Kişisel Veri İşlemede Hukuki İhlal Tespiti

1/35

Geschillenkamer

Beslissing ten gronde 34/2020 van 23 juni 2020

Dossiernummer : DOS-2019-02426

Betreft : Verwerking van de persoonsgegevens opgenomen in de Kruispuntbank van de
voertuigen

De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden;

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;

Gelet op de stukken van het dossier;

Beslissing ten gronde 34/2020 - 2/35

heeft de volgende beslissing genomen inzake:

- de Federale Overheidsdienst Mobiliteit en Vervoer, City Atrium, Vooruitgangstraat 56 -
1210 Brussel, met ondernemingsnummer 0308.357.852, hierna “de verweerder”.

1. Feiten en procedure

1. Op 3 april 2019 beslist het Directiecomité van de Gegevensbeschermingsautoriteit op grond van
artikel 63, 1° WOG om een dossier aanhangig te maken bij de Inspectiedienst aangezien het
ernstige aanwijzingen vaststelde dat bepaalde verzekeringsondernemingen toegang krijgen
tot de persoonsgegevens vervat in de Kruispuntbank van de voertuigen en dat deze toegang
zou worden aangewend ten behoeve van het commercieel hergebruik van deze
persoonsgegevens. Meer bepaald zouden deze verzekeringsondernemingen deze toegang
verkrijgen via het informatieplatform Informex NV.

2. Op 3 mei 2019 richt de Inspectiedienst op grond van artikel 66, §1 WOG een brief aan de
verweerder, die verwerkingsverantwoordelijke is van de persoonsgegevens opgenomen in de
Kruispuntbank van de voertuigen, waarin deze een aantal vragen stelt aan deze laatste:

1. “Sinds wanneer bent u op de hoogte van de voormelde praktijk van de NV Informex (graag
met toevoeging van kopie van briefwisseling en bewijsstukken)? Sinds wanneer is uw
functionaris voor gegevensbescherming daarvan op de hoogte (graag met toevoeging van
kopie van bewijsstukken)?
2. Welke maatregelen werden er concreet genomen sinds u op de hoogte bent van de
voormelde praktijk van de NV Informex (graag met toevoeging van relevante documenten
hierbij die uw aanpak staven)? Wat was ter zake het advies van uw functionaris voor
gegevensbescherming (graag met toevoeging van kopie van dat advies)?
3. Hoe apprecieert u de doelbinding en rechtmatigheid van de praktijk die bestaat in het
systematisch hergebruik van persoonsgegevens uit de KBV door Informex NV via haar
platform www.audagarage.com ten behoeve van diverse verzekeraars voor het online
bepalen van een premievoorstel gelet op de Wet KBV 1 en haar uitvoeringsbesluiten en
gelet op de privacyverklaring van de Federale Overheidsdienst Mobiliteit en Vervoer op de
webpagina https.//mobilit.belgium.be/nl/privacy?

1
Wet van 19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen, BS 28 juni 2010.

Beslissing ten gronde 34/2020 - 3/35

4. Welke persoon is sinds wanneer uw functionaris voor gegevensbescherming en hoe werd
die keuze concreet verantwoord? Werd uw functionaris voor gegevensbescherming
aangemeld bij de GBA? Kan u zijn taken, inclusief eventuele taken die geen verband
houden met gegevensbescherming, en zijn precieze positie in het organigram van uw
organisatie documenteren aan de hand van relevante documenten?
5. Wordt de voormelde praktijk van de NV Informex door u gekwalificeerd als een inbreuk
in verband met persoonsgegevens: waarom wel of niet? En waarom werd daarvan
desgevallend nog geen melding gedaan aan de GBA?”

3. Per brief van 29 mei 2019 beantwoordt de verweerder deze vragen van de Inspectiedienst.

4. Per brief van 6 juni 2019 maakt de Inspectiedienst zijn voorlopige vaststellingen alsook een
aantal bijkomende vragen over aan de verweerder.

5. Op 19 augustus 2019 maakt de Inspectiedienst overeenkomstig artikel 91, §2 WOG zijn
inspectieverslag over aan de voorzitter van de Geschillenkamer, waardoor de Geschillenkamer
wordt gevat op grond van artikel 92, 3° WOG.

In zijn verslag doet de inspectiedienst binnen de scope van de ernstige aanwijzingen
vaststellingen met betrekking tot:

• de naleving van de doelbinding (artikel 5.1 b) AVG) en de rechtmatigheid van de
verwerking (artikel 6.1 AVG); alsook
• de naleving van de verantwoordelijkheid van de verwerkingsverantwoordelijke
(artikel 24 AVG), de beveiliging van de verwerking (artikel 32 AVG) en de melding
van een inbreuk in verband met persoonsgegevens aan de toezichthoudende
overheid (artikel 33 AVG).

Verder doet de Inspectiedienst een aantal aanvullende vaststellingen, buiten de scope van de
ernstige aanwijzingen, met name betreffende:

• de naleving van de bepalingen betreffende de aanwijzing van een functionaris voor
gegevensbescherming (artikel 37 AVG) en de positie van de functionaris voor
gegevensbescherming (artikel 38 AVG);
• de naleving van de medewerkingsplicht (artikel 31 AVG en artikel 66.2 WOG); en
• de naleving van de transparantieverplichtingen (artikel 12 AVG) en de te
verstrekken informatie (artikel 13 AVG).

Beslissing ten gronde 34/2020 - 4/35

6. Op 24 september 2019 beslist de Geschillenkamer op grond van de artikelen 95, §1, 1°, en 98
WOG dat de klacht gereed is voor behandeling ten gronde.

7. Per aangetekende brief van 24 september 2019 wordt de verweerder in kennis gesteld van het
feit dat de klacht gereed is voor behandeling ten gronde en wordt deze tevens op grond van
artikel 99 WOG in kennis gesteld van de termijn om zijn verweermiddelen in te dienen.

8. Op 28 oktober 2019 legt de verweerder zijn conclusie van antwoord neer en verzoekt deze op
grond van artikel 98, 2° WOG om gehoord te worden.

9. Op 4 mei 2020 wordt de verweerder overeenkomstig artikel 53 van het reglement van interne
orde gehoord door de Geschillenkamer.

10. Op 6 mei 2020 wordt overeenkomstig artikel 54 van het reglement van interne orde het
proces-verbaal van de hoorzitting aan de verweerder overgemaakt.

11. Op 15 mei 2020 maakt de verweerder zijn opmerkingen over, die overeenkomstig artikel 54,
lid 2 van het reglement van interne orde als bijlage bij het proces-verbaal van verhoor worden
gevoegd.

2. Rechtsgrond

Artikel 5.1 b) AVG

1. Persoonsgegevens moeten: (…)
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en
transparant is („rechtmatigheid, behoorlijkheid en transparantie”); b) voor welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op
een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op
archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische
doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke
doeleinden beschouwd („doelbinding”);

Artikel 6.1 AVG

Beslissing ten gronde 34/2020 - 5/35

1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor
een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene
partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te
nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de
verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere
natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak
in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en
de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen,
zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de
uitoefening van hun taken.

Artikel 12 AVG

1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de
artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde
communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer
de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere
middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de
betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat
de identiteit van de betrokkene met andere middelen bewezen is. (…)

5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de
communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel
34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig
zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel: a) een
redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken
van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard

Beslissing ten gronde 34/2020 - 6/35

gaan; ofwel b) weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke
om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
6. Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te
twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen
15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van
de betrokkene.
7. De krachtens de artikelen 13 en 14 aan betrokkenen te verstrekken informatie mag worden verstrekt
met gebruikmaking van gestandaardiseerde iconen, om de betrokkene een nuttig overzicht, in een
goed zichtbare, begrijpelijke en duidelijk leesbare vorm, van de voorgenomen verwerking te bieden.
Wanneer de iconen elektronisch worden weergegeven, zijn ze machineleesbaar.
8. De Commissie is bevoegd overeenkomstig artikel 92 gedelegeerde handelingen vast te stellen om
te bepalen welke informatie de iconen dienen weer te geven en via welke procedures de
gestandaardiseerde iconen tot stand dienen te komen.

Artikel 13 AVG

1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld,
verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens
al de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval,
van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond
voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de
verwerking op artikel 6, lid 1, punt f), is gebaseerd; d) in voorkomend geval, de ontvangers of
categorieën van ontvangers van de persoonsgegevens;
e) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de
persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan
niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47
of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen
zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij
de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en
transparante verwerking te waarborgen:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet
mogelijk is, de criteria ter bepaling van die termijn;

Beslissing ten gronde 34/2020 - 7/35

b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en
rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking,
alsmede het recht tegen de verwerking bezwaar te maken en het recht op
gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de
betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet
aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een
noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de
persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet
worden verstrekt;
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4,
bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica,
alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
3. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te
verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de
verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere
doel en alle relevante verdere informatie als bedoeld in lid 2.
4. De leden 1, 2 en 3 zijn niet van toepassing wanneer en voor zover de betrokkene reeds over de
informatie beschikt.

