1/6
Geschillenkamer
Beslissing ten gronde 41/2022 van 18 maart 2022
Dossiernummer : DOS-2020-03145 / DOS-2020-3155 / DOS-2020-03156
Betreft : Oneigenlijk gebruik van e-mailadressen
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
.
De klagers: Mevr. X1, hierna “klager 1”; .
De heer X2, hierna “klager 2”; .
De heer X3, hierna “klager 3”;
De verweerder: Mevr. Y, hierna “de verweerder”
Beslissing ten gronde 41/2022 - 2/6
I. Feiten en procedure
1. Op 29 juni 2020 dienden de klagers elk afzonderlijk een klacht in bij de
Gegevensbeschermingsautoriteit tegen de verweerder.
Het voorwerp van de klacht betreft het gebruik door de verweerder, schepen van de gemeente (…),
van e-mailadressen verkregen via het algemeen mailadres van de gemeente (…) in het kader van
een oproep naar vrijwilligers voor de bedeling van mondmaskers, om de vrijwilligers persoonlijk te
contacteren via haar eigen professionele e-mailadres (…).
2. Op 6 juli 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de
artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, §1 WOG overgemaakt aan de
Geschillenkamer.
3. Op 23 september 2020 beslist de Geschillenkamer om de drie klachten te voegen, aangezien het
voorwerp van de klacht hetzelfde is. Op grond van artikel 95, §1, 1° en artikel 98 WOG wordt
eveneens beslist dat het dossier gereed is voor behandeling ten gronde en worden de betrokken
partijen in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in artikel
98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om
hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij
vastgelegd op 3 november 2020, deze voor de conclusie van repliek van de klagers op 24
november 2020 en deze voor de conclusie van repliek van de verweerder op 15 december 2020.
4. Op 23 september 2020 vraagt klager 3 een kopie van het dossier (art. 95, §2, 3° WOG), dewelke
hem werd overgemaakt op 21 oktober 2020.
5. Op 29 oktober 2020 stelt de verweerder dat verweermiddelen zullen worden ingediend en geeft te
kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig
artikel 98 WOG.
6. Op 2 november 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. Zij stelt dat zij als schepen van communicatie op 19 mei 2020 de toestemming kreeg
van het College van Burgemeester en Schepenen om de coördinatie en communicatie te doen van
de bedeling van de mondmaskers in samenspraak met een ambtenaar. De gegevens die de
vrijwilligers hebben opgegeven, werden volgens de verweerder enkel gebruikt voor het doel
waarvoor ze bestemd waren, namelijk de organisatie van de bedeling van mondmaskers. Zij heeft
zich gericht tot de vrijwilligers als schepen van communicatie via haar gemeentelijk e-mailadres en
uitsluitend voor het beoogde doel. De bestemmelingen van de e-mail werden in “bcc” geplaatst en
de e-mailadressen werden na de verzending van de uitnodiging gewist.
Beslissing ten gronde 41/2022 - 3/6
7. Op 23 november 2020 ontvangt de Geschillenkamer de conclusie van repliek van klagers 1 en 2
waarin wordt gesteld dat vooralsnog bewijs ontbreekt dat de verweerder de toestemming had
verkregen van het College van Burgemeester en Schepenen en de algemeen directeur. Klagers 1
en 2 voegen toe dat een beslissing van het College van Burgemeester en Schepenen niet strijdig
mag zijn met de geldende wetgeving. Diezelfde dag ontvangt de Geschillenkamer eveneens de
conclusie van repliek van klager 3. Deze bevat, in hoofdlijnen, de stelling dat de
mondmaskerbedeling ambtelijk werd toegewezen en niet aan een mandataris. De verweerder is
geen verwerker of verwerkingsverantwoordelijke. Er zou volgens klager 3 een onverenigbare
verdere verwerking hebben plaatsgevonden en hij verwijst daartoe naar artikel 75, 2° van de wet
van 30 juli 20181. Ook voor wat betreft de rechtsgrond baseert klager 3 zich op de wet van 30 juli
2018, inzonderheid artikel 74, 4°.
8. De verweerder heeft geen gebruik gemaakt van de mogelijkheid om nog een conclusie van repliek
in te dienen.
9. Op 13 januari 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden
op 10 maart 2022.
10. Op 10 maart 2022 worden klager 3 en de verweerder gehoord door de Geschillenkamer. Klagers 1
en 2 zijn niet verschenen.
11. Op 11 maart 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
12. Op 11 maart 2022 ontvangt de Geschillenkamer de reactie van de verweerder dat deze geen
opmerkingen heeft met betrekking tot de samenvatting van hetgeen op de hoorzitting is naar voor
gebracht.
13. Op 17 maart 2022 ontvangt de Geschillenkamer vanwege de klager de mededeling dat hij geen
opmerkingen heeft met betrekking tot het proces-verbaal. Wel brengt hij een precisering aan,
dewelke de Geschillenkamer beslist mee op te nemen in haar beraad.
II. Motivering
14. De klagers werpen op dat hun e-mailadressen aan de hand waarvan zij zich hadden gericht tot het
algemeen mailadres van de gemeente (…) teneinde zich op te geven als kandidaat-vrijwilliger voor
de bedeling van mondmaskers, werden aangewend door de verweerder om hen persoonlijk te
contacteren. De klagers voeren aan dat de verweerder geen toegang tot de betreffende e-
mailadressen mocht krijgen en deze persoonsgegevens aldus niet mocht verwerken, aangezien de
verweerder deze gegevens niet nodig had voor het uitvoeren van haar functie. De klagers steunen
1
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens
Beslissing ten gronde 41/2022 - 4/6
hun argument op de afwezigheid van enige beslissing van het schepencollege waarin de
verweerder een taak zou zijn toegewezen in het kader van de organisatie van de vrijwilligerswerking
bij de bedeling van mondmaskers.
