1/16
Geschillenkamer
Beslissing ten gronde 46/2024 van 15 maart 2024
Dossiernummer : DOS-2019-05837
Betreft : Gebruik van transactiegegevens voor gepersonaliseerde kortingen
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, voorzitter, en de heren Frank De Smet en Romain Robert, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: De heer X, hierna “de klager”
De verweerder: Y BANK, vertegenwoordigd door meester Heidi Waem,
hierna “de verweerder”
Beslissing ten gronde 46/2024 — 2/16
I. Feiten en procedure
1. Op 10 januari 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen verweerder.
2. Het voorwerp van de klacht betreft het gebruik door de verweerder van persoonsgegevens,
waaronder de inhoud van betaaltransacties, voor het bouwen van modellen voor de
dienstverlening "Gepersonaliseerde Kortingen". De klager stelt dat de activering van de
dienst gepersonaliseerde kortingen weliswaar plaatsvindt nadat de betrokkene daartoe
toestemming heeft verleend, maar dat voor het bouwen van de modellen waarop deze
dienst is gebaseerd en waarvoor de verweerder persoonlijke, financiële gegevens van
klanten verwerkt, de verweerder zich beroept op diens gerechtvaardigd belang, terwijl
volgens de klager hiervoor de toestemming is vereist. De klager stelt dat hij zich heeft verzet
tegen “Informatie op maat” vanwege de verweerder. Echter, er wordt geen rekening
gehouden met zijn verzet tegen de verwerking van persoonsgegevens bij het bouwen van
modellen voor “Gepersonaliseerde kortingen”. Bovendien merkt de klager op dat aan het
verzet tegen het bouwen van modellen voor “Gepersonaliseerde kortingen” met zijn
gegevens slechts een maand later uitvoering wordt gegeven omwille van technisch-
organisatorische redenen. Dit leidt er volgens de klager toe dat de processen die de
verweerder hanteert verzet de facto onmogelijk maken.
3. Op 14 januari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 7 februari 2020 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken
partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99
WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd
daarbij vastgelegd op 11 maart 2020, deze voor de conclusie van repliek van de klager op 26
maart 2020 en deze voor de conclusie van repliek van de verweerder op 10 april 2020.
5. Op 12 februari 2020 aanvaardt de klager elektronisch alle communicatie omtrent de zaak,
overeenkomstig artikel 98 WOG.
6. Op 17 februari 2020 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3°
WOG), dewelke hem werd overgemaakt op 25 februari 2020. Eveneens aanvaardt de
verweerder elektronisch alle communicatie omtrent de zaak en geeft te kennen gebruik te
willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
Beslissing ten gronde 46/2024 — 3/16
7. Op 11 maart 2020 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder waarin deze zich beroept op het gerechtvaardigd belang voor het bouwen van
datamodellen voor de dienst “gepersonaliseerde kortingen”, alsook aanvoert dat het
bouwen van deze modellen een verenigbare verdere verwerking uitmaakt. De verweerder
maakt een onderscheid tussen “informatie op maat” en het “bouwen van modellen” op het
vlak van wettelijke grond en de rechten van de betrokkene , waarbij “informatie op maat”
wordt gebaseerd op toestemming met het recht van de betrokkene om deze toestemming
in te trekken, en “het bouwen van modellen” wordt gebaseerd op gerechtvaardigd belang
met het recht van de betrokkene om daartegen bezwaar te maken. Daarnaast stelt de
verweerder dat de intrekking van de toestemming in het kader van “informatie op maat”
zich niet uitstrekt tot de verwerking van persoonsgegevens voor het bouwen van modellen
voor “Gepersonaliseerde kortingen”op basis van gerechtvaardigd belang. Volgens de
verweerder is de klacht ongegrond.