Artikel 14 AVG

1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de
verwerkingsverantwoordelijke de betrokkene de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval,
van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor
de verwerking;
d) de betrokken categorieën van persoonsgegevens;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de
persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale
organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van
de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende

Beslissing ten gronde 34/2020 - 8/35

of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden
geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de
volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking
te waarborgen:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet
mogelijk is, de criteria om die termijn te bepalen;
b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de
verwerking op artikel 6, lid 1, punt f), is gebaseerd;
c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en
rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking,
alsmede het recht tegen verwerking van bezwaar te maken en het recht op
gegevensoverdraagbaarheid;
d) wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de
betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet
aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
f) de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn
van openbare bronnen;
g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4,
bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica,
alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
3. De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:
a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de
persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden
verwerkt;
b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk
op het moment van het eerste contact met de betrokkene; of
c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het
tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt. (…)

Artikel 24 AVG

1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met
de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke
personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische
maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met

Beslissing ten gronde 34/2020 - 9/35

deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig
geactualiseerd.
2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde
maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke
wordt uitgevoerd. 3. Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of
goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan worden gebruikt als element
om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen.

Artikel 31 AVG

De verwerkingsverantwoordelijke en de verwerker en, in voorkomend geval, hun vertegenwoordigers,
werken desgevraagd samen met de toezichthoudende autoriteit bij het vervullen van haar taken.

Artikel 66, §2 WOG

De personen die het voorwerp uitmaken van een controle, moeten daartoe hun medewerking
verlenen.

Artikel 33 AVG

1. Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de
verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur
nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende
autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico
inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de
toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor
de vertraging.
2. De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij
kennis heeft genomen van een inbreuk in verband met persoonsgegevens.
3. In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld:
a) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de
categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal
betrokkenen en persoonsgegevensregisters in kwestie;
b) de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander
contactpunt waar meer informatie kan worden verkregen;
c) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;

Beslissing ten gronde 34/2020 - 10/35

d) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk
in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen
ter beperking van de eventuele nadelige gevolgen daarvan.
4. Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de
informatie zonder onredelijke vertraging in stappen worden verstrekt.
5. De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens,
met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen
daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende
autoriteit in staat de naleving van dit artikel te controleren.

Artikel 37 AVG

1. De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor
gegevensbescherming aan in elk geval waarin:
a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval
van gerechten bij de uitoefening van hun rechterlijke taken;
b) een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die
vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op
grote schaal van betrokkenen vereisen; of
c) de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige
verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 en van
persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld
in artikel 10.
2. Een concern kan één functionaris voor gegevensbescherming benoemen, mits de functionaris voor
gegevensbescherming vanuit elke vestiging makkelijk te contacteren is.
3. Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of
overheidsorgaan is, kan één functionaris voor gegevensbescherming worden aangewezen voor
verschillende dergelijke instanties of organen, met inachtneming van hun organisatiestructuur en
omvang.
4. In andere dan de in lid 1 bedoelde gevallen kunnen of, indien dat Unierechtelijk of lidstaatrechtelijk
is verplicht, moeten de verwerkingsverantwoordelijke of de verwerker of verenigingen en andere
organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, een
functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan
optreden voor dergelijke verenigingen en andere organen die categorieën van
verwerkingsverantwoordelijken of verwerkers vertegenwoordigen.
5. De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele
kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk
inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen.

Beslissing ten gronde 34/2020 - 11/35

6. De functionaris voor gegevensbescherming kan een personeelslid van de
verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een
dienstverleningsovereenkomst verrichten.
7. De verwerkingsverantwoordelijke of de verwerker maakt de contactgegevens van de functionaris
voor gegevensbescherming bekend en deelt die mee aan de toezichthoudende autoriteit.

Artikel 38 AVG

1. De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor
gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband
houden met de bescherming van persoonsgegevens.
2. De verwerkingsverantwoordelijke en de verwerker ondersteunen de functionaris voor
gegevensbescherming bij de vervulling van de in artikel 39 bedoelde taken door hem toegang te
verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter
beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn
deskundigheid.
3. De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor
gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij
wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de
uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit
aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker.
4. Betrokkenen kunnen met de functionaris voor gegevensbescherming contact opnemen over alle
aangelegenheden die verband houden met de verwerking van hun gegevens en met de uitoefening
van hun rechten uit hoofde van deze verordening.
5. De functionaris voor gegevensbescherming is met betrekking tot de uitvoering van zijn taken
overeenkomstig het Unierecht of het lidstatelijk recht tot geheimhouding of vertrouwelijkheid
gehouden. 6. De functionaris voor gegevensbescherming kan andere taken en plichten vervullen. De
verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een
belangenconflict leiden.

Beslissing ten gronde 34/2020 - 12/35

3. Motivering

3.1.1. Wat betreft de vaststellingen inzake de doelbinding (artikel 5.1 b) AVG) en de
rechtmatigheid van de verwerking (artikel 6.1 AVG)

12. De Inspectiedienst stelt in zijn verslag 2 in essentie vast dat uit de stukken van het dossier
blijkt dat de verweerder sinds 2017 op de hoogte was van het feit dat Informex NV ervoor
zorgt dat verzekeringsondernemingen gebruik kunnen maken van bepaalde
persoonsgegevens afkomstig uit de Kruispuntbank van de voertuigen, zodat deze
ondernemingen op basis van die gegevens een gepersonaliseerd prijsaanbod kunnen
opstellen voor potentiële verzekeringsnemers.

13. De Inspectiedienst wijst er in dit verband op dat artikel 5 van de wet van 19 mei 2010
houdende oprichting van de Kruispuntbank van de voertuigen (hierna “Wet KBV”) wat
betreft de persoonsgegevens vervat in deze Kruispuntbank een beperkt aantal doelen van
algemeen belang opsomt en dat de via de Kruispuntbank verkregen persoonsgegevens
niet mogen worden gebruikt voor andere doeleinden. De Inspectiedienst stelt dat een
bevestiging hiervan kan worden gevonden in artikel 25 van het Koninklijk besluit van 8
juli 2013 ter uitvoering van de wet van 19 mei 2010 houdende oprichting van de
Kruispuntbank van de voertuigen (hierna “KB KBV”) dat verbiedt dat persoonsgegevens
verkregen via de Kruispuntbank van de voertuigen zouden worden gebruikt voor direct
marketingdoeleinden.

3.1.2. De situatie vóór 25 mei 2018: het advies van de CBPL d.d. 11 mei 2017

14. In zijn conclusie van antwoord stelt de verweerder wat betreft de eerste tenlastelegging
van de Inspectiedienst inderdaad sinds 2016 op de hoogte te zijn geweest van het
voornemen van de Informex NV om via nieuwe activiteiten, de zogenaamde IRES-
activiteiten, op basis van de kentekenplaat van een voertuig, aan voertuigidentificatie te
kunnen doen. De verweerder verduidelijkt dat de NV Informex in het kader van voormelde
activiteiten een dienst wenste aan te bieden aan verzekeringsmaatschappijen die op basis
van de kentekenplaat technische gegevens van het voertuig zouden verkrijgen om hen
toe te laten online onmiddellijk een precieze prijsberekening voor een autoverzekering uit
te voeren.

2
Als reactie op een ernstige aanwijzing van het Directiecomité.

Beslissing ten gronde 34/2020 - 13/35

15. Uit de stukken van het dossier blijkt dat deze praktijk er concreet in bestaat dat de
verzekeraars, klanten van de NV Informex, via een online invulformulier aan potentiële
verzekeringsnemers de mogelijkheid bieden een gepersonaliseerde prijsberekening aan
te vragen, waarbij aan de betrokkenen de keuze wordt gegeven hun voertuiggegevens
manueel in te voeren dan wel hun nummerplaat door te geven, op basis waarvan de
betrokken verzekeraar vervolgens via de NV Informex de voertuiggegevens van
betrokkene uit de Kruispuntbank opvraagt. Deze praktijk zorgt er onder meer voor dat
onder- of oververzekering wordt uitgesloten.

16. De verweerder wijst erop dat de NV Informex in dit verband de toegang vroeg tot de
Kruispuntbank van de voertuigen aan de verweerder, doch dat deze laatste dit verzoek
afwees aangezien hij van oordeel was dat de voorgenomen activiteiten niet kaderden
binnen de door artikel 4, 4° KB KBV opgesomde te verwezenlijken doeleinden van
algemeen belang waarmee de NV Informex, als informatieplatform met betrekking tot
voertuigen die het voorwerp uitmaken van een ongeval 3, is belast, met name:

“- de veiligheid, en het verbeteren van de bescherming van de consument (bijvoorbeeld door
diensten te leveren inzake de begroting van de schade aan voertuigen na een ongeval, het
opstellen van statistieken van voertuigongevallen, de meedeling van informatie over
voertuigen na een ongeval aan de overheid, en de bestrijding van fraude aan de
voertuigverzekering en de bescherming van de veiligheid van voertuigen);
- het globaal beheer van het voertuigenpark mogelijk te maken, met inbegrip van afgedankte
voertuigen (bijvoorbeeld door diensten te leveren inzake de begroting van de schade aan
voertuigen na een ongeval, het ter beschikking stellen van methodes om voertuigen die het
voorwerp uitmaken van een expertise publiek te verkopen, het opstellen van statistieken van
voertuigongevallen, en de meedeling van informatie over voertuigen na een ongeval aan de
overheid);
- het mogelijk maken van de technische keuring van voertuigen na een ongeval (bijvoorbeeld
door diensten te leveren inzake de begroting van de schade aan voertuigen na een ongeval,
en de meedeling van informatie over voertuigen na een ongeval aan de overheid);
- de controle door de bevoegde overheden van de reglementering inzake het beheer van
voertuigen, afgedankt ingevolge een ongeval;
- het vermijden van fraude aan de voertuigverzekering.”

