijd met
artikel 6.1 AVG, acht de Geschillenkamer het niet langer opportuun om nader te
onderzoeken of zij tevens een inbreuk pleegde op de basisbeginselen inzake
gegevensverwerking conform artikel 5.1 AVG. De Geschillenkamer besluit dit onderdeel
van de klacht te seponeren.
III. Sancties
119. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
Beslissing ten gronde 200/2025 - 31/33
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8. te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die
het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
120. De Geschillenkamer wenst eraan te herinneren dat het haar soevereine
verantwoordelijkheid is als onafhankelijke administratieve autoriteit om, met inachtneming
van de relevante artikelen van de AVG en de WOG, de passende corrigerende
maatregel(en) en sanctie(s) te bepalen.
121. De Geschillenkamer oordeelde dat Y1 (de eerste verweerder) inbreuken heeft gepleegd op
de artikelen 6, lid 1 AVG, 12, lid 2 t.e.m. 4 AVG, 15, lid 1 en lid 3 AVG. De Geschillenkamer
wijst erop dat er geruime tijd is verstreken tussen het neerleggen van de laatste conclusie
in dit dossier en het nemen van de voorliggende beslissing. De Geschillenkamer neemt dit
verstrijken van tijd in rekening bij het bepalen van de gepaste maatregel in dit dossier.
Desalniettemin is het nog steeds – minstens om herhalingen van inbreuken in de toekomst
te vermijden – gepast de historische inbreuken vast te stellen en de verweerder te wijzen
op haar verantwoordelijkheid ter zake. Op deze verantwoordelijkheid is te dezen
voldoende gewezen door het aanwenden van de berisping als sanctie.
122. De Geschillenkamer oordeelde dat de Y2 (de tweede verweerder) een inbreuk heeft
gepleegd op artikel 12, lid 3 AVG. De Geschillenkamer merkt echter op dat die inbreuk
onopzettelijk gebeurde en het gevolg was van een éénmalige menselijke fout. Daarom
beslist de Geschillenkamer dat het volstaat om een berisping te formuleren voor
bovenvermelde inbreuk.
Beslissing ten gronde 200/2025 - 33/33
overeenkomstig artikel 1034quinquies van het Ger.W.42, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
42
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.