8. Op 26 maart 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De
klager argumenteert dat de verwerking van persoonsgegevens in datamodellen gebeurt
voor een volledig verschillend doel dan datgene waarvoor de gegevens initieel werden
verzameld, met name voor de uitvoering van de overeenkomst die de verweerder heeft
met zijn klanten voor de afhandeling van transacties. Daarom voert hij aan dat de
verwerking voor dit nieuwe doel een onverenigbare verwerking vormt en de verweerder
zich niet kan beroepen op het gerechtvaardigd belang voor het opstellen van datamodellen
voor direct marketing voor derden. Volgens de klager is er ook geen duidelijk onderscheid
tussen de diensten “informatie op maat”, “gepersonaliseerde kortingen” en het bouwen
van modellen voor deze diensten waardoor de transparantie en de eerlijkheid van de
verwerkingen wordt ondermijnd. Hij stelt dat het verzet tegen het bouwen van modellen
voor “gepersonaliseerde kortingen” wordt miskend door de illusie te geven aan de
gebruiker dat dit recht werd uitgeoefend, terwijl dit nadien niet het geval blijkt te zijn. Ook
is volgens de klager de tijdsduur tussen de privacyverklaring d.d. 1 september 2019 en het
in de praktijk gevolg geven aan het bezwaar dat pas kon worden uitgeoefend na
kennisgeving van de dienst “gepersonaliseerde kortingen” per brief d.d. 21 september
2019, met daaropvolgend nog de termijn van een maand die de verweerder nodig heeft om
de gegevens van de klager te verwijderen, problematisch. De klager stelt dat in die periode
de verweerder met de transactiedata waardevolle modellen kan bouwen om vervolgens
direct marketing aan te bieden, zodat het verzet wordt geïmplementeerd wanneer het
doeleinde van de verwerking reeds is bereikt en het daardoor dus de facto onmogelijk is
voor de klant om zich te verzetten tegen de verwerking van zijn data voor dit doeleinde.
9. Op 10 april 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder.
De verweerder gaat nader in op de elementen zoals uiteengezet in de conclusie van
antwoord. Bijkomend element dat wordt opgeworpen is het door de verweerder beweerde
Beslissing ten gronde 46/2024 — 4/16
gebrek aan belang in hoofde van de klager waardoor de klacht volgens de verweerder
onontvankelijk is en dus niet alleen ongegrond. Verder bakent de verweerder het voorwerp
van de procedure af door aan te stippen dat de klager nooit de dienst “gepersonaliseerde
kortingen” heeft geactiveerd en enkel bezwaar heeft gemaakt tegen het gebruik van zijn
gegevens voor het bouwen van modellen voor het aanbieden van de gepersonaliseerde
kortingen, waardoor de rechtmatigheid van de verwerking in het kader van het aanbieden
van gepersonaliseerde kortingen niet aan de orde is.
10. Op 22 maart 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 26 april 2023.
11. Op 3 april 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting door
onvoorziene omstandigheden diende te worden verplaatst naar 9 mei 2023.
12. Op 9 mei 2023 worden de partijen gehoord door de Geschillenkamer.
13. Op 5 juni 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
14. Op 12 juni 2023 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen
met betrekking tot het proces-verbaal , dewelke zij beslist mee op te nemen in haar beraad.
II. Motivering
a) Belang van de klager
15. Vooreerst benadrukt de verweerder de afwezigheid van enig persoonlijk en actueel belang
in hoofde van de klager. Dit meent de verweerder te kunnen afleiden uit het feit dat het recht
van bezwaar ingediend door de klager, werd ingewilligd alvorens de klacht werd ingediend
en de persoonsgegevens van de klager dus niet meer worden verwerkt voor het bouwen van
modellen. Ook zou de klager volgens de verweerder niet zozeer een schending van zijn eigen
rechten aanklagen, doch eerder de praktijken van de verweerder aan de kaak stellen in naam
van het algemeen belang van de andere klanten van de verweerder en er niet op gericht zijn
de eigen rechten te vrijwaren, doch wel de rechten van de andere klanten.
16. Dienaangaande wijst de Geschillenkamer erop dat zij enkel is gevat voor die elementen van
de klacht waarvoor er in hoofde van de klager een belang aanwezig is. Daaromtrent wijst de
Geschillenkamer op het volgende:
17. Artikel 58 WOG stelt: ”Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een
verzoek indienen bij de Gegevensbeschermingsautoriteit”. In overeenstemming met artikel
60, alinea 2 WOG “is een klacht ontvankelijk wanneer zij:
- opgesteld is in één van de landstalen;
- een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van
de verwerking waarop zij betrekking heeft;
Beslissing ten gronde 46/2024 — 5/16
- zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit”.
18. De voorbereidende werkzaamheden van de WOG bepalen: ”De
Gegevensbeschermingsautoriteit kan van eenieder klachten of verzoeken ontvangen;
natuurlijke personen maar eveneens rechtspersonen, verenigingen of instellingen die een
vermeende inbreuk van de verordening wensen aan te klagen. Een klacht of een verzoek aan
de Gegevensbeschermingsautoriteit dient schriftelijk, gedateerd en door de daartoe
bevoegde persoon ondertekend te zijn. Een verzoek moet in de brede zin van het woord
geïnterpreteerd worden (vraag tot inlichting of toelichting, een verzoek om te bemiddelen,
...)”1.