17. De verweerder was bijgevolg van oordeel dat Informex NV zich terzake niet kon beroepen
op de vrijstelling voor het bekomen van een machtiging van het Sectoraal Comité conform

3
Cf. www.informex.be.

Beslissing ten gronde 34/2020 - 14/35

artikel 5 KB KBV dat stelt: “De in artikel 4 opgesomde natuurlijke en rechtspersonen (…) zijn
eveneens vrijgesteld van een voorafgaande machtiging van het Sectoraal Comité voor de
gegevens die zij nodig hebben voor de verwezenlijking van de in artikel 4 opgesomde
doeleinden”.

18. De verweerder stelt dat hij Informex NV bijgevolg doorverwees naar het bevoegde
Sectoraal Comité ingesteld bij de Commissie voor de Bescherming van de Persoonlijke
Levenssfeer (hierna “CBPL”) teneinde een machtiging te bekomen overeenkomstig artikel
18 KB KBV.

19. Uit de stukken van het dossier blijkt dat de NV Informex daarop diverse contacten had
met de CBPL, die uiteindelijk in een advies van 11 mei 2017 aan de NV Informex
bevestigde dat de IRES-activiteiten onder de vrijstelling van artikel 4 Wet KBV juncto
artikel 5 KB KBV vallen. De CBPL stelt dat, hoewel deze activiteiten niet specifiek
betrekking hebben op voertuigen die het voorwerp uitmaakten van een ongeval, deze
toch onder het toepassingsgebied vallen van de doeleinden van artikel 4 KB KBV
aangezien ze voortkomen uit een preventief gebruik van het schadeplatform van Informex
NV.

20. De CBPL koppelde evenwel een aantal voorwaarden aan het gebruik van deze gegevens
in het kader van de hierboven genoemde activiteiten, met name:
1. Het verkrijgen van de kentekenplaat van het voertuig van betrokkene door de klanten
van de NV Informex kan slechts plaatsvinden op basis van de toestemming van
betrokkene.
2. Informex NV dient een contract af te sluiten met haar klanten waarbij deze laatsten
garanderen dat de doeleinden van de verwerking vermeld in het KB KBV zullen worden
gerespecteerd.
3. Informex NV moet ervoor zorgen dat de betrokkenen vooraf worden geïnformeerd
betreffende het gebruik van hun nummerplaat.
4. Informex NV dient te zorgen voor toegangslogging en zich te verzekeren van het
rechtmatig gebruik van haar diensten door haar klanten.
5. De contracten met de klanten van Informex NV moeten voorzien in bepalingen
betreffende het gebruik van de kentekenplaat als toegangssleutel voor de technische
gegevens van voertuigen.
6. Informex NV en diens klanten dienen de bepalingen van de (destijds van toepassing
zijnde) wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer
ten opzichte van de verwerking van persoonsgegevens (hierna “WPV”) na te leven, in
het bijzonder wat betreft de bewaartermijnen en de beveiliging van de verwerking.

Beslissing ten gronde 34/2020 - 15/35

21. De verweerder wijst erop dat deze vervolgens, op basis van dit advies van de CBPL de
NV Informex toegang verschafte tot de gegevens van de Kruispuntbank van de
voertuigen.

22. Hij voegt hier evenwel aan toe dat hij vóór het verstrekken van de toegang erop heeft
toegezien dat de voorwaarden opgelegd door de CBPL door de NV Informex werden
nageleefd.

23. De Geschillenkamer wijst er met betrekking tot bovenstaande op dat het advies verleend
door de CBPL dateert van vóór de toepassing van de AVG en dat de CBPL alsook haar
sectorale comités werden opgeheven door de wet van 30 juli 2018 betreffende de
bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens (hierna “de Kaderwet”). 4 De betrokken verwerking van
persoonsgegevens in het kader van de IRES-activiteiten van de NV Informex dient
bijgevolg sinds 25 mei 2018 te worden getoetst aan het nieuw wettelijk kader, met name
de bepalingen van de AVG. De AVG gaat uit van een verantwoordingsplicht van een
verwerkingsverantwoordelijke en voorziet niet in voorafgaande raadpleging en
toestemming door een met openbaar gezag bekleed extern orgaan. 5

3.1.3. De situatie na 25 mei 2018: toetsing aan de AVG

A. Identificering van de betrokken verwerkingsverantwoordelijken (artikel 4.7 AVG)

24. Overeenkomstig artikel 4.7 AVG dient als verwerkingsverantwoordelijke te worden
beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander
orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking
van persoonsgegevens vaststelt”.

25. Het Hof van Justitie heeft in zijn rechtspraak het begrip “verwerkingsverantwoordelijke”
meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de
betrokkenen te verzekeren. Het Hof wees er bovendien op dat dit begrip “niet
noodzakelijkerwijs naar een enkel lichaam verwijst en kan betrekking hebben op meerdere

4
Cf. artikel 280 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de
verwerking van persoonsgegevens.
5
Behoudens artikel 36 AVG, hier niet van belang.

Beslissing ten gronde 34/2020 - 16/35

deelnemers aan deze verwerking, die dan ieder onder de bepalingen op het gebied van
gegevensbescherming vallen”. 6

26. Overeenkomstig het Advies 1/2010 van de Groep 29 beoordeelt de Geschillenkamer de
hoedanigheid van de betrokken verwerkingsverantwoordelijke(n) in concreto. 7

27. In casu stelt de Geschillenkamer vast dat, bij de hierboven beschreven verwerking van
persoonsgegevens verkregen via de Kruispuntbank van de voertuigen in het kader van
de IRES-activiteiten, zowel de verweerder als de NV Informex alsook diens klanten (de
verzekeringsmaatschappijen) als verwerkingsverantwoordelijken dienen te worden
gekwalificeerd aangezien zij elk het doel en de middelen van hun respectieve
verwerkingsprocessen bepalen.

28. In hoofde van de verweerder vloeit deze rol van verwerkingsverantwoordelijke van de
betrokken persoonsgegevens voort uit artikel 6 Wet KBV juncto artikel 30 KB KBV, die
bepalen dat deze als beheerder van de Kruispuntbank van de voertuigen
verwerkingsverantwoordelijke is van de persoonsgegevens die zich in deze Kruispuntbank
bevinden.

29. Wat betreft de NV Informex bepaalt artikel 5 Wet KBV juncto artikel 4, 4° KB KBV dat
deze de persoonsgegevens vervat in de Kruispuntbank van de voertuigen verwerkt in het
kader van de vervulling van de in artikel 5 Wet KBV opgesomde doeleinden van algemeen
belang waarmee deze werd belast (cf. supra randnummer 16).

30. Naast de verweerder en de NV Informex, dienen de klanten van deze laatste, met name
de verzekeringsmaatschappijen, eveneens als verwerkingsverantwoordelijken in de zin
van artikel 4.7 AVG te worden gekwalificeerd voor de verwerkingsprocessen die zij
uitvoeren, met name de verwerking van de persoonsgegevens in het kader van het
opstellen van hun gepersonaliseerde prijsopgaven.

31. Elk van de hierboven vermelde partijen is bijgevolg in zijn hoedanigheid van
verwerkingsverantwoordelijke overeenkomstig de in artikel 5.2 en artikel 24 AVG vervatte

6
Zie o.a. HvJ, 5 juni 2018, C-210/16 - Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388, overwegingen 27-29.
7
Zie Groep 29, advies 1/2010 over de begrippen “verwerkingsverantwoordelijke” en “verwerker”, 16 februari 2010 (WP 169),
zoals verduidelijkt door de GBA in een nota “Overzicht van de begrippen verwerkingsverantwoordelijke/verwerker in het licht
van de Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming
van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en enkele specifieke toepassingen voor
vrije beroepen zoals advocaten”.

Beslissing ten gronde 34/2020 - 17/35

verantwoordingsplicht voor zijn verwerkingsproces verantwoordelijk voor de naleving van
de beginselen van de AVG en het aantonen hiervan.

B. Rechtmatigheidsgronden van de verwerking (artikel 6.1 AVG)

32. Overeenkomstig artikel 6.1 AVG is een verwerking van persoonsgegevens slechts
rechtmatig indien en voor zover deze gebeurt op grond van één van de in dit artikel
opgesomde rechtmatigheidsgronden.

33. De verwerking van de persoonsgegevens vervat in de Kruispuntbank van de voertuigen
gebeurt door elk van de hierboven geïdentificeerde verwerkingsverantwoordelijken op
grond van een andere rechtmatigheidsgrond.

34. De vraag rijst evenwel of deze rechtmatigheidsgronden kunnen worden aangewend voor
de in de onderhavige procedure ter discussie staande verwerking waarbij, in het kader
van de IRES-activiteiten van de NV Informex, gegevens verkregen via de Kruispuntbank
van de voertuigen worden doorgegeven aan derden (met name de verzekeraars die klant
zijn van laatstgenoemde).

35. De verweerder verwerkt de gegevens uit de Kruispuntbank van de voertuigen op grond
van artikel 6 Wet KBV juncto artikel 30 KB KBV, die bepalen dat deze
verwerkingsverantwoordelijke is van de persoonsgegevens die zich in de Kruispuntbank
bevinden. In deze hoedanigheid is de verweerder bijgevolg verantwoordelijk voor de
verwerking van deze gegevens en dient deze er op grond van de in de artikelen 5.2 en
24 AVG vervatte verantwoordingsplicht over te waken dat deze conform de beginselen
inzake de verwerking van persoonsgegevens van artikel 5.1 AVG worden verwerkt.

36. De NV Informex hanteert voor de verwerking van de persoonsgegevens verkregen via de
Kruispuntbank van de voertuigen als verwerkingsgrond de taken van algemeen belang
die haar worden toegekend door het KB KBV (cf. supra randnummer 16).

