1/7
Geschillenkamer
Beslissing ten gronde 27/2023 van 13 maart 2023
Dossiernummer : DOS-2020-01123
Betreft: het ontbreken van een afdoend antwoord op de uitoefening van het recht van
inzage
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Yves Poullet en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna "AVG";
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna "WOG";
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna "de klager";
De verweerder: Y, hierna "de verweerder".
Beslissing ten gronde 27/2023 – 2/7
I. Feiten en procedure
1. Op 3 maart 2020 dient de klager bij de Gegevensbeschermingsautoriteit een klacht in tegen
de verweerder.
Het voorwerp van de klacht is het ontbreken van een afdoend antwoord op de uitoefening
van het recht van inzage van de klager, buiten de verlengde termijn van twee maanden. Op
2 december 2019 oefent de klager bij de verweerder, zijn voormalige huisbaas, zijn recht
van inzage uit. De verweerder brengt hem op 31 december 2019 op de hoogte van de
verlenging van de antwoordtermijn met twee maanden. De verweerder reageert pas later,
op 2 september 2020, op het verzoek van de klager.
2. Op 9 maart 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, § 1, van
de WOG overgemaakt aan de Geschillenkamer.
3. Op 18 september 2020 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel
98 van de WOG dat het dossier gereed is voor behandeling ten gronde.
4. Op 18 augustus 2020 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG.
Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen
om hun conclusies in te dienen.
Voor de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste
datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 29
september 2020, deze voor de conclusie van repliek van de klager op 20 oktober 2020 en
ten slotte deze voor de conclusie van repliek van de verweerder op 10 november 2020.
5. Op 19 augustus 2020 stemt de klager ermee in alle communicatie omtrent de zaak
elektronisch te ontvangen.
6. Op 26 augustus 2020 stemt de verweerder ermee in alle communicatie omtrent de zaak
elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de
mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG.
7. Op 29 september 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de
verweerder over de vaststellingen met betrekking tot het voorwerp van de klacht. De
verweerder ontkent het ontbreken van een antwoord op de uitoefening van het recht van
inzage van de klager niet. De verweerder zou advocaten hebben geraadpleegd om de klager
een afdoend antwoord te geven. Het antwoord zou nooit zijn verstuurd wegens de
afwezigheid van een van zijn werknemers. Het verzoek van de klager werd vervolgens
vergeten, maar op 2 september 2020 werd uiteindelijk een antwoord gegeven.
Beslissing ten gronde 27/2023 – 3/7
8. Op 9 oktober 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De
klager wijst erop dat het antwoord te laat is gekomen. Bovendien heeft de verweerder
geweigerd op een aantal van zijn vragen te antwoorden.
9. Op 10 november 2020 ontvangt de Geschillenkamer de conclusie van repliek van de
verweerder over de vaststellingen met betrekking tot het voorwerp van de klacht. De
verweerder herhaalt dat het achterwege laten van zijn antwoord niet met opzet was. De
verweerder weigerde in feite op sommige vragen van de klager te antwoorden, omdat hij
niet wettelijk verplicht zou zijn geweest deze te beantwoorden op grond van artikel 15 van
de AVG.
10. Op 8 februari 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 24 februari 2023.
11. Op 24 februari 2023 worden de partijen gehoord door de Geschillenkamer.
12. Op 2 maart 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
De Geschillenkamer heeft van de verweerder geen enkele opmerking ontvangen met
betrekking tot het proces-verbaal, die zij beslist mee op te nemen in haar beraad.
II. Motivering
II.1. Wat betreft de schending van het recht van inzage (artikel 15, lid 1, en artikel 12, leden
3 en 4, van de AVG)
II.1.1. Inhoud en reikwijdte van het recht van inzage
13. Als verwerkingsverantwoordelijke is de verweerder verplicht de
gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze
worden nageleefd. Bovendien moet hij daarvoor alle nodige maatregelen treffen
(verantwoordingsplicht - artikel 5, lid 2, en artikel 24 van de AVG).
