1/17
Geschillenkamer
Beslissing ten gronde 33/2020 van 19 juni 2020
Dossiernummer : DOS-2019-05200
Betreft : Klacht wegens het onrechtmatig en onjuist verwerken van persoonsgegevens en
inbreuken bij het uitoefenen van de rechten van de betrokkene
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Jelle Stassijns en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Beslissing ten gronde 33/2020 - 2/17
heeft de volgende beslissing genomen inzake:
- Dhr. X, hierna “de klager”, en
- Y, hierna “de verweerster”.
1. Feiten en procedure
Feiten
2. Op 19 augustus 2019 richt de klager zich in een e-mailbericht tot de functionaris voor
gegevensbescherming van de verweerster. Hij schrijft het volgende:
“Beste,
Zelf ben ik geen klant bij [verweerster], toch heb ik vandaag een e-mail ontvangen
van jullie over een workshop die jullie aanbieden. Daarom vraag ik me het volgende
af.
- Waar hebben jullie mijn mailadres vandaan en van welke partij hebben jullie
deze verkregen?
- Op basis van welke rechtsgrond verzenden jullie deze mail naar mij?
- Welke informatie heeft u nog van mij?
Mvg,
[de klager]”
3. Op 26 augustus 2019 antwoordt de (…) de verweerster het volgende:
“Geachte [klager],
Om gevolg te kunnen geven aan uw aanvraag, vragen wij u ons uw adres en
geboortedatum door te geven. We hebben namelijk vastgesteld dat er meerdere
personen met dezelfde naam voorkomen in onze databank.
Bijkomend vragen wij u ook om de e-mail waarvan sprake is in uw bericht, door te
sturen zodat we een idee hebben over welke mail het gaat.
Dank bij voorbaat […]”
4. Hierop verstrekt de klager per e-mail op dezelfde datum aan de verweerster zijn huidig en
voormalig postadres en geboortedatum. De klager vermeldt hierbij wel dat hij de vraag van
verweerster om deze gegevens te verstrekken in strijd met de regels onder de AVG vindt.
5. Diezelfde dag, op 26 augustus 2019, antwoordt (…) de verweerster het volgende:
“Beste,
Om er zeker van te zijn dat de juiste informatie aan de juiste betrokken persoon
[doorgegeven] wordt, is het toegelaten om bijkomende parameters op te vragen.
Deze bijkomende elementen worden uitsluitend opgevraagd om de betrokken vraag
te kunnen behandelen, maar worden niet bewaard in een intern systeem.
Helaas kan op basis van deze informatie geen link gemaakt worden met een persoon
in onze databank.
Als laatste kan het e-mailbericht zelf geverifieerd worden, om te kijken of het wel
degelijk gaat om een mail van [verweerster] en niet om een phishingbericht. Zou u
daarom ons de betrokken mail kunnen forwarden?
Beslissing ten gronde 33/2020 - 3/17
Dank bij voorbaat […]”
6. Op dezelfde dag, 26 augustus 2019, stuurt de klager het e-mailbericht dat aanleiding gaf tot
deze klacht door aan de verweerster, zoals die laatste gevraagd had. Dit doorgestuurd e-
mailbericht draagt als titel “W” en werd op 19 augustus door de verweerster verzonden aan
de klager.
Het bericht bevat niet-gepersonaliseerde inhoud voor commerciële doeleinden, met
zelfstandige ondernemingen als doelpubliek.
7. Op 12 september 2019 ontvangt de klager een nieuw commercieel e-mailbericht van de
verweerster met als titel “W”
8. Op 13 september 2019 richt de klager opnieuw een e-mail tot de verweerster. De klager
stuurt hierbij het e-mailbericht met direct marketing inhoud van de verweerster aan de
klager van 12 september 2019 door. Aanvullend schrijft de klager het volgende:
“Beste,
Op 19 augustus verstuurde ik reeds een mail i.v.m. de reclame die ik ontvang van
jullie, tot op heden heb ik nog steeds geen duidelijk antwoord hierover mogen
ontvangen.
Kort samengevat zit ik met volgende vragen:
W elke grondslag volgens de [AVG] gebruiken jullie om m ij deze m ails te
sturen?
Direct marketing (wat deze mails zijn) is toegelaten volgens de [AVG] met de
grondslag gerechtvaardigd belang. (advies van de gegevensbeschermingsautoriteit)
Er dient [bij] gerechtvaardigd belang steeds een belangenafweging te gebeuren. Het
lijkt me alsof dit niet [gebeurd] is, ik ben namelijk geen kmo of zelfstandige waardoor
ik er geen belang bij zou kunnen hebben om deze mails te ontvangen.
Een andere piste zou gedocumenteerde toestemming kunnen zijn. Ook deze piste lijkt
mij zeer straf, ik kom niet in jullie systeem voor (ontvang wel mails van jullie).
Hierdoor hebben jullie half bevestigd dat ik nooit toestemming gegeven heb voor het
versturen van deze mails aan jullie.
W aar hebben jullie m ijn gegevens vandaan?
Onder de GDPR-wetgeving is het niet zo evident om persoonsgegevens (mijn mail
adres) op te kopen en te gebruiken. Ik zou daarom graag op de hoogte gesteld
worden hoe jullie mijn persoonsgegevens hebben verworven, hoe deze beveiligd
worden etc.
W elke gegevens hebben jullie van m ij?
In het kader van mijn recht op informatie wens ik te weten welke gegevens jullie nog
van mij hebben. Hiernaast wens ik ook een kopie van mijn gegevens te ontvangen.