37. Uit de stukken van het dossier blijkt dat de NV Informex de doorgifte van de gegevens
uit de Kruispuntbank van de voertuigen aan verzekeraars in het kader van de IRES-
activiteiten - met oog op het opstellen van gepersonaliseerde prijsopgaven voor
verzekeringen - meer bepaald baseert op de doeleinden van algemeen belang vervat in
artikel 4, 4°, punt 1 en 5 KB KBV, met name: “de veiligheid, en het verbeteren van de

Beslissing ten gronde 34/2020 - 18/35

bescherming van de consument (…)” en “het vermijden van fraude aan de
voertuigverzekering”. 8

38. De klanten van de NV Informex – de verzekeraars – verwerken de persoonsgegevens
overeenkomstig artikel 6.1 a) AVG op grond van de toestemming van de betrokkenen.

39. Uit de stukken van het dossier blijkt meer bepaald dat in het kader van de IRES-
activiteiten, de klanten van de NV Informex potentiële verzekeringnemers die online een
prijsberekening voor een voertuigverzekering aanvragen, de mogelijkheid bieden hun
kentekenplaat door te geven, die vervolgens door de klanten van de NV Informex als
identificatiesleutel wordt gebruikt voor het opvragen van de voertuiggegevens in de
Kruispuntbank van de voertuigen.

40. De toestemming van betrokkenen wordt hierbij gevraagd door middel van een pop-up
melding waarbij dient te worden geantwoord op de vraag “Aanvaardt u dat wij uw
nummerplaat gebruiken om u een aanbod te kunnen doen?” met “Ik aanvaard” of “Ik
weiger”.

41. Wat deze rechtmatigheidsgrond betreft, wijst de Geschillenkamer erop dat de
toestemming enkel rechtsgeldig kan zijn indien deze voldoet aan de voorwaarden vervat
in artikel 4.11 en overweging 32 AVG 9 en indien deze betrekking heeft op een verwerking
die niet bij wet verboden is (cf. infra onder C.2.).

C. Doelbinding (artikel 5.1 b) AVG)

C.1. Algemeen

42. Overeenkomstig artikel 5.1 b) AVG dienen persoonsgegevens “voor welbepaalde,
uitdrukkelijk omschreven en gerechtvaardigde doeleinden [te] worden verzameld en mogen
[deze] vervolgens niet verder op een met die doeleinden onverenigbare wijze worden
verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang,

8
Stuk 7 dossier verweerder.
9
Artikel 4.11 AVG definieert toestemming als: “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de
betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van
persoonsgegevens aanvaardt”. Overweging 32 AVG preciseert dat “toestemming dient te worden gegeven door middel van een
duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge
verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn
persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het
selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere
handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn
persoonsgegevens”.

Beslissing ten gronde 34/2020 - 19/35

wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig
artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd”. Dit
artikel omschrijft hiermee één van de basisbeginselen betreffende de verwerking van
persoonsgegevens, met name de zogenaamde “doelbinding”.

43. Wat betreft de verwerking van de persoonsgegevens vervat in de Kruispuntbank van de
voertuigen, dient in het licht van deze bepaling van de AVG te worden verwezen naar
artikel 5 van de Wet KBV juncto artikel 4 van het KB KBV, dewelke een limitatieve lijst
bevatten van de rechtspersonen die toegang hebben tot de Kruispuntbank en de
doeleinden waarvoor deze de hiervoor genoemde gegevens mogen verwerken (cf. supra).

44. Het is op grond van deze wettelijke bepalingen (en meer bepaald artikel 4, 4° KB KBV)
dat ook de NV Informex als verwerkingsverantwoordelijke de gegevens uit de
Kruispuntbank verwerkt voor de verwezenlijking van de haar door het KB toegewezen
bevoegdheden en doeleinden.

45. Zoals hierboven reeds aangehaald, baseert de NV Informex als informatieplatform
betreffende voertuigen die het voorwerp uitmaken van een ongeval de betrokken
verwerking meer bepaald op de doeleinden van algemeen belang vervat in artikel 4, 4°,
punt 1 en 5 KB KBV, met name: “de veiligheid, en het verbeteren van de bescherming van
de consument (…)” en “het vermijden van fraude aan de voertuigverzekering”.

46. De Geschillenkamer is evenwel van oordeel dat de dienst aangeboden door verzekeraars,
waarbij op basis van de kentekenplaat de gegevens van het voertuig in de Kruispuntbank van
de voertuigen worden opgevraagd teneinde gepersonaliseerde prijsopgaven op te stellen, niet
kan worden ondergebracht onder deze doeleinden van algemeen belang van het KB KBV.
Deze dienst betreft immers de commerciële relatie tussen de verzekeraar en diens klanten en
niet de verwezenlijking door de NV Informex van de haar door dit KB toegekende taken van
(onder meer) consumentenbescherming en fraudebestrijding.

47. De Geschillenkamer is bijgevolg van oordeel dat deze verwerking het in artikel 5.1 b) AVG
vervatte beginsel van doelbinding schendt.

C.2. “Doeleinden van direct marketing”

48. Ten tweede dient erop te worden gewezen dat overeenkomstig artikel 25 KB KBV “de via
de kruispuntbank verkregen persoonsgegevens niet [mogen] worden gebruikt voor
doeleinden van 'direct marketing'”.

Beslissing ten gronde 34/2020 - 20/35

49. De vraag rijst bijgevolg of in casu al dan niet kan worden beschouwd dat de verwerking van
de kentekenplaat door de klanten van de NV Informex en meer bepaald het gebruik van dit
persoonsgegeven als identificatiesleutel met oog op het opstellen van gepersonaliseerde
prijsopgaven voor potentiële verzekeringsnemers (de betrokkenen) als “direct marketing” in
de zin van artikel 25 KB KBV dient te worden beschouwd.

50. Hoewel het KB KBV een uitdrukkelijk verbod bevat op het gebruik van de gegevens vervat in
de Kruispuntbank voor direct marketingdoeleinden, geeft het KB zelf geen definitie van dit
begrip.

51. In het verslag aan de Koning bij het KB wordt dit verbod als volgt toegelicht: “Omdat niet
enkel overheidsdiensten en VZW's die afdoende waarborgen bieden tot onafhankelijkheid
t.a.v. de commerciële sector en toepassing van de WVP, maar ook verenigingen met een
privaatrechtelijke hoedanigheid, de mogelijkheid moeten hebben om bepaalde gegevens via
de Kruispuntbank te raadplegen, wordt uitdrukkelijk bepaald dat de via de Kruispuntbank
verkregen persoonsgegevens niet mogen worden gebruikt voor doeleinden van 'direct
marketing'”.

52. Ook de AVG hanteert het begrip “direct marketing” in zijn artikel 21 betreffende het recht van
bezwaar, doch bevat evenmin een definitie van dit concept.

53. Mede om deze reden stelde de Gegevensbeschermingsautoriteit op 17 januari 2020 haar
Aanbeveling 1/2020 op, waarin zij, voortbouwend op de definitie opgenomen in het voorstel
van verordening van het Europees Parlement en de Raad betreffende eerbiediging van de
privacy en de bescherming van persoonsgegevens bij elektronische communicatie en tot
intrekking van Richtlijn 2002/58/EG 10, “direct marketing” als volgt definieert:

“Elke communicatie, in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een
organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan
niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon
die handelt in een commerciële of niet-commerciële context, die rechtstreeks gericht is aan
een of meer natuurlijke personen in een privé- of professionele context en die de verwerking
van persoonsgegevens met zich meebrengt”. 11

10
COM(2017) 10. Art. 4 van het voorstel geeft als definitie: “directmarketingberichten”: “Elke vorm van reclame, zowel
geschreven als mondeling, gericht aan één of meer geïdentificeerde of identificeerbare eindgebruikers van elektronische
communicatiediensten, inclusief het gebruik van automatische oproep- en communicatiesystemen met of zonder menselijke
interactie, e-mail, SMS, enz”.
11
Aanbeveling Gegevensbeschermingsautoriteit nr. 01/2020 van 17 januari 2020 betreffende de verwerking van
persoonsgegevens voor direct marketingdoeleinden, randnr. 14.

Beslissing ten gronde 34/2020 - 21/35

54. Uit deze definitie vloeit ten eerste voort dat niet enkel ongevraagde maar eveneens gevraagde
communicatie als direct marketing dient te worden beschouwd, indien en voor zover deze
gericht is op de promotie en/of de verkoop van goederen of diensten, rechtstreeks is gericht
aan één of meer natuurlijke personen en een verwerking van persoonsgegevens inhoudt.

55. Aanbeveling 01/2020 preciseert in dit verband dat “boodschappen gericht aan een
geïnteresseerde of aan een klant/aangeslotene/abonnee/lid evenzeer onder direct
marketingcommunicatie [vallen]” en dat een prospect of geïnteresseerde zich onderscheidt
van een klant in die zin dat het een potentiële klant betreft die informatie over de producten
of diensten van de betrokken organisatie heeft gevraagd doch nog geen verbintenis is
aangegaan met deze laatste.

56. Gelet op het voorgaande is de Geschillenkamer van oordeel dat de voorliggende praktijk,
waarbij de klanten van de NV Informex - zijnde autoverzekeraars en bijgevolg handelend in
een privaatrechtelijke hoedanigheid - persoonsgegevens verkregen “via de Kruispuntbank van
de voertuigen” 12 verwerken met oog op het opstellen van individueel prijsaanbod inderdaad
als direct marketing dient te worden beschouwd en aldus onder het verbod van artikel 25 KB
KBV valt.

