1/82
Geschillenkamer
Beslissing ten gronde 47/2022 van 4 april 2022
Deze beslissing werd gedeeltelijk vernietigd door het arrest
2022/AR/556 van het Marktenhof dd. 7 december 2022
Dossiernummer: DOS-2020-04002
Betreft: Gebruik van warmtebeeldcamera's op de luchthaven Brussels South Charleroi Airport
in de strijd tegen COVID-19
De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans,
voorzitter, en de heren Jelle Stassijns en Romain Robert;
Gelet op de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn
95/46/EG (Algemene Verordening Gegevensbescherming), hierna 'AVG';
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
'WOG';
Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot
de verwerking van persoonsgegevens (hierna 'WVP');
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken in het dossier;
heeft de volgende beslissing genomen inzake:
.
De verweerder: BSCA nv, met maatschappelijke zetel in de Rue des Frères Wright 8, 6041 Charleroi,
.
ingeschreven met ondernemingsnummer 0444.556.344, vertegenwoordigd door .mr.
Frédéric Deschamps en mr. Nathan Vanhelleputt, hierna 'de verweerder' genoemd.
Beslissing ten gronde 47/2022 - 2/73
I. Feiten en procedure
1. Op 28 augustus 2020 besliste de Inspectiedienst om de zaak op eigen initiatief aanhangig te maken
conform artikel 63, 6° van de wet van 3 december 2017 tot oprichting van de
Gegevensbeschermingsautoriteit.
2. Deze beslissing werd genomen na ernstige aanwijzingen omtrent het gebruik van
warmtebeeldcamera's door de naamloze vennootschap Brussels South Charleroi Airport (hierna
'BSCA nv' genoemd) om de verspreiding van COVID-19 tegen te gaan. De beslissing was met name
gerechtvaardigd op basis van de volgende elementen:
- Artikels en publicaties van verschillende Belgische kranten en mediasites die verwezen naar het
gebruik van warmtebeeldcamera's door BSCA nv;
- De FAQ (Frequently Asked Questions) op de website van de Gegevensbeschermingsautoriteit
(hierna 'GBA') over het controleren van de lichaamstemperatuur in het kader van de strijd tegen
COVID-19;
- Het persbericht van 17 juni 2020 dat de GBA op haar website 1 publiceerde betreffende het contact
dat met Brussels Airport werd opgenomen over de door deze laatste uitgevoerde
temperatuurcontroles;
- De mogelijke verwerking van gegevens in verband met de gezondheid 'waarvoor betere
bescherming is vereist' zoals in de AVG vermeld staat; 2
- De mogelijke verwerking op grote schaal;
- Het belang dat de GBA hecht aan verwerkingen die verband houden met 'het gebruik van foto's en
camera's' en 'gevoelige gegevens'3 conform haar strategisch plan 2020-2025.
3. Op 18 april 2021 rondde de Inspectiedienst het onderzoek af en werd het verslag door de inspecteur-
generaal aan de voorzitter van de Geschillenkamer overgemaakt (art. 91, §2 WOG).
4. Het verslag bevat de volgende vaststellingen en weerhield de volgende inbreuken:
Vaststelling 1: Schending van het beginsel van de rechtmatigheid van de verwerking en de
noodzaak van de maatregel conform de artikelen 5.1.a, 5.1.c, 6 en 9 van de AVG
Vaststelling 2: Schending van het principe van de doelbinding conform artikel 5.1.b van de AVG
1
Beschikbaar op de volgende link: https://www.gegevensbeschermingsautoriteit.be/burger/temperatuurcontroles-de-gba-neemt-
contact-op-met-brussels-airport
2
AVG, overweging 53.
3
Gegevensbeschermingsautoriteit, 'Strategisch plan 2020-2025', pag. 23.
Beslissing ten gronde 47/2022 - 3/73
Vaststelling 3: Schending van het transparantieprincipe en de informatieplicht conform de
artikelen 5.1.a, 12 en 13 van de AVG
Vaststelling 4: Schending van de verplichting om vóór de verwerking een
gegevensbeschermingseffectbeoordeling uit te voeren (inbreuk op artikel 35.1)
Vaststelling 5: Schending van het confidentialiteitsprincipe en van de verplichting om technische
en organisatorische maatregelen te treffen om de gegevens te beveiligen (artikelen 5.1.f en 32
AVG)
Vaststelling 6: Schending van het principe van de gegevensbescherming door ontwerp en door
standaardinstellingen (artikel 25 AVG)
Vaststelling 7: Schending van de verplichting om een volledig register van de
verwerkingsactiviteiten bij te houden
Vaststelling 8: Schending van de verplichting om de onafhankelijkheid van de functionaris voor
gegevensbescherming te garanderen conform artikel 38.3 van de AVG
5. Op 5 oktober 2021 besliste de Geschillenkamer op grond van artikel 95, §1, 1° en artikel 98 van de
WOG dat het dossier ten gronde kon worden behandeld. De verweerder werd hiervan per
aangetekende brief op de hoogte gebracht, zoals artikel 95, §2 en artikel 98 van de WOG
voorschrijven. Tevens werd hij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen
om zijn conclusie in te dienen.
6. De uiterste datum voor de ontvangst van de conclusie van antwoord van de verweerder werd
vastgesteld op 16 juni 2021.
7. Op 20 mei 2021 vroeg de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), die hem op 31
mei 2021 werd overgemaakt.
8. De verweerder stemde ermee in alle mededelingen betreffende de zaak langs elektronische weg te
ontvangen en deelde mee gebruik te willen maken van de mogelijkheid om te worden gehoord
conform artikel 98 van de WOG. Hij verzocht eveneens om een verlenging van de conclusietermijn
tot 1 september 2021.
9. In haar brief van 31 mei 2021 stemde de Geschillenkamer in met een verlenging van de
conclusietermijn tot 9 juli 2021. In een e-mailbericht van 1 juni 2021 verzocht de verweerder opnieuw
om een verlenging van de conclusietermijn tot 1 september.
10. In een e-mailbericht van de griffie van de Geschillenkamer van 4 juni 2021 werd de concluant
verzocht uiterlijk op 23 juli 2021 zijn conclusie in te dienen.
11. Op 23 juli 2021 ontving de Geschillenkamer de conclusie van antwoord van de verweerder.
Beslissing ten gronde 47/2022 - 4/73
12. Op 6 september 2021 werden alle partijen ervan in kennis gesteld dat de hoorzitting op 6 oktober
2021 zou plaatsvinden.
13. Op 1 oktober 2021 stuurde de Geschillenkamer de verweerder een lijst met vragen ter voorbereiding
van de hoorzitting.
14. Op vraag van de verweerder werd de hoorzitting uitgesteld tot 22 oktober 2021.
15. Op 18 oktober 2021 ontving de Geschillenkamer de conclusie van antwoord van de verweerder.
16. Op 22 oktober 2021 werden de partijen gehoord door de Geschillenkamer. Naast de elementen die
reeds in zijn conclusie werden uiteengezet, voerde de verweerder bijkomende elementen aan, met
name in verband met de transparantie en het confidentialiteitsbeleid.
17. Op 18 november 2021 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
18. Op 25 november 2021 ontving de Geschillenkamer de opmerkingen van de verweerder aangaande
het proces-verbaal.
19. Op 15 februari 2022 deelde de Geschillenkamer de verweerder haar voornemen mee om een
administratieve geldboete op te leggen, evenals het bedrag van deze boete.
20. Op 9 maart 2022 ontving de Geschillenkamer de reactie van de verweerder met betrekking tot het
voornemen om een administratieve geldboete op te leggen en het bedrag van de boete. Deze
argumenten zijn samengevat onder punt 'III. Sanctie'.
II. Motivering
II.1. Voorafgaande beschouwingen
21. De Geschillenkamer wijst er allereerst op dat deze beslissing betrekking heeft op de verwerking van
persoonsgegevens binnen de context van de COVID-19-pandemie.
22. In het kader van deze gezondheidscrisis werden en worden ongeziene maatregelen getroffen die de
verwerking van (bijzondere categorieën van) persoonsgegevens impliceren.
23. Gezien deze crisissituatie heeft de Geschillenkamer begrip voor de urgentie waarmee sommige van
deze maatregelen door de bevoegde autoriteiten en diensten moesten worden genomen en door de
betrokken verwerkingsverantwoordelijken moesten worden uitgevoerd. Zij heeft ook oor voor de
moeilijkheden die inherent zijn aan deze situatie. Er moet echter worden benadrukt dat dit niets
afdoet aan het feit dat de AVG en de overige wetgeving inzake de bescherming van
persoonsgegevens, die een essentiële bescherming vormen voor de rechten en vrijheden van de
betrokkenen, nog steeds van toepassing zijn. Crisissituaties rechtvaardigen niet dat wordt
Beslissing ten gronde 47/2022 - 5/73
afgeweken van de voorschriften van de AVG. Wel integendeel. In dergelijke omstandigheden, waarin
de individuele vrijheden vaak worden bedreigd, is het belangrijk het juridisch kader te eerbiedigen
waarmee misbruiken en schendingen van de grondrechten net kunnen worden voorkomen.
24. Het toezicht van de Gegevensbeschermingsautoriteit op de technologische, commerciële of andere
ontwikkelingen4 en de voorafgaande adviezen van het Kenniscentrum doen geen afbreuk aan de
plicht van de verwerkingsverantwoordelijken om de geldende wetgeving na te leven, noch aan het
feit dat zij in voorkomend geval door de Geschillenkamer kunnen worden gesanctioneerd.
II.2. Voorafgaande vragen met betrekking tot de hoedanigheid van de Geschillenkamer van de
Gegevensbeschermingsautoriteit als administratieve overheid:
25. In zijn conclusies werpt verweerder drie voorafgaande vragen op die zullen worden behandeld
voordat de zaak ten gronde zal worden behandeld.
II.2.1. Ontbreken van motivering van de beslissing tot behandeling van het dossier ten
gronde
26. De verweerder geeft in zijn conclusies aan dat "de beslissing om het dossier ten gronde te
behandelen niet juridisch is gemotiveerd in de zin van de wet van 29 juli 1991 betreffende de formele
motivering van bestuurshandelingen en de rechtspraak van het Hof van Beroep te Brussel, sectie
Marktenhof." [vrije vertaling]
27. Volgens de rechtspraak van het Marktenhof waarnaar wordt verwezen, is de Geschillenkamer
namelijk verplicht om "in de motivering de juridische en feitelijke overwegingen te vermelden waarop
de beslissing gebaseerd is, terwijl deze motivering voldoende moet zijn om de beslissing te
onderbouwen." [vrije vertaling] Deze motiveringsplicht bestaat vanuit zowel formeel als materieel
oogpunt. Het Marktenhof voegt daaraan toe dat "het volstaat om de beweegredenen duidelijk, zo
nodig beknopt, in de beslissing zelf te vermelden." 5 [vrije vertaling]
28. De Geschillenkamer stelt vast dat in dit dossier aan deze voorwaarden voldaan is. De beslissing om
de zaak ten gronde te behandelen werd namelijk aan de verweerder meegedeeld in een brief van 5
mei 2021. In de brief wordt uitdrukkelijk vermeld dat de beslissing om de zaak ten gronde te
behandelen gebaseerd is op de vaststellingen van het onderzoeksverslag van de Inspectiedienst. De
brief vermeldt de acht mogelijke inbreuken op de AVG die de Inspectiedienst vaststelde en legt uit
dat deze het voorwerp uitmaken van een onderzoek ten gronde. Het onderzoeksverslag werd
overigens ook bij de brief gevoegd. De brief van 5 mei 2020 vermeldt verder ook dat de beslissing
4
Artikel 10 WOG.
5
Brussel, (sectie Marktenhof), (19e Kamer A), 21 januari 2021, punt 7.3, beschikbaar in het Frans op
https://www.autoriteprotectiondonnees.be/publications/arret-du-27-janvier-2021-de-la-cour-des-marches-ar-1333.pdf.
Beslissing ten gronde 47/2022 - 6/73
om de zaak ten gronde te behandelen werd genomen op basis van de artikelen 95, §1, 1° en 98 van
de WOG.
II.2.2. Gebrek aan onafhankelijkheid en onpartijdigheid van de
Gegevensbeschermingsautoriteit
29. De verweerder betoogt in zijn conclusie dat de Gegevensbeschermingsautoriteit in haar geheel
tekortschiet op het vlak van haar verplichting tot onpartijdigheid en onafhankelijkheid. De
verweerder baseert dit argument op verschillende persartikels, waarin melding wordt gemaakt van
conflicten binnen de Gegevensbeschermingsautoriteit en de inleiding van een inbreukprocedure
door de Europese Commissie.
30. De Geschillenkamer merkt allereerst op dat de verweerder zich in zeer algemene bewoordingen op
een gebrek aan onpartijdigheid en onafhankelijkheid van de Gegevensbeschermingsautoriteit
beroept, zonder naar specifieke feiten of een specifiek lid van de Autoriteit te verwijzen, en zonder
zijn overwegingen te koppelen aan enige beslissing of bestuurshandeling van de
Gegevensbeschermingsautoriteit in dit dossier.
31. Op geen enkel moment geeft de verweerder aan hoe de onafhankelijkheid of de onpartijdigheid van
de Geschillenkamer ter discussie zou kunnen staan.
II.2.3. Misbruik van bevoegdheid
Kritiek op de inhoud van de norm in het inspectieverslag, de vaststelling die op basis hiervan werd gedaan
en het misbruik van bevoegdheid dat hieruit voortvloeit
32. De verweerder betwist in zijn conclusie dat de Inspectiedienst de vorm of de inhoud van een
uitvoerbare wettelijke norm in vraag kan stellen in andere gevallen dan deze waarin artikel 6 van de
wet van 3 december 2017 voorziet. Hij formuleert deze kritiek als volgt:
"Door het ministerieel besluit en het protocol openlijk te bekritiseren en de rechtmatigheid hiervan
in twijfel te trekken om vervolgens op grond hiervan vast te stellen dat er sprake is van een inbreuk
in hoofde van concluant, stelt de Inspectiedienst dus de inhoud van de rechtsgrondslag in vraag
waarop concluant zich voor de verwerking van persoonsgegevens baseerde. Eigenlijk stelt de
inspectie dus de inhoud ter discussie van een norm die tijdens een gezondheidscrisis door de
uitvoerende macht werd uitgevaardigd."6
33. In het kader van haar opdrachten die in artikel 4 van de WOG vastgelegd zijn, is de
Gegevensbeschermingsautoriteit "verantwoordelijk voor het toezicht op de naleving van de
grondbeginselen van de bescherming van de persoonsgegevens." Een van de grondbeginselen van
het recht op bescherming van persoonsgegevens is het principe van de rechtmatigheid, dat
6
Conclusie van de verweerder, §23. [vrije vertaling]
Beslissing ten gronde 47/2022 - 7/73
vastgelegd is in de artikelen 5.1.a en 6 van de AVG. Dit principe stelt elke verwerking van
persoonsgegevens afhankelijk van een grondslag voor rechtmatigheid, waarvan de
verwerkingsverantwoordelijke het bestaan moet kunnen aantonen op grond van het in artikel 24 van
de AVG vastgelegde verantwoordingsbeginsel.
34. In dit geval beriep de verweerder zich tijdens het onderzoek van de Inspectiedienst en in zijn
conclusie op artikel 6.1.c als grondslag voor rechtmatigheid. Dit artikel luidt als volgt:
"De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de
verwerkingsverantwoordelijke rust."
35. De Geschillenkamer herinnert er in dit verband aan dat, hoewel de Inspectiedienst het
onderzoeksorgaan van de GBA7 is, alleen de Geschillenkamer bevoegd is om een beslissing te nemen
op basis van de vaststellingen van de Inspectiedienst. Er kan dus geen sprake zijn van misbruik van
bevoegdheid door de Inspectiedienst, die niet bevoegd is om over de grond van de zaak te beslissen.
36. Verder bestaat de naleving van het principe van de rechtmatigheid erin om te verifiëren of de door
de verwerkingsverantwoordelijke aangevoerde wettelijke verplichting wel degelijk bestaat en of de
verwerking noodzakelijk is om deze wettelijke verplichting na te komen. Het is dan ook niet de
bedoeling om, zoals de verweerder stelt, het ministerieel besluit en het protocol 8 ter discussie te
stellen, maar wel om na te gaan of de door de verwerkingsverantwoordelijke verrichte verwerkingen
rechtmatig zijn en binnen het wettelijk kader vallen dat door deze rechtsinstrumenten werd
vastgelegd. Indien de Geschillenkamer tijdens haar onderzoek vaststelt dat de norm waarop een
verwerking gebaseerd zou zijn, niet aan de vereisten van de AVG voldoet, kan zij tot de conclusie
komen dat de verwerking onrechtmatig is.
37. Deze benadering wordt ook gevolgd in het onderzoeksverslag van de Inspectiedienst waarin met
name wordt gesteld dat "bij een onderzoek naar de rechtmatigheid van de verwerking moet worden
nagegaan of:
- er een reden van algemeen belang is op het gebied van de volksgezondheid conform artikel
9.2.i van de AVG;
- er een wettelijke bepaling is waarop de verwerkingsverantwoordelijke zich rechtsgeldig kan
beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i van de AVG;
- de betrokken verwerkingen noodzakelijk zijn:
▪ om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel 6.1.c;
en
7
Artikel 28 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit.
8
Belgische FOD Mobiliteit en Vervoer, Protocol 'Commerciële Luchtvaart Passagiers' (zie punt 62 e.v.).
Beslissing ten gronde 47/2022 - 8/73
▪ voor de redenen van algemeen belang op het gebied van de volksgezondheid conform
artikel 9.2.i van de AVG."9
38. Uit deze formulering blijkt duidelijk dat de rechtmatigheid van de verwerking zal worden onderzocht
en niet de geldigheid van de normen zelf. Dit wordt bevestigd door de bewoordingen waarin de
Inspectiedienst de vaststellingen in het kader van zijn onderzoek beschrijft. De Inspectiedienst stelt
immers vast dat de verweerder persoonsgegevens zonder passend wettelijk kader verwerkt, wat in
strijd is met de artikelen 6.1, 6.3 en 9.2.i van de AVG. Hieruit blijkt dat het inderdaad de verwerking
zelf is die problematisch wordt geacht.
39. Op grond van deze overwegingen moet het argument van de verweerder inzake een mogelijk
misbruik van bevoegdheid worden verworpen.
Het feit dat elke geldboete misbruik van bevoegdheid zou inhouden
40. Zich baserend op de rechtspraak van het Marktenhof haalt de verweerder aan dat "aangezien
concluant nooit een bevel tot naleving van de regels of enige andere sanctie heeft gekregen, en de
verwerking waarop deze procedure betrekking heeft werd stopgezet op 15 oktober 2020 voor de
controles bij aankomst en op 21 maart 2021 voor de controles bij vertrek, ervan moet worden
uitgegaan dat elke eventuele financiële sanctie in hoofde van de Geschillenkamer een vorm van
misbruik van bevoegdheid zou zijn, in de zin van de rechtspraak van het Hof van Beroep van Brussel,
sectie Marktenhof." [vrije vertaling]
41. De Gegevensbeschermingsautoriteit heeft, net als alle toezichthoudende autoriteiten, de
bevoegdheid om administratieve geldboetes op te leggen om de daadwerkelijke toepassing van de
AVG te waarborgen, conform de tekst van de AVG zelf. Zoals uit overweging 148 blijkt, kan naast of
in de plaats van een aantal passende maatregelen een administratieve geldboete worden opgelegd. 10
De Geschillenkamer past in dit geval artikel 58.2.i van de AVG toe. De mogelijkheid om een
administratieve geldboete op te leggen is dus geenszins afhankelijk van een voorafgaand bevel om
de regels na te leven. De doeltreffendheid van de toepassing van de AVG zou in het gedrang komen,
indien verwerkingsverantwoordelijken zich achter het ontbreken van een voorafgaande
9
Onderzoeksverslag, pag. 25. [vrije vertaling]
10
Overweging 148 zegt hierover het volgende: "Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van
passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om
een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in
plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst
en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van
verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende
autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de
verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van
straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen
overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en
een eerlijke rechtsbedeling. Zie ook de richtsnoeren van het Europees Comité voor Gegevensbescherming over de toepassing van
administratieve geldboeten van 3 oktober 2017, WP 253, waarin wordt bevestigd dat de autoriteiten ervoor kunnen kiezen om
verschillende maatregelen, waaronder een administratieve geldboete, te cumuleren."
Beslissing ten gronde 47/2022 - 9/73
ingebrekestelling zouden kunnen verschuilen om aan een boete te ontsnappen. Daarom voorzien de
AVG en de WOG in verschillende corrigerende maatregelen, waaronder de in artikel 100, §1, 8° en 9°
van de WOG genoemde bevelen. De toezichthoudende autoriteit moet steeds een passende
maatregel kiezen om de doeltreffende toepassing van de AVG te waarborgen, gebruikmakend van
haar discretionaire bevoegdheid 11 die wordt afgelijnd door de procedurele waarborgen en het feit dat
de geldboeten 'doeltreffend, evenredig en afschrikkend' moeten zijn.12
II. 3. Ten gronde
II.3.1 Identificatie van de litigieuze verwerkingen en toepasselijkheid van de AVG
42. Uit de stukken van het dossier en het onderzoeksverslag van de Inspectiedienst blijkt dat het dossier
betrekking heeft op temperatuurmetingen die de verweerder op de luchthaven Brussels South
Charleroi uitvoerde in het kader van de COVID-19-pandemie.
43. Het gebruikte systeem omvat twee afzonderlijke procedures: een voor de vertrekkende vluchten en
een voor de aankomende vluchten.
44. Voor de vertrekkende vluchten voerde de verweerder een temperatuurcontrole in voor alle
passagiers die vanuit Brussels South Charleroi vertrekken en hun begeleiders. In de pre-checktent
werden twee warmtebeeldcamera's geïnstalleerd. Met deze camera's werd een eerste
temperatuurmeting uitgevoerd. Het toestel werd in de gaten gehouden door het Rode Kruis en de
brandweerdiensten van de verweerder.
45. Bij een temperatuur van meer dan 38°C werd de betrokken persoon aan een tweede test
onderworpen. Die werd uitgevoerd door het personeel dat de schermen in de gaten hield, met behulp
van een digitale voorhoofdthermometer. Indien de temperatuur opnieuw hoger was dan 38°C, werd
de passagier verzocht zich naar de ziekenboeg te begeven waar een nieuwe temperatuurmeting
werd verricht met een digitale thermometer onder de arm. Als de temperatuur bij deze derde meting
weer boven de 38°C lag, werd de brandweer op de hoogte gebracht via de radio of telefonisch op het
nummer 112. Een brandweerman stond in voor het opnemen van de anamnese van de betrokken
persoon. Dit houdt in dat aan de passagier bijkomende vragen werden gesteld om na te gaan of hij
11
Marktenhof, NDPK t. GBA, 7 juli 2021. Beschikbaar op: https://www.autoriteprotectiondonnees.be/publications/arret-du-7-juillet-
2021-de-la-cour-des-marches-ar-320-disponible-en-neerlandais.pdf
12
Art. 83.1 van de AVG.
Beslissing ten gronde 47/2022 - 10/73
nog andere typische symptomen van COVID-19 had. De informatie werd mondeling uitgewisseld
zonder dat hiervan aantekeningen werden gemaakt.
46. Als dit tot een vermoeden van COVID leidde en de luchtvaartmaatschappij waarmee de passagier
vloog geen mensen met koorts aan boord toeliet, werd de passagier de toegang tot de terminal
ontzegd.
47. Het systeem werd ingevoerd op 15 juni 2020. Het was operationeel tijdens de openingstijden van de
luchthaven (tussen 04.00 en 21.00 uur). Het Rode Kruis was tot 6 november bij de procedure
betrokken. Vanaf die datum werd deze taak overgenomen door de brandweerdienst van de
verweerder. Er kwam een einde aan de controles op 22 maart 2021. Tussen 15 juni 2020 en 31
oktober 2020 werden ongeveer 457.000 passagiers bij vertrek gecontroleerd.