Ik hoop na ontvangen van deze mail een duidelijk en transparant antwoord te
ontvangen van jullie […]”
9. Op 20 september 2019 verstuurt de klager nogmaals een e-mailbericht aan de functionaris
voor gegevensbescherming van de verweerster:
“Beste,
Beslissing ten gronde 33/2020 - 4/17
Iets meer dan 30 dagen geleden vroeg ik meer informatie via mail inzake de
verwerking van mijn persoonsgegevens. Spijtig genoeg heb ik tot op heden nog geen
antwoord mogen ontvangen op mijn vraag.
Nu meen ik uit mijn hoofd te herinneren dat de verwerkingsverantwoordelijke 30
dagen de tijd heeft om in te gaan op een verzoek, er is mogelijkheid tot een verlenging
van 30 dagen indien de betrokkene wordt ingelicht en er een goede reden is. Dit is
momenteel niet het geval.
Indien er binnen redelijke termijn geen antwoord gegeven [wordt,] overweeg ik
verdere stappen te ondernemen […]”
10. Op 10 oktober 2019 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit.
Zijn klacht vermeldt de hiervoor omschreven feiten en vermeldt voorts: “Vervolgens stopt de
volledige communicatie van de kant van [verweerster]. Ondertussen zijn we bijna 2
maanden verder waarvan meer dan een maand zonder communicatie.”
11. Bij deze klacht voegt de klager een aantal bewijsstukken bij die de communicatie weergeven
tussen de klager en de verweerster.
Procedure
12. Op 29 oktober 2019 verklaart de Eerstelijnsdienst van de Gegevensbeschermingsautoriteit
de klacht ontvankelijk en maakt deze over aan de Geschillenkamer.
13. Op 7 november 2019 richt de Geschillenkamer een verzoek aan de klager omtrent het
overmaken van bijkomende bewijsstukken die hij vermeldt in zijn klacht. De klager maakt
deze bijkomende bewijsstukken over op 22 november 2019.
14. Op 28 november 2019 worden de klager en de verweerster op de hoogte gebracht dat een
dossier aanhangig is waarvan de Geschillenkamer heeft beslist dat het gereed is voor
behandeling ten gronde overeenkomstig artikel 98 j° 95, §2 WOG. De klager en de
verweerster worden uitgenodigd hun argumenten en verweermiddelen in te dienen binnen
de door de Geschillenkamer vastgestelde termijnen.
15. Op 6 januari 2020 legt de verweerster haar conclusie neer.
16. De verweerster haalt vooreerst aan dat de e-mailberichten inderdaad niet bedoeld waren
voor de klager, doch voor een andere persoon met dezelfde voornaam en naam. De persoon
wordt door de verweerster benoemd als “de Beoogde Ontvanger”.
17. De verweerster vervolgt dat zij de bijkomende persoonsgegevens, met name het postadres
en de geboortedatum van de klager, bij de klager per e-mail op 26 augustus 2019 opvroeg
ter identificatie, “gelet op het bestaan van homoniemen, en teneinde het e-mailbericht
waarvan sprake te kunnen identificeren.”
18. Over de communicatie op 26 augustus 2019 schrijft de verweerster het volgende:
“Na verificatie, bleek dat de Klager niet in de databank van [verweerster] verscheen en
dus voor [verweerster] onbekend was. Dit werd per e-mail op 26 augustus 2019 aan de
Klager bevestigd.
Beslissing ten gronde 33/2020 - 5/17
Als gevolg, begon [verweerster] een onderzoek betreffende het e-mailbericht zelf.
Op 13 september, stuurde de Klager een nieuwe lijst vragen […] en [verweerster] paste
de omvang van haar onderzoek aan om aan deze vragen ook een antwoord te kunnen
geven.”
19. De verweerster stelt in haar conclusie dat zij de “analyse” van de situatie ondertussen heeft
kunnen afronden. Zij geeft de vaststellingen van deze analyse weer als volgt.
“i) het e-mailbericht dat de Klager ontving, is de V E-mail die voor de Beoogde Ontvanger
bedoeld was;
ii) In de fiche van de Beoogde Ontvanger stond een e-mailadres […] dat op basis van de
e-mailuitwisselingen met de Klager het emailadres van de Klager blijkt te zijn (en niet van
de Beoogde Ontvanger);
iii) Er stond een menselijke fout aan de oorsprong van deze vergissing;
iv) Deze vergissing werd nog niet ontdekt op het moment van het versturen van de V E-
mail.
Teneinde te vermijden dat het e-mailadres van de Klager in de toekomst gebruikt zou
worden, heeft [verweerster] de fiche van de Beoogde Ontvanger aangepast.”
20. De verweerster stelt dat zij artikel 12 en 14 AVG in haar communicatie met de klager
gerespecteerd heeft, gezien zij binnen één week de identiteit van de klager controleerde en
aan de klager bevestigde dat hij niet in de databank van de verweerster stond. Over het
uitblijven van antwoorden op de andere vragen van de klager, en de informatie en
communicatie omtrent verdere acties, draagt de verweerster het volgende verweer aan:
“Het bijkomende onderzoek naar de oorsprong van de aanwezigheid van het e-mailadres
van de Klager in de fiche van de Beoogde Ontvanger, bleek een complexere analyse. Als
gevolg, was het onderzoek niet afgerond op het moment van indienen van de klacht door
de Klager. Echter meent [verweerster] nu de nodige informatie te hebben verleend en de
gepaste maatregelen te hebben genomen om te vermijden dat dit e-mailadres opnieuw
per vergissing wordt verwerkt.”