57. De betrokken verwerking van de persoonsgegevens uit de Kruispuntbank betreft namelijk:
i. “een gevraagde of ongevraagde communicatie”, in casu met name het overmaken van
een gepersonaliseerde prijsopgave aan potentiële verzekeringnemers;
ii. “afkomstig van een organisatie die handelt uit commerciële doeleinden”, met name de
verzekeringsmaatschappij, klant van de NV Informex;
iii. “gericht op de verkoop van producten of diensten”, in casu de verkoop van een
voertuigverzekering;
iv. “die rechtstreeks is gericht aan één of meer natuurlijke personen”, met name de
betrokkenen die aanvrager zijn van een prijsaanbod voor een verzekering; en
v. “die een verwerking van persoonsgegevens met zich meebrengt”, in casu de
kentekenplaat als identificatiesleutel voor het ophalen van de gegevens uit de
Kruispuntbank van de voertuigen, alsook de identificatiegegevens van de betrokkenen.

58. De Geschillenkamer is van oordeel dat het feit dat de verwerking van de desbetreffende
gegevens door de klanten van de NV Informex gebeurt op grond van de toestemming van
betrokkenen in casu niet tot gevolg heeft dat deze verwerking rechtsgeldig is, aangezien het

12
Cf. artikel 25 KB KBV.

Beslissing ten gronde 34/2020 - 22/35

gebruik van de betrokken persoonsgegevens voor dit verwerkingsdoeleinde - m.n. direct
marketing - absoluut en expliciet bij de wet (artikel 25 KB KBV) wordt verboden. De
toestemming kan immers nooit rechtsgeldig zijn indien zij betrekking heeft op een verwerking
die wettelijk is verboden.

59. Bovendien vereist deze praktijk de verwerking van persoonsgegevens door diverse actoren,
waaronder eveneens de NV Informex, die – op vraag van zijn klanten en op basis van de
kentekenplaat als identificatiesleutel – de nodige gegevens uit de Kruispuntbank van de
voertuigen opvraagt. In casu verwerkt de NV Informex deze gegevens met als doeleinde het
toelaten aan zijn klanten een gepersonaliseerd prijsaanbod voor een voertuigverzekering op
te stellen. Voornoemd doeleinde komt, zoals hierboven vermeld, niet voor in de limitatieve
lijst van doeleinden van artikel 4, 4° KB KBV, waardoor dergelijke verwerking een schending
inhoudt van het beginsel van de doelbinding van artikel 5.1 b) AVG in hoofde van de NV
Informex.

3.1.4. Conclusie

60. De Geschillenkamer wijst er, wat betreft de vaststellingen van de Inspectiedienst
betreffende de rechtmatigheid van de verwerking en de doelbinding, op dat een
verwerking niet rechtmatig plaatsvindt wanneer de rechtmatigheidsgrond op basis
waarvan een verwerkingsverantwoordelijke bepaalde persoonsgegevens verwerkt, wordt
aangewend voor de verwerking van die persoonsgegevens voor andere doeleinden dan
deze die limitatief worden bepaald door de gehanteerde rechtmatigheidsgrond.

61. In casu is de Geschillenkamer van oordeel dat de verwerking waarbij persoonsgegevens
uit de Kruispuntbank van de voertuigen door de NV Informex worden overgemaakt aan
haar klanten teneinde deze laatsten toe te laten gepersonaliseerde prijsopgaven op te
stellen, niet onder de doeleinden van algemeen belang van artikel 4 KB KBV kan worden
gebracht en bijgevolg een schending inhoudt van de artikelen 5.1 b) (beginsel van de
doelbinding) en 6.1 AVG (rechtmatigheid van de verwerking). Deze verwerking betreft
immers de commerciële relatie tussen de verzekeraars en hun (potentiële) klanten en is
niet noodzakelijk voor de vervulling van de aan de NV Informex door het KB KBV
toegewezen taken van algemeen belang.

62. Bovendien wijst de Geschillenkamer er op dat uit kracht van artikel 25 KB KBV via de
Kruispuntbank van de voertuigen verkregen persoonsgegevens niet mogen worden
gebruikt voor direct marketingdoeleinden. De voorliggende praktijk, waarbij de klanten van

Beslissing ten gronde 34/2020 - 23/35

de NV Informex - zijnde autoverzekeraars handelend in een privaatrechtelijke hoedanigheid -
persoonsgegevens verkregen “via de Kruispuntbank van de voertuigen” 13 verwerken met oog
op het opstellen van individueel prijsaanbod, dient inderdaad als direct marketing te worden
beschouwd en valt aldus onder het verbod van artikel 25 KB KBV.

63. De Geschillenkamer preciseert dat de AVG de betrokken verwerking door de
verzekeringsmaatschappijen op grond van de toestemming van de betrokkenen als
dusdanig niet in de weg staat, onder de voorwaarden gesteld in de AVG, doch dat het
huidige wettelijk kader - met name het KB KBV - deze verwerking niet toelaat. Indien de
wetgever evenwel van oordeel zou zijn dat deze praktijk het algemeen belang dient, dient
hiertoe desgevallend de wettelijke regeling te worden aangepast. De Geschillenkamer
geeft de verweerder in verband daarmee een ruimere termijn dan gebruikelijk (namelijk
zes maanden) om de verwerking in overeenstemming te brengen.

64. De Geschillenkamer benadrukt dat de verweerder er, in zijn hoedanigheid van beheerder
van de Kruispuntbank van de voertuigen en verwerkingsverantwoordelijke van de hierin
vervatte persoonsgegevens, dient over te waken dat deze conform de beginselen inzake
de verwerking van persoonsgegevens en overeenkomstig het geldend wettelijk kader
worden verwerkt.

65. De Geschillenkamer stelt evenwel vast op basis van de stukken van het dossier dat de
verweerder in casu te goeder trouw en conform het advies van de gewezen CBPL
handelde, en in zijn hoedanigheid van verwerkingsverantwoordelijke eveneens toezicht
uitoefende op de naleving van dit advies. De Geschillenkamer is dan ook van oordeel dat
overeenkomstig het rechtszekerheidsbeginsel het door het advies van de CBPL gewekt
vertrouwen niet mag worden beschaamd 14 en bijgevolg de verweerder voor het verleden niet
kan worden gesanctioneerd voor de schending van het beginsel van doelbinding ex artikel 5.1
b) AVG en de vereiste van de rechtmatigheid van de verwerking van artikel 6.1 AVG.

66. De Geschillenkamer is bijgevolg van oordeel dat een inbreuk op de artikelen 5.1 b)
en 6.1 AVG kan worden vastgesteld doch dat – gelet op het rechtszekerheidsbeginsel en
het door het advies van de CBPL d.d. 11 mei 2017 gewekt vertrouwen in hoofde van de
verweerder – geen sanctie kan worden opgelegd aan deze laatste.

13
Cf. artikel 25 KB KBV.
A. MAST, J. DUJARDIN, M. VAN DAMME, J. VANDE LANOTTE, Overzicht van het Belgisch administratief recht, Mechelen,
14

Wolters Kluwer, 2014, 53-54.

Beslissing ten gronde 34/2020 - 24/35

3.1.5. De beraadslagingen van het Informatieveiligheidscomité

67. Naar aanleiding van de vaststellingen van de Inspectiedienst in casu betreffende de
rechtmatigheid van de verwerking en de doelbinding, legde de verweerder een aantal
beraadslagingen van het Informatieveiligheidscomité (hierna “IVC”) voor aan de
Gegevensbeschermingsautoriteit met oog op de toetsing ervan aan de hogere
rechtsnormen. 15 Door middel van deze aanvraag beoogt de verweerder rechtszekerheid te
bekomen en te weten te komen of de door de betroffen beraadslagingen toegelaten
mededeling van persoonsgegevens conform de AVG is. De verweerder verzocht de
Gegevensbeschermingsautoriteit in dit verband eveneens te bevestigen dat hij, ondanks deze
beraadslagingen tot toelating van de doorgifte van persoonsgegevens van het IVC, in zijn
hoedanigheid van verwerkingsverantwoordelijke alsnog kan besluiten om niet over te gaan
tot de doorgifte van deze gegevens.

68. De bovenvermelde beraadslagingen zijn voor onderhavige zaak meer bepaald van belang
aangezien het IVC door middel hiervan de mededeling toelaat van gegevens uit de
Kruispuntbank van de voertuigen – met name de kentekenplaat - aan de aanvragende
verwerkingsverantwoordelijken voor verwerkingsdoeleinden met een commercieel aspect. 16
Dit ondanks het gemotiveerd standpunt van de verweerder terzake, die in beide gevallen
oordeelde dat dergelijke verwerking niet conform de beginselen van de AVG zou zijn. De
verweerder stelde in het eerste geval meer bepaald dat geen geldige toelaatbaarheidsgrond
voorhanden is aangezien de verwerking van de kentekenplaat niet noodzakelijk is om te
voldoen aan een wettelijke verplichting die op de betrokken verwerkingsverantwoordelijke
rust en deze evenmin noodzakelijk is voor de vervulling van een taak van algemeen belang
opgedragen aan diezelfde verwerkingsverantwoordelijke. 17 In het tweede geval oordeelde de
verweerder dat de verwerking van de kentekenplaat niet conform het beginsel van minimale
gegevensverwerking van artikel 5.1 c) AVG is, aangezien het vooropgestelde doeleinde kan
worden verwezenlijkt door middel van de verwerking van het chassisnummer. 18 19
69. De inhoud van deze beraadslagingen van het IVC creëert met andere woorden mogelijk
verwachtingen ten aanzien van de verweerder die ingaan tegen het standpunt dat deze – in
zijn hoedanigheid van verwerkingsverantwoordelijke van de betrokken persoonsgegevens en

15
Stukken 32A en 32B dossier verweerder.
16
Beraadslaging nr. 19/027 van 3 september 2019, gewijzigd op 14 januari 2020 en Beraadslaging nr. 20/005 van 4 februari
2020, beiden van de Kamer federale overheid van het IVC.
17
Beraadslaging nr. 19/027, randnr. 5.
18
Beraadslaging nr. 20/005, randnr. 6.
19
De Geschillenkamer benadrukt evenwel dat er in het kader van het voorliggende dossier waar Informex NV persoonsgegevens
doorgeeft uit de Kruispuntbank van de voertuigen aan verzekeringsondernemingen, geen beraadslaging is verleend door het
IVC.