48. Het Belgische Rode Kruis moest ook elke dag een document invullen waarop moest worden vermeld
hoeveel passagiers een temperatuur boven de 38°C hadden en welke de lichaamstemperatuur van
deze passagiers was. Het document bevatte niet de voor- of achternaam van deze mensen en werd
elke week vernietigd.
49. Bij de aankomsten was het systeem operationeel van 7 september 2020 tot 15 oktober 2020. Het
omvatte het gebruik van 6 warmtebeeldcamera's om de temperatuur te controleren van de
passagiers die uit een rode zone kwamen. Het toestel werd in de gaten gehouden door het Rode Kruis
en de brandweerdiensten. Bij een temperatuur van meer dan 38°C ontving de passagier een
document waarin hem werd gevraagd op andere mogelijke symptomen van COVID te letten en
desgewenst contact op te nemen met een arts.
50. Volgens de verweerder werd het systeem enkel gebruikt voor inkomende vluchten vanuit een rode
zone. De verweerder verklaart niet te kunnen zeggen hoeveel betrokken personen uit een rode zone
terugkeerden en een lichaamstemperatuurcontrole ondergingen.
51. De warmtebeeldcamera's zijn uitgerust met software die een alarmsignaal geeft wanneer een
temperatuur van 38°C of hoger wordt vastgesteld. Op dat moment verschijnt een beeld van de
passagier met zijn masker in het event center van de computer. Op verzoek van de verweerder
werden de camera's geconfigureerd voor een pre-alarm bij 37,5°C en een alarm bij 38°C.
52. De software van de camera's slaat de recentste twintig alarmbeelden tijdelijk op in het
cachegeheugen. Op het einde van elke dag worden ze gewist.
53. De Inspectiedienst stelt vast dat het systeem van warmtebeeldcamera's dat door BSCA nv werd
gebruikt, derhalve moet worden beschouwd als een geautomatiseerd procedé voor de verwerking
van persoonsgegevens dat onder het materiële toepassingsgebied van de AVG valt conform artikel
2.1 van de AVG, aangezien met behulp van warmtebeeldcamera's beelden werden gemaakt van
passagiers met een temperatuur boven de 38°C.
Beslissing ten gronde 47/2022 - 11/73
54. De Inspectiedienst stelt ook vast dat de verwerkingen waarover dit verslag gaat, betrekking hebben
op gegevens over de gezondheid in de zin van artikel 4.15 van de AVG, aangezien zij een aspect van
iemands fysieke gezondheid onthullen, namelijk koorts. De Inspectiedienst is ook van mening dat de
mondelinge anamnese andere informatie van medische aard kan bevatten.
55. De verweerder heeft deze twee vaststellingen van de Inspectiedienst niet betwist. De
Geschillenkamer preciseert echter dat de litigieuze gegevensverwerking beperkt blijft tot de
beelden die met de warmtebeeldcamera's werden gemaakt. De daaropvolgende stappen in de
procedure (het nemen van de temperatuur zonder beeld en de anamnese) houden geen verwerking
van persoonsgegevens in zoals bedoeld in de artikelen 2.1, 4.1 en 4.2 van de AVG. Het meten van de
temperatuur met behulp van een manuele thermometer vormt immers geen verwerking van
persoonsgegevens in de zin van artikel 4.2 van de AVG, aangezien deze meting - voor zover de
Geschillenkamer weet - aan geen van de in dat artikel genoemde bewerkingen werd onderworpen. 13
II.3.2 Identificatie van de verwerkingsverantwoordelijke
56. De Inspectiedienst stelt vast dat BSCA nv voor de in het kader van dit dossier onderzochte
verwerkingen moet worden beschouwd als de verwerkingsverantwoordelijke conform artikel 4.7 van
de AVG. De Inspectiedienst baseert zich voor deze conclusie op het feit dat de verweerder zichzelf
als dusdanig erkent en een overeenkomst heeft gesloten met zowel het Belgische Rode Kruis als met
I-CARE SPRL voor de levering van de warmtebeeldcamera's.
57. Deze vaststelling wordt door de verweerder niet betwist. De Geschillenkamer volgt de
Inspectiedienst overigens op dit punt.
II.3.3 Vaststelling 1: Schending van het beginsel van de rechtmatigheid van de verwerking en
de noodzaak van de maatregel conform de artikelen 5.1.a, 5.1.c, 6 en 9 van de AVG
Vaststellingen van de Inspectiedienst
58. Uit het onderzoeksverslag blijkt dat de verweerder zich beroept op de artikelen 6.1.c en 9.2.i van de
AVG als grondslag voor de rechtmatigheid van de verwerking. Deze twee artikelen worden hieronder
overgenomen:
“Artikel 6
13
Het registreren en/of meedelen van gegevens die het resultaat zijn van de manuele temperatuurmeting en de anamnese aan een
willekeurige ontvanger (zoals een luchtvaartmaatschappij) zou echter een dergelijke verwerking vormen.
Beslissing ten gronde 47/2022 - 12/73
Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
[…]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de
verwerkingsverantwoordelijke rust;"
“Artikel 9
Verwerking van bijzondere categorieën van persoonsgegevens
1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen,
religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en
verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke
identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot
iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
[…]
i) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de
volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de
gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de
gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht
of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter
bescherming van de rechten en vrijheden van de betrokkene, met name van het
beroepsgeheim."
59. Met betrekking tot de wettelijke verplichting van artikel 6.1.c vermeldt het onderzoeksverslag dat de
verweerder zich beroept op artikel 4 van het ministerieel besluit van 30 juni 2020 houdende
dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken.14 Dit
ministerieel besluit volgde op verschillende soortgelijke ministeriële besluiten en werd vervolgens
vervangen door een opeenvolging van andere ministeriële besluiten. Het meest recente op het
moment van schrijven van het onderzoeksverslag is het ministerieel besluit van 28 oktober 2020. 15
Pas in de loop van het onderzoek van de Inspectiedienst verwees de klager naar deze rechtsgronden.
14
Ministerieel besluit van 30 juni 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te
beperken.
15
Ministerieel besluit van 28 oktober 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te
beperken.
Beslissing ten gronde 47/2022 - 13/73
60. Artikel 4 van het ministerieel besluit van 20 juni luidde als volgt:
"Onverminderd artikel 5, oefenen de ondernemingen en verenigingen die goederen of diensten
aanbieden aan consumenten en vanaf 1 september 2020 de organisatoren van handelsbeurzen,
met inbegrip van salons, hun activiteiten uit overeenkomstig het protocol of de daartoe op de
website van de bevoegde overheidsdienst bekendgemaakte minimale algemene regels. [...]"
61. Dit artikel werd opgeheven bij ministerieel besluit van 18 oktober 2020, waarvan artikel 5 de tekst
van artikel 4 van het ministerieel besluit van 30 juni 2021 overnam. Dit besluit werd vervolgens
vervangen door een ministerieel besluit van 28 oktober 2020, waarvan artikel 5 als volgt luidt:
"Onverminderd artikel 8, oefenen de ondernemingen en verenigingen die goederen of diensten
aanbieden aan consumenten hun activiteiten uit overeenkomstig het protocol of de daartoe op de
website van de bevoegde overheidsdienst bekendgemaakte minimale algemene regels."
62. Deze ministeriële besluiten schrijven achtereenvolgens voor dat ondernemingen en verenigingen die
goederen of diensten aan consumenten aanbieden, hun activiteiten moeten uitoefenen in
overeenstemming met het protocol of de minimale regels die op de website van de bevoegde
overheidsdienst bekendgemaakt zijn. Het protocol dat op de verweerder van toepassing is, is een
protocol met de titel 'Commerciële Luchtvaart Passagiers' van de Belgische FOD Mobiliteit en
Vervoer (hierna 'het Protocol').
63. Het Protocol bevat op bladzijde 5 specifieke gezondheidsmaatregelen die van toepassing zijn op
luchthavens, waaronder de volgende maatregel:
64. De Inspectiedienst merkt tevens op dat het Protocol de volgende bepaling bevat:
Beslissing ten gronde 47/2022 - 14/73
65. De hierboven gekopieerde paragraaf over het controleren van de temperatuur van de passagiers
komt uit Hoofdstuk 2 van het Protocol.
66. De Inspectiedienst stelde vast dat het Protocol op 12 oktober 2020 werd gepubliceerd op de website
van de FOD Mobiliteit en Vervoer.
67. Uit het onderzoeksverslag blijkt dat de verweerder met betrekking tot de redenen van algemeen
belang op het gebied van de volksgezondheid conform artikel 9.2.i van de AVG preciseert dat het
meer in het bijzonder gaat om "de bescherming tegen ernstige grensoverschrijdende bedreigingen
voor de gezondheid, in dit geval de COVID-19-epidemie." [vrije vertaling] In dit verband wijst hij erop
dat overweging 46 van de AVG uitdrukkelijk de bestrijding van epidemieën vermeldt.
68. Voorts gaf de verweerder aan (stuk 7) dat de verwerking binnen het vastgelegd wetgevend kader
valt, d.w.z. het ministerieel besluit van 30 juni 2020 en het Protocol.
69. Op grond van de artikelen 5.1.a, 6.1, 6.3 en 9.2.i van de AVG meent de Inspectiedienst dat het, om zich
van de rechtmatigheid van de verwerking te vergewissen, noodzakelijk is om onderstaande
elementen te beoordelen.
70. Ten eerste meent de Inspectiedienst dat de strijd tegen de verspreiding van COVID-19 moet worden
beschouwd als een zaak van algemeen belang op het gebied van de volksgezondheid conform artikel
9.2.i van de AVG.
71. Ten tweede meent de Inspectiedienst dat de gegevens zonder passend juridisch kader werden
verwerkt, wat in strijd is met de artikelen 6.1.c, 6.3 en 9.2.i van de AVG, zodat de verwerking dus
onwettig was. Om tot deze conclusie te komen, baseert de Inspectiedienst zich op de volgende
elementen:
- het doel van de ingeroepen norm werd niet bij wet vastgelegd en het Protocol heeft bovendien
een ander doel dan het ministerieel besluit;
- de basismodaliteiten voor het meten van de lichaamstemperatuur werden niet gedefinieerd
door de wet;
- de voorzienbaarheid van het Protocol is problematisch, aangezien het niet werd gepubliceerd;
- de ingeroepen rechtsnormen zijn geen wetten in de strikte zin;
Beslissing ten gronde 47/2022 - 15/73
- de ingeroepen rechtsnormen voorzien niet in de nodige waarborgen die de verwerking
omkaderen.
72. Ten derde meent de Inspectie dat wordt betwist in hoeverre het medisch gezien noodzakelijk was
om de lichaamstemperatuur van de passagiers te controleren.
Standpunt van de verweerder
73. In zijn conclusie herinnert de verweerder aan het wettelijk kader voor de gegevensverwerking: de
opeenvolgende ministeriële besluiten en het Protocol, dat bindend is voor de verweerder.
74. De verweerder is verder van mening dat het bestaan van een algemeen belang op het gebied van de
volksgezondheid op grond van artikel 9.2.i in dit geval duidelijk aangetoond is.
75. Hij is tevens van oordeel dat er een wettelijke bepaling bestaat waarop de
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i
van de AVG.
76. Hij voert de volgende vier elementen aan om dit aan te tonen:
- In de eerste plaats meent de verweerder, zoals hierboven reeds werd uiteengezet (punt 32
e.v.), dat het niet aan de Inspectiedienst is om zich uit te spreken over de geldigheid van een
wettelijke of uitvoerbare norm. De dienst moet alleen verifiëren of er een wettelijke
verplichting bestaat waardoor de verwerking geldig is op basis van artikel 5.1.c (sic) van de
AVG.
- Vervolgens voert hij aan dat de temperatuurmetingen hem werden opgelegd door het
Protocol, dat zelf door de ministeriële besluiten verplicht werd gesteld. De verweerder stelt
voor het eerst uitdrukkelijk dat deze ministeriële besluiten gebaseerd zijn op artikel 4 van de
wet van 31 december 196316 (hierna 'de wet op de civiele bescherming') en de wet van 15 mei
200717 (hierna 'de wet betreffende de civiele veiligheid'). De verweerder verklaart dat deze
wetten door de Raad van State werden bekrachtigd als rechtsgrondslag voor de ministeriële
besluiten. Ook stelt de verweerder, voor het eerst in zijn conclusie, dat hij zich baseert op het
decreet van 23 juni 1994 (hierna 'het Waals decreet'). 18 Hij voegt eraan toe dat de ministeriële
besluiten door de Raad van State werden bekrachtigd in een arrest van 30 oktober 2020.19 De
16
Wet van 31 december 1963 op de civiele bescherming.
17
Wet van 15 mei 2007 betreffende de civiele veiligheid.
18
Decreet van 23 juni 1994 betreffende de oprichting en de uitbating van de onder het Waalse Gewest ressorterende luchthavens.
19
Arrest nr. 248.818 van de Raad van State van 30 oktober 2020, beschikbaar op http://www.raadvstconsetat.be/arr.php?nr=248818.
Beslissing ten gronde 47/2022 - 16/73
verweerder meldt te hebben deelgenomen aan de workshops voor de opstelling van het
Protocol, samen met de FOD Mobiliteit, de luchthavens en de belangrijkste Belgische
luchtvaartmaatschappijen.
- Met betrekking tot het doel, de basismodaliteiten en de vertraging bij de publicatie meent de
verweerder dat hij niet verantwoordelijk kan worden gesteld voor de naleving van deze
verplichtingen (die niet worden opgelegd door artikel 9.2.i van de AVG) en dat deze zaken geen
afbreuk doen aan zijn verplichting om de in het Protocol opgenomen maatregelen uit te voeren.
- Met betrekking tot de voorwaarde dat de verwerking noodzakelijk moet zijn, meent de
verweerder - net als de Inspectiedienst - dat het niet aan de GBA is om zich uit te spreken over
de medische noodzaak van warmtebeeldcamera's om de verspreiding van COVID-19 tegen te
gaan. De verweerder vraagt zich ook af of het mogelijk is om deze analyse achteraf te maken
en herinnert aan de onzekerheid die destijds heerste. Hij voegt eraan toe dat op dat ogenblik
geen andere pragmatische oplossing beschikbaar was om aan de eisen van het opgelegde
Protocol te kunnen voldoen. Hij merkt ook op dat er geen echte COVID-tests werden
uitgevoerd, maar uitsluitend temperatuurcontroles. De term 'positieve/negatieve tests' is
volgens hem irrelevant. Hij voegt hieraan toe dat niet minder dan 65 andere Europese
luchthavens dergelijke systemen invoerden en dat ze op zijn luchthaven al maandenlang niet
meer worden gebruikt (zie de punten 47 en 49). Hij voegt eraan toe geen enkel belang te
hebben bij de verwerking van de gegevens en merkt op dat het risico dat eraan verbonden is,
zeer beperkt is. Hij besluit dat de verwerking toentertijd noodzakelijk was en in verhouding
stond tot de doeleinden van de verwerking.
77. Tijdens de hoorzitting verklaarde de verweerder dat het besluit om de temperatuurmetingen stop te
zetten werd genomen vanwege het toegenomen gebruik van PCR-tests en de invoering van de
quarantaines, alsook uit financiële overwegingen. 20
78. De verweerder verklaart dat, voor wat de vertrekkende vluchten betreft, slechts drie personen na het
meten van hun temperatuur werden verzocht om de terminal niet te betreden. Indien zij dit toch
hadden willen doen, zou hun identiteit aan de luchtvaartmaatschappij zijn meegedeeld. De
uiteindelijke beslissing om hen al dan niet aan boord te laten gaan, zou volgens het internationaal
recht bij de boordcommandant hebben gelegen.
79. In verband met de rechtsgrondslag en het Protocol hield de verweerder tijdens de hoorzitting vol dat
hij op basis van het Protocol aan een wettelijke verplichting onderworpen was, ook al meent hij dat
het Protocol stuntelig opgesteld is waardoor het aanleiding kan geven tot verschillende
20
Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag. 1.
Beslissing ten gronde 47/2022 - 17/73
interpretaties. De verweerder voegt hieraan toe dat hij niet betrokken is geweest bij de opstelling van
het Protocol en van mening is dat een wet meer op zijn plaats zou zijn geweest. 21 Hij voegt eraan toe
dat de EASA-richtsnoeren overigens ook niet altijd even duidelijk zijn. 22 Hij merkt ook op te hebben
verzocht om een tussenkomst van de overheid met betrekking tot de rechtmatigheid van de
verwerking nadat de Inspectiedienst een onderzoek had geopend.
Beoordeling door de Geschillenkamer
80. De Geschillenkamer onderstreept dat een verwerking van persoonsgegevens slechts rechtmatig is
indien zij gebeurt op basis van een rechtsgrondslag zoals bedoeld in artikel 6.1 van de AVG.
81. Aangezien in dit geval werd vastgesteld (zie hoger) dat het screeningsysteem ook de verwerking van
bijzondere categorieën van persoonsgegevens impliceerde (meer in het bijzonder van gegevens
betreffende de gezondheid van de betrokkenen in de zin van artikel 4.15 van de AVG), moeten de
verwerkingsverantwoordelijken ook aantonen dat voldaan is aan een van de voorwaarden die in
artikel 9.2 van de AVG worden opgesomd en waardoor het verbod op de verwerking van dit soort
persoonsgegevens niet van toepassing is. Zoals de Geschillenkamer reeds eerder heeft
geoordeeld,23 moet de verwerking van bijzondere categorieën van persoonsgegevens in de zin van
artikel 9 van de AVG immers gebaseerd zijn op artikel 9.2 van de AVG, gelezen in samenhang met
artikel 6.1 van de AVG. Dit werd vastgesteld door de Europese Commissie en de EDPB. 24 Het wordt
ook bevestigd door overweging 51 van de AVG waarin het volgende staat over de verwerking van
bijzondere categorieën van persoonsgegevens: "Naast de specifieke voorschriften voor die
verwerking dienen de algemene beginselen en andere regels van deze verordening te worden
toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking."25
Toepassing van de artikelen 6.1.c en 9.2.i van de AVG op deze zaak
82. In deze zaak verklaarde de verwerkingsverantwoordelijke tijdens de bespreking met de GBA zich te
baseren op de artikelen 6.1.c en 9.2.i van de AVG.
21
Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag. 2.
22
Zie ook het antwoord van de Inspectiedienst van 24 november 2020.
23
Cfr. de beslissing ten gronde 76/2021, punt 33, beschikbaar op:
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-76-2021.pdf.
24
Zie in dit verband: GEORGIEVA, L. en KUNER, C., "Article 9. Processing of special categories of personal data” in KUNER, C.,
BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford,
pag. 37: "The Commission has stated that the processing of sensitive data must always be supported by a legal basis under Article 6
GDPR, in addition to compliance with one of the situations covered in Article 9(2). The EDPB has also stated that ‘If a video surveillance
system is used in order to process special categories of data, the data controller must identify both an exception for processing special
categories of data under Article 9 (i.e. and exemption from the general rule that one should not process special categories of data)
and a legal basis under Article 6."
25
Eigen vetmarkering van de Geschillenkamer.
Beslissing ten gronde 47/2022 - 18/73
83. De Geschillenkamer benadrukt dat de verwerkingsverantwoordelijke zich slechts kan beroepen op
de rechtmatigheidsgrondslag van artikel 6.1.c en op de uitzondering waarin artikel 9.2.i van de AVG
voorziet, indien hij aantoont:
(i) dat er een belangrijke reden van algemeen belang op het gebied van de volksgezondheid is
(artikel 9.2.i.);
(ii) dat er een wettelijke bepaling bestaat waarop de verwerkingsverantwoordelijke zich
rechtsgeldig kan beroepen conform de artikelen 6.1.c, 6.3 en 9.2.i van de AVG;
(iii) dat de betrokken verwerkingen noodzakelijk zijn
o om te voldoen aan de wettelijke verplichting die wordt ingeroepen conform artikel
6.1.c; en
o voor de redenen van algemeen belang op het gebied van de volksgezondheid
conform artikel 9.2.i.
84. Met betrekking tot het eerste constitutieve element van artikel 9.2.i van de AVG, namelijk het
bestaan van een 'zwaarwegend algemeen belang op het gebied van de volksgezondheid', betwijfelt
de Inspectiedienst in zijn onderzoeksverslag niet of er in dit geval sprake is van een dergelijk belang.
De Geschillenkamer stelt in dit verband vast dat er wel degelijk sprake is van een 'zwaarwegend
algemeen belang op het gebied van de volksgezondheid' in de zin van artikel 9.2.i van de AVG. De
Geschillenkamer vindt inderdaad dat er geen twijfel over kan bestaan dat de bestrijding van de
COVID-19-pandemie als dusdanig moet worden beschouwd. Zoals ook de verweerder aanvoert,
staat dit uitdrukkelijk vermeld in overweging 46 van de AVG waarin wordt verwezen naar "[het
monitoren] van een epidemie en de verspreiding daarvan" als een "gewichtige reden van algemeen
belang".
85. Het tweede constitutieve element heeft betrekking op het bestaan van een wettelijke bepaling
waarop de betrokken verwerking gebaseerd is conform de artikelen 6.1.c en 9.2.i van de AVG.
86. Conform artikel 6.3 van de AVG, gezien in het licht van considerans 41 van de AVG, moet de
verwerking van persoonsgegevens die noodzakelijk is voor de naleving van een wettelijke
verplichting26 en/of voor de vervulling van een taak van algemeen belang of een taak in het kader van
de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, 27
berusten op een duidelijke en nauwkeurige regelgeving waarvan de toepassing voorzienbaar is voor
degenen op wie ze van toepassing is.
87. Artikel 6.3 van de AVG bepaalt in dit verband meer in het bijzonder: "De rechtsgrond voor de in lid 1,
punten c) en e), bedoelde verwerking moet worden vastgesteld bij: a) het Unierecht; of b) het
26
Artikel 6.1.c van de AVG.
27
Artikel 6.1.e van de AVG.
Beslissing ten gronde 47/2022 - 19/73
lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de
verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde
verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening
van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend."
88. Overweging 41 van de AVG preciseert in dit verband: "Wanneer in deze verordening naar een
rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een
door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten
overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of
wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet
voorzienbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van
het Hof van Justitie van de Europese Unie ('Hof van Justitie') en het Europees Hof voor de Rechten
van de Mens."
89. Met betrekking tot de door de verweerders aangevoerde rechtsgrond moet worden vastgesteld dat
de litigieuze verwerking als dusdanig niet onderworpen is aan het decreet betreffende de oprichting
en de uitbating van luchthavens en vliegvelden, noch aan het ministerieel besluit of de wet
betreffende de civiele veiligheid (zie punten 59 e.v. en 76 e.v. hierboven). Deze verwerking is voorzien
in het Protocol Commerciële Luchtvaart, dat door de Federale Overheidsdienst Mobiliteit en Vervoer
(DG Luchtvaart) werd goedgekeurd na onderhandelingen met de betrokken sector. Dit blijkt uit de
formulering van artikel 1, 3° van het ministerieel besluit: "protocol: het document bepaald door de
bevoegde minister in overleg met de betrokken sector (...)". Dit blijkt ook uit de documenten in het
dossier en uit het e-mailbericht dat het kabinet van de bevoegde minister op 11 juni 2020 naar de
luchthavenexploitanten, de luchtvaartmaatschappijen en de regionale autoriteiten stuurde. De
Geschillenkamer betoogt dat in het kader van artikel 6.3 en overweging 41 van de AVG
samenwerking en overleg met de sector op zich geen probleem vormen, op voorwaarde dat de
verplichting uitdrukkelijk wordt opgelegd door een wet in de ruime zin. Dit is hier niet het geval (zie
verder).
90. De Geschillenkamer verwijst in dit verband met name naar het arrest Privacy International van het
Hof van Justitie van 6 oktober 2020, waarin het Hof stelt dat de betrokken regeling duidelijke en
nauwkeurige regels moet bevatten “over de reikwijdte en de toepassing van de betrokken maatregel
[en minimumvereisten moet opleggen], zodat degenen van wie de persoonsgegevens aan de orde
zijn, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd
tegen het risico van misbruik.” En het Hof voegt eraan toe: "Die regeling moet wettelijk verbindend
zijn naar intern recht en in het bijzonder aangeven in welke omstandigheden en onder welke
voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden
genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. (...) Deze
overwegingen gelden in het bijzonder wanneer het gaat om de bescherming van een bijzondere
categorie persoonsgegevens, te weten gevoelige gegevens."