19. De WOG sluit aldus niet uit dat een andere persoon dan de betrokkene of de persoon die
door de betrokkene gemachtigd is, zoals bedoeld in artikel 220 van de wet van 30 juli 2018
betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens, een klacht kan indienen bij de Autoriteit.
20. Hoewel de AVG de 'klacht' benadert vanuit het standpunt van de betrokkene, door de
toezichthoudende autoriteiten verplichtingen op te leggen wanneer een persoon een klacht
indient (zie de artikelen 57, 1., f) en 77 van de AVG), belet de AVG niet dat het nationaal recht
andere personen dan de betrokkenen de mogelijkheid geeft om een klacht in te dienen bij
de nationale toezichthouder. De mogelijkheid van een dergelijke aanhangigmaking stemt
overigens overeen met de opdrachten die door de AVG aan de toezichthouders worden
toegekend. In dat opzicht en algemeen genomen, zorgt elke toezichthouder voor: de
monitoring en handhaving van de toepassing van de AVG (artikel 57, 1., a) AVG), en de
verrichting van alle andere taken die verband houden met de bescherming van
persoonsgegevens (artikel 57, 1., v) AVG).2
21. De Geschillenkamer oordeelt in dat opzicht dat artikel 58 WOG elke persoon de
mogelijkheid geeft om een klacht in te dienen, op voorwaarde dat hij er voldoende belang bij
heeft overeenkomstig voormelde bepalingen van de AVG.
22. De voorwaarde is wel dat de klager blijkt geeft van een voldoende belang. Dienaangaande
wijst de Geschillenkamer erop dat op basis van de stukken van het dossier onmiskenbaar
vaststaat dat de persoonsgegevens van de klager werden aangewend door de verweerder
voor het bouwen en trainen van de datamodellen waarop de dienst ‘Gepersonaliseerde
kortingen’ is gebaseerd, hetwelk precies het voorwerp uitmaakt van de klacht. De
vaststelling door de verweerder dat naar aanleiding van de uitoefening van het recht van
bezwaar door de klager de datamodellen werden aangepast zodanig dat de huidige
1
Parl. doc., Kamer van Volksvertegenwoordigers, 2016-2017, DOC 54 2648/001, p.40 (opmerking bij artikel 58 van het
oorspronkelijke wetsontwerp).
2
In haar beslissing van 8 juni 2020 heeft de Geschillenkamer reeds onder zeer stringente voorwaarden toegelaten dat een
ander dan de betrokkene een klacht indient (Beslissing ten gronde 30/2020, gepubliceerd op de website van de GBA).
Beslissing ten gronde 46/2024 — 6/16
modellen niet meer zijn gebaseerd op de gegevens van de klager, is daarbij volstrekt
irrelevant. Het loutere feit dat de persoonsgegevens van de klager niet meer zijn
opgenomen in het geheel van persoonsgegevens waarop de modellen zullen worden
gebaseerd en getraind en het recht op verzet van de klager werd ingewilligd alvorens de
klacht werd ingediend, heeft geenszins tot gevolg dat de verweerder kan beweren dat de
klager geen belang zou hebben bij het indienen van de klacht en diens klacht louter erop
gericht is om het algemeen belang van de andere klanten te vrijwaren. Niet alleen werden de
persoonsgegevens van de klager pas verwijderd uit de dataset waarop de modellen worden
getraind nadat deze daartoe zelf het initiatief had genomen en zijn recht van bezwaar had
uitgeoefend, maar daarnaast kan ook niet worden ontkend door de verweerder dat de
persoonsgegevens van de klager wel degelijk werden verwerkt en de klager aldus belang
heeft om de rechtsgrond voor deze gegevensverwerking te betwisten. De loutere
vaststelling dat de verweerder in de actuele situatie de persoonsgegevens van de klager niet
meer verwerkt voor het bouwen van de datamodellen op basis waarvan de
gepersonaliseerde kortingen worden aangeboden, wijzigt hieraan niets en impliceert aldus
geenszins dat de klager actueel niet meer over een belang zou beschikken.
b) Rechten van verdediging en beginselen van behoorlijk bestuur
23. De verweerder haalt aan dat de kennisgeving door de Geschillenkamer dat de betreffende
klacht werd aanhangig gemaakt zonder daarbij de wetsartikelen te vermelden die mogelijks
zouden zijn geschonden, tot gevolg heeft dat de beginselen van behoorlijk bestuur en de
rechten van verdediging ten aanzien van de verweerder zijn geschonden.
24. Uit de conclusies ingediend door de verweerder, waarbij op accurate wijze wordt ingegaan
op elk van de door de klager aangehaalde punten, blijkt echter dat de klacht en de mogelijke
inbreuken die hem ten laste worden gelegd door de klager, van bij aanvang duidelijk waren
voor de verweerder.