Beslissing ten gronde 34/2020 - 25/35

op grond van het in de AVG vastgelegde verantwoordingsbeginsel – initieel innam betreffende
de betrokken mededelingen van persoonsgegevens.

70. Binnen het huidig wettelijk kader, en meer bepaald op grond van artikel 35/1 van de wet van
15 augustus 2012 houdende oprichting en organisatie van een federale dienstenintegrator en
de wet van 5 september 2018 tot oprichting van het Informatieveiligheidscomité, is het IVC
met name bevoegd beraadslagingen te verlenen betreffende bepaalde mededelingen van
persoonsgegevens, waaronder eveneens de mededeling van gegevens vervat in de
Kruispuntbank van de voertuigen. 20

71. Artikel 35/1, § 4, van de Wet Federale Dienstenintegrator preciseert dat “de beraadslagingen
van het informatieveiligheidscomité met redenen [worden] omkleed en een algemene
bindende draagwijdte [hebben] tussen partijen en jegens derden”. 21

72. In de voorbereidende werken van de wet van 5 september 2018 wordt gesteld dat “het
cruciaal [is] dat beslissingen met algemene bindende draagwijdte kunnen worden
uitgevaardigd in de vorm van beraadslagingen [zodat] alle actoren rechtszekerheid [hebben]
omtrent het feit dat een gegevensdeling juridisch toegelaten is indien ze de voorwaarden
vervat in de beraadslaging correct naleven” 22.

73. De Geschillenkamer begrijpt het belang van het verkrijgen van rechtszekerheid door actoren
voorafgaand aan een verwerking van persoonsgegevens. Zij is echter van oordeel dat het
uitvaardigen van bindende beslissingen betreffende de verwerking van persoonsgegevens in
strijd is met de filosofie en de bepalingen van de AVG. Dit is in het bijzonder van belang
aangezien deze beslissingen rechtstreeks gevolgen hebben voor de rechten van derden op de
bescherming van hun persoonsgegevens.

74. In het bijzonder wijst de Geschillenkamer op de door de AVG geïntroduceerde
verantwoordingsplicht vervat in artikel 5.2 juncto artikel 24 AVG, dat één van de centrale
pijlers van de AVG vormt en volgens dewelke verwerkingsverantwoordelijken dienen aan te
kunnen tonen dat zij persoonsgegevens verwerken conform de beginselen inzake de
verwerking van persoonsgegevens vervat in artikel 5.1 AVG.

75. De Geschillenkamer benadrukt dat een dergelijk systeem bijgevolg een ambigue situatie
creëert voor verwerkingsverantwoordelijken, zoals de verweerder in casu, van wie, enerzijds,

20
Wet van 15 augustus 2012 houdende oprichting en organisatie van een federale dienstenintegrator, BS 29 augustus 2012.
21
Eigen onderlijning.
22
Cf. Parl. St. Kamer, 2017-2018, nr. 3185/001, p. 6; eigen onderlijning.

Beslissing ten gronde 34/2020 - 26/35

wordt verwacht toegang te verlenen tot de betroffen persoonsgegevens door de
beraadslagingen verleend door het IVC, doch anderzijds, op grond van het
verantwoordingsbeginsel ertoe gehouden is zelf proactief actie te ondernemen teneinde te
verzekeren dat de beginselen inzake de verwerking van persoonsgegevens werden
gerespecteerd en dit ook moeten kunnen aantonen 23. Eén en ander houdt een risico tot
deresponsabilisering in van de verwerkingsverantwoordelijken, hetgeen onverenigbaar is met
de beginselen van de AVG en in strijd is met artikelen 5.2 juncto 24 AVG. 24

76. Het is niet aan de Geschillenkamer om de rol van het IVC ter discussie te stellen - dit is aan
de wetgever -, noch om de opportuniteit van oordelen van een orgaan als het IVC voor de
praktijk in twijfel te trekken. Echter, de Geschillenkamer stelt vast dat de beraadslagingen van
het IVC op zichzelf geen grondslag kunnen vormen voor de verwerking. Uiteraard hebben
deze beraadslagingen binnen het huidige wettelijke kader een belangrijke betekenis, gelet op
een mogelijk beroep van verwerkingsverantwoordelijken op het vertrouwensbeginsel.

77. De Geschillenkamer onderstreept daarbij dat de aflevering van een beraadslaging door het
IVC voor de betrokken verwerkingsverantwoordelijke nooit een verplichting tot mededeling
van persoonsgegevens mag impliceren. Deze laatste behoudt immers de volledige vrijheid om
terzake zelf een opportuniteitsoordeel te vellen. 25 26

78. Verder benadrukt de Geschillenkamer dat na een beraadslaging van het IVC alle beginselen
van de AVG uiteraard van toepassing blijven, waaronder het verantwoordingsbeginsel
(artikelen 5.2 juncto 24 AVG). Wel kan het oordeel van het IVC een belangrijke rol spelen bij
de invulling van de verantwoordingsplicht door een verwerkingsverantwoordelijke. Immers,
bij de beoordeling van de vraag of een verwerkingsverantwoordelijke voldoet aan de
verantwoordingsplicht in een concreet geval zal de Geschillenkamer uitgaan van de
presumptie dat op een oordeel van een deskundig overheidsorgaan zoals het IVC mag worden
vertrouwd.

25
Advies nr. 34/2018 van 11 april 2018 van de Commissie voor de Bescherming van de Persoonlijke Levenssfeer (CBPL)
betreffende het voorontwerp van wet tot oprichting van het informatieveiligheidscomité en tot wijziging van diverse wetten
betreffende de uitvoering van Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer
van die gegevens en tot intrekking van Richtlijn 95/46/EG (CO-A-2018-017), randnummer 13.
26
Memorie van toelichting bij artikel 18 van de wet van 5 september 2018 tot oprichting van het Informatieveiligheidscomité.

Beslissing ten gronde 34/2020 - 27/35

3.2. Wat betreft de vaststellingen betreffende de naleving van de verantwoordelijkheid van de
verwerkingsverantwoordelijke (artikel 24 AVG), de beveiliging van de verwerking (artikel 32
AVG) en de melding van een inbreuk in verband met persoonsgegevens aan de
toezichthoudende overheid (artikel 33 AVG)

79. In zijn verslag stelt de Inspectiedienst dat “uit de stukken 4, 5 en 13 blijkt dat [de verweerder]
het schrijven van de Commissie voor de Bescherming van de Persoonlijke Levenssfeer van
11/05/2017 (…) gebruikt om zijn standpunt te onderbouwen dat (1) het feit dat Informex NV
ervoor zorgt dat verzekeringsondernemingen gebruik kunnen maken van bepaalde
persoonsgegevens afkomstig uit de Kruispuntbank van de voertuigen zodat die
verzekeringsondernemingen een gepersonaliseerd prijsaanbod kunnen bezorgen aan
betrokkenen gerechtvaardigd is en (2) dat Informex NV maatregelen moet nemen om de ter
zake betrokken persoonsgegevens beter te beveiligen”. De Inspectiedienst stelt verder dat de
verweerder “niet [aantoont] dat [hij] gepaste beveiligingsmaatregelen nam en melding deed
bij de GBA van een inbreuk in verband met persoonsgegevens”.

80. Met betrekking tot deze tenlastelegging stelt de verweerder in zijn conclusie van antwoord dat
zijn oorspronkelijke stellingname er in bestond dat de zogenaamde “IRES-activiteiten” van de
NV Informex niet ressorteerden onder de vrijstelling van machtiging conform artikel 4 juncto
artikel 5 KB KBV, en wijst hij er op dat hij dit standpunt aanpaste naar aanleiding van het
advies van de CBPL d.d. 11 mei 2017.

81. De verweerder voegt hier aan toe dat deze er, voorafgaand aan het verschaffen van de
toegang tot de Kruispuntbank van de voertuigen, op toezag dat de door de CBPL opgelegde
voorwaarden door de NV Informex werden nageleefd (zie supra). 27

82. Tot slot stelt de verweerder dat geen sprake kan zijn van een ongeoorloofde verstrekking van
gegevens en geen inbreuk in verband met persoonsgegevens kan hebben plaatsvonden
aangezien hij rechtmatig mocht vertrouwen op het hierboven vermelde advies van de CBPL.

83. De Geschillenkamer stelt vast op grond van de stukken van het dossier dat de verweerder
handelde conform het door de CBPL aan de NV Informex op 11 mei 2017 verleende advies.
De verweerder voegt bij zijn conclusie van antwoord immers de briefwisseling met de NV
Informex waarbij de verweerder deze laatste in zijn hoedanigheid van

27
Zie supra.

Beslissing ten gronde 34/2020 - 28/35

verwerkingsverantwoordelijke verzoekt alle informatie en documentatie over te maken
betreffende de verwerking van de kentekenplaat in het kader van de IRES-activiteiten van de
NV Informex.