Beslissing ten gronde 47/2022 - 20/73
91. In verband met de genoemde normen verklaart verweerder in zijn conclusie van antwoord dat de
Raad van State met zijn arrest van 30 oktober 2020 “de wettelijke basis van artikel 4 van de Wet van
31 december 1963 en de artikelen 181, 182 en 187 van de Wet van 15 mei 2007 [heeft] goedgekeurd.”
Er dient evenwel op te worden gewezen dat voormeld arrest geen betrekking heeft op het gebruik
van deze wetgeving als wettelijke basis voor de verwerking van (bijzondere categorieën van)
persoonsgegevens en geenszins een toetsing van voormelde normen aan de AVG betreft. Het arrest
heeft betrekking op de sluiting waartoe restaurants en drankgelegenheden in het kader van COVID-
19 werden verplicht en is bijgevolg niet relevant voor deze zaak. Belangrijker nog is dat de arresten
van de Raad van State betrekking hebben op de wettelijkheid van de maatregelen die bij ministerieel
besluit werden opgelegd. Er moet echter op worden gewezen dat ministeriële besluiten in het
Belgisch recht een duidelijk normatief karakter hebben. Dat is evenwel niet het geval voor het
betreffende Protocol.
92. Dit werd overigens bevestigd door de Raad van State in zijn advies nr. 69.253/AG van 23 april 2021,
uitgebracht door de Algemene Vergadering van de afdeling Wetgeving, waarin deze het volgende
standpunt inneemt:
93. "Van tweeën immers één: ofwel hebben de protocollen geen verordend karakter maar dan zijn de
concretiseringen die ze inhouden niet bindend, kunnen de protocollen niet afwijken van het
ministerieel besluit, en kan de naleving ervan niet worden gecontroleerd en gehandhaafd door het
instellen van een strafvordering bij niet-naleving ervan; ofwel zijn de protocollen wel verordenend
en zijn de maatregelen die ze inhouden wel bindend, doch dan dienen deze maatregelen te worden
opgenomen in besluiten van de daartoe bevoegde overheid.”28
94. Met dit standpunt antwoordt de Raad van State op de vraag van de afgevaardigde van de minister
aangaande de juridische waarde van het protocol:
95. "De protocollen en gidsen vormen een indicatief beoordelingskader. De protocollen en gidsen
kunnen enkel verordenende maatregelen, zoals bepaald in het MB, concretiseren, maar zijn zelf niet
verordenend."29
96. De Geschillenkamer merkt overigens op dat de Franse Raad van State het volgende verklaarde over
de verwerking van bijzondere categorieën van persoonsgegevens met behulp van
warmtebeeldcamera's zonder geldige rechtsgrond: "Er kan worden aangenomen dat is voldaan aan
de wettelijke voorwaarden voor de verwerking van persoonsgegevens betreffende de gezondheid
zoals bedoeld in artikel 9.2.g van de AVG, aangezien er geen tekst bestaat die het gebruik van de door
28
De Raad van State herhaalde deze paragraaf in zijn advies 69.305 van 6 mei 2021. Advies nr. 69.253/AG van 23 april 2021 is het
eerste advies dat de Raad van State over de opeenvolgende ministeriële besluiten uitbracht (zie punt 62 e.v.). Vanwege de
hoogdringendheid was niet vooraf het advies ingewonnen van de afdeling Wetgeving van de Raad van State. Dit is dus het eerste
advies van de Raad van State over de kwestie van de protocollen waarin deze opeenvolgende ministeriële besluiten voorzien.
29
Afdeling Wetgeving van de Raad van State, nr. 69.253/AG van 23 april 2021, pag. 42.
Beslissing ten gronde 47/2022 - 21/73
de gemeente ingezette warmtebeeldcamera's regelt en preciseert dat het algemeen belang zulks
noodzakelijk maakt."30 [vrije vertaling]
97. Tijdens de hoorzitting verklaarde de verweerder tevens dat hij de rechtsgrondslag onduidelijk achtte
en dat een wet meer op zijn plaats zou zijn geweest.31
98. De Geschillenkamer stelt bijgevolg vast dat het Protocol geen geldige wettelijke basis biedt voor de
verwerking in de zin van artikel 6.1 van de AVG.
99. Wat voorts het niet-bindende karakter van het ingeroepen Protocol betreft, merkt de
Geschillenkamer op basis van de stukken het volgende op:
- Het Protocol zegt: "Het opmeten van de lichaamstemperatuur van de passagiers zodat ze met
een "immuniteitspaspoort" kunnen reizen, wordt niet aanbevolen door de EASA en het ECDC. De
EASA herinnert eraan dat de relevantie van die meting niet onderbouwd wordt door de huidige
wetenschappelijke kennis van SRAS-CoV-2. De EASA en het ECDC volgen niettemin de
wetenschappelijke evoluties en zullen desgevallend hun aanbevelingen bijwerken indien een
geschikte test beschikbaar wordt.
Op vraag van luchtvaartmaatschappijen die er vluchten uitvoeren, heeft de luchthaven van
Charleroi (Brussels South Charleroi Airport) evenwel beslist om de testen voor het opmeten
van de lichaamstemperatuur in te voeren voor de personen die het luchthavengebouw
betreden. De luchthaven garandeert dat de methode waarvoor gekozen wordt geen
vertraging, noch een concentratie van personen aan de ingang van haar infrastructuur zal
veroorzaken."32
- De luchthaven heeft tweemaal het initiatief genomen om de verwerking stop te zetten. Dit blijkt uit
haar antwoord op de vraag van 6 januari 2021 waarin zij verklaarde dat het meten van de
temperatuur bij aankomst op initiatief van de luchthaven op 15 oktober 2020 is stopgezet. In
verband met de aankomsten verklaarde de verweerder in zijn brief van 18 oktober 2021 het
volgende: "De verweerder heeft het systeem van de temperatuurmetingen voor de vertrekkende
vluchten op 22 maart 2021 onderbroken vanwege de aanvullende maatregelen die door de
verschillende nationale regeringen werden getroffen om de verspreiding van het coronavirus tegen
te gaan." [vrije vertaling] Dit werd herhaald tijdens de hoorzitting aangezien de verweerder duidelijk
aangaf dat, toen de verwerking in maart 2021 werd stopgezet, "de stopzetting een beslissing van
BSCA was."33
30
Franse Raad van State, ordonnantie van 26 juni 2020, nr. 441065. Beschikbaar op: https://www.conseil-etat.fr/decisions-de-
justice/dernieres-decisions/conseil-d-etat-26-juin-2020-cameras-thermiques-a-lisses
31
Zie punt 79 hierboven.
32
Eigen vetmarkering van de Geschillenkamer.
33
Opmerkingen bij het PV van de hoorzitting van 22 oktober 2021, pag. 1.
Beslissing ten gronde 47/2022 - 22/73
100. Voor de Geschillenkamer tonen deze elementen aan - nog afgezien van de vraag of er een wettelijke
basis bestaat - dat het Protocol specifiek voor de temperatuurmeting geen bindend karakter heeft.
101. Verder is de Geschillenkamer van oordeel dat het Protocol om de hierna genoemde redenen niet
voldoet aan de vereisten van artikel 6.3. van de AVG en de Europese rechtspraak.
Het doel (de doeleinden) van de litigieuze verwerking(en) wordt (worden) in de ingeroepen
normen niet op voldoende duidelijke en coherente wijze vermeld
102. Zoals hierboven vermeld, dient op grond van artikel 6.3 van de AVG de wettelijke basis van de in lid 1,
punten c) en e) bedoelde verwerking te worden vastgesteld door het Unierecht of het lidstatelijk
recht dat op de verwerkingsverantwoordelijke van toepassing is. Overweging 45 preciseert dat: "Het
moet ook het Unierecht of het lidstatelijke recht zijn die het doel van de verwerking bepaalt. Voorts
zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze
verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en
specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type
verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens
mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te
zorgen voor rechtmatige en behoorlijke verwerking. Ook dient in het Unierecht of het lidstatelijke
recht te worden vastgesteld of de verwerkingsverantwoordelijke die is belast met een taak van
algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag, een
overheidsinstantie of een andere publiekrechtelijke persoon is (...)."34
103. De Geschillenkamer stelt evenwel vast dat de door de verweerder ingeroepen normen niet op
eenduidige en heldere wijze de precieze doelstelling van de verwerking bevatten. Evenmin bevatten
zij de basismodaliteiten van de verwerking, zoals opgesomd in de vorige paragraaf.
104. Met betrekking tot het ministerieel besluit van 5 juni 2020, het decreet betreffende de oprichting en
uitbating van luchthavens en vliegvelden, en de wet betreffende de civiele veiligheid dient te worden
vastgesteld dat geen van deze drie normen melding maakt van de litigieuze verwerking. Uit de
bewoordingen van het ministerieel besluit blijkt dat de doelstelling van de erin opgenomen
maatregelen erin bestaat “de verspreiding van het coronavirus COVID-19 te beperken.”
105. Ook het Protocol Commerciële Luchtvaart – dat wel naar de litigieuze verwerking verwijst – bevat
geen duidelijke omschrijving van de doeleinden van voormelde verwerking. Er kan hooguit uit de titel
van het document worden afgeleid dat de doelstelling van de maatregelen die het bevat “de
heropstart van de activiteiten met betrekking tot de commerciële luchtvaart passagiers” is.
De verwerkingsmodaliteiten werden niet gedefinieerd in het Protocol
34
Eigen vetmarkering van de Geschillenkamer.
Beslissing ten gronde 47/2022 - 23/73
106. Zoals hierboven wordt uiteengezet, dient overeenkomstig artikel 6.3 van de AVG, gelezen in
samenhang met artikel 22 van de Grondwet en de artikelen 7 en 8 van het Handvest van de
grondrechten van de Europese Unie, een wetgevende norm de essentiële kenmerken vast te leggen
van een gegevensverwerking die noodzakelijk is voor de uitvoering van een taak van algemeen
belang of de uitoefening van het openbaar gezag waarmee de verwerkingsverantwoordelijke belast
is. In voormelde bepalingen wordt in dit verband benadrukt dat de betreffende verwerking dient te
worden omkaderd door een voldoende duidelijke en nauwkeurige norm waarvan de toepassing voor
de betrokken personen voorzienbaar is.
107. Het Protocol Commerciële Luchtvaart legt de essentiële elementen van de litigieuze verwerking
echter geenszins vast. Het laat een ruime appreciatiemarge aan de verwerkingsverantwoordelijken
met betrekking tot de manier waarop de meting van de lichaamstemperatuur dient te worden
uitgevoerd. Het Protocol laat de luchthavenbeheerders bijgevolg de vrijheid om deze screening al
dan niet met verwerking van persoonsgegevens uit te voeren en zelfs om de overige modaliteiten
vast te stellen, zoals het aantal temperatuurmetingen, de gebruikte technologie, het type en de
hoeveelheid verwerkte gegevens en de bewaringstermijn van de gegevens.
De voorzienbaarheid (of onvoorzienbaarheid) van het Protocol Commerciële Luchtvaart
108. De Europese rechtspraak legt de vereiste van voorzienbaarheid van de wetgeving op. De ingeroepen
normen dienen verder door hun publicatie voor de betrokkenen voldoende toegankelijk te worden
gemaakt, met name voor wat betreft de aard en de rechtsgevolgen voor de betrokkene.
109. In dit verband dient te worden vastgesteld dat het Protocol niet bepaalt welke de gevolgen zijn voor
een betrokkene die weigert zich aan de temperatuurcontrole te onderwerpen. Dit element blijkt
alleen uit de gezamenlijke operationele richtsnoeren van de EASA en het ECDC. Het doel van de
identificatie en het principe van de controle met behulp van beeldopnames blijken evenmin uit het
Protocol. Bovendien werd het Protocol niet tijdig en correct gepubliceerd. Het werd namelijk op de
website van de Federale Overheidsdienst Mobiliteit en Vervoer geplaatst nadat het van toepassing
werd.
110. Doordat deze modaliteiten niet in de ingeroepen norm of het ingeroepen instrument vastgelegd zijn,
ontstaan belangrijke afgeleide risico’s voor de rechten en vrijheden van de betrokkenen (bv.
finaliteitsvervaging en bemoeilijking van de uitoefening van de rechten van de betrokkenen).
Conform de hierboven aangehaalde rechtspraak van het Hof van Justitie (arrest Privacy
International) voldoet zulks niet aan de voorwaarde om door middel van een wet (zelfs in de ruime zin)
te voorzien in passende en specifieke maatregelen ter bescherming van de grondrechten en de
fundamentele vrijheden van de betrokkenen.
Beslissing ten gronde 47/2022 - 24/73
111. De Geschillenkamer neemt akte van de spoed waarmee de maatregelen werden genomen in het
kader van de strijd tegen de COVID-19-pandemie. Zij beklemtoont echter dat dit niets afdoet aan het
feit dat de voorschriften van bovengenoemde bepalingen moeten worden nageleefd. Zij vormen een
essentiële bescherming voor de rechten en vrijheden in het kader van de regelgeving inzake de
bescherming van persoonsgegevens.
112. Als verwerkingsverantwoordelijke is de verweerder op grond van het principe van de
verantwoordingsplicht van de artikelen 5.2 en 24 van de AVG ('accountability') verantwoordelijk voor
de naleving van de beginselen inzake de bescherming van persoonsgegevens (waaronder
rechtmatigheid en noodzakelijkheid) en moet hij kunnen aantonen dat hij zijn wettelijke
verplichtingen nakomt. De Geschillenkamer herinnert er nogmaals aan dat de verweerder het gebrek
aan duidelijkheid van het Protocol heeft erkend. 35
113. De Geschillenkamer beklemtoont dat de verweerder zich dus vanaf het begin van de litigieuze
verwerking had moeten vergewissen van het bestaan van een geldige rechtmatigheids- en
uitzonderingsgrond in de zin van de artikelen 6.1 en 9.2 van de AVG. Uit de analyse van de stukken
van het dossier blijkt dat deze rechtmatigheidsgrond bij het begin van de verwerking niet
uitdrukkelijk werd vastgesteld. Dit blijkt ook uit het ontbreken van een concrete verwijzing naar de
betreffende rechtsgrond in de privacyverklaring van de verweerder (cfr. infra). Pas tijdens het
onderzoek van de Inspectiedienst werd voor het eerst melding gemaakt van deze rechtsgrond, die
daarna vanaf 2 december op onvolledige wijze in het privacybeleid werd opgenomen.
114. Voorts moet worden beklemtoond dat de wettelijke normen waarop de
verwerkingsverantwoordelijken zich beroepen, geen enkele verplichting inhouden en geen enkel
rechtskader scheppen voor de uitvoering van een temperatuurcontrole waarbij persoonsgegevens
worden geregistreerd.
115. De Geschillenkamer besluit derhalve dat het tweede constitutieve element niet werd aangetoond.
116. Met betrekking tot het derde constitutieve element, namelijk dat de betrokken verwerkingen
noodzakelijk moeten zijn om de ingeroepen wettelijke verplichting na te komen conform artikel 6.1.c
alsook om redenen van algemeen belang op het gebied van de volksgezondheid conform artikel 9.2.i.
117. De Geschillenkamer is allereerst van mening dat de verwijzing naar andere soortgelijke verwerkingen
in 65 andere Europese luchthavens niet relevant is als bewijs dat in deze zaak aan de
noodzakelijkheidsvereiste is voldaan. In dit verband wordt erop gewezen dat de opsomming in de
conclusie van de eerste verweerder ook impliceert dat een (aanzienlijk) aantal luchthavens
(waaronder ook Belgische luchthavens) helemaal geen gebruik heeft gemaakt van het
temperatuurmetingsysteem. De Geschillenkamer stelt bovendien vast dat het Protocol aangeeft dat
de verwerking op slechts twee luchthavens in België zou worden geïmplementeerd (de luchthavens
35
Zie punt 76 hierboven.
Beslissing ten gronde 47/2022 - 25/73
van Charleroi en Zaventem), zonder de overige luchthavens op het Belgisch grondgebied te
vermelden.
118. Met betrekking tot de naleving van het noodzakelijkheidsbeginsel in het kader van de litigieuze
verwerking beklemtoont de Geschillenkamer, net als de verweerder, dat zij zich niet kan uitspreken
over de medische noodzaak van deze maatregel in het kader van de bestrijding van COVID-19 als
dusdanig, en evenmin over de wetenschappelijke accuraatheid en correctheid van de geciteerde
standpunten en verslagen. Deze analyse is evenwel niet nodig om zich over de noodzaak van de
verwerking vanuit juridisch oogpunt te kunnen buigen.
119. De Geschillenkamer merkt evenwel op dat het Protocol Commerciële Luchtvaart van de minister van
Mobiliteit - zowel in de versie van 11 juni 2020 als in die van 31 juli 2020 - op pagina 5 het volgende
vermeldt:
"Het opmeten van de lichaamstemperatuur van de passagiers zodat ze met een
'immuniteitspaspoort' kunnen reizen, wordt niet aanbevolen door de EASA en het ECDC. De EASA
herinnert eraan dat de relevantie van die meting niet onderbouwd wordt door de huidige
wetenschappelijke kennis van SARS-CoV-2. (…)."36
120. De Geschillenkamer stelt derhalve vast dat de door de verweerder zelf aangevoerde rechtsgrondslag
vermeldt dat de noodzaak van de betrokken verwerking niet is aangetoond. Zij concludeert derhalve
dat de noodzaak van de verwerking, zoals vereist door de artikelen 6.1.c, 6.3 en 9.2.i van de AVG niet
werd aangetoond.
121. De Geschillenkamer merkt in dit verband op dat het Protocol Commerciële Luchtvaart en de andere
door de verweerder ingeroepen normen geen geldige grondslag voor verwerking vormen en
concludeert dat er een inbreuk werd gepleegd op de artikelen 6.1.c, 6.3 en 9.2.i van de AVG.
II.3.4 Vaststelling 337: Schending van het transparantiebeginsel en de informatieplicht
conform de artikelen 5.1.a, 12 en 13 van de AVG
122. De Inspectiedienst stelt vast dat de bij de verwerking betrokken personen in twee categorieën
kunnen worden onderverdeeld: passagiers en eventuele begeleiders (bij vertrek) en personen die uit
een rode zone terugkeren (bij aankomst).
123. De modaliteiten voor het verstrekken van informatie kunnen ook verschillen, aangezien een deel van
de communicatiemodaliteiten voor alle betrokkenen geldt, terwijl bepaalde bijkomende informatie
36
Protocol Commerciële Luchtvaart, pag. 5. Eigen vetmarkering van de Geschillenkamer.
37
Met het oog op de leesbaarheid en voor een goed begrip van de beslissing wordt vaststelling 3 vóór vaststelling 2 besproken.
Beslissing ten gronde 47/2022 - 26/73
alleen aan de vertrekkende passagiers en hun eventuele begeleiders wordt meegedeeld. Deze
informatie wordt verstrekt met behulp van de volgende vier communicatiemiddelen:
- een informatiebanner op de website van de verweerder;
- een pagina met FAQ op de website van de verweerder;
- het interne reglement dat op de website gepubliceerd is en wordt uitgehangen vóór de
controles van de lichaamstemperatuur van de passagiers;
- de privacyverklaring op de website van de verweerder.
124. Voor wat de vertrekkende vluchten betreft, verklaarde de verweerder ook dat een affiche was
opgehangen met een informatieve illustratie van een temperatuur van meer dan 38°C en de woorden
'no access to the terminal'. De affiche toont ook een gezicht in profiel waarbij de temperatuur wordt
gemeten met een voorhoofdthermometer.
125. De Inspectiedienst stelt tekortkomingen vast met betrekking tot de artikelen 5.1.a, 12 en 13 van de
AVG voor wat betreft de informatie die bij het vertrek aan de betrokkenen wordt verstrekt. Er kan
een onderscheid worden gemaakt tussen de inbreuken naargelang zij zich hebben voorgedaan
tussen 15 juni 2020 en 2 december 2020 (datum waarop het nieuwe privacybeleid online werd gezet)
of dateren van na deze laatste datum.
126. Over het algemeen was de verweerder het er tijdens de hoorzitting mee eens dat sommige punten
voor verbetering vatbaar waren, met name op het vlak van de bewaringstermijn en de verwijzing naar
de GBA. Volgens de verweerder voegt de Inspectiedienst een criterium toe aan de AVG door te eisen
dat de precieze rechtsgrondslag wordt vermeld, maar hij begrijpt dat dit de kwaliteit van de
informatie kan verbeteren. Het privacybeleid werd in november 2020 op diverse punten gewijzigd
(met publicatie op 2 december 2020), maar het bevat nog geen verwijzing naar artikel 9 van de AVG.
127. Het feit dat geen enkele vraag om verduidelijking of om de uitoefening van rechten werd ontvangen,
hoewel de contactgegevens van de functionaris voor gegevensbescherming op verschillende
plaatsen beschikbaar waren, bewijst voor de verweerder dat de transparantie werd gewaarborgd.
128. Aangezien de informatie die aan de betrokkenen werd verstrekt varieerde naargelang van het
moment en de omstandigheden, heeft de Inspectiedienst ervoor gekozen de naleving van deze
principes in drie verschillende situaties te onderzoeken. Deze worden hieronder opgesomd.
a) Inbreuken die plaatsvonden tussen 15 juni en 2 december 2020 bij het vertrek
Vaststellingen van de Inspectiedienst
Beslissing ten gronde 47/2022 - 27/73
129. Met betrekking tot de inbreuken die tussen 15 juni en 2 december 2020 bij het vertrek
plaatsvonden, is de Inspectiedienst van mening dat deze verband houden met de volgende
elementen:38
- Geen van de communicatiemiddelen vermeldt dat de temperatuur met behulp van
warmtebeeldcamera's wordt gemeten (inbreuk op artikel 5.1.a);
- De rechtsgrond voor de verwerking wordt nooit meegedeeld (inbreuk op artikel 13.1.c), evenmin
als het regelgevende kader voor de verplichting om de lichaamstemperatuur te controleren
(inbreuk op artikel 13.2.e);
- Er is geen vastlegde bewaringstermijn of de criteria om deze te bepalen worden niet vermeld
(inbreuk op artikel 13.2.a);
- Het recht om een klacht in te dienen bij de GBA wordt evenmin vermeld (13.2.d);
- Het doel van de verwerking wordt niet vermeld (artikel 13.1.c).
Standpunt van de verweerder
130. De verweerder is van mening dat de Inspectiedienst bij de controle van de naleving van zijn wettelijke
verplichtingen geen rekening heeft gehouden met bepaalde gepubliceerde documenten.
131. Hij meent namelijk dat het niet nodig was om informatie te verschaffen over het meten van de
lichaamstemperatuur met warmtebeeldcamera's, aangezien deze informatie al beschikbaar was via
de nationale pers en een persbericht van de luchthaven van 10 juni 2020, en de betrokkenen dus al
over deze informatie beschikten (artikel 13.4 AVG).
132. Op grond van dezelfde uitzondering meent de verweerder verder dat de betrokkenen reeds op de
hoogte moesten zijn van het bestaan van de wettelijke verplichting inzake de verwerking, aangezien
deze verplichting voortvloeit uit het Protocol dat op zijn beurt werd opgelegd door ministeriële
besluiten die in het Belgisch Staatsblad bekendgemaakt zijn.39 De Verweerder meent dat hij niet
verantwoordelijk kan worden gesteld voor de vertraging bij de bekendmaking van het Protocol.
133. In verband met de bewaringstermijn erkent de verweerder dat hij deze nauwkeurig had moeten
aangeven. Hij erkent ook dat het bestaan van het recht om een klacht in te dienen bij de GBA niet
wordt vermeld in het privacybeleid.
134. Hij voert dezelfde argumenten aan als deze in verband met vaststelling 2 die specifiek over het doel
gaat (zie punt 187 e.v.)