21. De verweerster vraagt om de buitenvervolgingstelling, gezien “de verwerking van het e-
mailadres van de Klager het gevolg was van een manuele vergissing” en de verwerking van
persoonsgegevens “louter accidenteel” was. De verweerster benadrukt daarnaast dat zij het
e-mailadres uit haar systemen heeft gehaald “na een onderzoek”. De verweerster specifieert
niet op welk moment zij deze actie ondernam. In ondergeschikte orde vraagt de verweerster
de opschorting van de uitspraak. Volgens haar zouden andere maatregelen of sancties
“disproportioneel” zijn.
22. Wanneer de Geschillenkamer zou besluiten over te gaan tot de publicatie van haar
beslissing, vraagt de verweerster dat de beslissing wordt geanonimiseerd.
23. De klager dient geen conclusie van repliek in.
24. Op 4 februari 2020 bevestigt de verweerster de inhoud van haar eerste conclusie.
Beslissing ten gronde 33/2020 - 6/17
25. Teneinde de verweerster de gelegenheid te geven zich te verdedigen omtrent het door de
Geschillenkamer voorgestelde bedrag van de administratieve geldboete, besloot de
Geschillenkamer desbetreffende inbreuken in zijn standaard “formulier tegen de
voorgenomen boete” op te sommen. Dit ‘boeteformulier’ werd per e-mail aan de verweerster
overgemaakt op 12 mei 2020, met de melding dat de verweerder kon reageren inzake de
bijzondere omstandigheden van het geval, de voorgenomen hoogte van de geldboete en de
voorgelegde jaarcijfers. 1
26. De verweerster antwoordt op het boeteformulier per e-mail van 29 mei 2020, met haar
argumenten betreffende de hoogte van de boete […]. De verweerster wijst er daarnaast op
dat het van belang is dat de beslissing bij eventuele publicatie volledig geanonimiseerd
wordt en dat elementen die tot identificatie van de verweerster kunnen leiden, worden
weggelaten. De verweerster stelt dat de identificatie van de verweerster in de pers tot
reputatieschade zou kunnen leiden.
1
De uitnodiging tot beperkte conclusies werd per e-mail verstuurd in de context waar de Geschillenkamer in de onmogelijkheid
verkeerde om deze uitnodiging tot beperkte conclusies per aangetekende brief conform art. 95 WOG te versturen, en met de
melding dat de Geschillenkamer bereid was om langere conclusietermijnen toe te kennen, indien nodig voor de verweerder in
de context van de Corona-virus uitbraak. De verweerder heeft deze e-mail goed ontvangen en heeft hierop binnen de 3 weken
kunnen antwoorden.
Beslissing ten gronde 33/2020 - 7/17
3. Motivering
3.1. De beginselen inzake de verwerking van persoonsgegevens en de rechtmatigheid
van de verwerking (artikel 5 en 6 AVG)
27. Artikel 5, lid 1, punt a) AVG stelt onder meer dat persoonsgegevens moeten worden
verwerkt op een manier die rechtmatig, behoorlijk, transparant en juist is. Artikel 6 legt vast
op welke manier een verwerking op rechtmatige wijze geschiedt.
a) De rechtmatigheid van de verwerking en de verantwoordelijkheid van de
verwerkingsverantwoordelijke
28. Op 19 augustus ontvangt de klager een e-mailbericht om een workshop voor zelfstandigen
en kleine ondernemingen te promoten; het betreft een bericht dat kan worden beschouwd
als direct marketing. 2 De e-mail heeft als onderwerp “W”. Het e-mailbericht is geadresseerd
aan het individuele e-mailadres van de klager. Overeenkomstig artikel 4, punt 1) AVG is een
e-mailadres een persoonsgegeven. De klager vermeldt dat hij geen klant is bij de
verweerster.
29. De Geschillenkamer beschouwt de verwerking van het e-mailadres van de klager door de
verweerster als niet rechtmatig in de zin van artikel 6 AVG, en baseert zich met name op de
verklaringen van de verweerster zelf hieromtrent. Het betreft het gebruik van een foutief e-
mailadres, dat niet tot de persoon behoort die de verweerster wenst aan te schrijven. Geen
van de voorwaarden onder artikel 6, lid 1 AVG is vervuld. Volgens de verweerster is de
verwerking te wijten aan een menselijke fout. De eigen analyse van de verweerster
resulteert in de volgende technische verklaring:
“In de fiche van de Beoogde Ontvanger stond een e-mailadres […] dat op basis van
de e-mailuitwisselingen met de Klager het emailadres van de Klager blijkt te zijn (en
niet van de Beoogde Ontvanger)”
30. De Geschillenkamer begrijpt het argument van de verweerster dat dit een manuele
vergissing betreft en dat zij nooit tot doel had de persoonsgegevens te verwerken of de
klager te contacteren, temeer omdat de verweerster geen enkel belang had de klager te
contacteren met een boodschap die zich richt tot zelfstandige ondernemers. De klager
behoort niet tot het doelpubliek. Bovendien blijkt het in deze zaak om een losstaande
onrechtmatige verwerking te gaan, volgens de verweerster na een manuele vergissing door
het bestaan van een persoon met dezelfde naam en voornaam van wie de verweerster wel
op rechtmatige wijze de persoonsgegevens zegt te verwerken.
31. De Geschillenkamer wijst er echter op dat de “manuele vergissing” bij de oorsprong van het
probleem op generlei wijze de verantwoordelijkheid van de verwerkingsverantwoordelijke
teniet doet. 3 Dit is evenzeer het geval wanneer de verwerkingsverantwoordelijke reeds
2
Overeenkomstig de uiteenzetting in de Aanbeveling van de Gegevensbeschermingsautoriteit hieromtrent en meer bepaald de
definitie in Gegevensbeschermingsautoriteit Aanbeveling van 1 januari 2020 betreffende de verwerking van persoonsgegevens
voor direct marketingdoeleinden, nr. 1/2020, beschikbaar via:
https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/Aanbeveling_01_2020_direct_mark
eting.pdf, rn. 14.