25. Bovendien wijst de Geschillenkamer erop dat de procedurele waarborgen onverkort moeten
worden nageleefd en indien er mogelijk al sprake zou zijn geweest van benadeling van de
verweerder door de wijze waarop deze in kennis werd gesteld van de klacht en de hem ten
laste gelegde inbreuken, dit nadeel volledig is opgeheven in het vervolgtraject 3 waardoor
geen sprake kan zijn van ook maar enige schending van de beginselen van behoorlijk
bestuur. De door de verweerder opgeworpen procedurele elementen hebben niet tot gevolg
dat de rechten van verdediging zijn geschonden, aangezien de verweerder de kans heeft
gekregen om zijn argumentatie volledig naar voor te brengen door middel van de conclusie
3
Zie in dit verband: Beslissing ten gronde 18/2020 van 28 april 2020; Beslissing ten gronde 71/2020 van 30 oktober 2020;
Beslissing ten gronde 133/2021 van 2 december 2021.
Beslissing ten gronde 46/2024 — 7/16
van antwoord. Daarenboven heeft de verweerder zijn recht op tegenspraak ten volle kunnen
uitoefenen tijdens de hoorzitting van de Geschillenkamer. De verweerder heeft aldus geen
enkel nadeel ondervonden en de rechten van verdediging zijn aldus wel degelijk
gerespecteerd.
c) Rechtsgrond
26. Volgens de klager dient het gebruik van de transactiegegevens van de klanten van de
verweerder voor het bouwen en trainen van modellen die aangewend worden voor het
aanbieden van gepersonaliseerde kortingen voor diensten en producten van derde partijen
te worden beschouwd als een verwerking voor een ander doeleinde dan het oorspronkelijke
doeleinde bestaande uit de afhandeling van transacties, namelijk het uitvoeren en
registreren van betalingen. Dit brengt de klager tot het besluit dat de verweerder de voor de
verwezenlijking van het initiële doeleinde verkregen transactiegegevens aanwendt voor een
ander, onverenigbaar doeleinde.
27. De Geschillenkamer gaat na in hoeverre de verweerder de transactiegegevens van klanten
kan gebruiken voor het bouwen van datamodellen op basis waarvan vervolgens
gepersonaliseerde kortingen worden aangeboden.
28. De Geschillenkamer stelt voorop dat de verwerking van de transactiegegevens van klanten
voor het bouwen van datamodellen een verwerking vormt voor een nieuw doeleinde,
aangezien uit geen enkel stuk aanwezig in het dossier blijkt dat reeds bij de inzameling van
de transactiegegevens, dus op het ogenblik van het aangaan van de klantrelatie, informatie
omtrent dit doeleinde werd verstrekt. Artikel 13.1. c) AVG vereist immers dat voordat wordt
begonnen met de verwerkingsactiviteiten de betrokkene wordt geïnformeerd over de
verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, met inbegrip van de
rechtsgrond. Het bouwen van datamodellen voor commerciële doeleinden vormt een
doeleinde dat niet ter kennis werd gebracht aan de klanten, waaronder de klager, op het
moment van het aangaan van de klantenrelatie. Uit de klacht blijkt dat de klager niet op de
hoogte werd gesteld van dit doeleinde bij het aangaan van de klantrelatie met de
verweerder, hetwelk ook niet wordt ontkend door de verweerder. De verweerder beweert
wel dat het gebruik van de transactiegegevens in de datamodellen als een verwerking moet
worden beschouwd die niet onverenigbaar is met de oorspronkelijke doeleinden in de zin
van artikel 5.1. b) AVG.
29. In de privacyverklaring van de verweerder die dateert van 2 februari 2017 is opgenomen dat
de verweerder de transactiegegevens van haar klanten ook gebruikt om haar klanten beter
te leren kennen en te kunnen bedienen voor alle marketingdoeleinden en commerciële
doeleinden, zoals opgesomd in de privacyverklaring. Daarbij wordt expliciet verwezen naar
Beslissing ten gronde 46/2024 — 8/16
het doeleinde dat de verweerder nastreeft om als bedrijf te kunnen functioneren, alsook
naar het doeleinde om aan direct marketing te doen voor de eigen bank- en
verzekeringsactiviteiten van de verweerder en ook voor deze activiteiten van partners van
de verweerder die producten of diensten aanbieden in de bank- en verzekeringssector. Op
basis hiervan kan de Geschillenkamer vaststellen dat het hergebruik van de
transactiegegevens op dat moment beperkt blijft tot de commerciële activiteiten die
rechtstreeks verband houden met het aanbod van producten en diensten binnen de bank-
en verzekeringssector4.