38
Aangezien de privacyverklaring de temperatuurcontrole bij de betrokkenen niet uitdrukkelijk vermeldt, werd zij door de
Inspectiedienst niet onderzocht. De vastgestelde inbreuken hebben derhalve betrekking op de drie andere communicatiemiddelen.
39
Concluant benadrukt opnieuw dat hij niet verantwoordelijk kan worden gesteld voor de vertraging bij de bekendmaking van het
Protocol.
Beslissing ten gronde 47/2022 - 28/73
Beoordeling door de Geschillenkamer
135. Het transparantiebeginsel is vastgelegd in artikel 5.1.a van de AVG dat zegt dat persoonsgegevens
moeten worden verwerkt "op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en
transparant is ('rechtmatigheid, behoorlijkheid en transparantie')";
136. Dit principe wordt onder meer toegepast in artikel 12.1 van de AVG. Dat zegt dat de
verwerkingsverantwoordelijke "passende maatregelen [neemt] opdat de betrokkene de in de
artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde
communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt (...)."
137. Overwegingen 58 en 60 van de AVG preciseren: "Overeenkomstig de beginselen van behoorlijke en
transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er
verwerking plaatsvindt en van de doeleinden daarvan" en "Overeenkomstig het
transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de betrokkene
beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal [...] worden
gebruikt."
138. Zoals benadrukt door advocaat-generaal P. Cruz Villalón alsook door het Hof van Justitie van de
Europese Unie in de zaak Bara, is de naleving van de bepalingen met betrekking tot transparantie en
informatieverstrekking van essentieel belang, aangezien dit een voorwaarde is voor de uitoefening
door de betrokkenen van hun rechten, dewelke één van de fundamenten van de AVG vormen. 40
139. Artikel 13 van de AVG geeft aan welke informatie aan de betrokkene moet worden verstrekt in de
gevallen waarin de betreffende persoonsgegevens bij hemzelf worden verzameld.
140. In zijn richtlijnen met betrekking tot transparantie verduidelijkte de Groep Gegevensbescherming
Artikel 29 dat artikel 13 van de AVG zowel van toepassing is in de gevallen waarin de
persoonsgegevens bewust door de betrokkene worden overgemaakt aan de
verwerkingsverantwoordelijke als in de gevallen waarin de gegevens door de
verwerkingsverantwoordelijke worden verzameld door observatie (bijvoorbeeld door middel van het
gebruik van geautomatiseerde gegevensvergaringsapparatuur of software voor gegevensvergaring
zoals camera’s).41
141. In verband met het eerste element, d.w.z. de verwerking op basis van warmtebeeldcamera's,
merkt de Geschillenkamer op dat de verweerder zich beroept op de toepassing van artikel 13.4 van
40
HvJ-EU, 1 oktober 2015, C-201/14, par. 33 (Conclusie advocaat-generaal P. Cruz Villalón, 9 juli 2015, par. 74).
41
Groep Gegevensbescherming Artikel 29, Guidelines on transparency under Regulation 2016/679, 11 april 2018, pag. 14-15, par. 26.
Beslissing ten gronde 47/2022 - 29/73
de AVG en aangeeft dat hij niet verplicht was om de betrokkenen te informeren, aangezien zij reeds
over de informatie beschikten via de media en een persbericht van de luchthaven.
142. Artikel 13.4 van de AVG vermeldt duidelijk dat de paragrafen 1, 2 en 3 niet van toepassing zijn
wanneer en voor zover de betrokkene reeds over de informatie beschikt. Artikel 13.4 voorziet
derhalve niet in een uitzondering op het transparantiebeginsel zoals dat wordt geformuleerd in artikel
5.1.a van de AVG. Het is echter op basis van dit artikel dat de Inspectiedienst een tekortkoming heeft
vastgesteld ten aanzien van de verplichting om de betrokkenen te informeren omtrent het bestaan
van de warmtebeeldcamera's. Naar het oordeel van de Geschillenkamer moet inderdaad een
onderscheid worden gemaakt tussen enerzijds het behoorlijkheids- en transparantiebeginsel (artikel
5.1.a) en anderzijds de verplichtingen die uit dit beginsel voortvloeien (met name de artikelen 13 en
14).
143. Het in artikel 5.1.a vastgelegde behoorlijkheids- en transparantiebeginsel gaat verder dan de
eenvoudige informatie- en transparantieverplichtingen die in de artikelen van de AVG worden
opgesomd, en vormt een algemeen beginsel waarvan de reikwijdte en de filosofie bij elke verwerking
moeten worden nageleefd.
144. Dit standpunt werd door de EDPS formeel overgenomen in zijn Beslissing 01/021 inzake WhatsApp,
waarin de toezichthouder stelde:
"Het Comité onderstreept op grond van de bovenstaande overwegingen dat het
transparantiebeginsel zich niet beperkt tot de verplichtingen uit hoofde van de artikelen 12 tot en
met 14 AVG, ook al vormen deze een concretisering van dat beginsel. Het transparantiebeginsel is
namelijk een overkoepelend beginsel dat niet alleen andere beginselen versterkt (d.w.z. billijkheid,
verantwoordingsplicht), maar waaruit ook tal van andere bepalingen van de AVG voortvloeien.
Bovendien bevat artikel 83, lid 5, AVG, zoals reeds opgemerkt, de mogelijkheid om een inbreuk op
de transparantieverplichtingen onafhankelijk van de inbreuk op het transparantiebeginsel vast te
stellen. In de AVG wordt dus een onderscheid gemaakt tussen de bredere dimensie van het
beginsel en de meer specifieke verplichtingen. Met andere woorden, met de
transparantieverplichtingen wordt niet de volledige werkingssfeer van het transparantiebeginsel
afgebakend."42
145. De Inspectiedienst baseert zich dus terecht op het transparantiebeginsel van artikel 5.1.a om te
oordelen dat de betrokkenen op de hoogte hadden moeten worden gebracht van het bestaan van de
warmtebeeldcamera's, hoewel deze verplichting niet uitdrukkelijk opgenomen is in de
transparantieverplichtingen van artikel 13 van de AVG.
42
EDPB, Bindend besluit 1/2021 over het geschil dat is ontstaan over het ontwerpbesluit van de Ierse toezichthoudende autoriteit
betreffende WhatsApp Ireland op grond van artikel 65, lid 1, onder a) van de AVG, 28 juli 2021, §192.
Beslissing ten gronde 47/2022 - 30/73
146. Overweging 60 van de AVG zegt echter: "Overeenkomstig de beginselen van behoorlijke en
transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er
verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de
betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een
behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke
omstandigheden en de context waarin de persoonsgegevens worden verwerkt."
147. Het feit dat de temperatuur wordt gemeten met behulp van warmtebeeldcamera's is zo belangrijk
dat de betrokkenen moeten worden geïnformeerd over de verwerking van hun gegevens. Het in
artikel 5.1.a vastgelegde behoorlijkheids- en transparantiebeginsel vereist namelijk per definitie dat
de betrokkenen weten wanneer hun gegevens al dan niet worden verwerkt.
148. De Geschillenkamer stelt vast dat tijdens de onderzochte periode in twee verschillende documenten
die de verweerder verstrekte, melding werd gemaakt van de temperatuurcontroles: het intern
reglement (hierna IR) en de FAQ-pagina die via de banner op de website toegankelijk was. Geen van
deze twee informatiebronnen vermeldt dat de verwerking zou of zou kunnen worden uitgevoerd met
behulp van warmtebeeldcamera's.
149. Zoals de verweerder benadrukt, is het feit dat op de luchthaven warmtebeeldcamera's worden
gebruikt, informatie die in verschillende persartikels aan bod kwam. Naar het oordeel van de
Geschillenkamer kan de verweerder niet volstaan met zich te beroepen op het bestaan van
informatie in de pers om zich te onttrekken aan zijn transparantieverplichtingen op grond van de AVG
en ten aanzien van de betrokken personen. Er mag immers niet van worden uitgegaan dat elke
passagier op doorreis in de luchthaven een persartikel heeft gelezen dat hem volledig inlicht over het
bestaan en de voorwaarden van de verwerking. Verder kunnen de verwerkingsverantwoordelijken
hun verantwoordelijkheid inzake transparantie niet overdragen aan de pers en moeten zij deze
persoonlijk en rechtstreeks opnemen.
150. Het gebruik van warmtebeeldcamera's werd door de verweerder ook bekendgemaakt in een
persbericht dat op 10 juni 2020 op zijn website verscheen. Dit is op zich weliswaar een lovenswaardig
initiatief maar voor de Geschillenkamer is het ontoereikend. Het transparantiebeginsel vereist
immers dat de informatie op een gecentraliseerde en geconsolideerde manier toegankelijk is,
bijvoorbeeld via het IR of het privacybeleid die makkelijk kunnen worden geraadpleegd. 43 Een
persbericht, dat na enige tijd in de digitale archieven van een verwerkingsverantwoordelijke moet
worden opgezocht, kan niet worden omschreven als 'makkelijk toegankelijk'.
43
Overweging 58: "[...] Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de
betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal en, in voorkomend geval,
aanvullend visualisatie worden gebruikt. [...]"
Beslissing ten gronde 47/2022 - 31/73
151. Daarnaast stelt de Geschillenkamer vast dat de door de verweerder uitgehangen affiche (zie punt
124) vermeldt dat de temperatuur met een manuele voorhoofdthermometer wordt gemeten, terwijl
de eerste temperatuurmeting met behulp van warmtebeeldcamera's wordt uitgevoerd.
152. Gelet op het voorgaande is de Geschillenkamer van oordeel dat de betrokkenen niet naar behoren
werden ingelicht over het feit dat hun temperatuur met warmtebeeldcamera's kon worden
opgenomen, en dat het dus mogelijk is dat de temperatuur van een betrokkene werd opgenomen
zonder dat deze daarvan op de hoogte was.
De Geschillenkamer stelt derhalve een inbreuk op artikel 5.1.a van de AVG vast.
153. Het tweede element dat ter beoordeling voorligt, betreft de informatie over de rechtsgrondslag
van de verwerking (artikel 13.1.c) en het regelgevend kader voor de verplichting om de
lichaamstemperatuur te controleren (artikel 13.2.e). De Inspectiedienst stelde vast dat deze
informatie in geen van de voor de betrokkenen beschikbare informatiebronnen terug te vinden was.
De verweerder beroept zich in dit verband op de toepasselijkheid van artikel 13.4 en stelt dat de
betrokkenen niet onkundig konden zijn van het bestaan van deze verplichting, aangezien deze
gebaseerd is op het Protocol waarin uitdrukkelijk werd voorzien door de ministeriële besluiten die in
het Belgisch Staatsblad werden bekendgemaakt.
154. De Geschillenkamer kan dit argument van de verweerder niet aanvaarden. Dit zou betekenen dat een
verwerkingsverantwoordelijke de betrokkenen nooit hoeft te informeren over de rechtsgrondslag
van de verwerking, van zodra die in het Belgisch Staatsblad is bekendgemaakt. Deze logica is duidelijk
in strijd met artikel 13.1.c, 13.2.e en overweging 58 die voorschrijven dat dergelijke informatie moet
worden verstrekt op een wijze die 'beknopt, eenvoudig toegankelijk en begrijpelijk' is en dat hiervoor
'duidelijke en eenvoudige taal' moet worden gebruikt. 44
155. De uitzondering waarin artikel 13.4 van de AVG voorziet, is overigens slechts van toepassing
'wanneer en voor zover de betrokkene reeds over de informatie beschikt', wat impliceert dat de
betrokkene effectief over deze informatie moet beschikken. Het loutere feit dat de informatie
beschikbaar is in het Belgisch Staatsblad voldoet niet aan dit criterium. Hoe dan ook, het Protocol
waarop de verweerder zich voor de litigieuze verwerking baseert, moest niet eens vóór midden
augustus 2020 worden bekendgemaakt, hoewel het geacht werd van toepassing te zijn vanaf 8
juni.45
156. In tegenstelling tot wat de verweerder betoogt, is de verwerkingsverantwoordelijke bovendien
verplicht om aan de betrokkene niet alleen mee te delen op welke alinea van artikel 6 de
gegevensverwerking gebaseerd is, maar ook welke tekst en bepaling precies de grondslag vormen
44
AVG, overweging 58.
45
Onderzoeksverslag, pag. 32. De Inspectiedienst meldt dat de FOD pas tot publicatie overging na tussenkomst van de
Inspectiedienst in een ander soortgelijk dossier.
Beslissing ten gronde 47/2022 - 32/73
van de wettelijke verplichting waarop de verwerking op grond van artikel 6.1.c van de AVG gebaseerd
is. Een loutere verwijzing naar 'een wettelijke verplichting' zonder deze te vermelden kan niet
volstaan om aan te nemen dat de betrokkenen voldoende werden geïnformeerd. De betrokkenen
zouden in een dergelijk geval nooit kunnen nagaan of een wettelijke verplichting in de zin van artikel
6.1.c effectief bestaat en uit de betrokken wettelijke bepaling voortvloeit.
157. De Geschillenkamer stelt vast dat de betrokkenen dat in dit geval inderdaad niet konden, aangezien
de verweerder niet naar het betreffende Protocol en evenmin naar de ministeriële besluiten op het
moment van de verwerking verwees als grondslag voor zijn wettelijke verplichting om de verwerking
uit te voeren. Omdat de verwerkte gegevens gezondheidsgegevens zijn, moet de verweerder zich
bovendien kunnen verantwoorden voor een van de in artikel 9.2 van de AVG genoemde
uitzonderingen. Deze verantwoording moet ook opgenomen zijn in de informatie die aan de
betrokkene wordt verstrekt. De verwijzing naar de precieze wettelijke normen is van essentieel
belang om ervoor te zorgen dat de betrokkene op de hoogte is van zijn rechten en plichten bij elke
verwerking.
158. De Geschillenkamer stelt derhalve een inbreuk vast op de artikelen 13.1.c en 13.2.e van de AVG.
159. In verband met het derde en het vierde element, d.w.z. de bewaringstermijn van de gegevens en het
recht om een klacht in te dienen bij een gegevensbeschermingsautoriteit, stelt de Geschillenkamer
vast dat de verweerder deze tekortkomingen erkent. De inbreuk op de artikelen 13.2.a en 13.2.d is
aangetoond.
160. Met betrekking tot het vijfde element, d.w.z. het doel, verwijst de Geschillenkamer naar haar
onderstaande overwegingen waarin zij van oordeel is dat het doel niet voldoende werd toegelicht in
de informatiedocumenten vóór de wijziging van het privacybeleid op 2 december 2020 (punt 195
e.v.). Zij stelt derhalve op dit punt een inbreuk op artikel 13.1.c vast.
161. De Geschillenkamer stelt dus een inbreuk vast op de artikelen 5.1.a, 13.1.c, 13.2.d, 13.2.a en 13.2.e
tussen 15 juni en 2 december 2020 voor wat de vertrekken betreft.
b) inbreuken die plaatsvonden vanaf 2 december 2020 voor wat de vertrekken betreft
Vaststellingen van de Inspectiedienst
162. Met betrekking tot de inbreuken die vanaf 2 december 2020 plaatsvonden bij het vertrek, 46 is de
Inspectiedienst van mening dat deze verband houden met de volgende elementen:
46
Datum waarop de gewijzigde privacyverklaring online werd geplaatst.
Beslissing ten gronde 47/2022 - 33/73
- de ingeroepen rechtmatigheidsgrondslag wordt onvoldoende gepreciseerd (inbreuk op artikel
13.1.c);
- er wordt nergens vermeld dat de temperatuur met behulp van warmtebeeldcamera's wordt
gecontroleerd (inbreuk op artikel 5.1.a);
- de mogelijke gevolgen van het niet verstrekken van de gegevens worden niet vermeld en er
wordt niet verwezen naar het IR (inbreuk op artikel 13.2.e);
- het doel van de verwerking wordt onvoldoende omschreven (zie punt 184 e.v.);
- de privacyverklaring verwijst nog naar de wet van 8 december 1992 die inmiddels werd
opgeheven.
Standpunt van de verweerder
163. De verweerder is van mening dat de wijziging van zijn privacyverklaring (op 23 november 2020, met
publicatie op 2 december 2020) de rechtmatigheidsgrondslag duidelijk aangeeft. Hij meent dat de
Inspectiedienst een voorwaarde toevoegt aan artikel 13.1.c door te eisen dat de wettelijke
bepaling(en) waarop de verwerking gebaseerd is, duidelijk wordt (worden) vermeld.
164. Met betrekking tot het gebrek aan informatie over het gebruik van camera's en de kwestie van het
doel verwijst de verweerder naar zijn hierboven vermelde overwegingen (zie punt 141 e.v. en punt
160) en betwist hij de grieven.
165. Inzake de verwijzing naar het IR meent hij dat dit inderdaad beter had gekund, maar dat dit op zich
geen tekortkoming ten aanzien van zijn informatieplicht vormt, te meer daar het IR in de gebouwen
aanwezig is vóór elke temperatuurcontrole.
166. De verweerder erkent dat de verwijzing naar de wet van 1992 een materiële fout is, die zal worden
gecorrigeerd.
Standpunt van de Geschillenkamer
167. Het eerste element betreft de naleving van artikel 13.1.c dat voorschrijft dat de rechtsgrondslag voor
de verwerking moet worden vermeld. Zoals zowel de Inspectiedienst als de verweerder hebben
verklaard, bevatte het privacybeleid van de verweerder vanaf 2 december 2020 de volgende
vermelding:
168. "Ten tijde van een epidemie of pandemie kunnen wij de temperatuur meten om te controleren of
deze hoger is dan 38°C. Dit gebeurt alleen op basis van een wettelijke verplichting en deze gegevens
worden niet opgeslagen of hergebruikt voor andere doeleinden dan het beschermen van de
gezondheid van de mensen die op doorreis zijn op de luchthaven. De gegevens worden bewaard
gedurende enkele minuten." [vrije vertaling]
Beslissing ten gronde 47/2022 - 34/73
169. De verweerder meent dat hiermee aan de vereiste van artikel 13.1.c van de AVG voldaan is, terwijl de
Inspectiedienst meent dat de precieze wettelijke bepaling(en) had(den) moeten worden vermeld,
evenals de uitzondering die in artikel 9.2 van de AVG opgenomen is om de verwerking van
gezondheidsgegevens te verantwoorden.
170. Voor de Geschillenkamer impliceert de naleving van artikel 13.1.c dat de betrokkene volledig moet
worden geïnformeerd over zowel de precieze rechtsgrondslag voor de verwerking als de tekst en de
precieze bepaling die de wettelijke verplichting schept waarop de verwerking uit hoofde van artikel
6.1.c gebaseerd is. In dit verband verwijst zij naar punt 153 e.v. hierboven en constateert zij een
inbreuk op artikel 13.1.c van de AVG.
171. Het tweede punt betreft het feit dat de temperatuurmeting met behulp van warmtebeeldcamera's
nergens zou zijn vermeld (inbreuk op artikel 5.1.a). De Geschillenkamer verwijst in dit verband naar
haar hierboven geformuleerde standpunt dat op dit punt geldig blijft (zie punt 141 e.v.) en stelt een
inbreuk vast op artikel 5.1.a van de AVG.
172. Het derde punt betreft het niet vermelden van de mogelijke gevolgen van het niet verstrekken van
de gegevens door het ontbreken van een verwijzing naar het IR (inbreuk op artikel 13.2.e). De
Inspectiedienst is van oordeel dat niet werd voldaan aan de verplichting om te wijzen op het
regelgevende karakter van de verplichting om de gegevens te verstrekken en op de mogelijke
gevolgen van het niet verstrekken van de persoonsgegevens, zoals artikel 13.2.e van de AVG
voorschrijft. De verweerder is van mening dat, aangezien deze informatie in het IR opgenomen is, aan
de verplichting van artikel 13.2.e werd voldaan, al had een verwijzing naar het IR in het privacybeleid
kunnen worden opgenomen.
173. De Geschillenkamer stelt discrepanties vast tussen de informatie die in de verschillende onderzochte
documenten aan de betrokkenen werd verstrekt. Het privacybeleid vermeldt immers dat de
verwerking gebaseerd is op een wettelijke verplichting (ook al is deze vermelding onvolledig, zie punt
153 e.v.). Het zegt echter niets over de gevolgen van het weigeren van de verwerking. Het IR vermeldt
wel degelijk dat de toegang tot de terminal zal worden geweigerd "aan eenieder die weigert zich aan
een temperatuurcontrole te onderwerpen en bij wie een lichaamstemperatuur van meer dan 38°C
wordt vastgesteld na ten minste twee metingen." 47 Het vermeldt echter niet de bron van deze
verplichting.48 Hetzelfde geldt voor de pagina "Vaak gestelde vragen (FAQ)": er wordt vermeld welke
de gevolgen zijn wanneer een temperatuur van meer dan 38°C wordt vastgesteld, maar niet welke
de bron van deze verplichting is. Geen van deze drie documenten verwijst naar de andere
documenten, wat impliceert dat een betrokkene die slechts één document had geraadpleegd, niet
over alle informatie beschikte waarop hij recht had. De Geschillenkamer acht dit in strijd met de
vereiste dat de informatie 'beknopt, eenvoudig toegankelijk en begrijpelijk' moet zijn en dat hiervoor
47
IR, artikel 8 en FAQ [vrije vertaling]
48
IR, artikel 8: "De luchthaven is verplicht dit te doen." [vrije vertaling]
Beslissing ten gronde 47/2022 - 35/73
'duidelijke en eenvoudige taal' moet worden gebruikt." 49 Zij stelt derhalve een inbreuk vast op artikel
13.2.e van de AVG.
174. Het vierde element betreft de vermelding van het doel. In dit verband merkt de Geschillenkamer op
dat het doel vanaf 2 december 2020 in het privacybeleid van de verweerder werd omschreven als
"het beschermen van de gezondheid van de mensen die op doorreis zijn op de luchthaven." Dit doel
is echter niet als dusdanig in het IR terug te vinden.
175. Het vijfde element is de verwijzing naar de wet van 8 december 1992 (die werd opgeheven) in het
privacybeleid. Dit element wordt door de verweerder niet betwist en de Geschillenkamer stelt
derhalve vast dat deze privacyverklaring onjuist is en moet worden bijgewerkt.
176. De Geschillenkamer stelt dus een inbreuk vast op de artikelen 5.1.a, 13.1.c en 13.2.e.
c) Aankomsten uit een rode zone
Vaststellingen van de Inspectiedienst
177. Met betrekking tot de aankomsten vanuit een rode zone stelde de Inspectiedienst een inbreuk vast
op de artikelen 5.1.a, 12.1 en 13 van de AVG op basis van de volgende elementen:
- volgens de informatie in het IR en op de website hebben deze controles tot doel de toegang
tot de terminal te beperken voor mensen met een temperatuur van meer dan 38°C, wat in het
kader van de aankomstcontroles onjuist is (zie punt 49);
- nergens wordt vermeld dat de temperatuur met warmtebeeldcamera's wordt gecontroleerd;
- de informatie die wordt verstrekt aan de passagiers die uit een rode zone terugkeren, zegt
niets over de omstandigheden waarin de controle wordt uitgevoerd (artikel 5.1.a).
Standpunt van de verweerder
178. De verweerder is in de eerste plaats van mening dat de Inspectiedienst van een verkeerd
uitgangspunt vertrekt, omdat hij zich ten onrechte op slechts twee documenten baseert in plaats van
alle informatiebronnen in overweging te nemen.
179. Hij voegt eraan toe dat één versie van het IR online was gezet om redenen van efficiëntie en
kostenbesparing. Bovendien vermeldt het IR duidelijk dat de temperatuur van de passagiers zal
worden gemeten.
180. Tot slot betwist de verweerder het innovatieve karakter van de warmtebeeldcamera's.
49
AVG, overweging 58.