3
Er kan overeenkomstig artikel 24 AVG worden gewezen op de passende technische en organisatorische maatregelen die de
verwerkingsverantwoordelijke dient te treffen om haar verwerkingen in overeenstemming te brengen met de bepalingen van
de AVG.
Beslissing ten gronde 33/2020 - 8/17
kennis heeft genomen van het feit dat een verwerking niet strookt met de wettelijke
bepalingen inzake persoonsgegevensbescherming en toch – na te hebben vastgesteld dat de
klager niet in haar systemen voorkomt – de verwerking voortzet, hetgeen het direct
marketing bericht van 12 september 2019 illustreert.
32. Daarbij stelt de Geschillenkamer vast dat zulke verwerkingen negatieve gevolgen hebben
voor de betrokken klager. Het louter ontvangen van een e-mailbericht, dat bovendien niet
voor de geadresseerde bedoeld is, kan als storend worden ervaren en, bijgevolg, als nadelig
worden beschouwd voor een betrokkene. 4
b) De juistheid van de verwerking van persoonsgegevens
33. Wanneer de verweerster op 26 augustus 2019 stelt dat er op basis van de aangeleverde
identificatoren 5 van de klager “geen link” kan worden gemaakt met enige persoon die
gekend is bij de verweerster, en de klager meer dan twee weken nadien opnieuw een
gelijkaardig bericht van de verweerster ontvangt, wijst dit erop dat de verweerster de
persoonsgegevens van de klager niet alleen (opnieuw) op onrechtmatige wijze verwerkt,
maar ook op een schending van het beginsel met betrekking tot de juistheid van de
persoonsgegevens overeenkomstig artikel 5, lid 1, punt c) AVG.
34. Reeds op 16 augustus 2019, de dag van de ontvangst van het eerste e-mailbericht van de
verweerster aan de klager, maakt de klager immers duidelijk dat de verwerking van het e-
mailadres mogelijk een onrechtmatige verwerking betreft. Dit blijkt duidelijk uit het bericht
en de vragen die de klager tot de verweerster richtte:
“Zelf ben ik geen klant bij [verweerster], toch heb ik vandaag een e-mail ontvangen
[…]
- Waar hebben jullie mijn e-mailadres vandaag en van welke partij hebben jullie deze
verkregen?
- Op basis van welke rechtsgrond verzenden jullie deze mail naar mij?
- Welke informatie heeft u nog van mij?”
35. Bijkomend kan worden gewezen op artikel 5, lid 1, punt d) AVG:
“Persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd; alle redelijke
maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de
doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te
rectificeren (“juistheid”)”
36. Dat de verweerster het gebruik van het onjuist persoonsgegeven verderzet met het e-
mailbericht op 12 september 2019, wijst erop dat zij de onjuiste link in haar systemen naar
het e-mailadres van de klager niet “onverwijld” heeft gerectificeerd of gewist. Het feit dat de
verweerster het gebruik van het e-mailadres voor de doeleinden van direct marketing niet
staakt, meer dan drie weken na het eerste verzoek van de klager en meer dan twee weken
na de eigen bevestiging aan de klager dat hij niet bij de verweerster gekend is, wijst op de
4
Zie overweging 75 AVG : “Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke
personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijke, materiële of immateriële
schade, met name: waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of – fraude, financiële verliezen,
reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde
ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel […]’”
5
Dit zijn: bepaalde gegevens die kunnen leiden tot de identificatie van een persoon, onderneming …
Beslissing ten gronde 33/2020 - 9/17
nalatigheid in het nemen van ‘redelijke maatregelen’ teneinde de juistheid van de
persoonsgegevensverwerking te verzekeren in de zin van artikel 5, lid 1, punt c) AVG.
3.2. Transparante informatie, communicatie en nadere regels voor de uitoefening van
de rechten van de betrokkene en de uitoefening van het recht van inzage door de
betrokkene in samenhang met de verantwoordelijkheid van de verweerster
(artikel 12 j° 15 AVG), samen gelezen met de verantwoordelijkheid van de
verwerkingsverantwoordelijke (artikel 24 AVG)
a) Artikel 12 AVG
37. De klager richt een verzoek voor de uitoefening van het recht van inzage (artikel 15 AVG)
tot de verweerster. Dit gebeurde al in de eerste e-mail van de klager op 19 augustus 2019.
De verweerster is volgens artikel 12, §3 AVG gehouden “de betrokkene onverwijld en in
ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot
en met 22 informatie [te verstrekken] over het gevolg dat aan het verzoek is gegeven.”
38. De klager krijgt in de e-mail van 26 augustus 2019 te horen van de verweerster dat hij “niet
in de databank” van de verweerster verschijnt. De verweerster vraagt vervolgens aan de
klager om het e-mailbericht zelf door te sturen, opdat zij kan onderzoeken of het wel
degelijk om een e-mailbericht van de verweerster ging, en niet om een phising-bericht. De
klager geeft gevolg aan dit verzoek diezelfde dag, op 26 augustus 2019, en stuurt het e-
mailbericht van de verweerster van 19 augustus 2019 door.
39. In de volgende 17 dagen is er geen communicatie tussen de klager en de verweerster.
40. De klager stuurt op 13 september 2019 een herinnering met een duidelijke verwijzing naar
de e-mail van 19 augustus 2019, met bijgevoegd een nieuw e-mailbericht met direct
marketing van de verweerster daterend van 12 september 2019.
Opnieuw richt de klager een verzoek tot uitoefening van het recht van inzage tot de
verweerster met een gelijkaardige vraagstelling als zijn e-mailbericht aan de verweerster op
19 augustus 2019.