30. De privacyverklaring van 1 februari 2019 vermeldt dat de transactiegegevens worden
gebruikt voor de bouw van analytische datamodellen voor commerciële doeleinden5, ook
ditmaal beperkt tot de bank- en verzekeringsactiviteiten².
31. De Geschillenkamer stelt vast dat in ieder geval vanaf het ogenblik van de privacyverklaring
van 1 september 2019 het bouwen van datamodellen met commercieel oogmerk de context
van de bank- en verzekeringsproducten en -diensten overstijgt, vermits vanaf dat ogenblik
wordt vermeld dat datamodellen worden gemaakt om gepersonaliseerde kortingen voor
producten en diensten van derde partijen aan te bieden aan de klanten van de verweerder.
Dit vormt een nieuw doeleinde dat is te onderscheiden van het aanvankelijke doeleinde,
namelijk het uitvoeren en registreren van betalingen. De Geschillenkamer gaat na of dit
nieuwe doeleinde al dan niet als verenigbaar kan worden beschouwd met het aanvankelijke
doeleinde zoals die ter kennis werd gebracht bij het aangaan van de klantrelatie met de
klager.
32. Overeenkomstig artikel 5.1. b) AVG kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel
worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de
persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria
opgenomen in artikel 6.4. AVG en overweging 50 AVG 6 dient aldus te worden nagegaan of
de verdere verwerking, in casu het bouwen van datamodellen voor het aanbieden van
gepersonaliseerde kortingen voor diensten en producten van derde partijen, al dan niet
verenigbaar is met de initiële verwerking bestaande uit de uitvoering en registratie van
betalingen ten behoeve van de klager. De Geschillenkamer komt tot het besluit dat de klager
4
[…]
5
[…]
6
Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake
rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling
tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn
verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de
verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de
voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de
voorgenomen verdere verwerkingen.
Beslissing ten gronde 46/2024 — 9/16
zijn persoonsgegevens en transactiegegevens aan de verweerder heeft toevertrouwd
binnen het kader van zijn contractuele relatie met de bank (zijnde de verweerder) waarop hij
als klant beroep doet voor de afwikkeling van zijn bankzaken en er zich geenszins
redelijkerwijs aan kon verwachten dat de bank diezelfde gegevens zou aanwenden, zonder
dat klager zich hiertegen kan verzetten, om datamodellen te trainen die de bank- en
verzekeringsactiviteiten van de verweerder overstijgen en die er louter op zijn gericht
producten of diensten van derden die helemaal geen verband houden met de activiteiten
van de verweerder aan te bieden.
33. Bovendien kan de aanvullende argumentatie van de verweerder dat het intern analyseren
van data en het bouwen van datamodellen in casu kan worden gelijkgesteld met een
verwerking voor onderzoeksdoeleinden of statistische doeleinden in de zin van artikel 5.1 b)
AVG waardoor de betreffende verdere verwerking niet als onverenigbaar met de
oorspronkelijke doeleinden kan worden beschouwd, niet overtuigen en dus niet tot een
ander besluit leiden. Artikel 5.1 b) AVG viseert de verdere verwerking met het oog op
wetenschappelijk of historisch onderzoek of statistische doeleinden 7, waarbij deze
doeleinden op zichzelf staan. Het door de verweerder nagestreefde doeleinde is niet
ingegeven vanuit wetenschappelijke, historische of statistische overwegingen. Het bouwen
van de datamodellen is niet gericht op enig wetenschappelijk, historisch of statistisch doel
als einddoel (bv. publicatie van de resultaten in wetenschappelijke tijdschriften), maar
worden daarentegen enkel en alleen gebouwd voor een commercieel doel, namelijk het
beschikken over modellen die het aanbieden van gepersonaliseerde kortingen van derden
kan faciliteren.
34. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking,
zodat er een afzonderlijke rechtsgrond is vereist opdat het bouwen van datamodellen met
het oogmerk producten of diensten van derden aan te bieden als rechtmatig zou kunnen
worden bestempeld.
35. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere
verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een
rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden
7
Artikel 5.1 b) AVG:
Persoonsgegvens moeten:
a) […]
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet
verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in
het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89,
lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
[…]
Overweging 50 AVG. […] De verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of
historisch onderzoek of statistische doeleinden, moet als een met de aanvankelijke doeleinden verenigbare rechtmatige
verwerking worden beschouwd. […]
Beslissing ten gronde 46/2024 — 10/16
teruggevallen op artikel 6.1. AVG en overweging 50 AVG. In overweging 50 AVG 8 is
opgenomen dat een afzonderlijke rechtsgrond is vereist voor de verwerking van
persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de doeleinden
waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die afzonderlijke
rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare
verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in artikel 6.1.