Beslissing ten gronde 47/2022 - 36/73
Standpunt van de Geschillenkamer
181. Met betrekking tot het eerste punt - het doel van de temperatuurcontrole - merkt de
Geschillenkamer op dat het IR vermeldt dat de temperatuurcontrole verplicht is en dat de toegang
tot de terminal zal worden geweigerd aan wie weigert zich eraan te onderwerpen of een temperatuur
van meer dan 38°C heeft na ten minste twee metingen. Het IR zegt niets over de terugkeer uit een
rode zone, waar de enige consequentie van een temperatuur van meer dan 38°C is dat de betrokkene
een bewustmakingsdocument ontvangt. De overhandiging van dit document heeft geen belangrijke
gevolgen voor de rechten van de betrokkene. Door niet te specificeren dat de beschreven controle
alleen van toepassing is op de vertrekken, suggereert de tekst van het IR echter dat een persoon bij
aankomst de toegang tot de terminal kan worden geweigerd, wat verwarring schept en
problematisch is met betrekking tot het transparantiebeginsel.
182. Met betrekking tot de formulering van de informatiebanner en de gepubliceerde 'Vaak gestelde
vragen (FAQ's)' wordt opgemerkt dat deze niet specificeren dat het toegangsverbod tot de terminal
alleen bij de vertrekken geldt, waardoor mensen zouden kunnen denken dat hen ook bij aankomst de
toegang tot de terminal kan worden ontzegd. Ook dit stelt een probleem op het vlak van het
transparantiebeginsel (artikel 5.1.a AVG).
183. Voor wat de tweede vraag betreft, verwijst de Geschillenkamer naar haar hierboven geformuleerde
overwegingen, die geldig blijven. Zij merkt ook op dat, zoals de Inspectiedienst meldt, de affiches die
bij de vertrekken werden uitgehangen (zie punt 124), niet aanwezig zijn bij de aankomsten, zodat de
informatie voor de passagiers die uit een rode zone aankomen, nog gebrekkiger is dan deze die aan
de vertrekkende passagiers wordt verstrekt.
184. De Geschillenkamer stelt derhalve een inbreuk op de artikelen 5.1.a en 12.1. vast.
II.3.5 Vaststelling 2:50 Schending van het principe van de doelbinding conform artikel 5.1.b
van de AVG
Vaststellingen van de Inspectiedienst
185. Volgens de Inspectie is het doel van de verwerking de "bescherming van de gezondheid van de
personen die op doorreis zijn op de luchthaven en van de werknemers die in de terminal werken",
aangezien dit het antwoord is dat de verweerder tijdens het onderzoek gaf en dat werd herhaald in
50
Zoals eerder aangegeven, heeft de Geschillenkamer besloten om de beoordeling van vaststellingen 2 en 3 van het
onderzoeksverslag om te keren.
Beslissing ten gronde 47/2022 - 37/73
de gegevensbeschermingseffectbeoordeling die de verweerder aan de Inspectie heeft
overgemaakt.
186. De Inspectiedienst merkt op dat de verweerder het doel van de betreffende verwerkingen
onvoldoende nauwkeurig heeft bepaald in overeenstemming met artikel 5.1.b van de AVG, aangezien
de verwerkingsverantwoordelijke niet aangaf dat de verwerking voor de betrokkenen een
verschillend doel en verschillende gevolgen had naargelang van het type controle dat werd
uitgevoerd (bij vertrek of bij aankomst).
Standpunt van de verweerder
187. De verweerder herinnert er allereerst aan dat het begrip 'doel' niet wordt gedefinieerd in de AVG en
dat hij zich dus baseert op een definitie van de CNIL (Franse gegevensbeschermingsautoriteit). Hij
meent dat het doel van de verwerking voldoende werd bepaald: de gezondheid beschermen van de
personen die op doorreis zijn in de luchthaven en van het personeel in de terminal. Het definiëren van
de gevolgen van een verwerking is volgens de regelgeving geen voorwaarde voor de geldigheid van
het doelbindingsbeginsel. De verweerder voegt eraan toe dat het verschil in behandeling bij vertrek
en bij aankomst gerechtvaardigd was gezien de verschillende situaties en voortvloeit uit het gezond
verstand. Mensen die uit een rode zone komen, kunnen namelijk niet worden teruggestuurd. Hij voegt
eraan toe dat het nooit nodig is geweest om de toegang tot de terminal te weigeren aan personen
van wie de temperatuur hoger was dan 38°C, aangezien zij uit vrije wil besloten om hun reis niet voort
te zetten.
188. Hij besluit dat de doeleinden van de verwerking duidelijk, welomschreven en gerechtvaardigd waren
en dat hij steeds het evenredigheidsbeginsel heeft geëerbiedigd door het evenwicht te bewaren
tussen de belangen van de volksgezondheid en het privéleven van de betrokkenen.
Beoordeling door de Geschillenkamer
189. Artikel 5.1.b van de AVG schrijft voor dat de gegevens alleen voor welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden mogen worden verwerkt. De Geschillenkamer meent
dat de kwestie van het door de verweerder aangegeven verwerkingsdoel en het probleem van de
rechtsgrondslag van dit doel in dit geval afzonderlijk kunnen worden geanalyseerd (zie punt 102 e.v.
hierboven). De aangevoerde rechtsgrondslag voorziet niet - of niet duidelijk genoeg - in een doel (zie
punt 195 e.v.). Daarom moet het door de verwerkingsverantwoordelijke aangegeven doel worden
onderzocht.
190. Voor de interpretatie van dit beginsel verwijst de Geschillenkamer naar het advies van de Groep
Gegevensbescherming Artikel 29 waarin nader wordt omschreven wat wordt verstaan onder een
Beslissing ten gronde 47/2022 - 38/73
uitdrukkelijk omschreven doel51 in de zin van Richtlijn 95/46.52 Het is belangrijk op te merken dat de
hoofdkenmerken van het beginsel van doelbinding identiek zijn gebleven tussen Richtlijn 95/46 53 en
de AVG.
191. In verband met het welbepaalde karakter van het doel merkt de Geschillenkamer op dat de
verweerder dit doel in zijn antwoord op de vragen van de Inspectiedienst duidelijk omschrijft als
zijnde "het beschermen van de gezondheid van de personen die op doorreis zijn in de luchthaven",
hetgeen vervolgens wordt herhaald in de door hem uitgevoerde
gegevensbeschermingseffectbeoordeling. Dit is ook terug te vinden in het Register van de
verwerkingsactiviteiten waar het verkort wordt omschreven als 'bescherming van de gezondheid'.
192. De Geschillenkamer oordeelt derhalve dat het doel voldoende bepaald is.
193. Met betrekking tot het uitdrukkelijk omschreven karakter van het doel, wordt in het advies van de
Groep Gegevensbescherming Artikel 29 het volgende uitgelegd:
"De doeleinden van de verzameling moeten niet alleen duidelijk gekend zijn door de personen die
belast zijn met het verzamelen van de gegevens. Ze moeten eveneens uitdrukkelijk worden
geformuleerd. [...]
Het uiteindelijke doel van deze vereiste is ervoor te zorgen dat de doeleinden qua betekenis en
intentie ondubbelzinnig en nauwkeurig worden vermeld. De betekenis moet duidelijk zijn en mag
geen twijfel oproepen of moeilijk te begrijpen zijn. [...]
De verplichting om de doelstellingen 'uitdrukkelijk' te vermelden draagt bij tot transparantie en
voorspelbaarheid. Zij maakt het mogelijk om ondubbelzinnig de grenzen te bepalen waarbinnen de
verwerkingsverantwoordelijken de verzamelde persoonsgegevens mogen gebruiken, met het doel
de betrokkenen te beschermen. Zij helpt iedereen die gegevens verwerkt in naam van de
verwerkingsverantwoordelijke, evenals de betrokkenen, de gegevensbeschermingsautoriteiten en
andere betrokken partijen, om een gemeenschappelijk begrip te hebben van hoe gegevens mogen
worden gebruikt. Dit verkleint het risico dat de verwachtingen van de betrokkenen verschillen van
die van de verwerkingsverantwoordelijke." 54
51
Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 17.
52
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke
personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens
53
Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke
personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens
54
Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 17. Vrije vertaling.
Beslissing ten gronde 47/2022 - 39/73
194. Het advies van de werkgroep legt dus de nadruk op de noodzaak van het uitdrukkelijk vermelden van
het doel, zodat iedereen de reden voor de gegevensverwerking begrijpt en misverstanden worden
voorkomen. In verband met de manier waarop dat doel moet worden geformuleerd, benadrukt het
advies de volgende elementen:
"In termen van verantwoordelijkheid zal de schriftelijke vermelding van het doel en het aanmaken
van geschikte documenten bijdragen om aan te tonen dat de verwerkingsverantwoordelijke heeft
voldaan aan de vereiste in artikel 6, lid 1, punt b). 55 Dit maakt het voor de betrokkenen ook mogelijk
hun rechten op doeltreffender wijze uit te oefenen - het zal bijvoorbeeld het oorspronkelijke doel
bewijzen en de vergelijking met de latere doeleinden van de verwerking mogelijk maken." 56
195. Naar het oordeel van de Geschillenkamer hangt dit punt dus nauw samen met de kwestie van
transparantie en informatie. In dit verband verwijst zij naar de hierboven gemaakte opmerkingen (zie
de punten 162 en 174) die zij ook hier toevoegt. Uit de verschillende documentatiebronnen blijkt dat
het privacybeleid geen informatie bevatte over het doel van de verwerking voordat het op 2
december 2020 werd gewijzigd. Pas naar aanleiding van deze wijziging werd het doel toegevoegd en
omschreven als "de gezondheid beschermen van de personen die op doorreis zijn in de luchthaven."
196. Het IR bevatte wel een artikel 8 waarin staat dat de toegang tot de terminal zal worden geweigerd
aan "eenieder die weigert zich aan een temperatuurcontrole te onderwerpen en bij wie een
lichaamstemperatuur van meer dan 38°C wordt vastgesteld na ten minste twee metingen." Het doel
kan worden afgeleid uit de tekst van het IR, maar het wordt niet uitdrukkelijk omschreven en het
wordt niet aan een bepaalde verwerking gekoppeld. De FAQ-pagina bevat ook een soortgelijke zin.
197. Op basis van voorgaande punten komt de Geschillenkamer tot de conclusie dat het doel van de
verwerking niet uitdrukkelijk omschreven was. Niet alleen werd het doel niet bij de aanvang van de
verwerking bekendgemaakt, het werd ook pas opgesteld, uitdrukkelijk geformuleerd en aan de GBA
en de betrokkenen meegedeeld na het beantwoorden van een vraag van de Inspectiedienst, de
aanpassing van het privacybeleid in december 2020 en de voltooiing van de GEB drie maanden na de
aanvang van de verwerking.
198. In verband met de rechtmatigheid van het doel meent de Geschillenkamer dat het doel "de
gezondheid beschermen van de personen die op doorreis zijn in de luchthaven en van het personeel
dat in de terminal werkt" wel degelijk rechtmatig is, met name gelet op het feit dat de verwerking
werd erkend als zijnde gerechtvaardigd om redenen van algemeen belang op het gebied van de
volksgezondheid conform artikel 9.2.i van de AVG (zie punt 84).
55
Van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke
personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
56
Groep Gegevensbescherming Artikel 29, 'Advies 03/2013 over doelbinding', op. cit., pag. 18. Vrije vertaling.
Beslissing ten gronde 47/2022 - 40/73
199. De Geschillenkamer stelt derhalve een inbreuk vast op artikel 5.1.b van de AVG wegens de niet-
uitdrukkelijke aard van het doel.
II.3.6 Vaststelling 4: schending van de verplichting om vóór de verwerking een
gegevensbeschermingseffectbeoordeling uit te voeren met betrekking tot de
gegevensbescherming (inbreuk op artikel 35.1)
200. Op basis van zijn onderzoek concludeert de Inspectiedienst dat artikel 35.1 van de AVG werd
overtreden en wel om de volgende redenen.
a) In verband met de verplichting om een GEB uit te voeren
Vaststellingen van de Inspectiedienst
201. De Inspectiedienst meent dat een GEB noodzakelijk was op basis van de volgende criteria:
- de verwerking heeft betrekking op gevoelige gegevens, d.w.z. gegevens in verband met de
gezondheid;
- het gaat om een grootschalige verwerking;
- de behandeling impliceert een stelselmatige monitoring van bepaalde passagiers die worden
verplicht zich te onderwerpen aan een controle van hun lichaamstemperatuur;
- de behandeling omvat het gebruik of de toepassing van innovatieve technologische of
organisatorische systemen;
- de verwerking heeft deels betrekking op kwetsbare personen en meer in het bijzonder
minderjarigen;
- artikel 23 van de wet van 30 juli 2018 57 bepaalt uitdrukkelijk: "In uitvoering van artikel 35.10
van de Verordening wordt een specifieke gegevensbeschermingseffectbeoordeling verricht
vóór de verwerkingsactiviteit, ook al werd reeds een algemene
gegevensbeschermingseffectbeoordeling uitgevoerd in het kader van de vaststelling van de
wettelijke grondslag."
Standpunt van de verweerder
202. De verweerder stelt allereerst dat alleen de gegevens van de personen met een temperatuur van
meer dan 38°C worden verwerkt, aangezien alleen zij met een camera worden geregistreerd.
57
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens.
Beslissing ten gronde 47/2022 - 41/73
203. In verband met het begrip 'grootschaligheid' meent de verweerder dat de Inspectiedienst zich niet
op de juiste cijfers baseert, aangezien hij iedereen in aanmerking neemt die op de luchthaven was in
plaats van de mensen met een lichaamstemperatuur van meer dan 38°C. Het is momenteel
onmogelijk om het precieze aantal te achterhalen, omdat de samenvattende bestanden met het
aantal interventies wekelijks werden vernietigd.
204. Voor de passagiers die uit een rode zone terugkeren, gaat de Inspectiedienst er zonder enige
motivatie van uit dat het om een grootschalige verwerking zou gaan.
205. De verweerder is van mening dat alleen het criterium van de stelselmatige monitoring van bepaalde
passagiers ter zake relevant is. Alleen dit criterium verplichtte de verweerder om een GEB uit te
voeren.
206. Tot slot betwist de verweerder het innovatieve karakter van de camera's. Volgens hem gaat het om
een oude technologie.
Beoordeling door de Geschillenkamer
207. Artikel 35 bepaalt in welke omstandigheden het voor een verwerkingsverantwoordelijke
noodzakelijk is om een GEB uit te voeren. Dit artikel wordt hieronder gedeeltelijk overgenomen:
"Artikel 35
Gegevensbeschermingseffectbeoordeling
1. Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën
worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een
hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de
verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde
verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks
vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden.
2. Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de
verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling
diens advies in.
3. Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de
volgende gevallen:
Beslissing ten gronde 47/2022 - 42/73
a) een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke
personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop
besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden
of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in
artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare
feiten als bedoeld in artikel 10; of
c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten."
208. De Geschillenkamer preciseert verder dat de GBA een lijst van verwerkingen heeft vastgesteld
waarvoor een GEB vereist is.58 Zij merkt ook op dat, voor wat het gebruik van warmtebeeldcamera's
betreft, de Europese Toezichthouder voor Gegevensbescherming (EDPS) in een standpunt van 1
februari 2015 reeds kon bevestigen dat een GEB inderdaad vereist is.59
209. De Geschillenkamer meent overigens dat overweging 91 van de AVG de noodzaak van een GEB in dit
geval bevestigt. Zij luidt namelijk als volgt: "Een gegevensbeschermingseffectbeoordeling dient ook
te worden gemaakt wanneer persoonsgegevens worden verwerkt met het oog op het nemen van
besluiten met betrekking tot specifieke natuurlijke personen na een systematische en uitgebreide
beoordeling van persoonlijke aspecten van natuurlijke personen die is gebaseerd op de profilering
van deze gegevens, of na de verwerking van bijzondere categorieën van persoonsgegevens,
biometrische gegevens, of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten
of daarmee verband houdende veiligheidsmaatregelen." 60
210. Er werd aangetoond dat de betreffende verwerking betrekking heeft op bijzondere categorieën van
gegevens (gezondheidsgegevens) en dat zij, althans bij het vertrek, tot gevolg heeft dat wordt beslist
of passagiers en begeleiders de terminal al dan niet mogen betreden.
211. De Geschillenkamer merkt op dat de verweerder niet betwist dat een GEB voor de betreffende
verwerking verplicht was. Zijn kritiek betreft voornamelijk de door de Inspectiedienst gehanteerde
criteria, waarvan hij in bepaalde gevallen de relevantie betwist (zie punten 202-206 hierboven).
212. Volgens de Geschillenkamer beoordeelt de verweerder de criteria om te bepalen of een GEB al dan
niet vereist is, achteraf en niet op de juiste manier. Toen de verweerder zijn GEB moest uitvoeren (zie
punt 261 e.v. hieronder), wist hij immers niet welk percentage van de passagiers een temperatuur van
58
Gegevensbeschermingsautoriteit, Beslissing nr. 01/2019 van 16 januari 2020. Beschikbaar op:
https://gegevensbeschermingsautoriteit.be/publications/beslissing-nr.-01-2019-van-16-januari-2019.pdf
59
EDPS, Brief van 1 februari 2015 Beschikbaar op: https://edps.europa.eu/sites/default/files/publication/16-02-
01_letter_klimowski_2015_en.pdf
60
Eigen vetmarkering van de Geschillenkamer.
Beslissing ten gronde 47/2022 - 43/73
meer dan 38°C zou hebben en kon hij dus niet vaststellen dat dit 'extreem laag' was, zoals hij a
posteriori in zijn conclusie doet.61 De verweerder had er rekening mee moeten houden dat alle
verwachte passagiers potentieel een betrokkene konden zijn. Dit was dus het cijfer waarmee
rekening moest worden gehouden bij de beoordeling of het al dan niet om een grootschalige
verwerking ging.
213. Hoewel de tijdelijk opgeslagen beelden alleen betrekking hebben op personen met een temperatuur
van meer dan 38°C, worden bovendien alle passagiers en begeleiders bij het vertrek en alle
passagiers die uit een rode zone terugkeren, aan een temperatuurcontrole onderworpen. De
Inspectiedienst oordeelde dus op basis van een correcte redenering dat voor de vaststelling van 'de
aard, de omvang en de context' van de verwerking, moest worden uitgegaan van de veronderstelling
dat deze van toepassing was op alle betrokken passagiers en niet alleen op de passagiers met een
temperatuur van meer dan 38°C.
214. In verband met het innovatieve karakter van de warmtebeeldcamera's is de Geschillenkamer van
oordeel dat dit criterium, zelfs indien het niet wordt aangetoond, niets afdoet aan onderstaande
conclusie, namelijk dat een GEB nodig was.
215. De Inspectiedienst was ook van mening dat een GEB vereist was op grond van artikel 23 van de wet
van 30 juli 2018 (zie punt 201) die zegt dat "een specifieke gegevensbeschermingseffectbeoordeling
[wordt] verricht vóór de verwerkingsactiviteit, ook al werd reeds een algemene
gegevensbeschermingseffectbeoordeling uitgevoerd in het kader van de vaststelling van de
wettelijke grondslag." De Geschillenkamer wijst er echter op dat dit artikel alleen van toepassing is
op de publieke sector, zoals gespecificeerd in artikel 19 van dezelfde wet, en dat het in dit geval dus
niet van toepassing is.
b) In verband met de verplichting om voorafgaand aan de verwerking een GEB uit te voeren
Vaststellingen van de Inspectiedienst
216. De Inspectiedienst stelt vast dat de GEB van BSCA nv op 18 september 2020 werd uitgevoerd, terwijl
de betrokken verwerkingen werden geïmplementeerd op 15 juni 2020 voor de betrokken personen
bij het vertrek en op 7 september 2020 voor de passagiers bij aankomst uit een rode zone. Volgens
de Inspectiedienst moet de GEB worden uitgevoerd vóór de aanvang van de verwerking en voorziet
artikel 35 van de AVG in geen enkele uitzondering.
61
Conclusie van de verweerder, pag. 45.
Beslissing ten gronde 47/2022 - 44/73
Standpunt van de verweerder
217. De verweerder beklemtoont het uitzonderlijke karakter van de situatie waarin hij zich bevond. De
AVG bevat weliswaar geen enkele uitzondering op deze verplichting, maar de verweerder is van
mening dat het hier duidelijk om een geval van overmacht gaat dat de wetgever niet had kunnen
voorzien. Hij merkt op dat de functionaris voor gegevensbescherming ontslagen was, evenals de
meerderheid van het personeel. Pas toen de gezondheidscrisis enigszins onder controle was, kon de
verweerder de GEB uitvoeren, zij het achteraf. Hij herinnert er ook aan dat hij geen andere keuze had
dan het controlesysteem op te zetten - wat hem uiteraard niet ontslaat van deze verplichting - maar
dat hij deze verplichting nagekomen is zodra hij daartoe in staat was.
Beoordeling door de Geschillenkamer
218. Voor de Geschillenkamer blijkt uit de tekst van de AVG 62 duidelijk, zoals de verweerder erkent, dat de
GEB moet worden uitgevoerd voordat de verwerking plaatsvindt. De tekst voorziet niet in
uitzonderingen. De Geschillenkamer merkt op dat de GEB pas op 18 september 2020 werd
uitgevoerd, d.w.z. drie maanden na de aanvang van de verwerking (15 juni 2020).
219. De verweerder toont niet aan wat de omstandigheden van een dergelijke overmacht zouden zijn
geweest.
220. De Geschillenkamer stelt derhalve een inbreuk op artikel 35.1 van de AVG vast.
c) In verband met de kwaliteit van de GEB die door de verweerder op grond van artikel 35.7 van
de AVG werd uitgevoerd
In verband met de beschrijving van de gegevensverwerkingen en de doeleinden van de
verwerking in de GEB (artikel 35.7.a AVG)
Vaststellingen van de Inspectiedienst
221. De Inspectiedienst merkt op, net als hierboven (zie punt 186), dat het doel van de verwerking niet
voldoende werd gespecificeerd.
222. Hij meent ook dat de GEB onvoldoende nauwkeurig de procedure beschrijft die in verband met de
controle van de lichaamstemperatuur van de passagiers is ingevoerd, en meer bepaald de gevolgen
die deze controle voor de betrokken personen kan hebben.
62
AVG, artikel 35.1 en overweging 90.
Beslissing ten gronde 47/2022 - 45/73
223. Verder meent de Inspectiedienst dat de GEB een aantal inconsistenties bevat (met name aangaande
de registratie/opslag van persoonsgegevens afkomstig van de warmtebeeldcamera's) en geen
analyse bevat omtrent de deugdelijkheid van de rechtsgrondslag die op grond van de artikelen 6.1,
6.3 en 9.2.i van de AVG wordt ingeroepen.
Standpunt van de verweerder
224. In het algemeen is de verweerder verbaasd over een aantal van de geformuleerde punten van kritiek,
aangezien hij zich voor de uitvoering van zijn GEB op het model van de CNIL heeft gebaseerd, daar
de GBA hiervoor over geen enkel instrument beschikt.
225. De verweerder herinnert eraan dat de AVG geen definitie van het begrip 'doel' bevat en dat hij ervoor
heeft gekozen dit te definiëren als "de gezondheid beschermen van de mensen die op doorreis zijn in
de luchthaven en van het personeel dat in de terminal werkzaam is." De verweerder is van mening dat
deze definitie zeer duidelijk is.
226. In verband met het type procedure meent de verweerder dat dit aan de appreciatie van de
verwerkingsverantwoordelijke wordt overgelaten en dat er verschillende methoden bestaan. De
verweerder betoogt dat het nauwelijks voor te stellen is dat het gebruik van een instrument van een
andere autoriteit tot de vaststelling van een tekortkoming leidt, terwijl de GBA zelf geen instrument
ter beschikking stelt.
227. De verweerder voegt daaraan toe dat de gevolgen voor de betrokkenen wel degelijk bekend zijn bij
de verwerkingsverantwoordelijke - en bij de betrokkenen, gelet op de hun verstrekte informatie -, en
dat het dus op zich niet nodig is om elk gevolg in de GEB op te nemen zolang het eindresultaat de
risico's voor de rechten en vrijheden van de betrokkenen aangeeft.