E-mail van de klager aan de verweerster E-mail van de klager aan de verweerster
dd. 19 augustus 2019 dd. 13 september 2019
“Waar hebben jullie mijn mailadres vandaan en “Waar hebben jullie mijn gegevens vandaan?”
van welke partij hebben jullie deze verkregen?”
“Op basis van welke rechtsgrond verzenden “Welke grondslag volgens de GDPR richtlijnen
jullie deze mail naar mij?” gebruiken jullie om mij deze mails te sturen?”
“Welke informatie heeft u nog van mij?” “Welke gegevens hebben jullie van mij?”
41. Enkel de formulering in de vraagstelling is anders en de klager voegt bovendien, met
verwijzingen naar de bepalingen van de AVG, argumenten bij waarom hij vermoedt dat er
geen rechtmatige verwerking plaatsvindt. In de rand van de eerste vraag vermeld in
bovenstaande tabel, schrijft de klager ook: “ik zou daarom ook graag op de hoogte gesteld
worden hoe jullie mijn persoonsgegevens hebben verworven, hoe deze beveiligd worden
etc.”
De verweerster beantwoordt ook het e-mailbericht van 13 september 2019 niet.
Beslissing ten gronde 33/2020 - 10/17
42. In haar conclusie grijpt de verweerster de e-mail van 13 september 2019 met enkele
bijkomende vragen (volgens de verweerster “een nieuwe lijst vragen”) aan om te
argumenteren dat dit de omvang van het onderzoek naar de klachten en vragen van de
klager vergroot: “verweerster paste de omvang van haar onderzoek aan om aan deze
vragen ook een antwoord te kunnen geven.”
43. De klager stuurt op 20 september 2019 nogmaals een e-mail, waarin hij de verweerster
eraan herinnert dat hij “iets meer dan 30 dagen geleden” een verzoek tot de verweerster
richtte “inzake de verwerking van mijn persoonsgegevens.”
Hij wijst er de verweerster op dat hij overweegt “verdere stappen” te ondernemen wanneer
er geen antwoord gegeven wordt door de verweerster “binnen redelijke termijn”.
44. De verweerster beantwoordt ook dit bericht van de klager niet en meer dan twee weken
later, op 10 oktober 2019, dient de klager uiteindelijk klacht in bij de
Gegevensbeschermingsautoriteit.
45. Uit de lezing van de feiten blijkt duidelijk dat er door de verweerster geen ‘onverwijld’ gevolg
is gegeven aan de uitoefening van het recht van inzage. Dat er op de drie laatste berichten
van de klager geen enkel antwoord kwam van de verweerster, valt daarbij in het bijzonder
op.
46. Gezien de verweerster stelt dat zij “een onderzoek” begon naar aanleiding van het e-
mailbericht op 19 augustus 2019 na de vaststelling op 26 augustus 2019 dat de klager niet
gekend was in haar systemen, had de verweerster de klager op zijn minst kunnen
informeren dat dit onderzoek aangevangen werd en lopende was, wanneer het gevolg
geven aan het verzoek van de klager hiervan afhing. Het is immers de taak van de
verwerkingsverantwoordelijke, overeenkomstig artikel 12, lid 1 AVG, om “passende
maatregelen” te nemen opdat de betrokkene de “in de artikelen 13 en 14 bedoelde
informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in
verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk
toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt […]”.
47. Wanneer de verweerster zelf in haar conclusies aanhaalt een onderzoek te hebben gestart,
maar de klager hiervan niet op de hoogte brengt en vervolgens wekenlang niet
communiceert over het nemen van eventuele maatregelen en het antwoorden op de
uitoefening van de rechten van de betrokkene, gebeurt de communicatie inzake dat
inzageverzoek van de klager niet overeenkomstig artikel 12, lid 1 AVG.
48. Het is ook duidelijk dat de maximale termijn in artikel 12, lid 3 AVG van een maand na
ontvangst van het verzoek niet gerespecteerd is. Wanneer de verweerster nog niet klaar zou
geweest zijn met haar onderzoek naar aanleiding van deze en andere vragen en verzoeken
van de klager, had zij een beroep kunnen doen op een verlenging van de termijn, zoals
voorzien in artikel 12, lid 3 AVG. De Geschillenkamer stelt daarom vast dat de verweerster
ook op artikel 12, lid 3 AVG een inbreuk pleegt.
49. Er kan voor de volledigheid worden opgemerkt dat de bijkomende vragen van de klager in
zijn e-mail van 13 september 2019 geen aanleiding geven tot enige stuiting of schorsing van
de termijn bedoeld in artikel 12, lid 3 AVG. Dat de ‘omvang van het onderzoek’ bij de
verweerster werd vergroot, betreft een interne aangelegenheid die geen impact heeft op de
Beslissing ten gronde 33/2020 - 11/17
verantwoordelijkheid die zij als verwerkingsverantwoordelijke heeft om de bepalingen van
de AVG na te leven. Op het eerste verzoek tot inzage had met andere woorden binnen een
maand na de e-mail van 19 augustus 2019 adequaat moeten geantwoord worden door de
verweerster.
50. Gezien de verweerster in haar conclusies besluit dat zij geen andere persoonsgegevens van
de klager verwerkt en dat de verwerking van het e-mailadres te wijten is aan een
“menselijke fout”, zou het onderzoek niet van die omvang moeten geweest zijn dat de
verweerster, tot na het indienen door de klager van diens klacht bij de
Gegevensbeschermingsautoriteit, geen enkel verder gevolg kon geven aan de uitoefening
van het recht van inzage door de klager. De duurtijd van het onderzoek wijst op een interne
organisatie die de uitoefening van de rechten van betrokkene op basis van artikel 15 AVG
onvoldoende faciliteert zoals vereist ingevolge artikel 12, lid 2 AVG.