14. Het recht van inzage bestaat uit drie componenten. Ten eerste, krachtens artikel 15, lid 1, van
de AVG, heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel
te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Ten
tweede, wanneer er sprake is van een verwerking van persoonsgegevens, heeft de
betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van de
informatie die in artikel 15, lid 1, punten a) - h), wordt vermeld, zoals het doeleinde van de
verwerking van zijn gegevens, de eventuele ontvangers van zijn gegevens, en informatie
over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn
gegevens te vragen, of om een klacht bij de GBA in te dienen. Ten derde, krachtens artikel
15, lid 3, van de AVG heeft de betrokkene bovendien het recht om een kopie te verkrijgen
van de persoonsgegevens die het voorwerp van de verwerking uitmaken. Artikel 15, lid 4,
Beslissing ten gronde 27/2023 – 4/7
van de AVG bepaalt dat dit recht om een kopie te verkrijgen geen afbreuk aan de rechten en
vrijheden van anderen mag doen.
15. De Geschillenkamer onderstreept het belang van de eerbiediging van het recht van inzage
van de betrokkenen. Dit recht maakt het voor de betrokkenen mogelijk om de
rechtmatigheid van elke verwerkingsactiviteit te controleren en, zo nodig, de verwerkte
persoonsgegevens te laten rectificeren of wissen.
II.1.2. Modaliteiten van het recht van inzage
16. Artikel 12 van de AVG over de wijze waarop de betrokkenen hun rechten kunnen uitoefenen,
bepaalt dat de verwerkingsverantwoordelijke de uitoefening van de rechten door de
betrokkene (artikel 12, lid 2, van de AVG) moet faciliteren, en hem onverwijld en in ieder geval
binnen een maand na ontvangst van het verzoek informatie moet verstrekken over de
maatregelen die naar aanleiding van zijn verzoek zijn genomen (artikel 12, lid 3, van de AVG).
Voor meer complexe verzoeken of wanneer de verwerkingsverantwoordelijke een groot
aantal verzoeken ontvangt, kan de initiële termijn met nog eens twee maanden worden
verlengd (artikel 12, lid 3, van de AVG). Wanneer de verwerkingsverantwoordelijke niet van
plan is gevolg te geven aan het verzoek, moet hij zijn weigering binnen een maand meedelen,
en de betrokkene informeren over de mogelijkheid om beroep in te stellen tegen die
weigering bij de toezichthoudende autoriteit voor gegevensbescherming (artikel 12, lid 4,
van de AVG).
II.1.3. Wat betreft het late antwoord van de verweerder op de uitoefening van het
recht van inzage van de klager
17. Uit de stukken van het dossier blijkt dat de klager op 2 december 2019 zijn recht van inzage
bij de verweerder heeft uitgeoefend. Op 31 december 2019 heeft de verweerder de klager
in kennis gesteld van de verlenging van zijn antwoordtermijn met twee maanden. De
verweerder heeft echt niet geantwoord binnen die termijn van twee maanden: de klager
heeft pas in september 2020 een antwoord ontvangen. De Geschillenkamer stelt eveneens
vast dat de verweerder pas gevolg aan het verzoek van de klager heeft gegeven kort nadat
hij een brief van de Geschillenkamer had ontvangen waarin de partijen in kennis werden
gesteld van een procedure ten gronde. De verweerder betwist niet dat hij geen afdoend
antwoord heeft gegeven.
18. Als reden voor de vertraging verklaart de verweerder dat hij voornemens was op het verzoek
van de klager te antwoorden, maar aangezien de met het dossier van de klager belaste
werknemer destijds wegens ziekte langdurig afwezig was, werd geen antwoord naar de
klager gestuurd. Daarna werd het verzoek van de klager vergeten. Deze toevallige
omstandigheid kan een verwerkingsverantwoordelijke echter niet ontheffen van zijn
Beslissing ten gronde 27/2023 – 5/7
verplichtingen jegens de betrokkenen. Er is dus sprake van een schending door de
verweerder van artikel 15, lid 1, en artikel 12, leden 3 en 4, van de AVG.
19. De Geschillenkamer stelt echter op grond van de door de verweerder verstrekte
bewijsstukken vast dat de verweerder met de hulp van advocaten wel degelijk begonnen
was met het opstellen van een antwoord aan de klager. De verweerder verklaart ook
organisatorische maatregelen te hebben getroffen om de toegang tot de
persoonsgegevens van zijn klanten te waarborgen. Tijdens de hoorzitting legde de
verweerder uit een mailbox te hebben gecreëerd waarnaar verzoeken om toegang van
andere betrokkenen worden gestuurd. Deze mailbox is toegankelijk voor verschillende
werknemers van de verweerder om te vermijden dat een dergelijk verzoek onbeantwoord
blijft. De Geschillenkamer zal met deze elementen rekening houden bij de vaststelling van
een sanctie.