15. De Geschillenkamer stelt vast dat de e-mailadressen van de klagers door henzelf uit eigen
beweging werden verstrekt als vrijwilligers binnen het kader van de door de gemeente
georganiseerde bedeling van mondmaskers. De gemeente moet worden aangemerkt als de
verwerkingsverantwoordelijke in de zin van artikel 4. 7) AVG 2, aangezien zij de instantie is die het
doel en de middelen voor de verwerking van de persoonsgegevens, in casu de betreffende e-
mailadressen, bepaalt. De rechtsgrond3 voor de gemeente om de persoonsgegevens van de
vrijwilligers – waaronder dus hun e-mailadressen – te verwerken, is de noodzaak om een taak van
algemeen belang te vervullen (artikel 6.1 e) AVG4), met name de noodzaak om maatregelen te
nemen met het oog op het voorkomen van de verdere verspreiding onder de burgers van
besmetting met het coronavirus. De feitelijke elementen van het dossier tonen niet aan dat de
verweerder de e-mailadressen van de vrijwilligers voor enig ander doeleinde dan hetwelk waarvoor
de gegevens werden ingezameld, heeft gebruikt. Er is geen enkele indicatie dat de verweerder zich
de persoonsgegevens van de vrijwilligers die zich per mail hebben aangemeld, heeft toegeëigend
voor enig ander doeleinde dan waarvoor deze werden ingezameld, met name de organisatie van de
mondmaskerbedeling. De verweerder heeft de vrijwilligers, waaronder dus ook de klagers, binnen
dit kader en dus met respect voor het doelbindingsbeginsel (artikel 5.1 b) AVG 5) gecontacteerd in
verband met de praktische organisatie van de mondmaskerbedeling. Zij deed dit bovendien vanop
2
Artikel 4.
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan
die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de
doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin
worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
33
In dit verband baseert klager 3 zich voor de rechtsgrond op artikel 74 van de wet van 30 juli 2018 betreffende de bescherming van
natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. De Geschillenkamer wijst erop dat deze bepaling enkel
van toepassing is op de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de
inlichtingen- en veiligheidsdiensten (zie Ondertitel I van Titel 3 van de wet van 30 juli 2018). Voorliggend dossier heeft echter geen
betrekking op de gegevensverwerking door inlichtingen- en veiligheidsdiensten. Dit geldt evenzeer voor de artikelen 75, 2° en 84 van
de wet van 30 juli 2018 waarop klager 3 zich beroept, zodat de bepalingen die klager 3 aanhaalt niet van toepassing zijn.
4
Artikel 6.
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening
van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
[…]
5
Artikel 5
1. Persoonsgegevens moeten:
[…]
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder
op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen
belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als
onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
Beslissing ten gronde 41/2022 - 5/6
haar professionele mailadres in haar hoedanigheid van schepen, dus geenszins vanop haar
persoonlijk privé-mailadres.
16. De verweerder heeft volledig gehandeld binnen het oorspronkelijke doeleinde waarvoor de
gegevens door de gemeente als verwerkingsverantwoordelijke werden verkregen en de betrokken
vrijwilligers gecontacteerd vanuit haar functie als schepen in opdracht van de gemeente, zoals ook
blijkt uit het zittingsverslag van het College van Burgemeester en Schepenen d.d. 19 mei 2020
waarin uitdrukkelijk is opgenomen dat de coördinatie van de mondmaskerbedeling wordt
toevertrouwd aan één ambtenaar “in samenwerking met schepen Y” (zijnde de verweerder).
17. Bovendien heeft de verweerder bij de verzending van de e-mail die het voorwerp vormt van de
klacht gebruik gemaakt van de functie “bcc” waardoor de beoogde bestemmelingen van de e-mail
in één enkele beweging worden bereikt zonder dat de mailadressen van eenieder zichtbaar zijn. De
gegevensverwerking was dus geenszins overmatig en gebeurde volledig in overeenstemming met
het beginsel van minimale gegevensverwerking (artikel 5.1 c) AVG 6).
18. Ook het beginsel van opslagbeperking (artikel 5.1 e) AVG 7) werd nageleefd. Immers, zodra het
doeleinde – de bedeling van mondmaskers – was bereikt, werden de e-mailadressen vernietigd. De
verweerder heeft verklaard dat deze vernietiging plaatsvond, hetwelk door de klager niet als
dusdanig wordt betwist. Daarenboven blijkt uit geen enkel stuk dat de verweerder de e-
mailadressen nog zou hebben gebruikt na de mondmaskerbedeling, zodat er geen twijfel is omtrent
het feit dat de gegevens wel degelijk werden vernietigd nadat het doel werd gerealiseerd.
19. Aldus besluit de Geschillenkamer dat de verweerder geen enkele inbreuk heeft gepleegd op
deAVG.
6
Artikel 5
1. Persoonsgegevens moeten:
[…]
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale
gegevensverwerking”);
7
Artikel 5
1. Persoonsgegevens moeten:
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor
de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor
zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of
statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische
en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen
(„opslagbeperking”);
Beslissing ten gronde 41/2022 - 6/6
III. Publicatie van de beslissing
20. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens
van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond
van artikel 100, §1, 1° WOG, de klacht te seponeren gelet op het feit dat er dienaangaande geen inbreuk
op de AVG kan worden vastgesteld.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(Sé). Hielke Hijmans
Voorzitter van de Geschillenkamer