51. Voor de volledigheid kan vermeld worden dat de vraag van 26 augustus 2019 van de
verweerster aan de klager om aanvullende informatie te verkrijgen over de identiteit van de
klager, mogelijk is onder artikel 12, lid 6 AVG. De bijkomend gevraagde identificatoren door
de verweerster lijken de Geschillenkamer proportioneel en passend voor het voorliggende
verzoek. In casu stelt de Geschillenkamer dus geen inbreuk vast, gezien artikel 12, lid 6 AVG
het aan de verwerkingsverantwoordelijke toelaat, meer nog, verplicht om bijkomende
identificatoren op te vragen indien de identiteit van de verzoeker niet vaststaat. 6
b) Artikel 15 AVG
52. De verweerster geeft geen overzicht van de gegevens die zij over de klager heeft (ook al is
dit beperkt tot het e-mailadres van de klager) en uitsluitsel over het al dan niet verwerken
van (andere) persoonsgegevens van de klager.
De verwerkingsverantwoordelijke is ingevolge artikel 15, lid 3 AVG nochtans gehouden een
kopie te verstrekken van de persoonsgegevens aan de klager als betrokkene, wanneer die
daar in het kader van het recht van inzage om verzoekt.
53. Op basis van de stukken van het dossier, met inbegrip van de conclusies van de
verweerster, besluit de Geschillenkamer dat er nog steeds geen afdoende gevolg is gegeven
aan het verzoek tot inzage van de klager overeenkomstig artikel 15 AVG.
c) Artikel 24 AVG
54. Gezien de voorgaande motivering, kan worden besloten dat de verweerster onvoldoende
technische en organisatorische maatregelen heeft genomen om haar verwerkingen in
overeenstemming met de bepalingen van de AVG te laten verlopen. 7
6
Binnen de specifieke context van deze zaak is het noodzakelijk, gezien de problematiek van homoniemen, dat de
verwerkingsverantwoordelijke de aanvullende gegevens ter identificatie opvraagt, en vindt artikel 11 AVG geen toepassing.
7
Het is nochtans zo dat de verwerkingsverantwoordelijke de verantwoordelijkheid draagt om te conformeren aan de wettelijke
bepalingen onder de AVG, cfr. DOCKSEY, C., “Article 24. Responsibility of the controller” in KUNER, C., BYGRAVE, L.A. en
DOCKSEY, C. (eds.),The EU General Data Protection Regulation: A Commentary, Oxford University Press, (557)560.
Beslissing ten gronde 33/2020 - 12/17
55. De Geschillenkamer maakt op basis van de bepalingen in de AVG, en meer bepaald met het
in acht nemen van de verantwoordelijkheid van de verwerkingsverantwoordelijke ingevolge
artikel 24 AVG, een concrete afweging in elke zaak. Voor het bepalen van de ernst van de
inbreuk houdt de Geschillenkamer niet enkel rekening met de specifieke feitelijke elementen
van het dossier, maar ook met de aard, de omvang, de context en het doel van de
verwerking waarbinnen de feitelijke elementen zich situeren.
3.3. Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokken
zijn verkregen (artikel 14 AVG)
56. De gegevensverwerking berust op een menselijke fout bij een medewerker van de
verweerster. De verweerster kon op het ogenblik van het verzenden van de berichten met
direct marketing inhoud, niet weten dat die persoonsgegevens niet van de klager verkregen
waren. Wel gaat het dus om een “manuele vergissing” na een “menselijke fout”, aldus de
verweerster. De verweerster heeft het e-mailadres dus ook niet verkregen van een derde
partij. 8
57. Gezien de verweerster op het moment van de verwerking geen weet had van het feit dat
het e-mailadres niet van de klager verkregen was, kan het haar ook niet verweten worden
dat zij op het moment van het verzenden van de direct marketing berichten niet de vereiste
informatie, zoals bepaald onder artikel 14, leden 1 tot en met 4 AVG, overmaakte aan de
klager. In dat geval is immers artikel 14, lid 5, punt b) AVG van toepassing, gezien het
verstrekken van de informatie “onmogelijk” blijkt.
58. Als bijkomend positief element in de beoordeling van de nakoming van de
informatieverplichtingen als verwerkingsverantwoordelijke, kan ook verwezen worden naar
het doorlinken van de privacygerelateerde webpagina’s in de e-mailberichten met direct
marketing inhoud van de verweerster. Hierdoor heeft de klager snel toegang tot de
privacyverklaring van de verweerster en de contactgegevens van de functionaris voor
gegevensverwerking kunnen verkrijgen. De voorgaande vaststelling staat los van de
beoordeling door de Geschillenkamer van de verdere communicatie door de verweerster
jegens de klager.
59. Wat betreft artikel 14 AVG stelt de Geschillenkamer geen tekortkoming vast in hoofde van
de verweerster.
8
Cfr ZANFIT-FORTUNA, G., “Article 14. Information to be provided where personal data have not been obtained from the data
subject” in KUNER, C., BYGRAVE, L.A. en DOCKSEY, C. (eds.),The EU General Data Protection Regulation: A Commentary,
Oxford University Press, (434)436: “Article 14 regulates what information must be given to data subject when they do not
provide themselves the personal data, but it is collected from third party sources.”