228. In verband met de genoemde onnauwkeurigheden voert de verweerder aan dat de GEB alle
informatie over de verwerking bevat, inclusief de reden waarom de software de laatste 20 beelden
bewaart, en dat deze informatie op verschillende plaatsen in de GEB terug te vinden is. Hij is derhalve
van mening dat deze informatie niet ontbreekt, aangezien zij op andere plaatsen in de GEB wordt
vermeld.
229. Voor wat de rechtsgrondslag betreft, is de verweerder van mening dat het niet aan de
Inspectiedienst is om een verwerkingsverantwoordelijke de schuld te geven van de eventuele
lacunes bij de uitvoerende macht die belast is met het toepassen van de wetten en het uitvaardigen
van de overeenkomstige uitvoeringsbesluiten.
Beoordeling door de Geschillenkamer
Beslissing ten gronde 47/2022 - 46/73
230. Artikel 35.7 bevat een lijst met de elementen die in een GEB moeten worden opgenomen. Deze
bepaling wordt hieronder overgenomen:
"7. De beoordeling bevat ten minste:
a) een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden,
waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de
verwerkingsverantwoordelijke worden behartigd;
b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot
de doeleinden;
c) een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en
d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen,
veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te
garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de
rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie."
231. In verband met het doel van de verwerking verwijst de Geschillenkamer naar de overwegingen
hierboven (zie punt 189 e.v.) en is zij van oordeel dat het door de verweerder aangegeven doel
bepaald en gerechtvaardigd is. In het kader van de GEB kan het doel worden geacht voldoende te zijn
omschreven.
232. Met betrekking tot de beschrijving van de procedure die werd ingevoerd om de temperatuur van de
passagiers te meten, kan de Geschillenkamer het niet eens zijn met het argument van de verweerder
die zich beklaagt over het gebrek aan richtsnoeren van de GBA waardoor hij gebruik diende te maken
van een instrument dat door een andere instantie ter beschikking wordt gesteld. De Geschillenkamer
herinnert eraan dat de GBA begin 2018 een aanbeveling over de GEB's publiceerde.63 Verder meent
de Geschillenkamer dat een verwerkingsverantwoordelijke zich niet kan beroepen op een gebrek aan
richtsnoeren van een toezichthoudende autoriteit, aangezien dit in strijd zou zijn met het beginsel van
de verantwoordelijkheid van artikel 24 van de AVG. Het staat een verwerkingsverantwoordelijke vrij
om instrumenten te gebruiken die toezichthoudende autoriteiten in andere EU-lidstaten ter
beschikking stellen van het publiek. Het gebruik ervan wordt echter overgelaten aan het oordeel van
de verwerkingsverantwoordelijke, die zich ervan moet vergewissen dat het gebruikte instrument
voldoet aan de vereisten van de toezichthoudende autoriteit waaraan hij onderworpen is.
233. Deze aanbeveling bevat onder meer de volgende alinea:
"Andere elementen die relevant zijn om de aard, omvang en context van de verwerkingen te bepalen
zijn onder meer: de categorieën van betrokkenen, de schaal van de gegevensverwerking, de
oorsprong van de gegevens, de verhouding tussen verwerkingsverantwoordelijke en betrokkenen,
63
Gegevensbeschermingsautoriteit, aanbeveling nr. 01/2018 van 28 februari 2018. Beschikbaar op:
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-01-2018.pdf
Beslissing ten gronde 47/2022 - 47/73
de mogelijke gevolgen voor betrokkenen, en hoe gemakkelijk het is om betrokkenen te
identificeren."64
234. Hier had de GBA al in 2018 aangegeven dat de GEB een beschrijving van de mogelijke gevolgen voor
de betrokkenen moest bevatten. Dit is in het voorliggende dossier des te belangrijker, omdat de
gevolgen voor de betrokkenen net het doel van de verwerking zijn, d.w.z. voorkomen dat mensen met
een temperatuur van meer dan 38°C de terminal betreden en hun vlucht nemen. Aangezien dit doel
de bestaansreden van de verwerking is, mocht dit niet worden verhuld in de beschrijving van de
verwerking in het kader van de GEB.
235. In verband met de vermelding omtrent de duur van de gegevensopslag merkt de Geschillenkamer
op dat de GEB die de verweerder uitvoerde zowel vermeldt "geen lokale bewaring van gegevens op
pc of op papier"65 als "de gemaakte beelden worden niet opgeslagen. Het gaat om real time
monitoring"66, terwijl de procedure voorziet dat de recentste 20 beelden toegankelijk zijn. 67 Naar het
oordeel van de Geschillenkamer doet dit gebrek aan samenhang afbreuk aan de helderheid van de
beschrijving van de verwerking.
236. Wat tot slot de kwaliteit van de rechtsgrondslag betreft, is de Geschillenkamer van oordeel dat het
aan de verwerkingsverantwoordelijke is om in het kader van de GEB te beoordelen welke impact de
gemaakte keuzes inzake verwerking op de rechtsgrondslag hebben of om, in geval van een
ontoereikende rechtsgrondslag, te beschrijven welke verwerkingsmethoden werden gekozen (en
waarom) met het doel de tekortkomingen van de rechtsgrondslag te verhelpen. Dit geldt des te meer
in dit dossier, daar de verweerder de onnauwkeurigheid van het Protocol heeft erkend en toegaf dat
een wet verkieslijk zou zijn geweest.68
237. Op basis van bovenstaande overwegingen stelt de Geschillenkamer een inbreuk vast op artikel
35.7a) van de AVG.
In verband met de beoordeling van de noodzaak en de evenredigheid van de verwerkingen met
betrekking tot de doeleinden (artikel 35.7.b AVG)
Vaststellingen van de Inspectiedienst
64
Ibid., pag. 17.
65
Gegevensbeschermingseffectbeoordeling van de verweerder, pag. 4. [vrije vertaling]
66
Ibid., pag. 5. [vrije vertaling]
67
Ibid, pag. 3 en 7.
68
Zie punt 79.
Beslissing ten gronde 47/2022 - 48/73
238. De Inspectiedienst stelt vast dat, indien het doel van de verwerking niet correct bepaald is in de zin
van artikel 5.1.b van de AVG, de beoordeling van de noodzaak en evenredigheid van de maatregel niet
kan worden geacht correct te zijn uitgevoerd.
239. De Inspectiedienst stelt ook vast dat de analyse van de opslag van de persoonsgegevens vrij
summier en zelfs onjuist is, en dat de analyse van de noodzaak en de evenredigheid van de
verwerking beperkt bleef tot het beoordelen van de mate waarin de vergaarde
lichaamstemperatuurgegevens toereikend en ter zake dienend zijn en beperkt tot wat nodig is voor
het beoogde doel, terwijl zij ook rekening had moeten houden met het aantal camera's en de plaats
waar ze geïnstalleerd zijn om de lichaamstemperatuur van de betrokkenen te meten, het al dan niet
permanente karakter van de verwerkingen, en de categorieën van betrokkenen van wie gegevens
worden vergaard.
240. De Inspectiedienst voegt eraan toe dat niet werd aangetoond dat de persoonsgegevens toereikend
zijn en beperkt tot wat noodzakelijk is, noch dat het verzamelen van deze categorieën van gegevens
ter zake dienend is.
Standpunt van de verweerder
241. De verweerder betreurt dat de GBA geen uitgebreider instrument dan dat van de CNIL heeft
opgesteld om aan te geven welke informatie volgens de Inspectiedienst zou ontbreken. Hij wijst erop
dat zij dit instrument moet aanvullen, omdat de elementen die de Inspectiedienst vermeldt, strikt
genomen niet worden gevraagd in het instrument van de CNIL.
242. Hij herhaalt zijn eerdere kritiek dat, tenzij hij zich vergist, de GBA noch hijzelf intern over de
wetenschappelijke deskundigheid beschikken om te analyseren in hoeverre het relevant is om
gegevens te verzamelen over lichaamstemperatuur als factor die mogelijk op een besmetting met
het coronavirus wijst.
243. Hij voegt eraan toe dat het niet opportuun is om achteraf een wetenschappelijke analyse van deze
noodzaak uit te voeren. De concluant heeft voor deze werkwijze gekozen op basis van een
pragmatische analyse van de mogelijkheden waarover hij beschikte en, zoals reeds gezegd, van de
praktijken die op 65 andere luchthavens overal ter wereld werden gebruikt.
244. Hij benadrukt dat het niet aan de Inspectiedienst is om een methode al dan niet goed te keuren die
door de concluant werd gekozen om het door hem beoogde doel – het beschermen van de
gezondheid – te realiseren.
Beoordeling door de Geschillenkamer
Beslissing ten gronde 47/2022 - 49/73
245. De Geschillenkamer oordeelde reeds dat het door de verweerder genoemde doel voldoende was
bepaald in de zin van artikel 5.1.b van de AVG (punt 189 e.v.). Het kan derhalve op geldige wijze worden
gebruikt als uitgangspunt voor de beoordeling van de noodzaak en de evenredigheid van de
verwerking.
246. De analyse van de mate waarin de verzamelde gegevens ter zake dienend en toereikend zijn, alsook
beperkt tot wat nodig is, wordt door de Geschillenkamer echter ontoereikend geacht. Zij blijft
namelijk beperkt tot enkele regels waaruit op geen enkele manier een diepgaande beoordeling blijkt
van de noodzaak en de evenredigheid van de verwerkingen. Zoals eerder vermeld is de informatie in
verband met de opslagduur van de gegevens bovendien onjuist. De door de verweerder uitgevoerde
analyse heeft alleen betrekking op de temperatuurgegevens en gaat op geen enkel moment in op
het feit dat beelden worden gemaakt van de betrokkenen. Toch is het perfect mogelijk om de
temperatuur van mensen te meten zonder hen te fotograferen. Een GEB is net bedoeld om het effect
te beoordelen van de keuzes die met betrekking tot de verwerkingsmodaliteiten worden gemaakt.
247. Bovendien houdt de verweerder, zoals de Inspectiedienst onderstreept, helemaal geen rekening met
bepaalde modaliteiten van de verwerking, zoals het aantal camera's en hun locatie, en verantwoordt
hij enkele van zijn beweringen niet. Hij onderzoekt op geen enkel moment of het nodig is om deze
gegevens te vergaren, ook al staat in de tekst van het Protocol, dat de ingeroepen rechtsgrondslag
is: "Het opmeten van de lichaamstemperatuur van de passagiers zodat ze met een
'immuniteitspaspoort' kunnen reizen, wordt niet aanbevolen door de EASA en het ECDC. Het
Agentschap herinnert eraan dat de relevantie van deze test niet wordt ondersteund door de huidige
wetenschappelijke kennis over SARS-CoV-2."69 (zie punt 99)
248. De GEB die de verweerder verrichtte, is met andere woorden geen echte analyse van de
verwerkingen en al hun modaliteiten vanuit het oogpunt van noodzakelijkheid en evenredigheid.
Nochtans was het belangrijk die te onderzoeken, met name vanwege het ontbreken van een kader in
de aangevoerde rechtsgrondslag, waardoor de verweerder heel wat speelruimte kreeg bij de keuze
van de verwerkingsactiviteiten.
249. Op basis van bovenstaande overwegingen stelt de Geschillenkamer een inbreuk vast op artikel
35.7.b van de AVG.
In verband met de beoordeling van de risico's voor de rechten en vrijheden van de betrokkenen
(artikel 35.7.c van de AVG)
Vaststellingen van de Inspectiedienst
69
Protocol, pag. 5.
Beslissing ten gronde 47/2022 - 50/73
250. BSCA nv analyseerde de risico's met betrekking tot de vertrouwelijkheid, de beschikbaarheid en de
integriteit van de gegevens, maar niet de risico's in verband met 'vals positieve' en 'vals negatieve'
resultaten, rekening houdend met de impact die een dergelijk risico voor de betrokkenen kan hebben.
251. De Inspectiedienst meent ook dat het risico in verband met de beschikbaarheid en integriteit van de
gegevens onvoldoende in aanmerking werd genomen en dat de verwerkingsverantwoordelijke het
risico dat zou kunnen ontstaan in geval van niet-beschikbaarheid van de gegevens, niet correct kon
inschatten.
252. Het risico dat in geval van niet-beschikbaarheid van de gegevens zou kunnen ontstaan, kon
bovendien niet correct worden ingeschat door BSCA nv.
253. BSCA nv heeft evenmin het integriteitsrisico beoordeeld dat zou kunnen ontstaan wanneer de
instellingen van het gebruikte apparaat in een bepaalde situatie zouden worden gewijzigd (afstelling
op een temperatuur lager dan 38°C).
254. De risicoanalyse die door de concluant werd uitgevoerd is volgens het inspectieverslag
ontoereikend, aangezien de GEB beperkt blijft tot een analyse van de risico's met betrekking tot de
vertrouwelijkheid, beschikbaarheid en integriteit van de gegevens.
Standpunt van de verweerder
255. Volgens de verweerder blijft de analyse van de GEB beperkt tot enkele punten omdat het door de
CNIL voorgestelde instrument niet voorziet in de analyse van de andere aspecten waarnaar in het
inspectieverslag wordt verwezen. De concluant meent gekozen te hebben voor een officiële
methodologie die werd goedgekeurd en ter beschikking gesteld door een op Europees niveau
erkende gegevensbeschermingsautoriteit. Hij had gegronde redenen om niet te weten dat de
Inspectiedienst van de GBA het betrokken instrument onvolledig zou achten.
256. De verweerder voegt eraan toe dat de risico's van vals positieve en vals negatieve resultaten in het
kader van deze procedure niet hoeven te worden geanalyseerd, omdat hij niet begrijpt hoe deze
risico's tot zijn verantwoordelijkheid zouden kunnen behoren of een invloed zouden moeten hebben
op de verwerking van de lichaamstemperatuurgegevens. De verweerder verklaart dat hij geen PCR-
tests heeft uitgevoerd en dat de begrippen 'vals positief' en 'vals negatief' bij de door hem
uitgevoerde verwerking dus niet voorkwamen.
257. De verweerder herinnert eraan dat hij na de derde test om de lichaamstemperatuur te meten (de
anamnese) nooit iemand de toegang tot de terminal heeft belet. De betrokkenen besloten zelf om de
terminal niet binnen te gaan.
Beslissing ten gronde 47/2022 - 51/73
258. Met betrekking tot de onnauwkeurigheden of onvolledigheden waarnaar de Inspectiedienst verwees
in verband met de beschikbaarheids- en integriteitsrisico's, stelt de verweerder vast dat de
Inspectiedienst zijn analyse onvoldoende onderbouwd vindt en neemt hij terdege nota van wat hij
moet verbeteren in de GEB's die hij in de toekomst nog moet uitvoeren.
Beoordeling door de Geschillenkamer
259. Voor de Geschillenkamer is het duidelijk dat de risicoanalyse die de verweerder uitvoerde, gebrekkig
is. Op de vraag "2.1 Wat zouden de belangrijkste gevolgen voor de betrokkenen kunnen zijn indien
het risico [onrechtmatige toegang tot de gegevens] zich voordoet?" antwoordt de verweerder
bijvoorbeeld: "Beperkte gevolgen." Uit dit uiterst summiere antwoord blijkt geenszins dat de
verweerder over de risico's van onrechtmatige toegang heeft nagedacht. De verweerder wijst met
andere woorden niet op de risico's die een betrokkene zou kunnen lopen indien een derde een foto
van hem/haar zou verkrijgen waarop een temperatuur van meer dan 38°C vermeld staat.
260. De informatie die de verweerder verstrekt bij de beoordeling van risico 4 ('gegevensverlies') is al even
summier. De verweerder stelt herhaaldelijk dat het risico 'niet van toepassing is (geen opslag)', wat
onjuist is aangezien er wel degelijk beelden worden opgeslagen, zij het beperkt in de tijd. De
Geschillenkamer oordeelt ook op dit punt dat de verweerder niet heeft aangetoond dat hij een
correcte en volledige risicoanalyse heeft uitgevoerd.
261. De Geschillenkamer is overigens van mening dat de verweerder in zijn GEB heeft nagelaten om
bepaalde risico's te onderzoeken. De verweerder verklaart dat de onderzochte risico's deze zijn die
opgenomen zijn in het instrument dat door de CNIL ter beschikking gesteld is. Dit is echter geen
excuus voor het feit dat een aantal van de geïdentificeerde risico's niet werd behandeld. Artikel 35.7.c
van de AVG heeft het namelijk uitdrukkelijk over een "beoordeling van de risico's voor de rechten en
vrijheden van betrokkenen." Het is niet duidelijk hoe een bijkomend document zou kunnen
bevestigen wat reeds in de wettekst vermeld staat. Bovendien vermeldt de GBA in haar Aanbeveling
nr. 01/2018 met name de volgende elementen die als risico moeten worden beschouwd: financiële
verliezen, de omstandigheid dat betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of
worden verhinderd controle over hun persoonsgegevens uit te oefenen, en elk ander aanzienlijk
economisch of maatschappelijk nadeel.70
262. Aanbeveling nr. 01/2018 stelt dat "verlies van een kans" en "het ontzeggen of beperken van toegang
tot ruimten of evenementen die anders toegankelijk voor het publiek zijn" voorbeelden zijn van
inbreuken op de rechten en vrijheden. Naar het oordeel van de Geschillenkamer kan het feit dat aan
betrokkenen de toegang tot de terminal wordt ontzegd en dat hen wordt belet om aan boord van een
70
Gegevensbeschermingsautoriteit, Aanbeveling nr. 01/2018 van 28 februari 2018, §46. Beschikbaar op:
https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-01-2018.pdf
Beslissing ten gronde 47/2022 - 52/73
vlucht te gaan, een inbreuk op de geïdentificeerde rechten of een risico zoals bedoeld in de
aanbeveling vormen. Daarom had de verweerder deze risico's moeten onderzoeken. De
Geschillenkamer meent dat de verweerder een voorbeeld van een dergelijke analyse heeft gegeven
in zijn conclusie waarin hij antwoordt op vaststelling 5 van de Inspectiedienst betreffende de inbreuk
op het vertrouwelijkheidsbeginsel en de verplichting om technische en organisatorische
maatregelen te treffen om de gegevens te beveiligen (zie punt 274 e.v.) en vaststelling 6 betreffende
het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen (punt 291 e.v.).
De Geschillenkamer betreurt dat deze analyse niet is opgenomen in de GEB, zoals had moeten
gebeuren.
263. De Geschillenkamer merkt ook op dat bij de vaststelling van de vermeende rechtsgrondslag voor de
verwerking geen effectbeoordeling is verricht. Het was nochtans zeer belangrijk voor de verweerder
om een volledige risicoanalyse op te stellen.71
264. De Geschillenkamer stelt derhalve een inbreuk op artikel 35.7.c vast.
In verband met de maatregelen die worden overwogen om de risico's aan te pakken (artikel 35.7.d
AVG)
Vaststellingen van de Inspectiedienst
265. Rekening houdend met het bovenstaande stelt de Inspectiedienst vast dat BSCA nv, door de risico's
voor de rechten en vrijheden van de betrokkenen niet te beoordelen, niet in staat was om de
mogelijke maatregelen te analyseren waarmee deze risico's konden worden aangepakt conform
artikel 35.7.d van de AVG.
Standpunt van de verweerder
266. Volgens de verweerder is dit niet helemaal juist. Hij zegt immers dat hij de maatregelen heeft
geanalyseerd op basis van de criteria die in het CNIL-instrument opgenomen zijn. Het is derhalve
onjuist te beweren dat deze beoordeling zonder verdere onderbouwing onmogelijk kan worden
gebruikt.
71
Artikel 35.10 van de AVG bepaalt dat een verwerkingsverantwoordelijke kan worden vrijgesteld van de uitvoering van een
effectbeoordeling indien deze reeds werd uitgevoerd bij de vaststelling van de rechtsgrond conform artikel 6.1.c, wat hier niet het
geval lijkt te zijn.
Beslissing ten gronde 47/2022 - 53/73
267. De verweerder zou het wenselijk vinden dat de Inspectiedienst nagaat hoe en waarom de
voorgenomen maatregelen niet volstaan gelet op de risico's die naar voren zijn gekomen uit de GEB
die de verweerder verrichtte.
268. Hij meent dat zonder onderbouwing niet kan worden geoordeeld dat de verweerder zijn
verplichtingen niet nagekomen is.
Beoordeling door de Geschillenkamer
269. Net als de Inspectiedienst is de Geschillenkamer van oordeel dat de tekortkomingen ten aanzien van
artikel 35.7.a, b en c het onmogelijk maken om over te gaan tot een correcte beoordeling van de
maatregelen waarmee de risico's - die niet werden beoordeeld - moeten worden aangepakt. Naar het
oordeel van de Geschillenkamer is er dus sprake van een inbreuk op artikel 35.7.d.
Afsluitende opmerkingen
Vaststellingen van de Inspectiedienst
270. De Inspectiedienst wenst te benadrukken dat hij het, gelet op de gedane vaststellingen, niet nodig
achtte om elk van de elementen van de GEB van BSCA nv te analyseren, aangezien de
Inspectiedienst meende dat deze vaststellingen op zich volstonden om de inbreuk op artikel 35.7 van
de AVG vast te stellen.
Standpunt van de verweerder
271. De verweerder reageert niet op de vaststellingen van de Inspectiedienst op dit punt.
Beoordeling door de Geschillenkamer
272. Tot besluit en gelet op het bovenstaande kan worden gesteld dat de GEB van de verweerder geen
voldoende gedetailleerde en volledige effectbeoordeling vormt om te voldoen aan de vereisten van
artikel 35.7 van de AVG. Het voorgelegde document lijkt immers meer op een beschrijving en
validering van het verwerkingssysteem dat reeds werd toegepast, dan op een echte beoordeling van
de risico's voor de rechten en vrijheden van de betrokkenen en een algemene denkoefening over de
toepassing van dit systeem. Op grond van bovenstaande punten stelt de Geschillenkamer derhalve
een inbreuk vast op artikel 35.7.
Beslissing ten gronde 47/2022 - 54/73
II.3.7 Vaststelling 5: Schending van het confidentialiteitsprincipe en van de verplichting
om technische en organisatorische maatregelen te treffen om de gegevens te beveiligen
(artikel 5.1.f en 32 AVG)
Vaststellingen van de Inspectiedienst
273. De Inspectiedienst stelt vast dat BSCA nv in strijd met artikel 5.1.f en artikel 32 van de AVG het
confidentialiteitsprincipe heeft geschonden en niet heeft voldaan aan de verplichting om passende
maatregelen te treffen om de veiligheid van de gegevens te garanderen. Deze vaststelling is
gebaseerd op het feit dat de identificatiegegevens en de wachtwoorden die zijn gebruikt om toegang
te verkrijgen tot de computer die de warmtebeeldcamera's bestuurt, werden opgenomen in de Nota
die aan het Belgische Rode Kruis en aan de brandweer van de verweerder werd meegedeeld, wat het
risico inhoudt dat de gegevens door andere dan de hiertoe gemachtigde personen kunnen worden
geraadpleegd.
Standpunt van de verweerder
274. Voor de verweerder kan een risico worden gedefinieerd als "een scenario dat een gebeurtenis en zijn
gevolgen, die qua ernst en waarschijnlijkheid worden ingeschat, beschrijft."
275. Bij de analyse van het risico dat inherent is aan een ongeoorloofde toegang tot de computer waarmee
de camera's verbonden zijn, dringt zich de conclusie op dat de genomen maatregelen dit risico tot
een extreem laag niveau beperken (of zelfs doen verdwijnen) zowel qua waarschijnlijkheid als qua
ernst, en dat zij dus op het risico afgestemd zijn, zoals artikel 32 van de AVG voorschrijft.
276. De verweerder meent dat de betrokken pc nooit toegankelijk is voor andere mensen dan de
medewerkers van de brandweer of het Rode Kruis en dat, zelfs indien iemand zich toegang had
kunnen verschaffen tot dit lokaal en deze computer, deze persoon ook over de codes had moeten
beschikken die in de door de brandweer bewaarde Nota staan. Dit is volgens hem hoogst
onwaarschijnlijk.
277. In verband met het risico stelt de verweerder dat een niet-gemachtigde persoon die over de
toegangscodes beschikte, weliswaar toegang zou hebben gehad tot de computer maar niet tot de
persoonsgegevens, aangezien het systeem de gegevens wist wanneer het opnieuw wordt opgestart.