II.1.4. Wat betreft het onvolledige antwoord van de verweerder ten aanzien van het
recht van inzage van de klager
20. In zijn conclusie stelt de klager aan de orde dat de verweerder weigerde een aantal van zijn
vragen te beantwoorden. Deze vragen betroffen het bestaan van mogelijke lekken van de
gegevens van de klager wegens gebrekkige beveiliging, de door de verweerder
aangenomen informatiebeveiligingsprotocollen en de beveiligings- en organisatorische
maatregelen met betrekking tot de verwerking van persoonsgegevens door de werknemers
of medecontractanten van de verweerder (respectievelijk de vragen 7, 8 en 9 van de klager).
De verweerder weigerde deze vragen te beantwoorden omdat de gevraagde informatie niet
binnen het toepassingsgebied van artikel 15, lid 1, van de AVG zou vallen.
21. Wat betreft de weigering om op de vragen 8 en 9 te antwoorden, is een
verwerkingsverantwoordelijke niet verplicht de informatie over beveiligingsprotocollen en
organisatorische maatregelen mee te delen, aangezien deze inlichtingen niet zijn
opgenomen in artikel 15, lid 1, punten a) t.e.m. h), of in artikel 13, leden 1 en 2. De verweerder
was derhalve niet verplicht op vragen betreffende deze informatie te antwoorden.
22. Wat vraag 7 betreft, wordt een gegevenslek in de AVG omschreven als een inbreuk in
verband met de beveiliging van gegevens. 1 Krachtens artikel 34, lid 1, van de AVG, is een
verwerkingsverantwoordelijke enkel verplicht de betrokkene in te lichten wanneer "de
inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de
rechten en vrijheden van natuurlijke personen". Uit geen enkel bewijsstuk in het dossier blijkt
dat een dergelijke inbreuk in verband met de gegevens van de klager heeft plaatsgevonden.
De verweerder hoefde dus niet op vraag 7 te antwoorden.
1
Artikel 4, lid 12, van de AVG: "een inbreuk op de beveiliging die per ongeluk of
op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de
ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”.
Beslissing ten gronde 27/2023 – 6/7
23. De Geschillenkamer volgt de redenering van de verweerder dan ook dat hij niet verplicht was
op de vragen 7, 8 en 9, van de klager te antwoorden. Het antwoord van de verweerder was
derhalve laat maar volledig.
24. De Geschillenkamer merkt bovendien op dat, ondanks het feit dat de verweerder niet
verplicht was de vragen 7, 8 en 9, te beantwoorden, hij de klager toch een antwoord op deze
vragen heeft gegeven tijdens de hoorzitting van 24 februari 2023.
III. Sanctie
25. De Geschillenkamer stelt vast dat er sprake is van een inbreuk op artikel 15, lid 1, en artikel
12, leden 3 en 4, van de AVG. Hoewel de verweerder gevolg heeft gegeven aan de
uitoefening van het recht van inzage van de klager, is gebleken dat inbreuken op de AVG
hebben plaatsgevonden. Zoals reeds vermeld is de eerbiediging van het recht van inzage
van de betrokkenen van fundamenteel belang voor de gegevensbescherming.
26. De Geschillenkamer is van oordeel dat er voldoende elementen zijn om een berisping te
formuleren, hetgeen een lichte sanctie uitmaakt en volstaat in het licht van de in dit dossier
vastgestelde inbreuken op de AVG. Voor het bepalen van de sanctie houdt de
Geschillenkamer rekening met het feit dat de verweerder de situatie heeft rechtgezet, en
met de inspanningen van de verweerder om in de toekomst het recht van inzage van de
betrokkenen te waarborgen.
IV. Publicatie van de beslissing
27. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van, artikel 100, § 1, 5°, van de WOG een berisping te formuleren ten aanzien
van de verweerder voor wat betreft de inbreuk op artikel 15, lid 1, en artikel 12, leden 3
en 4 van de AVG.
Beslissing ten gronde 27/2023 – 7/7
Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend
bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de
kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat
de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 2. Het
interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend
overeenkomstig artikel 1034 quinquies van het Ger.W., of via het informatiesysteem e-Deposit van
het Ministerie van Justitie (artikel 32 ter van het Ger.W.).
(get.) Hielke HIJMANS
Voorzitter van de Geschillenkamer
2
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister-
of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.