AVG.
36. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel
6.1. AVG kunnen worden ingeroepen door de verweerder teneinde de verdere verwerking
van de persoonsgegevens die betrekking hebben op de klager te rechtvaardigen.
37. De verweerder zelf beroept zich op het gerechtvaardigd belang, de rechtsgrond zoals
opgenomen in artikel 6.1 f) AVG dewelke hem zou toelaten over te gaan tot de
gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde het bouwen van
datamodellen voor de dienst “gepersonaliseerde kortingen”.
38. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de
Europese Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan
opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze
rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een
gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan
wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van
de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde
plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de
gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”9).
39. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond
van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere
woorden aan te tonen dat:
1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden
erkend (de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
8
Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens
aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor
de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op
grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
9
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA,
overweging 40.
Beslissing ten gronde 46/2024 — 11/16
3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden
en grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
40. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het bouwen van datamodellen teneinde de klanten van de verweerder
gepersonaliseerde kortingen aan te bieden op producten en diensten van derden moet
worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het laat de
verweerder toe een gelijkaardige dienst ter beschikking te stellen van haar klanten, net zoals
andere banken die ook kortingen onder de vorm van cashbacks toekennen. Het bouwen van
het datamodel waarvoor de verweerder de transactiegegevens van de klanten, waaronder
dus ook deze van de klager, gebruikt is erop gericht gepersonaliseerde kortingen aan te
bieden, hetwelk deel uitmaakt van het zich positioneren op de markt. Het uitgangspunt van
de verweerder is aldus het verwerven van inzicht in de dienstverlening aan haar klanten
waarbij wordt ingespeeld op maatschappelijke evoluties en tendensen zoals digitalisering
en personalisering van de dienstverlening en diversificatie van het serviceaanbod, hetwelk
is ingegeven vanuit een commercieel belang. Dergelijk commercieel belang kan een
gerechtvaardigd belang zijn overeenkomstig overweging 47 AVG10 en wordt ook
ondersteund in Advies 06/2014 van de Groep Gegevensbescherming Artikel 2911. Er wordt
bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1, f) AVG.
41. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de
verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit
betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen
hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder
een onnodig ingrijpende verwerking voor de betrokkenen.
42. Hierbij dient in overweging te worden genomen dat data-analyse van de transactiegegevens
voor het trainen van modellen een noodzakelijk instrument vormt om het uiteindelijk
10
Overweging 47 vermeldt dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden
beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Direct marketing is aldus een voorbeeld van een
commercieel belang dat als gerechtvaardigd belang wordt beschouwd..
Zie eveneens: het arrest van het Europees Hof van Justitie van 29 juli 2019 (case -40/17 Fashion ID)
11
Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel
7 van Richtlijn 95/46/EG:
“Het feit dat de voor de verwerking verantwoordelijke een dergelijk gerechtvaardigd belang heeft bij de verwerking van
bepaalde gegevens, houdt niet in dat hij kan vertrouwen op artikel 7, onder f), als rechtsgrond voor de verwerking. De
rechtvaardigheid van het belang van de voor de verwerking verantwoordelijke is slechts een beginpunt, een van de elementen
die overeenkomstig artikel 7, onder f), moeten worden geanalyseerd. Of artikel 7, onder f), kan worden gebruikt, hangt af van
de uitkomst van de afweging die daarop volgt.
Ter illustratie: een voor de verwerking verantwoordelijke kan een gerechtvaardigd belang hebben om de voorkeuren van zijn
klanten te weten te komen, zodat hij aanbiedingen beter kan personaliseren en, uiteindelijk, producten en diensten kan bieden
die beter voldoen aan de behoeften en wensen van zijn klanten. Gelet hierop kan artikel 7, onder f), een geschikte rechtsgrond
zijn voor sommige soorten marketingactiviteiten, zowel online als offline, mits er passende waarborgen bestaan (waaronder
een bruikbaar mechanisme waarmee overeenkomstig artikel 14, onder b) verzet kan worden ingesteld tegen een dergelijke
verwerking, zoals zal worden aangetoond in afdeling III.3.6 Het recht op verzet en verder).”[eigen onderlijning]
Beslissing ten gronde 46/2024 — 12/16
beoogde doel, namelijk het aanbieden van digitale toepassingen voor het aanbieden van
gepersonaliseerde kortingen aan klanten van de verweerder, te kunnen realiseren. De
datamodellen vormen een noodzakelijke tussenstap tussen enerzijds de
transactiegegevens als dusdanig en anderzijds het aanbod van gepersonaliseerde kortingen
via digitale weg. Zonder het opstellen van datamodellen kunnen de kortingen immers niet
op gepersonaliseerde wijze worden aangeboden via een digitale toepassing. Dit leidt tot het
besluit dat ook aan de tweede voorwaarde van artikel 6.1 f) AVG is voldaan.
43. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en
de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden
voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de
redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd
of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens
redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”12.
44. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc
M5A-ScaraA” van 11 december 201913, waarin het stelt:
“Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn
of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven
omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van
de gegevens kan verwachten”.
45. De Geschillenkamer gaat na of het belang van de verweerder in verhouding staat tot de
impact die het heeft op de fundamentele rechten en vrijheden van de betrokkenen,
waaronder de klager. ln dit verband is het essentieel een onderscheid te maken tussen
enerzijds de fase van het bouwen of trainen van datamodellen zelf, en anderzijds de fase van
het operationeel aanbieden van gepersonaliseerde kortingen via digitale toepassingen die
gebruik maken van de modellen gebouwd in de vorige fase.
46. Op basis van de stukken aanwezig in het dossier stelt de Geschillenkamer vast dat de
werkwijze van de verweerder in het kader van het bouwen van de modellen conceptueel en
voor een groot deel een toepassing vormt van van Fase 1 in Figuur 1 zoals opgenomen onder
aanbeveling 18 van het Big Data Rapport14. Voor wat betreft dit aspect in het bijzonder is de
Geschillenkamer van oordeel dat het binnen het normale verwachtingspatroon van de
klager valt dat de verweerder zijn transactiegegevens gebruikt - behoudens verzet van de
klager - om datamodellen te trainen (zonder deze verder operationeel te gebruiken voor het
12
Overweging 47 AVG.
13
HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58.
14
https://www.gegevensbeschermingsautoriteit.be/publications/big-data-rapport.pdf
Beslissing ten gronde 46/2024 — 13/16
aanbieden van gepersonaliseerde kortingen, waarvoor toestemming wordt gevraagd). De
verweerder mag hierbij enkel gegevens verwerken waarbij zoveel mogelijk identificatoren
van betrokkenen zijn verwijderd om een model, een algoritme, te trainen zonder dat dit
model in deze fase in een operationele context wordt toegepast op geïdentificeerde
personen. Er mogen bovendien nooit pogingen worden ondernomen om – als dat nog
mogelijk zou zijn na het verwijderen van zoveel mogelijk identificatoren van betrokkenen –
de personen in de trainingset te heridentificeren. Ook zijn volgens verweerder de
resulterende modellen enkel en alleen algoritmen die geen persoonsgegevens meer
bevatten, en de Geschillenkamer heeft geen bewijs van het tegendeel. Daarbij dient ook in
rekening te worden gebracht dat op geen enkel ogenblik persoonsgegevens van klanten
worden doorgegeven aan derden. Daarenboven blijkt uit geen enkel stuk dat er bijzondere
categorieën van persoonsgegevens in de zin van artikel 9 AVG in de datamodellen worden
verwerkt. De Geschillenkamer is dan ook van oordeel dat de impact op de klager dus
uitermate gering is en de verwerking van zijn persoonsgegevens tot een minimum is beperkt
in die zin dat zijn gegevens weliswaar worden hergebruikt, maar in de fase van het bouwen
van de modellen geen aanleiding geven tot het aanbieden van gepersonaliseerde kortingen
indien de klager daartoe niet zelf actief toestemming verleent. Bovendien kan de klager ook
altijd zijn recht van bezwaar uitoefenen tegen het gebruik van zijn gegevens voor het
bouwen van de modellen voor het aanbieden van gepersonaliseerde kortingen van derden
in de zin van art. 21 AVG.
47. Voor wat betreft het aanbod van gepersonaliseerde kortingen voor producten en diensten
van derden aan geïdentificeerde klanten in een operationele context (zie Fase 2 in Figuur 1
zoals opgenomen onder aanbeveling 18 van het Big Data Rapport) beroept de verweerder
zich immers uitdrukkelijk op artikel 6.1 a) AVG als afzonderlijke rechtsgrond, zodat bij gebrek
aan toestemming de klager geen verdere gevolgen ondervindt van het gebruik van zijn
transactiegegevens in het datamodel dat louter als een tussenstap dient te worden
beschouwd voor het uiteindelijk beoogde doel, het aanbod van gepersonaliseerde
kortingen. Hierdoor wordt verzekerd dat enkel de klanten van de verweerder die
voorafgaand hebben ingestemd en er uitdrukkelijk voor hebben geopteerd om van de dienst
“gepersonaliseerde kortingen” gebruik te willen maken, een zeker voordeel genieten
hetwelk door de verweerder wordt mogelijk gemaakt door het hergebruik van de
transactiegegevens van haar klanten in de uitwerking van datamodellen.