Aangezien het personeel van het Rode Kruis gedurende de openingstijden van de luchthaven echter
steeds aanwezig was, samen met de brandweer, zou geen enkele andere persoon tijdens de dag
toegang hebben gehad tot het lokaal waar de gegevens werden verwerkt.
Beslissing ten gronde 47/2022 - 55/73
Beoordeling door de Geschillenkamer
278. In artikel 5.1.f van de AVG is het integriteits- en vertrouwelijkheidsbeginsel vastgelegd. Deze bepaling
wordt hieronder overgenomen:
"1. Persoonsgegevens moeten:
[…]
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier
worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd
zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging (integriteit en vertrouwelijkheid)."
Overweging 39 van de AVG voegt hieraan toe: "Persoonsgegevens moeten worden verwerkt op een
manier die een passende beveiliging en vertrouwelijkheid van die gegevens waarborgt, ook ter
voorkoming van ongeoorloofde toegang tot of het ongeoorloofde gebruik van persoonsgegevens en
de apparatuur die voor de verwerking wordt gebruikt."
279. Dit beginsel wordt verder uitgewerkt in artikel 32 over de beveiliging van de verwerking. Het luidt als
volgt:
"Artikel 32:
Beveiliging van de verwerking
1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de
omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende
risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de
verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd
beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
a) de pseudonimisering en versleuteling van persoonsgegevens;
b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid
en veerkracht van de verwerkingssystemen en diensten te garanderen;
c) het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de
toegang tot de persoonsgegevens tijdig te herstellen;
Beslissing ten gronde 47/2022 - 56/73
d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de
doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de
verwerking.
2. Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de
verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde
verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte
gegevens, hetzij per ongeluk hetzij onrechtmatig.
3. Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd
certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen
dat de in lid 1 van dit artikel bedoelde vereisten worden nageleefd.
4. De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor te zorgen dat
iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de
verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de
verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is
gehouden."
280. Volgens de Inspectiedienst bestaat het risico dat de betrokken gegevens door een niet-gemachtigde
persoon worden geraadpleegd, omdat zowel het wachtwoord als de login om toegang te krijgen tot
de computer waarmee de warmtebeeldcamera's verbonden zijn, te lezen zijn in de Nota die aan het
Belgische Rode Kruis werd meegedeeld.
281. Op basis van de door de verweerder voorgelegde elementen acht de Geschillenkamer dit risico
onwaarschijnlijk. Een ongeoorloofde toegang is alleen mogelijk indien aan alle onderstaande
voorwaarden voldaan is:
- Toegang hebben tot de nota van het Rode Kruis;
- Toegang hebben tot het lokaal met de pc. Volgens de verweerder is de pc steeds bemand
door een team gedurende de openingstijden van de luchthaven bij het vertrek en tijdens de
aankomsten van passagiers uit een rode zone bij de aankomst. Het lijkt bijgevolg onmogelijk
dat een derde de computer kan gebruiken gezien de aanwezigheid van de teams;
- Kunnen inloggen met login en wachtwoord.
De Geschillenkamer oordeelt derhalve dat de waarschijnlijkheid van het risico op ongeoorloofde
toegang zeer beperkt is.
282. Bovendien is de Geschillenkamer het eens met de conclusie van de verweerder dat een derde, zelfs
indien hij zich ongeoorloofd toegang zou weten te verschaffen tot de pc, in het beste geval slechts
Beslissing ten gronde 47/2022 - 57/73
toegang zou hebben tot de recentste 20 foto's van mensen met een temperatuur van meer dan
38°C. Dit zijn persoonsgegevens die, buiten de specifieke context van hun verwerking en de
mogelijke weigering om de terminal te betreden, weinig risico inhouden en slechts licht persoonlijk
zijn, aangezien de grote meerderheid van de mensen ooit wel eens koorts heeft gehad. Bij een niet-
geoorloofde toegang tot de pc nadat die aan het eind van de dag werd uitgezet, zouden alle beelden
bovendien al gewist zijn. De Geschillenkamer is derhalve van oordeel dat het veiligheidsrisico zeer
gering is en dat geen inbreuk op de artikelen 5.1.f en 32 van de AVG kan worden vastgesteld.
283. In het algemeen raadt zij echter aan om bij wijze van veiligheidsmaatregel de login en het wachtwoord
niet in één document te bewaren. Een wachtwoord kan bijvoorbeeld wel in een nota worden bewaard,
maar het is duidelijk veiliger om het via een ander communicatiekanaal te versturen (e-mail, sms,
enz.), wat het ook mogelijk maakt om het wachtwoord vaker en makkelijker te vernieuwen.
284. Naar het oordeel van de Geschillenkamer had de verweerder bij de uitvoering van de GEB moeten
aantonen dat hij de veiligheidsrisico's correct had beoordeeld. Ze kan alleen maar betreuren dat de
drie bladzijden met argumenten en toelichtingen in de conclusie van de verweerder niet in het
betreffende onderdeel van het GEB werden opgenomen. In dit verband verwijst zij naar haar eerdere
conclusies hierboven (zie punt 262).
II.3.8. Vaststelling 6: Schending van het principe van de gegevensbescherming door
ontwerp en door standaardinstellingen (artikel 25 AVG)
Vaststellingen van de Inspectiedienst
285. Omdat het gebruik van slimme camera's, waartoe warmtebeeldcamera's behoren, ernstige risico's
kan inhouden voor de rechten en vrijheden van de betrokkenen, acht de Inspectiedienst het van
essentieel belang dat de verwerkingsverantwoordelijke passende maatregelen neemt om de
doeltreffendheid van het principe van gegevensbescherming door ontwerp en door
standaardinstellingen te waarborgen. Dit is des te belangrijker wanneer de verwerking in kwestie
gevoelige gegevens betreft, namelijk gegevens die betrekking hebben op de gezondheid.
286. In de eerste plaats is de Inspectiedienst van mening dat de verweerder, door vóór de verwerking
geen GEB uit te voeren, niet in staat was om de verschillende passende maatregelen naar behoren
te documenteren en te analyseren. Hij verwijst in dit verband naar de vaststellingen hierboven (zie
punt 262).
287. De Inspectiedienst stelt vast dat de recentste twintig alarmbeelden in het cachegeheugen (RAM) van
de beheersoftware van de warmtebeeldcamera's worden bewaard en dat ze één voor één worden
gewist, ook wanneer de computer wordt afgesloten (wat elke avond gebeurt). Naar het oordeel van
Beslissing ten gronde 47/2022 - 58/73
de inspectiedienst is deze tijdelijke opslag niet nodig om bepaalde mensen eruit te pikken en aan
extra controles te onderwerpen (bij de aankomsten) of om hen te informeren over de mogelijke
symptomen van COVID-19 (bij de vertrekken). Een eenvoudige weergave van de waarschuwingen in
real time op het scherm zou voldoende zijn.
288. Verder meent de Inspectiedienst dat de verweerder bij de leverancier van de camera's geen
inlichtingen heeft ingewonnen omtrent de opslagtermijn, hoewel hij dat had moeten doen en de
leverancier hier zelf vragen over heeft gesteld aan de verweerder.
289. Tot slot is de Inspectiedienst van mening dat de controle van de temperatuur van de begeleiders niet
noodzakelijk is om het beschreven doel te realiseren. Hij voegt eraan toe dat de rubriek van het
Protocol waarin naar de temperatuurcontrole wordt verwezen, alleen betrekking heeft op de
passagiers en niet op de begeleiders.
290. Op basis van deze elementen stelt de Inspectiedienst vast dat BSCA nv zowel het principe van de
minimale gegevensverwerking heeft geschonden, als het principe van gegevensbescherming door
ontwerp van de artikelen 5.1.c en 25 van de AVG.
Standpunt van de verweerder
291. De verweerder is allereerst van mening dat de vaststellingen van de Inspectiedienst een gebrek aan
praktische zin verraden. Hij meent dat de analyse van de Inspectiedienst inzicht in de concrete
situatie in de praktijk mist. Gezien het grote aantal mensen dat dagelijks door de terminal loopt, is het
namelijk onmogelijk om iedereen met een temperatuur van meer dan 38°C onmiddellijk bij de pre-
check staande te houden. Daarom is het noodzakelijk camerabeelden op te nemen, zodat mensen
kunnen worden herkend en geïdentificeerd. Zonder deze opnames bestaat het risico dat
geïdentificeerde mensen toch kunnen doorlopen. De verweerder ziet niet in hoe hij het systeem had
kunnen laten werken met een "eenvoudige weergave van de waarschuwingen in real time op het
scherm", zoals de Inspectiedienst suggereert.
292. De verweerder voegt eraan toe dat de opgenomen beelden beperkt blijven tot maximaal 20 tegelijk
en dat zij systematisch worden gewist aan het eind van de dag, d.w.z. na maximaal 17 uur (tussen 4.00
uur en 21.00 uur).
293. Hij ontkent de vaststelling als zou hij bij de verwerker niet naar de opslagtermijn hebben
geïnformeerd, en zegt dat dit niet kan worden geconcludeerd uit de zeer beknopte e-
mailcorrespondentie waarnaar werd verwezen.
294. De verweerder ziet evenmin in hoe hij had kunnen vermijden om de gegevens te verwerken van de
begeleiders die zich op de luchthaven aandienden, tenzij door hen van de reizigers te scheiden, wat
Beslissing ten gronde 47/2022 - 59/73
hij in menselijk noch organisatorisch opzicht redelijk acht. Hij verklaart overigens dat hij op zijn
website meldde dat de toegang tot de terminal voorbehouden was voor reizigers met een geldig
vliegtuigticket, maar dat het moeilijk was om een volwassene te weigeren om zijn kind in de terminal
te begeleiden. Hij voegt eraan toe dat zij ook een gezondheidsrisico vormen vanaf het moment dat zij
de luchthaven binnenkomen. Met het oog op de toepassing van het verplichte Protocol dat hem was
opgelegd en rekening houdend met zijn organisatie was de concluant van oordeel dat al wie voorbij
de pre-check kwam, een passagier was in de zin van het Protocol.
Beoordeling door de Geschillenkamer
295. De vaststellingen van de Inspectiedienst zijn gebaseerd op de artikelen 5.1.c en 25 van de AVG, die
respectievelijk betrekking hebben op het principe van de minimale gegevensverwerking en het
principe van gegevensbescherming door ontwerp en door standaardinstellingen. De tekst wordt
hieronder weergegeven:
"Artikel 5:
Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten:
[…]
a) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden
waarvoor zij worden verwerkt (minimale gegevensverwerking);"
"Artikel 25:
Gegevensbescherming door ontwerp en door standaardinstellingen
1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang,
de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst
uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de
verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de
verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische
Beslissing ten gronde 47/2022 - 60/73
maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de
gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende
manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de
voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.
2. De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen
om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn
voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde
persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen
en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens
in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen
toegankelijk worden gemaakt.
3. Een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme kan worden gebruikt als
element om aan te tonen dat aan de voorschriften van de leden 1 en 2 van dit artikel is voldaan."
296. Het principe van de minimale gegevensverwerking is een fundamenteel beginsel voor de toepassing
van het principe van de gegevensbescherming door ontwerp en door standaardinstellingen. Er wordt
rechtstreeks naar verwezen in de eerste en de tweede alinea van artikel 25.
297. Deze artikelen leggen de verwerkingsverantwoordelijke diverse verplichtingen op, die als volgt
kunnen worden samengevat. Ten eerste mogen alleen de voor het doel noodzakelijke gegevens
worden verwerkt (artikel 5.1.c AVG). Ten tweede moet de verwerkingsverantwoordelijke passende
technische en organisatorische maatregelen treffen om de principes van de gegevensbescherming
ten uitvoer te brengen (artikel 25.1 AVG). Tot slot moet de verwerkingsverantwoordelijke passende
technische en organisatorische maatregelen treffen om ervoor te zorgen dat in beginsel alleen
persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking
(artikel 25.2 AVG).
298. Allereerst is de Geschillenkamer het met de Inspectiedienst eens dat de naleving van deze
verplichtingen had moeten worden aangetoond in de GEB die de verwerkingsverantwoordelijke had
moeten uitvoeren vóór de aanvang van de verwerking. De Geschillenkamer verwijst in dit verband
naar de vaststellingen hierboven (zie punt 262). Zij baseert zich voor haar analyse echter op de
bijkomende elementen die de verweerder in zijn conclusie verstrekte.
299. Uit de stukken in het dossier blijkt dat de verwerkte gegevens de temperatuur en een door de
camera's genomen foto waren van personen met een temperatuur van meer dan 38°C die de
terminal wilden binnengaan of passagiers die uit een rode zone terugkeerden. Hij merkt ook op dat
maximaal 20 foto's tegelijk werden bewaard en dat deze één voor één werden vervangen door
oudere foto's volgens het principe 'first in, first out'. Volgens de verweerder werden deze foto's aan
Beslissing ten gronde 47/2022 - 61/73
het eind van de dag gewist, wat betekent dat de foto's in theorie maximaal 17 uur werden bewaard.
Deze verwerking moest het mogelijk maken om personen met een temperatuur van meer dan 38°C
te identificeren die de terminal wilden binnengaan of die met een vlucht uit een rode zone
terugkeerden.
300. In zijn onderzoeksverslag oordeelt de Inspectiedienst dat deze opslagtermijn te lang is en dat het niet
nodig is om er mensen uit te pikken en extra controles uit te voeren (bij het vertrek) of om hen te
informeren over de mogelijke symptomen van COVID-19 (bij de aankomst). Een eenvoudige
weergave van de waarschuwingen in real time op het scherm zou voldoende zijn.
301. De Geschillenkamer stelt vast dat de verwerkingsverantwoordelijke zich heeft beperkt tot het
verzamelen van twee soorten gegevens: de temperatuur en een foto ter identificatie van de persoon
met een temperatuur van meer dan 38°C. De foto's werden maximaal gedurende 17 uur bewaard. De
temperatuur is het verzamelde gegeven en de foto is het gegeven dat de identificatie mogelijk maakt
van de persoon met een temperatuur van meer dan 38°C. De Geschillenkamer is van oordeel dat in
deze situatie de tijdelijke bewaring van de foto noodzakelijk is om een correcte identificatie van de
betrokkene mogelijk te maken. Zich beperken tot een eenvoudige schermweergave in real time zou
immers betekenen dat het mogelijk moet zijn om de betrokkene onmiddellijk aan te spreken, wat
zeer complex zou kunnen zijn bij een grote toevloed van passagiers. Verder kan het tijdelijk bewaren
van een foto noodzakelijk zijn om te garanderen dat de persoon die wordt tegengehouden wel
degelijk de persoon is op wie de verwerking betrekking heeft. In dit kader zijn de opslagduur en -
modaliteiten noodzakelijk om het doel van de verwerking te bereiken, aangezien een restrictievere
methode voor buitensporige praktische problemen zou kunnen zorgen bij het nastreven van het doel.
Naar het oordeel van de Geschillenkamer heeft de verweerder wel degelijk technische en
organisatorische maatregelen getroffen om de risico's van de verwerking te beperken.
302. De Geschillenkamer merkt tevens op dat bijzondere aandacht lijkt te zijn besteed aan het principe
van de minimale gegevensverwerking, aangezien de identiteit van de betrokkenen niet werd
geregistreerd en het enige anonieme register van het aantal betrokkenen wekelijks werd vernietigd.
303. In verband met de verwerking van de gegevens van begeleiders, die dus geen passagiers zijn, verwijst
de Geschillenkamer naar haar conclusies onder vaststelling 2 aangaande het doel van de verwerking.
Zij herinnert eraan dat het door de verweerder opgegeven doel is "de gezondheid beschermen van
de personen die op doorreis zijn in de luchthaven en van het personeel in de terminal." (zie punt 191
e.v.). Het doel van de verwerking blijft derhalve niet beperkt tot het opnemen van de temperatuur van
de passagiers, maar van alle personen die de terminal wensen te betreden. In dit opzicht strookt het
opnemen van de temperatuur van de begeleiders met het doel.
Beslissing ten gronde 47/2022 - 62/73
304. De Geschillenkamer stelt vast dat geen inbreuk werd gepleegd op het principe van de minimale
gegevensverwerking (artikel 5.1.c AVG) of het principe van de gegevensbescherming door ontwerp
en door standaardinstellingen (artikel 25 AVG).
II.3.9 Vaststelling 7: Schending van de verplichting om een volledig register van de
verwerkingsactiviteiten bij te houden (artikel 30.1 AVG)
Vaststellingen van de Inspectiedienst
305. De Inspectiedienst merkt op dat het register niet alle verplichte informatie bevat die volgens artikel
30.1 van de AVG in een register van verwerkingsactiviteiten moet worden vermeld, aangezien de
volgende informatie ontbreekt:
- de naam en de contactgegevens van de verwerkingsverantwoordelijke, d.w.z. BSCA nv. Het
document bevat een kolom 'verwerkingsverantwoordelijke' waarin de natuurlijke
perso(o)n(en) wordt (worden) vermeld die binnen BSCA nv verantwoordelijk is (zijn) voor de
gegevensverwerking;
- de naam en de contactgegevens van de functionaris voor gegevensbescherming;
- de categorieën van ontvangers aan wie de persoonsgegevens werden of zullen worden
verstrekt.
Standpunt van de verweerder
306. De verweerder geeft de tekortkoming toe in verband met de naam en de contactgegevens van de
verwerkingsverantwoordelijke en de functionaris voor gegevensbescherming, en heeft een
geactualiseerde versie van zijn register verstrekt.
307. In verband met de categorieën van ontvangers is de verweerder van mening dat de Inspectiedienst
categorieën toevoegt waarin de AVG niet voorziet, aangezien deze laatste niet vereist dat de
betreffende entiteit of de betreffende categorie van verwerker wordt vermeld.
Beoordeling door de Geschillenkamer
308. De Inspectiedienst verwijt de verweerder artikel 30.1 van de AVG niet te hebben nageleefd. Dit artikel
wordt hieronder overgenomen:
"Artikel 30.
Beslissing ten gronde 47/2022 - 63/73
Register van verwerkingsactiviteiten
1. Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de
verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun
verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens:
a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke
verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de
verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
b) de verwerkingsdoeleinden;
c) een beschrijving van de categorieën van betrokkenen en van de categorieën van
persoonsgegevens;
d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder
meer ontvangers in derde landen of internationale organisaties;
e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale
organisatie, onder vermelding van dat derde land of die internationale organisatie en, in geval van
de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende
waarborgen;
f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens
moeten worden gewist;
g) indien mogelijk, een algemene beschrijving van de technische en organisatorische
beveiligingsmaatregelen als bedoeld in artikel 32, lid 1."
309. De Geschillenkamer merkt op dat de verweerder de tekortkoming met betrekking tot de naam en de
contactgegevens van de verwerkingsverantwoordelijke en de functionaris voor
gegevensbescherming toegeeft (artikel 30.1.a), en dat hij een bijgewerkte versie van zijn register
heeft verstrekt. De naam en de contactgegevens van de verwerkingsverantwoordelijke en de
functionaris voor gegevensbescherming zijn hierin opgenomen.
310. In verband met de categorieën van ontvangers aan wie persoonsgegevens zijn of zullen worden
verstrekt, merkt de Geschillenkamer op dat artikel 30.1.d van de AVG verplicht om "de categorieën
van ontvangers aan wie de persoonsgegevens werden of zullen worden verstrekt" te vermelden. Het
begrip 'ontvanger' wordt in artikel 4.9 van de AVG gedefinieerd als "een natuurlijke persoon of
rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan
wie/waaraan de persoonsgegevens worden verstrekt."
311. De Geschillenkamer dient zich uit te spreken over de vraag hoe nauwkeurig de categorieën van
ontvangers in het register van verwerkingsactiviteiten moeten worden geïdentificeerd.
312. Het register van verwerkingsactiviteiten van de verweerder bevat een titel 'Ontvanger?'. Deze titel
bevat verschillende tabbladen die als volgt zijn gestructureerd:
- een tabblad 'verwerker' met twee opties: 'ja' of 'neen';
Beslissing ten gronde 47/2022 - 64/73
- een tabblad 'gebruikte applicatie', waaronder de naam van de applicatie wordt vermeld;
- een tabblad 'interne of externe applicatie', waarbij een van beide opties kan worden gekozen;
- een tabblad 'digitaal/papier', waarbij een van beide opties kan worden gekozen;
- een tabblad 'derde land (niet-EU)' waaronder systematisch het antwoord 'neen' verschijnt.
313. Aanbeveling nr. 06/2017 van 14 juni 2017 van de CBPL betreffende het register van de
verwerkingsactiviteiten (artikel 30 van de AVG) gaat over deze kwestie. 72 Zij preciseert: "Hier worden
dus zowel de eventuele interne als externe ontvangers bedoeld (zoals verwerkers of derden) die in of
buiten de Europese Unie gevestigd zijn. De toelichting bij de aangifte voorafgaand aan de verwerking
geeft als voorbeeld: de persoonlijke relaties van de betrokken persoon, de werkgevers, andere
diensten of ondernemingen van de verwerkingsverantwoordelijke, de sociale zekerheid, politie en
justitie, makelaars in persoonsgegevens of direct marketing, etc. (bijlage 1)."
314. Uit de tekst van de AVG, die door een aanbeveling van de CBPL en de doctrine wordt bijgetreden, 73
blijkt dus dat het weliswaar niet nodig is de individuele ontvangers van de gegevens te vermelden,
maar dat het wel nodig is ze te groeperen per categorie van ontvangers. Door alleen te vermelden of
het al dan niet om een verwerker gaat, wordt dus niet aan deze eis voldaan.
315. Op basis van bovenstaande elementen concludeert de geschillenkamer dat sprake is van een
inbreuk op de artikelen 30.1.a en 30.1.d van de AVG.
II.3.10 Vaststelling 8: Schending van de verplichting om de onafhankelijkheid van de
functionaris voor gegevensbescherming te garanderen conform artikel 38.3 van de AVG
Vaststellingen van de Inspectiedienst
316. De Inspectiedienst stelt vast dat BSCA nv, in tegenstelling tot wat artikel 38.3 van de AVG
voorschrijft, heeft nagelaten ervoor te zorgen dat de functionaris voor gegevensbescherming geen
instructies ontvangt met betrekking tot de uitvoering van zijn taken, met name gezien zijn functie
binnen het organogram van de onderneming en zijn plicht om verslag uit te brengen aan de juridisch
directeur.
Standpunt van de verweerder
72
Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf
73
W. Kotschy, "Article 30: records of processing activities", in Ch. Kuner The EU General Data Protection Regulation (GDPR), a
commentary, 2020, pag. 621.
Beslissing ten gronde 47/2022 - 65/73
317. De verweerder meent dat de conclusies van de Inspectiedienst onjuist zijn. Hij is van oordeel - en
verwijst naar de richtsnoeren ter onderbouwing van zijn betoog - dat de Inspectiedienst de
onafhankelijkheid van de functionaris voor gegevensbescherming niet heeft geanalyseerd, maar
slechts de informatie van het organogram heeft overgenomen en niet aantoont hoe hij dan wel
instructies zou hebben ontvangen met betrekking tot de uitvoering van zijn taken. Daarvoor had de
dienst zich moeten baseren op concrete tekortkomingen. Volgens de verweerder vormt het
bijwonen van vergaderingen 'tussen de diensten' geen bewijs voor een gebrek aan onafhankelijkheid,
maar veeleer van betrokkenheid binnen de onderneming. De verweerder verwijst naar het antwoord
dat hij reeds aan de Inspectiedienst stuurde en waarin staat dat de functionaris voor
gegevensbescherming deel uitmaakt van de juridische dienst, jaarlijks verslag uitbrengt aan het
management en een jaarlijks budget ontvangt.