84. Hoewel de Geschillenkamer oordeelt dat de betrokken verwerking een inbreuk in verband met
persoonsgegevens in de zin van artikel 33 AVG inhoudt, herhaalt zij wat dit betreft dat
overeenkomstig het rechtszekerheidsbeginsel het door het advies van de CBPL gewekt
vertrouwen niet mag worden beschaamd 28 en de verweerder bijgevolg voor het verleden niet
kan worden gesanctioneerd voor het verschaffen van de toegang tot de Kruispuntbank van
de voertuigen aan de NV Informex in het kader van de zogenaamde “IRES-activiteiten”.

85. De Geschillenkamer is bijgevolg van oordeel dat een inbreuk op de artikelen 24, 32 en
33 AVG kan worden vastgesteld doch dat – gelet op het rechtszekerheidsbeginsel en het
door het advies van de CBPL d.d. 11 mei 2017 gewekt vertrouwen in hoofde van de
verweerder – geen sanctie kan worden opgelegd aan deze laatste.

3.3. Wat betreft de vaststellingen betreffende de aanwijzing van de functionaris voor
gegevensbescherming (artikel 37 AVG) en diens positie (artikel 38 AVG)

86. In zijn verslag stelt de Inspectiedienst vast dat “[de verweerder] niet [aantoonde] hoe de
keuze voor de heer Y om de functie van functionaris voor gegevensbescherming uit te oefenen
concreet wordt verantwoord” en dat “[de verweerder] geen kopie van documenten
[voorlegde] die aantonen dat de heer Y werd aangemeld bij de GBA als functionaris voor
gegevensbescherming”. De Inspectiedienst stelt tot slot dat “[de verweerder] niet aantoont
dat de heer Y als functionaris voor gegevensbescherming naar behoren en tijdig wordt
betrokken bij alle aangelegenheden die verband houden met de bescherming van
persoonsgegevens en dat hij zijn opdrachten onafhankelijk kan uitvoeren”.

87. Met betrekking tot deze tenlastelegging stelt de verweerder in zijn conclusie van antwoord dat
de keuze voor de heer Y gebeurde op grond van zijn grondige kennis van de organisatie, zijn
kennis van ICT alsook zijn sterk analytisch en synthetisch denken. De verweerder wijst er
verder op dat de heer Y de opleiding tot “certified Data Protection Officer” succesvol doorliep
en hierbij de ISO 27005 (‘Risk Manager’) en ISO 27001 (‘Lead Implementer’) behaalde en
voegt hiervan het bewijs bij. 29

A. MAST, J. DUJARDIN, M. VAN DAMME, J. VANDE LANOTTE, Overzicht van het Belgisch administratief recht, Mechelen,
28

Wolters Kluwer, 2014, 53-54.
29
Stuk 23 dossier verweerder.

Beslissing ten gronde 34/2020 - 29/35

88. Wat betreft de registratie van de heer Y als functionaris voor gegevensbescherming bij de
Gegevensbeschermingsautoriteit, stelt de verweerder dat deze op 24 september 2019 werd
geïnformeerd in verband met het feit dat klaarblijkelijk door een technisch probleem iets was
misgelopen bij de registratie van zijn functionaris gegevensbescherming aangezien de
Inspectiedienst diens registratie niet kon terugvinden in de databank van de
Gegevensbeschermingsautoriteit. De verweerder stelt dat deze na kennisname van dit feit de
online registratie opnieuw uitvoerde en hiervan een bevestiging ontving.

89. De Geschillenkamer wijst erop dat op de verweerder - gelet op het feit dat deze een
overheidsinstantie is - op grond van artikel 37.1, a) AVG de verplichting rust een functionaris
voor gegevensbescherming aan te duiden die dient te voldoen aan de in artikelen 37 tot 39
AVG opgesomde vereisten.

90. De Geschillenkamer stelt vast op basis van de overgemaakte stukken dat de door de
verweerder aangeduide functionaris voor gegevensbescherming overeenkomstig artikel 37.5
AVG werd aangewezen op grond van zijn professionele kwaliteiten en zijn deskundigheid op
het gebied van de wetgeving en praktijk inzake gegevensbescherming. Dit blijkt meer bepaald
uit de bij de conclusie van antwoord gevoegde bewijsstukken betreffende de opleiding tot
“certified DPO” en de certificaten behaald door betrokkene.

91. De Geschillenkamer is van oordeel dat geen inbreuk op de artikelen 37 en 38 AVG kan
worden vastgesteld.

3.4. Wat betreft de vaststellingen betreffende de naleving van de medewerkingsplicht (artikel 31
AVG en artikel 66, §2 WOG)

92. In zijn verslag stelt de Inspectiedienst wat betreft de naleving door de verweerder van de
medewerkingsplicht ex artikelen 31 AVG en 66, § 2 WOG ten eerste dat deze laatste niet
binnen de opgelegde termijn van één maand antwoordde op de door haar gestelde vragen.
Ten tweede stelt de Inspectiedienst dat de verweerder geen kopie voorlegde van de
documenten die de keuze voor de heer Y als functionaris voor gegevensbescherming
verantwoorden.

93. Met betrekking tot het eerste luik van deze tenlastelegging stelt de verweerder in zijn
conclusie van antwoord dat deze niet-naleving van de door de Inspectiedienst opgelegde

Beslissing ten gronde 34/2020 - 30/35

termijn werd veroorzaakt door een overmachtssituatie, met name het overlijden van een
familielid van de medewerker verantwoordelijk voor het beantwoorden van deze vragen en
de korte afwezigheid van deze laatste ten gevolge hiervan. De verweerder wijst er verder op
dat dit door een andere medewerker op 2 juli 2019 (m.n. vier dagen voor het verstrijken van
de opgelegde termijn) werd gemeld aan Gegevensbeschermingsautoriteit en dat werd
aangekondigd dat de antwoordbrief bijgevolg met enkele dagen vertraging zou worden
verstuurd. De verweerder voegt hier tot slot aan toe dat het antwoord uiteindelijk slechts drie
dagen na het verstrijken van de antwoordtermijn werd overgemaakt.

94. De Geschillenkamer oordeelt dat, wat betreft de eerste tenlastelegging, de door de verweerder
ingeroepen overmachtssituatie een vertraging van drie dagen verantwoordt en dat dit niet
kan worden beschouwd als een inbreuk op de medewerkingsplicht in de zin van artikel 31
AVG in hoofde van deze laatste.

95. Met betrekking tot het tweede luik van deze tenlastelegging dient erop te worden gewezen
dat de verweerder als bijlage bij zijn conclusie van antwoord een kopie overmaakte van de
documenten die de keuze voor de heer Y als functionaris voor gegevensbescherming staven.
Het betreft meer bepaald de functieomschrijving voor de positie alsook de door betrokkene
behaalde ISO-certificaten. 30

96. De Geschillenkamer is van oordeel dat geen inbreuk op de artikelen 31 AVG en 66.2
WOG kan worden vastgesteld.

3.5. Wat betreft de vaststellingen betreffende de naleving van de transparantieverplichtingen
(artikel 12 AVG) en de te verstrekken informatie (artikelen 13 en 14 AVG)

97. In zijn verslag stelt de Inspectiedienst wat betreft de naleving van de
transparantieverplichtingen en de op grond van artikel 13 AVG te verstrekken informatie vast
dat een aantal elementen die worden vereist door de AVG niet worden vermeld in de
privacyverklaring van de verweerder, met name:
- “de vermelding van de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn
bestemd (zoals verwoord in de zin “De doeleinden waarvoor we uw persoonsgegevens
verwerken, hebben hoofdzakelijk betrekking op de naleving van de wettelijke
verplichtingen en op de uitoefening van onze opdrachten van openbaar belang of die
verband houden met de uitoefening van het openbaar gezag”), alsook de rechtsgrond

30
Stukken 23 en 24 dossier verweerder.

Beslissing ten gronde 34/2020 - 31/35

voor de verwerking (zoals verwoord als “de geldende wetgeving”) [zijn] algemeen en
vaag verwoord zodat deze niet transparant en toegankelijk zijn voor de betrokkenen;
- de vermelding van de ontvangers van de persoonsgegevens (zoals verwoord als
“Administratieve diensten van de staat”, “Landen waarmee België conventies of
akkoorden heeft afgesloten”, “[…]” en “Derden”) is algemeen en vaag verwoord zodat
zonder bijkomende informatie de lijst van ontvangers niet duidelijk is voor de
betrokkenen; (…)”

98. De verweerder stelt in zijn conclusie van antwoord en tijdens de hoorzitting d.d. 4 mei 2020
met betrekking tot deze tenlastelegging dat tijdens de procedure reeds een eerste correctie
werd doorgevoerd, doch dat de nieuwe versie van de privacyverklaring nog in ontwerp is. De
verweerder voegt hieraan toe dat dit geagendeerd was op een vergadering van het
directiecomité die niet kon doorgaan omwille van de coronacrisis en stelt dat dit eerstdaags
geagendeerd staat.

99. De Geschillenkamer wijst erop dat overeenkomstig artikel 12.1 AVG de
verwerkingsverantwoordelijke “passende maatregelen [dient te nemen] opdat de betrokkene
de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en
artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte,
transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige
taal ontvangt (…)”.

100. Overwegingen 58 en 60 AVG preciseren dat “overeenkomstig de beginselen van behoorlijke
en transparante verwerking de betrokkene op de hoogte [moet worden] gesteld van het feit
dat er verwerking plaatsvindt en van de doeleinden ervan” en dat “overeenkomstig het
transparantiebeginsel informatie die bestemd is voor het publiek of voor de betrokkene
beknopt, eenvoudig, toegankelijk en begrijpelijk [moet] zijn (…)”.