Beslissing ten gronde 33/2020 - 13/17
4. Vastgestelde inbreuken en het opleggen van een administratieve geldboete
60. De Geschillenkamer acht inbreuken op de volgende bepalingen door de verweerster
bewezen:
a. artikel 5 AVG, gezien de verweerster niet afdoende redelijke maatregelen treft om
de persoonsgegevens die foutief werden verwerkt, te rectificeren of te wissen;
b. artikel 6 AVG, gezien geen van de voorwaarden om een rechtmatige verwerking te
laten plaatsvinden, zijn vervuld;
c. artikel 15, j° 12 AVG, gezien de verweerster onvoldoende passende maatregelen
ondernam opdat de klager de in artikel 15 AVG bedoelde communicatie in een
transparante vorm ontvangt; gezien de verweerster de uitoefening van de rechten
van de klager als betrokkene onvoldoende faciliteert; gezien de verweerster aan de
klager geen antwoord verstrekt binnen een maand na de ontvangst van diens
verzoek; gezien de verweerster aan de klager geen antwoord biedt dat
overeenstemt met diens verzoek tot uitoefening van het recht van inzage;
d. artikel 24 AVG, gezien de verweerster niet de gepaste technische en
organisatorische maatregelen heeft genomen om ervoor te zorgen dat haar
verwerkingen in overeenstemming met de bepalingen van de AVG gebeuren.
61. Gezien de economische en maatschappelijke rol van de verweerster, vindt de
Geschillenkamer de feiten die aanleiding gaven tot een inbreuk op artikelen 5, 6 en 12, j° 15
AVG ernstig en beslist de Geschillenkamer over te gaan tot het opleggen van een
administratieve geldboete.
62. De Geschillenkamer heeft kennis genomen van de jaaromzet van de verweerster in de drie
laatste boekjaren. Deze cijfers bevinden zich voor elk van die boekjaren tussen de x en x
miljard euro. 9
63. Rekening houdend met artikel 83 AVG en de rechtspraak van het Marktenhof, motiveert de
Geschillenkamer het opleggen van een administratieve sanctie in concreto:
a) De ernst van de inbreuk
64. De Geschillenkamer stelt vast dat het niet afdoende antwoorden op de verzoeken tot
uitoefening van de rechten van betrokkenen wijzen op de nalatige aard van de inbreuk op
artikel 12 en 15 AVG. Dit heeft er ook voor gezorgd dat de klager langer dan noodzakelijk op
storende wijze nadelen ondervond van de onrechtmatige verwerking, gezien zijn
persoonsgegevens niet tijdig werden gerectificeerd. Gezien de aard van de economische
activiteiten en bijhorende verwerkingen van de verweerster, is een gebrekkige organisatie
met de passende maatregelen voor het faciliteren van de uitoefening van de rechten van
betrokkenen verontrustend.
65. De rechten van betrokkenen behoren tot de kern van de Algemene Verordening
Gegevensbescherming en inbreuken erop worden bestraft met de hoogste geldboeten,
overeenkomstig artikel 83, lid 5.
9
De concrete jaaromzetcijfers van de genoemde boekjaren 2017, 2018 en 2019 zijn de Geschillenkamer bekend.
Beslissing ten gronde 33/2020 - 14/17
66. De aanleiding voor het verzoek tot de uitoefening van het recht van inzage door de klager
betreft een onrechtmatige verwerking. Aan de basis van de onrechtmatige verwerking ligt
een menselijke fout, die leidde tot het gebruik van het e-mailadres van de klager. Hoewel
deze verwerking wel degelijk een inbreuk vormt op artikel 5 en 6 AVG, houdt de
Geschillenkamer uiteraard rekening met het feit dat het een beperkte inbreuk betreft, met –
voor zover gekend – één betrokkene. Ook het feit dat de verwerking uiteindelijk werd
stopgezet, neemt de Geschillenkamer mee in haar beoordeling van de feiten.
67. De hoogte van de administratieve geldboete die de Geschillenkamer oplegt, is om de
voorgaande reden relatief laag in verhouding met de jaaromzet van het voorgaande
boekjaar. Dit belet niet dat de Geschillenkamer voor gelijkaardige inbreuken bij
verwerkingsverantwoordelijken met een gelijkaardige economische grootte in een andere
feitencontext over zou kunnen gaan tot het opleggen van een hogere geldboete.
68. De gebrekkige communicatie en transparantie van de verweerster zijn ernstig te noemen,
net zoals het niet rectificeren van de persoonsgegevens opdat de verwerking van het e-
mailadres van de klager rechtmatig en behoorlijk zou gebeuren, een ernstige inbreuk op de
AVG vormen. Een administratieve geldboete is daarom een gepaste sanctie voor de
Geschillenkamer.
b) De mate waarin de verwerkingsverantwoordelijke technische of organisatorische
maatregelen heeft genomen
69. De Geschillenkamer begrijpt dat de wettelijke opdracht in de AVG voor de verweerster en
elke andere verwerkingsverantwoordelijke soms, en eerder vaak, grote organisatorische
gevolgen meebrengt, teneinde ‘passende maatregelen’ te kunnen treffen om adequaat te
reageren op de verzoeken van betrokkenen overeenkomstig artikel 12 en 15 AVG.
70. De Geschillenkamer wijst er echter op dat de bepalingen van de AVG reeds meer dan een
jaar in voege waren op het moment van de gebeurtenissen, en dat de verweerster de
nodige tijd heeft gehad om alle technische en organisatorische maatregelen te treffen om
haar verwerkingen en processen in overeenstemming met de bepalingen van de AVG te
brengen.
71. Hierbij valt bijkomend op dat de verweerster op de drie laatste e-mails van de klager geen
enkel antwoord gaf, ondanks de duidelijke en constructieve communicatie van de klager.