48. Het geheel van bovenstaande elementen brengt de Geschillenkamer tot het besluit dat ook
aan de derde voorwaarde is voldaan en de verweerder zich dus terecht beroept op de
rechtsgrond van artikel 6.1 f) AVG voor de bouw van datamodellen met het oog op het
aanbod van gepersonaliseerde kortingen voor producten en diensten van derden, waardoor
deze onverenigbare verdere verwerking als rechtmatig moet worden beschouwd.
Beslissing ten gronde 46/2024 — 14/16
49. Daarenboven heeft de verweerder voldaan aan de transparantieplicht (artikel 5.1 a) AVG
juncto artikel 12.1 AVG) doordat niet alleen de privacyverklaring op 1 september 2019 werd
aangepast, maar ook door zich rechtstreeks te richten tot haar klanten en ook tot de klager.
Deze mochten op 21 september 2019 een brief ontvangen waarin deze werden
geïnformeerd over de verscheidene aspecten opgenomen in artikel 13.1 AVG middels
verwijzing naar de aangepaste privacyverklaring, dit naar aanleiding van de voorbereiding
van en dus voorafgaand aan de lancering van het aanbod van gepersonaliseerde kortingen
van derde partijen. De klager wordt daarbij ook gewezen op de mogelijkheid tot uitoefening
van het recht van bezwaar, waarvan hij ook gebruik heeft gemaakt op 22 september 2019
en waaraan de verweerder tijdig en op passende wijze overeenkomstig artikel 12 AVG juncto
artikel 21 AVG gevolg heeft gegeven door op 30 september 2019 te bevestigen dat zijn
bezwaar werd geregistreerd en dat zijn gegevens niet langer zullen worden gebruikt voor
het bouwen van modellen.
50. Het feit dat de verweerder in diezelfde brief van 30 september 2019 aangeeft dat om
technisch-organisatorische redenen deze werkwijze pas kan worden toegepast na verloop
van één maand doet hieraan geen afbreuk. Zoals de verweerder aanhaalt in de conclusies en
zoals ook blijkt uit het Big Data Rapport 15 is het trainen van datamodellen een complex
proces dat enige tijd vergt. De Geschillenkamer beschouwt de termijn van een maand als
redelijk om het bezwaar van de klager te implementeren.
51. Een laatste punt dat de klager aankaart, is dat hij reeds eerder te kennen heeft gegeven aan
de verweerder dat hij geen “informatie op maat” wenst te ontvangen, maar dat de feiten die
aanleiding geven tot de klacht aantonen dat de verweerder in weerwil daarvan toch zijn
persoonsgegevens gebruikt voor het bouwen van modellen voor het aanbieden van
gepersonaliseerde kortingen van derden. De verweerder toont in de conclusie en bijhorende
stukken aan dat er een duidelijk onderscheid is tussen enerzijds de bouw van datamodellen
en anderzijds “informatie op maat”, bestaande uit reclame op maat met betrekking tot de
dienstverlening binnen de bank- en verzekeringssector. Het betreft de klassieke,
gepersonaliseerde direct marketing waarvoor de verweerder de voorafgaande
toestemming (artikel 6.1 a) AVG) vraagt en dit op basis van een transparante uiteenzetting
van wat “informatie op maat” precies inhoudt. Uit het verweer en de bijhorende
privacyverklaring van 2 februari 2017, alsmede deze van 1 februari 2019 blijkt dat de
verweerder heeft gehandeld in overeenstemming met artikel 5.1 a) AVG juncto artikel 12.1
AVG. Met betrekking tot de “Informatie op maat” heeft de klager zijn initieel verleende
toestemming ingetrokken. De Geschillenkamer stelt vast dat de klager deze intrekking van
toestemming met betrekking tot “Informatie op maat” niet kan doortrekken naar “de bouw
van datamodellen voor gepersonaliseerde kortingen van derden” die, zoals hierboven
15
https://www.gegevensbeschermingsautoriteit.be/publications/big-data-rapport.pdf
Beslissing ten gronde 46/2024 — 16/16
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 16. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.17, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
16
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
17
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.