101. De Geschillenkamer stelt ten eerste vast dat de privacyverklaring van de verweerder
onvolledig is wat betreft de door deze laatste verzamelde en verwerkte persoonsgegevens.
Onder punt 6 van zijn privacyverklaring stelt de verweerder immers dat deze
“persoonsgegevens van diverse aard” kan verwerken en dat het “met name [kan] gaan om
identificatiegegevens (naam, voornaam, geboortedatum, ...), contactgegevens (adres,
telefoonnummer, ...)”. Verderop in punt 6 van de privacyverklaring wordt nogmaals herhaald:
“De categorieën van persoonsgegevens die de FOD Mobiliteit en Vervoer verwerkt, zijn meer
bepaald:

• identificatiegegevens (naam, voornaam, geboortedatum, …)

Beslissing ten gronde 34/2020 - 32/35

• contactgegevens (adres, telefoonnummer, …)
• [...]”

102. Indien en voor zover persoonsgegevens worden verwerkt die niet van de betrokkenen
werden verkregen, dienen overeenkomstig artikel 14.1, d) AVG echter de betrokken
categorieën van persoonsgegevens te worden gepreciseerd. Meer algemeen kan een
privacyverklaring geen beletseltekens bevatten aangezien dit wijst op de onnauwkeurigheid
en onvolledigheid ervan.

103. Ten tweede dient te worden vastgesteld dat de privacyverklaring niet op voldoende
gedetailleerde wijze de rechtmatigheidsgrond van artikel 6.1 AVG vermeldt op basis waarvan
de verweerder de door hem verzamelde persoonsgegevens verwerkt.

104. Hiermee samenhangend stelt de Geschillenkamer ten derde vast dat de verweerder eveneens
op onvoldoende precieze wijze de verwerkingsdoeleinden omschrijft waarvoor de
persoonsgegevens worden verzameld. Onder punt 6, §2 van de privacyverklaring lijken de
rechtmatigheidsgrond en de doeleinden van de verwerking immers door elkaar te worden
gehaald en wordt gesteld: “De doeleinden waarvoor we uw persoonsgegevens verwerken,
hebben hoofdzakelijk betrekking op de naleving van wettelijke verplichtingen en op de
uitoefening van onze opdrachten van openbaar belang of die verband houden met de
uitoefening van het openbaar gezag”.

105. De aldus aan betrokkenen verstrekte informatie is in te beknopte en vage bewoordingen
gesteld en laat deze laatsten toe noch de rechtmatigheidsgrond noch de doeleinden van de
verwerking afdoende te begrijpen.

106. Overeenkomstig de Richtsnoeren inzake transparantie opgesteld door de Groep 29 dient de
informatie verstrekt op grond van artikelen 13 en/of 14 AVG concreet en definitief te zijn en
mag deze geen abstracte of ambivalente formuleringen bevatten. De Groep 29 stelt meer
bepaald dat “constructies of woorden als “kan”, “zou kunnen”, “bepaalde”, “vaak” en
“mogelijk” (…) moeten worden vermeden” en dat, “wanneer verwerkingsverantwoordelijken
ervoor kiezen om onbepaalde taal te gebruiken, ze in overeenstemming met het beginsel van
de verantwoordingsplicht moeten kunnen aantonen waarom het gebruik van dergelijke taal
niet kon worden vermeden en hoe de gebruikte taal de behoorlijkheid van de verwerking niet
ondergraaft”. 31 De Groep 29 benadrukt dat dit in het bijzonder geldt voor de doeleinden van
en de rechtsgrond voor de verwerking.

31
“Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679” vastgesteld op 29 november 2017 door de
Groep 29, p. 9-10.

Beslissing ten gronde 34/2020 - 33/35

107. Ten vierde dient te worden vastgesteld dat eveneens de bewaartermijn van de
persoonsgegevens onvoldoende wordt gepreciseerd teneinde te voldoen aan de vereisten van
artikel 13.2 en 14.2, a) AVG. Punt 6, §3 van de privacyverklaring stelt immers enkel dat de
betrokken persoonsgegevens “niet langer worden bewaard dan nodig is voor de doeleinden
waarvoor ze worden verwerkt”. Uit de Richtsnoeren van de Groep 29 blijkt evenwel dat
dergelijke formulering niet volstaat. De Groep 29 wijst er in dit verband op dat de (vermelding
van de) bewaartermijn verband houdt met het beginsel van minimale gegevensverwerking
vervat in artikel 5.1, c) AVG alsook de vereiste van opslagbeperking van artikel 5.1, e) AVG.
Ze preciseert dat “de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden
gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig
moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan
beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is”. 32

108. Ten vijfde stelt de Geschillenkamer vast dat de privacyverklaring van de verweerder geen
limitatieve lijst bevat van de (categorieën van) ontvangers van de door hem verzamelde
persoonsgegevens zoals vereist door artikelen 13.1 en 14.1, e) AVG. Punt 9 van de
privacyverklaring stelt wat dit betreft namelijk het volgende:

“Uw gegevens kunnen aan derden worden doorgegeven op basis van onze wettelijke en
reglementaire verplichtingen, maar ook in het kader van de uitoefening van onze opdrachten
van openbaar belang of de uitoefening van het openbaar gezag. (…)

In het kader van de uitvoering van zijn wettelijke opdrachten is [de verweerder] soms verplicht
uw persoonsgegevens te ontvangen of mee te delen, meer bepaald aan de volgende
ontvangers:

• Uzelf
• Andere ontvangers afhankelijk van de wettelijke verplichtingen en toelatingen voor
informatie en informatie-uitwisseling, zoals:
o Andere diensten van de FOD
o Administratieve diensten van de staat
o Landen waarmee België conventies of akkoorden heeft afgesloten
o […]
• Derden
• […]”

32
“Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679” vastgesteld op 29 november 2017 door de
Groep 29, p. 45.

Beslissing ten gronde 34/2020 - 34/35

109. Ook op dit punt bevat de privacyverklaring voorwaardelijke bewoordingen en beletseltekens,
wat erop wijst dat de betrokkenen onvolledig geïnformeerd worden betreffende de eventuele
doorgifte van hun persoonsgegevens.

110. De Geschillenkamer benadrukt het belang van de naleving van de transparantieverplichtingen
in hoofde van een verwerkingsverantwoordelijke gelet op de impact hiervan op de uitoefening
van de rechten van de betrokkenen vervat in de artikelen 15 tot en met 22 AVG, zoals
geïllustreerd door de rechtspraak van het Hof van Justitie. 33

111. De Geschillenkamer wijst er daarenboven op dat de verweerder als openbare overheid een
voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving inzake de bescherming
van persoonsgegevens en bovendien een grote hoeveelheid persoonsgegevens verwerkt en
dat deze er bijgevolg overeenkomstig het beginsel “lead by example” te allen tijde dient over
te waken te handelen conform deze wetgeving en in het bijzonder de hierboven genoemde
essentiële bepalingen van de AVG betreffende transparantie. 34

112. De Geschillenkamer is om de hierboven uiteengezette redenen van oordeel dat een inbreuk
op de artikelen 12, 13 en 14 AVG dient te worden vastgesteld.

3.6. Publicatie van de beslissing

113. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing overeenkomstig artikel 95, §1, 8° WOG gepubliceerd
op de website van de Gegevensbeschermingsautoriteit met vermelding van de
identificatiegegevens van de verweerder 35, en dit omwille van de specificiteit van onderhavige
beslissing – die ertoe leidt dat zelfs in geval van weglating van de identificatiegegevens de
heridentificatie onvermijdelijk is – alsook het algemeen belang van deze beslissing.

33
HvJEU 1 oktober 2015, Bara, C-201/14.
34
Gegevensbeschermingsautoriteit, “Strategisch Plan 2020-2025”,
https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/GBA_Strategisch_Plan_28012020.p
df, p. 22.
35
Evenwel met weglating van de naam van de functionaris voor gegevensbescherming van de verweerder.

Beslissing ten gronde 34/2020 - 35/35

OM DEZE REDENEN,

beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging:

- dat het gebruik van persoonsgegevens verkregen via de Kruispuntbank van de voertuigen door
klanten van de NV Informex, met name verzekeringsmaatschappijen, met oog op het opstellen
van gepersonaliseerde prijsopgaven een schending inhoudt van artikelen 5.1 b) en 6.1 AVG
alsook artikel 25 van het Koninklijk besluit van 8 juli 2013 ter uitvoering van de wet van
19 mei 2010 houdende oprichting van de Kruispuntbank van de voertuigen. De Geschillenkamer
gelast de verweerder bijgevolg op grond van artikel 58.2, d) AVG en artikel 100, §1, 9° WOG,
in zijn hoedanigheid van verwerkingsverantwoordelijke van voornoemde persoonsgegevens, de
verwerking in overeenstemming te brengen binnen de zes maanden na de kennisgeving van deze
beslissing en de Geschillenkamer hierover binnen dezelfde termijn te informeren;
- op grond van artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de
verweerder wegens schending van artikelen 12, 13 en 14 AVG; en
- op grond van artikel 58.2, d) AVG en artikel 100, §1, 9° WOG de verweerder te gelasten de
informatie die zij omtrent haar verwerkingen verstrekt, in overeenstemming te brengen met
artikelen 12 tot en met 14 AVG binnen de drie maanden na de kennisgeving van deze beslissing
en de Geschillenkamer hierover binnen dezelfde termijn te informeren.

*
Tegen deze beslissing kan op grond van artikel 108, §1 WOG, beroep worden aangetekend binnen
een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.

(get.) Hielke Hijmans
Voorzitter van de Geschillenkamer