318. Op de hoorzitting verklaarde de functionaris voor gegevensbescherming van de verweerder dat zijn
positie binnen de onderneming duidelijk is en dat de directie naar hem luistert. Hij voegde eraan toe
dat hij vroeger aan de juridisch directeur rapporteerde en op de juridische dienst werkte. Inmiddels is
de juridisch directeur de nummer 2 van de onderneming geworden en staat de functionaris voor
gegevensbescherming dus rechtstreeks onder zijn gezag, ook al staat hij nog steeds op de loonlijst
van de juridische dienst.
Beoordeling door de Geschillenkamer
319. De Inspectiedienst stelt een inbreuk vast op artikel 38.3 van de AVG. Dit artikel wordt hieronder
overgenomen:
"Artikel 38.
Positie van de functionaris voor gegevensbescherming
1. De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor
gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die
verband houden met de bescherming van persoonsgegevens.
2. De verwerkingsverantwoordelijke en de verwerker ondersteunen de functionaris voor
gegevensbescherming bij de vervulling van de in artikel 39 bedoelde taken door hem toegang te
verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde
middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van
zijn deskundigheid.
Beslissing ten gronde 47/2022 - 66/73
3. De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor
gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken.
Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de
uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag
uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker."
320. Volgens de Inspectiedienst kwam de verwerkingsverantwoordelijke de verplichtingen van artikel
38.3 niet na, aangezien de positie van de functionaris voor gegevensbescherming onder het gezag
van de juridisch directeur van de verweerder en het feit dat hij om de twee weken aan deze laatste
verslag moet uitbrengen, in strijd zijn met het verbod om "instructies met betrekking tot de uitvoering
van zijn taken" te ontvangen.
321. De Groep Gegevensbescherming Artikel 29 stelde richtsnoeren op in verband met de functionaris
voor gegevensbescherming die door de EDPS werden overgenomen. 74 Over de onafhankelijkheid
van de functionaris voor gegevensbescherming bevatten de richtsnoeren de volgende paragrafen:
"Dit betekent dat functionarissen voor gegevensbescherming bij de uitoefening van hun taken
conform artikel 39 geen instructies mogen krijgen in verband met de behandeling van een zaak,
zoals omtrent het te bereiken resultaat, de wijze waarop een klacht moet worden onderzocht of het
al dan niet raadplegen van de toezichthoudende autoriteit. Voorts mogen zij niet worden verplicht
een bepaald standpunt in te nemen over een kwestie die verband houdt met de wetgeving inzake
gegevensbescherming zoals een bepaalde interpretatie van de wet.
[…]
Als een verwerkingsverantwoordelijke of een verwerker beslissingen nemen die onverenigbaar zijn
met de AVG en het advies van de functionaris voor gegevensbescherming, moet deze laatste zijn
afwijkende mening duidelijk kunnen maken aan het hoogste leidinggevende niveau en aan de
besluitnemers."75
322. Uit de richtsnoeren blijkt dus dat de kwestie van de onafhankelijkheid van de functionaris voor
gegevensbescherming op twee verschillende criteria gebaseerd is. Ten eerste moet zijn
onafhankelijkheid worden beoordeeld binnen de context en in situ: men dient zich ervan te
vergewissen dat hij niet wordt beïnvloed of onder druk gezet om de taken die hem krachtens de AVG
toevertrouwd zijn, op een bepaalde manier uit te voeren. Het betreft dus een verplichting om zich te
74
Groep Gegevensbescherming Artikel 29, Guidelines on Data Protection Officers, WP 13 rev. 2016. Beschikbaar op:
https://ec.europa.eu/newsroom/article29/items/612048.
75
Ibid., pag. 18. [vrije vertaling] Eigen vetmarkering van de Geschillenkamer.
Beslissing ten gronde 47/2022 - 67/73
onthouden van elke inmenging in zijn taken en het ontbreken van vergeldingsmaatregelen. Uit de
tekst van de AVG en de richtsnoeren vloeit nog een tweede – dit keer positieve – verplichting voort.
Deze houdt in dat de verwerkingsverantwoordelijke ervoor moet zorgen dat de functionaris voor
gegevensbescherming op het hoogste hiërarchische niveau verantwoording aflegt voor zijn
adviezen en werkzaamheden. Dit is een bijkomende vorm van bescherming die de functionaris voor
gegevensbescherming in staat moet stellen om binnen de organisatie zijn stem te laten horen.
323. De Geschillenkamer merkt op dat de Inspectiedienst geen bemerkingen heeft bij de tweede
verplichting, d.w.z. kunnen rapporteren aan het hoogste hiërarchische niveau.
324. Wel meent de Inspectiedienst dat de positie van de functionaris voor gegevensbescherming volgens
het organogram afbreuk doet aan zijn onafhankelijkheid, omdat ze in strijd is met de eerste
verplichting, namelijk dat er geen sprake mag zijn van enige inmenging in zijn werkzaamheden. Zoals
ze hierboven al uiteenzette, is de Geschillenkamer echter van mening dat uit de positie op het
organogram en de verplichting om tweewekelijks verslag uit te brengen aan de juridisch directeur
niet kan worden afgeleid dat de functionaris voor gegevensbescherming instructies ontvangt die zijn
onafhankelijkheid ondermijnen. Dit moet worden beoordeeld op basis van concrete aanwijzingen van
inmenging die in dit geval niet werden voorgelegd. De AVG verbiedt niet dat de functionaris voor
gegevensbescherming een hiërarchische meerdere heeft.
325. Artikel 38.3 van de AVG preciseert ook dat de functionaris voor gegevensbescherming "door de
verwerkingsverantwoordelijke of de verwerker niet [wordt] ontslagen of gestraft voor de uitvoering
van zijn taken." Uit de stukken van het dossier en met name het antwoord van de verweerder op de
vragen die de Geschillenkamer als voorbereiding op de hoorzitting stelde, blijkt echter dat de
functionaris voor gegevensbescherming tussen mei en augustus 2020 zeer vaak technisch werkloos
was. De verweerder verstrekt in dit verband de volgende uitsplitsing:
"Tot besluit de volledige afrekening van het aantal werkdagen van de functionaris voor
gegevensbescherming van de verweerder tussen april 2020 en augustus 2020:
- Drie (3) dagen in april 2020;
- Vijf (5) dagen in mei 2020;
- Drie (3) dagen in juni 2020;
- Negen (9) dagen in juli 2020; en
- Dertien (13) dagen in augustus 2020."76
76
Brief van 18 oktober 2021, pag. 5. [vrije vertaling]
Beslissing ten gronde 47/2022 - 68/73
326. Uit deze documenten blijkt dat de functionaris voor gegevensbescherming tussen april 2020 en
augustus 2020 in totaal slechts 33 dagen heeft gewerkt. 77
327. Uit het antwoord van de verweerder blijkt dat een groot deel van zijn personeel op dat tijdstip
technisch werkloos was. De Geschillenkamer kan dus niet concluderen dat de functionaris voor
gegevensbescherming bijzonder zwaar werd getroffen door deze technische werkloosheid en werd
"gestraft voor de uitvoering van zijn taken" in de zin van artikel 38.3.
328. Uit bovenstaande cijfers blijkt echter duidelijk dat de functionaris voor gegevensbescherming zeer
weinig effectieve werkdagen heeft gehad toen de implementering van de verwerking werd
voorbereid (in juni 2020). De Geschillenkamer betwijfelt daarom of hij "naar behoren en tijdig [kon
worden] betrokken bij alle aangelegenheden die verband houden met de bescherming van
persoonsgegevens" zoals artikel 38.1 van de AVG voorschrijft. De Geschillenkamer is ervan op de
hoogte dat de functionaris voor gegevensbescherming op 30 april 2020 werd verzocht om een nota
op te stellen over de rechtmatigheid van de verwerking van temperatuurmetingen, en dat de
functionaris voor gegevensbescherming dezelfde dag nog met een korte nota van 2,5 pagina's heeft
geantwoord. Zij stelde tevens vast dat het dossier enkele e-mailberichten bevat die in de betrokken
periode met de functionaris voor gegevensbescherming werden uitgewisseld. Zij is echter van
mening dat dit op zich geen afdoend bewijs vormt voor de passende en tijdige betrokkenheid van de
functionaris voor gegevensbescherming.
329. De Geschillenkamer heeft integendeel vragen bij het feit dat de functionaris voor
gegevensbescherming op technische werkloosheid werd gezet in de periode waarin de litigieuze
verwerkingen werden ingevoerd, hetgeen misschien zijn vermogen kon aantasten om 'naar behoren
en tijdig' te worden betrokken bij de denkoefening omtrent de genoemde verwerking. 78 De
Geschillenkamer is van oordeel dat de beslissing om de functionaris voor gegevensbescherming op
technische werkloosheid te plaatsen, hem kon beletten zijn taken uit te voeren in overeenstemming
met artikel 38.1 van de AVG. De Kamer beschikt echter niet over voldoende bewijzen om zich
hierover in deze zaak uit te spreken en een inbreuk vast te stellen.
III. Inbreuken en sancties
330. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° de klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
77
Ibidem.
78
Art. 38.1 AVG.
Beslissing ten gronde 47/2022 - 69/73
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten
uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of
verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de
kennisgeving ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat
of een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel,
die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website
van de Gegevensbeschermingsautoriteit.
331. Met betrekking tot de administratieve geldboete die kan worden opgelegd krachtens de artikelen
58.2.i en 83 van de AVG en de artikelen 100.13 en 101 van de WOG bepaalt artikel 83 van de AVG:
"1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit
hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op
deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval,
opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j),
bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening
gehouden met het volgende:
a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang
of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen
en de omvang van de door hen geleden schade;
Beslissing ten gronde 47/2022 - 70/73
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen
maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is
gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke
of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om
de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met
name
of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk
heeft gemeld;
i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder
ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie
met betrekking tot dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of
van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of
verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen,
die al dan niet rechtstreeks uit de inbreuk voortvloeien."
332. De Geschillenkamer herinnert eraan dat een boete niet bedoeld is om een einde te maken aan een
begane inbreuk, maar om de regels van de AVG effectief te handhaven. Zoals duidelijk blijkt uit
overweging 148, schrijft de AVG inderdaad voor dat bij elke ernstige inbreuk – dus ook bij de eerste
vaststelling van een inbreuk – sancties (inclusief administratieve geldboetes) worden opgelegd naast
of in de plaats van de passende maatregelen die worden opgelegd. 79 Deze zelfde overweging
79
Overweging 148 bepaalt in dit verband het volgende: "Met het oog op een krachtiger handhaving van de regels van deze verordening
dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien
het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk
persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de
aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de
mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de
toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de
verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of
verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan
Beslissing ten gronde 47/2022 - 71/73
voorziet twee gevallen waarin het mogelijk is van een boete af te zien, namelijk in het geval van kleine
inbreuken of wanneer de boete een onevenredige last voor een natuurlijke persoon zou vormen in de
zin van overweging 148 van de AVG. In beide gevallen zou van een boete kunnen worden afgezien.
Dat het gaat om de eerste vaststelling van een inbreuk van een verwerkingsverantwoordelijke op de
AVG, doet niets af aan het feit dat de Geschillenkamer een administratieve geldboete kan opleggen.
Een administratieve geldboete is niet bedoeld om een einde te maken aan de inbreuken. Daartoe
voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen
waarnaar wordt verwezen in artikel 100, §1, 8° en 9° van de WOG.
333. In deze zaak heeft de Geschillenkamer vastgesteld dat de verweerder inbreuk heeft gemaakt op de
volgende artikelen:
a) Inbreuk op de artikelen 6.1.c, 6.3 en 9.2.i, aangezien niet werd aangetoond dat de
verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de
volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de
gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de
gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van
Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen
ter bescherming van de rechten en vrijheden van de betrokkene, met name van het
beroepsgeheim. Bovendien voldoen de door de verweerder aangevoerde
rechtsgrondslagen (te weten het decreet van 23 juni 1994 betreffende de oprichting en
exploitatie van onder het Waals Gewest ressorterende luchthavens en vliegvelden, het
ministerieel besluit van 30 juni 2020 houdende dringende maatregelen om de verspreiding
van het coronavirus COVID-19 te beperken, de wet van 31 december 1963 op de civiele
bescherming (zoals vervangen door de wet van 15 mei 2007) en het Protocol "Commerciële
Luchtvaart Passagiers" van 11 juni 2020) niet aan de vereisten van artikel 6.1 c, gelezen in
samenhang met artikel 6.3 van de AVG.
b) Inbreuk op de artikelen 5.1.a, 12.1, 13.1.c, 13.2.a, 13.2.d en 13.2.e wegens de niet-nakoming
van de transparantieverplichting ten aanzien van de betrokkenen door hen niet in kennis te
stellen van het feit dat de temperatuurmeting zou gebeuren met warmtebeeldcamera's;
wegens het niet naar behoren inlichten van de passagiers die uit een rode zone
terugkeerden over de rechtsgrondslag van de verwerking, het doel van de verwerking en
het regelgevingskader voor de verplichting om de lichaamstemperatuur te controleren;
wegens het niet naar behoren inlichten van deze passagiers over de periode gedurende
welke de gegevens worden bewaard en over het recht om een klacht in te dienen bij de
gegevensbeschermingsautoriteit.
passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een
doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen onderstreping van de Geschillenkamer]
Beslissing ten gronde 47/2022 - 72/73
c) Inbreuk op artikel 5.1.b. aangezien het doel van de verwerking niet voldoende uitdrukkelijk
was vermeld bij het begin van de verwerking, daar het in geen van de door de verweerder
gebruikte informatiebronnen uitdrukkelijk werd vermeld. Het doel van de verwerking werd
pas uitdrukkelijk verwoord in het antwoord op de vragen van de Inspectiedienst en na de
aanpassing van het privacybeleid in december 2020.
d) Inbreuk op de artikelen 35.1 en 35.7 omdat geen gegevensbeschermingseffectbeoordeling
werd verricht vóór de aanvang van de verwerking. De effectbeoordeling is bovendien
onvolledig, aangezien zij geen toereikende beschrijving van de voorgenomen verwerkingen
en de doeleinden van de verwerking bevat, de noodzaak en de evenredigheid van de
verwerking onvoldoende analyseert en de risico's voor de rechten en vrijheden van de
betrokkenen niet naar behoren beoordeelt.
e) Inbreuk op de artikelen 30.1.a en 30.1.d omdat in het register van de verwerkingsactiviteiten
op het ogenblik van het onderzoek de naam en de contactgegevens van de
verwerkingsverantwoordelijke en de functionaris voor gegevensbescherming ontbraken,
en omdat de categorieën van ontvangers van de gegevens onvoldoende nauwkeurig waren
gepreciseerd.
334. Conform artikel 101 van de WOG besluit de Geschillenkamer de verweerder een geldboete van
100.000 euro op te leggen wegens inbreuken op de artikelen 5.1.a, 5.1.b, 6.1.c, 6.3 en 9.2.i, 12.1, 13.1.c,
13.2.a, 13.2.d, 13.2.e, 35.1 en 35.7.
335. Rekening houdend met artikel 83 van de AVG motiveert de Geschillenkamer het opleggen van een
administratieve sanctie in concreto80 aan de hand van de volgende, aan dit artikel ontleende criteria
die zij in deze zaak relevant acht:
- de aard, de ernst en de duur van de inbreuk (artikel 83.2.a) - De vastgestelde inbreuken omvatten
een inbreuk op de bepalingen van de AVG betreffende de beginselen van de gegevensbescherming
(artikel 5 AVG) en de rechtmatigheid van de verwerking (artikel 6 AVG). Volgens artikel 83.5 van de
AVG zijn inbreuken op bovengenoemde bepalingen onderworpen aan de hoogste geldboetes.
De vastgestelde inbreuken omvatten ook een inbreuk op de bepalingen inzake de informatie- en
transparantieverplichtingen (artikel 5.1.a, 12.1 en 13 AVG). De naleving van bovenstaande
bepalingen is van essentieel belang. Zij moeten uiterlijk bij de aanvang van de verwerking van de
persoonsgegevens worden nageleefd. Dit is ook nodig om de uitoefening van de rechten van de
betrokkenen mogelijk te maken.
De vastgestelde inbreuken houden ook verband met de uitvoering van de
gegevensbeschermingseffectbeoordeling. Deze verplichting werd pas nagekomen na het begin
80
Hof van Beroep Brussel (sectie Marktenhof), X. t. GBA, Arrest 2020/1471 van 19 februari 2020
Beslissing ten gronde 47/2022 - 73/73
van de verwerking, terwijl dit al eerder had moeten gebeuren (artikel 35.1 AVG). Zij werd bovendien
niet nagekomen volgens de criteria van artikel 35.7, hetgeen in belangrijke mate afbreuk deed aan
de geloofwaardigheid van de oefening en de mogelijke voordelen voor de rechten.
- Eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker (art. 83.2.e
AVG): De verweerder was nooit eerder het voorwerp van een inbreukprocedure voor de
Gegevensbeschermingsautoriteit.
- Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g AVG): De
vastgestelde inbreuken hebben betrekking op een categorie van persoonsgegevens in de zin van
artikel 9 van de WOG (gegevens betreffende de gezondheid van de betrokkenen).
- Andere verzwarende of verzachtende omstandigheden die van toepassing zijn op dit dossier
(artikel 83.2.k AVG): de verweerder heeft geen baat gehad bij de uitgevoerde verwerkingen of
begane inbreuken.
336. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige
en afschrikkende sanctie zoals bedoeld in artikel 83 van de AVG, rekening houdend met de daarin
bepaalde beoordelingscriteria.
337. Er werd op 15 februari 2022 ook een sanctieformulier verstuurd waarop de verweerder op 9 maart
2022 antwoordde. Deze argumenten kunnen als volgt worden samengevat:
a. Hij was onderworpen aan de verplichting om de verwerkingen uit te voeren. Hij had geen
keuze en kon niet rekenen op begeleiding door de GBA.
b. Een boete moet een uitzonderingsmaatregel blijven, vooral gezien de toestand van
overmacht waarin de luchthaven zich bevond en rekening houdend met het feit dat de
verwerking zeer beperkt was in de tijd en op dit ogenblik niet langer plaatsvindt.
c. De luchthaven leed extreem hoge verliezen als gevolg van COVID en had een
herkapitalisatie nodig om het faillissement af te wenden. Deze herkapitalisatie werd
afhankelijk gesteld van het sluiten van een sociaal akkoord dat in loonsverlagingen voor de
werknemers voorzag (over dit akkoord werd in de pers bericht).
338. De Geschillenkamer meent dat het onder punt a) aangehaalde argument in het beschikkend gedeelte
van de beslissing werd behandeld (zie punt 58 e.v.). De Geschillenkamer herhaalt dat het Protocol
geen geldige rechtsgrond in de zin van de AVG is en dat de verweerder heeft erkend dat het Protocol
duidelijkheid mist en dat een wet te verkiezen was geweest.81 Zij verwijst ook naar punt 232 voor wat
het gebrek aan begeleiding betreft.
81
De Geschillenkamer stuurt ook een afschrift van deze beslissing naar de bevoegde minister.
Beslissing ten gronde 47/2022 - 74/73
339. De Geschillenkamer antwoordde in het beschikkend gedeelte van de beslissing ook reeds op punt b)
hierboven (zie punt 217 e.v.). Met betrekking tot het feit dat de verwerking beperkt was in de tijd en
op dit ogenblik niet meer plaatsvindt herinnert de Geschillenkamer eraan dat deze gedurende een
periode van ongeveer 9 maanden (tussen juni 2020 en maart 2021) plaatsvond voor alle passagiers
en begeleiders bij het vertrek, en gedurende een periode van iets meer dan een maand voor wie uit
een rode zone terugkeerde (september-oktober 2020). Zij herinnert er ook aan dat de verweerder
weliswaar niet het totale aantal betrokkenen kon opgeven, maar aangaf dat alleen al voor de periode
tussen 15 juni 2020 en 31 oktober 2020 ongeveer 457.000 passagiers bij het vertrek werden
gecontroleerd. De verwerking kan derhalve niet worden geacht zeer beperkt te zijn geweest in de
tijd, noch voor wat het aantal betrokkenen betreft.
340. Met betrekking tot punt c) herinnert de Geschillenkamer eraan dat de omzet het criterium is voor de
berekening van het maximumbedrag van de boetes op grond van de AVG, en niet de winst- en
verliesrekening. De Europese wetgever koos hiervoor bewust om te voorkomen dat variaties in de
winst- en verliesrekening de mogelijkheden van de gegevensbeschermingsautoriteiten om
effectieve boetes op te leggen, zouden beperken.
341. De Geschillenkamer benadrukt verder dat de overige criteria van artikel 83.2 van de AVG in deze zaak
niet relevant zijn en dus niet tot een andere administratieve geldboete leiden dan deze die de
Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
342. Gelet op het voorgaande stelt de Geschillenkamer vast dat zij zich mag baseren op de jaarcijfers van
Brussels South Charleroi Airport nv om het bedrag van de administratieve geldboete te bepalen die
zij voornemens is aan de verweerder op te leggen.
343. De Geschillenkamer verwijst naar de conclusie die de verweerder bij de Geschillenkamer neerlegde
evenals naar de op 5 juli 2021 bij de Nationale Bank van België (BNB) neergelegde jaarrekening die
voor het boekjaar 2020 een omzet van 28.859.291,41 euro vermeldt.
344. De voorziene administratieve geldboete van 100.000 euro in deze zaak komt overeen met 0,34 %
van de jaaromzet van de verweerder voor het jaar 2020. De Geschillenkamer verwijst naar de
conclusie die de verweerder bij de Geschillenkamer neerlegde evenals naar de op 5 juli 2021 bij de
Nationale Bank van België (BNB) neergelegde jaarrekening die voor het boekjaar 2020 een omzet
van 28.859.291,41 euro vermeldt.
345. De voorziene administratieve geldboete van 100.000 euro in deze zaak komt overeen met 0,34 %
van de jaaromzet van de verweerder voor het jaar 2020.
346. De Geschillenkamer verklaart dat het maximumbedrag van de administratieve geldboete voor een
inbreuk wordt bepaald door de artikelen 83.4 en 83.4 van de AVG. Het bedrag van de door deze
beslissing opgelegde geldboete is aanzienlijk lager dan het voorziene maximumbedrag (dat maximaal
1.154.371,65 euro had kunnen bedragen), aangezien de Geschillenkamer rekening heeft gehouden
Beslissing ten gronde 47/2022 - 75/73
met alle in artikel 83.2 van de WOG opgesomde relevante criteria. Verder beoordeelt de
Geschillenkamer de concrete elementen van elke zaak afzonderlijk om een passende sanctie op te
leggen.
347. Voor de inbreuken op de artikelen 30.1.a en 30.1.d beslist de Geschillenkamer, op grond van artikel
100, §1, 5° van de WOG, om een berisping op te leggen. De vastgestelde inbreuken betreffen immers
betrekkelijk onbeduidende elementen, waarvan de schending op zich geen rechtvaardiging vormt
voor het opleggen van een geldboete.
IV. Publicatie van de beslissing
348. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer
wordt deze beslissing op de website van de Gegevensbeschermingsautoriteit gepubliceerd conform
artikel 95, §1, 8° van de WOG, met vermelding van de identificatiegegevens van de verweerder, en
dit vanwege het specifieke karakter van de beslissing – waardoor heridentificatie onvermijdelijk is,
zelfs indien de identificatiegegevens worden weggelaten – alsook vanwege het algemeen belang van
deze beslissing.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit na beraadslaging om:
- De verweerder krachtens artikel 101 van de WOG een geldboete van 100.000 euro op te leggen
wegens inbreuken op de artikelen 5.1.a, 5.1.b, 6.1.c, 6.3 en 9.2.i, 12.1, 13.1.c, 13.2.a, 13.2.d, 13.2.e,
35.1 en 35.7;
- Krachtens artikel 100, §1, 5° van de WOG een berisping op te leggen voor de inbreuken op de
artikelen 30.1.a en 30.1.d.
Krachtens artikel 108, §1 van de WOG kan tegen deze beslissing binnen 30 dagen na de kennisgeving
ervan beroep worden ingesteld bij het Marktenhof, met de Gegevensbeschermingsautoriteit als
verweerder.
Beslissing ten gronde 47/2022 - 76/73
(ondertekend) Hielke Hijmans
Voorzitter van de Geschillenkamer