Hierbij is het van geen belang dat het om een voor de verweerster eventueel klein verzoek
ging. De bepalingen van de AVG hebben betrekking op elke verwerking van
persoonsgegevens.
c) De duur van de inbreuk
72. Wat betreft de duur van de inbreuk wijst de Geschillenkamer op de periode tussen het
verzoek van de klager bij de verweerster en het indienen van de klacht door de klager bij de
Gegevensbeschermingsautoriteit. Het feit dat er geen antwoord kwam op de laatste drie
berichten van de klager, en dit gedurende een periode van meer dan een maand, tot het
indienen van de klacht bij de Gegevensbeschermingsautoriteit, valt als een langdurige
inbreuk te beschouwen met het oog op de verplichting tot transparante communicatie bij
het uitoefenen van de rechten van de betrokkene overeenkomstig artikel 12, lid 1 AVG. De
verweerster heeft daarenboven de termijn in artikel 12, lid 3 AVG niet gerespecteerd; het
Beslissing ten gronde 33/2020 - 15/17
valt op te merken dat tot het indienen van de verweermiddelen in de onderhavige zaak de
klager geen enkel voldoende antwoord ontving op zijn verzoek tot inzage.
73. Daarenboven wijst de Geschillenkamer op het feit dat de verweerster reeds op 26 augustus
2019 aangaf dat de verwerking mogelijk onrechtmatig was, maar dat de klager op 12
september 2019 alsnog een e-mailbericht met direct marketing ontving. Dit wijst erop dat de
duurtijd van de inbreuk langer is dan wanneer de verweerster afdoende technische en
organisatorische maatregelen had getroffen om de onrechtmatige verwerking stop te zetten
na het rectificeren van de persoonsgegevens, overeenkomstig artikel 5 en 6 AVG.
d) Conclusie
74. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de
daarin bepaalde beoordelingscriteria, ter hoogte van een bedrag van 10.000 EUR. De
Geschillenkamer wijst erop dat de andere criteria van artikel 83, lid 2 AVG in dit geval niet
van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de
Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
Beslissing ten gronde 33/2020 - 16/17
5. Het anonimiseren of pseudonimiseren van de beslissing van de Geschillenkamer bij
de publicatie
75. De Geschillenkamer neemt akte van de vraag van de verweerster om over te gaan tot een
zo sluitend mogelijk anonimiseren van de beslissing door de Geschillenkamer, wanneer
wordt overgegaan tot publicatie. De verweerster haalt aan dat de aanwezigheid van
elementen die tot de identificatie van de verweerster kunnen leiden in de pers of op enige
andere manier, mogelijk leidt tot “onherstelbare reputatieschade”.
76. De Geschillenkamer onderstreept dat het van groot belang is – in het kader van de kennis
over, de bewustwording omtrent en de praktische invulling van
persoonsgegevensbescherming – op voldoende transparante wijze te communiceren over
haar werkzaamheden en beslissingen kenbaar te maken aan het publiek. Hierom is het van
belang dat de Geschillenkamer zo veel mogelijk, zo niet alle, beslissingen die zij neemt, te
publiceren. Die mogelijkheid is voorzien door de nationale wetgever in artikel 95, §1, 8° en
artikel 100, §1, 16° WOG.
77. De publicatie van de beslissing dient mede om de verwerkingsverantwoordelijke op diens
verantwoordelijkheid te wijzen. Die verantwoordelijkheid staat centraal in de AVG. Er kan
worden vastgesteld dat de negatieve perceptie die gepaard gaat met het niét weglaten van
de naam van een partij, en meer bepaald de naam van de verwerende partij, in een
gepubliceerde beslissing, een gevolg is van de zeldzaamheid van gevallen waarin wordt
overgegaan tot het niet weglaten van de naam van de verwerende partij. In werkelijkheid
behoort de beslissing tot het weglaten van de namen van partijen tot de discretionaire
beoordeling van de Geschillenkamer – het niet weglaten daarvan betreft geen bijkomende
sanctie.
78. Hoewel de Geschillenkamer discretionair beslist in elk van haar dossiers om al dan niet over
te gaan tot het pseudonimiseren van de beslissing, lijkt te dezen aan de vraag van
verweerster te kunnen worden voldaan, althans om de beslissing te pseudonimiseren met
het oog op publicatie. De kans op reputatieschade en de mogelijke omvang ervan zijn
elementen die de Geschillenkamer kan meenemen bij haar overweging om al dan niet
bepaalde identificatoren weg te laten, maar er rust anderzijds geen verplichting op de
Geschillenkamer om in haar beslissing een specifieke verantwoording omtrent die beslissing
op te nemen.
79. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing dan ook gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
Beslissing ten gronde 33/2020 - 17/17
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- de verweerster overeenkomstig artikel 58, lid 2, c) AVG en artikel 100, §1, 6°
WOG te bevelen terdege gevolg te geven aan het verzoek tot inzage van de klager
overeenkomstig artikel 15, j° 12 AVG binnen een maand na de kennisgeving van deze
beslissing;
- de verweerster overeenkomstig artikel 58, lid 2, d) AVG en artikel 100, §1, 9°
WOG te bevelen de verwerking van de persoonsgegevens van de klager onverwijld in
overeenstemming te brengen met de bepalingen van de AVG overeenkomstig artikel 5
en 6 AVG;
- de verweerster overeenkomstig artikel 58, lid 2, b) AVG en artikel 100, §1, 5° WOG
te berispen omwille van het onvoldoende faciliteren van en laattijdig antwoorden op de
uitoefening van het recht van inzage door de klager overeenkomstig artikel 15, j° 12 AVG.
- de verweerster overeenkomstig artikel 58, lid 2, i) j° artikel 83 AVG en artikel 100,
§1, 13° WOG een geldboete op te leggen van 10.000 EUR voor de inbreuken op artikel
5, 6 en 12 j° 15 AVG.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get.) Hielke Hijmans
Voorzitter van de Geschillenkamer