1/7
Geschillenkamer
Beslissing 51/2024 van 2 april 2024
Dossiernummer : DOS-2023-03422
Betreft : waarschuwing vanwege het niet aanstellen van een vertegenwoordiger in de
Unie en het uitvoeren van een demo (online fingerprinting)
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klaagster: X, hierna “de klaagster”
De verweerder: Y, hierna “de verweerder”
Beslissing 51/2024 — 2/7
I. Feiten en procedure
1. De verweerder biedt diensten aan die het mogelijk maken een gebruiker van een toestel te
blijven identificeren, ook wanneer deze in incognito-modus surft, of een VPN gebruikt1.
Hiervan geeft deze een demo op de website, waarbij de bezoeker van de website een uniek
ID krijgt toegewezen.
2. Het voorwerp van de klacht betreft de verwerking die plaatsvindt in het kader van het
uitvoeren van deze demo op de website van de verweerder. De klaagster bekritiseert het
toewijzen van het unieke ID .
3. Op 22 maart 2023 zou de klaagster een verzoek tot inzage, tezamen met een verzoek tot
gegevenswissing, aan de verweerder hebben gericht. Het verzoek werd als volgt
geformuleerd: “I want a copy of all the information you have about me and my decide [sic] (as
per GDPR regulation) after which I want all data to be deleted. Thanks. Also please stop this
service.”
4. In het mailoverzicht dat de klaagster heeft toegevoegd aan de klacht is te zien hoe er een
mailuitwisseling tot stand komt tussen de klaagster en verweerder, dit op 23 maart 2023 en
29 maart 2023. De eigenlijke inhoud van deze mailuitwisseling werd niet met de
Geschillenkamer gedeeld.
5. Sinds het opnemen van contact met de verweerder ontvangt de klaagster marketingmails,
te beginnen vanaf 23 mei 2023. Op het moment van het indienen van de klacht dateert de
laatste e-mail van 10 augustus 2023.
6. Op 13 augustus 2023 dient de klaagster een klacht in bij de
Gegevensbeschermingsautoriteit tegen de verweerder.
7. Op 30 augustus 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG2 en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer 3.
8. Ingevolge artikel 95, § 2, 3° WOG alsmede artikel 47 van het reglement van interne orde van
de GBA kunnen de partijen om een afschrift van het dossier verzoeken. Indien één van beide
partijen gebruik wenst te maken van de mogelijkheid tot het raadplegen en het kopiëren van
het dossier, dient deze zich te wenden tot het secretariaat van de Geschillenkamer, bij
voorkeur via [email protected].
1
[…]
2
Overeenkomstig artikel 61 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat de klacht ontvankelijk is
verklaard.
3
Overeenkomstig artikel 95, § 2 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat het dossier naar
aanleiding van deze klacht aan haar is overgedragen.
Beslissing 51/2024 — 3/7
II. Motivering
9. De klacht is tweeledig; enerzijds bekritiseert de klaagster de diensten die de verweerder
verleent, anderzijds kaart zij aan dat de verweerder nalaat een (gunstige) reactie te geven op
haar verzoek tot gegevenswissing.
10. De klacht betreft in de eerste plaats de rechtmatigheid van de diensten van de verweerder.
Deze worden onder meer gedemonstreerd op de homepagina van de website van de
verweerder getoond. Deze demonstratie kent een uniek ID toe aan elke bezoeker van de
website, wat het in combinatie met de locatie van de gebruiker mogelijk maakt om (onder
andere) het aantal bezoeken bij te houden. De klaagster geeft aan dat er waarschijnlijk geen
rechtsgrond bestaat voor deze verwerkingen.
11. Bij het nagaan of de verwerkingen in casu rechtmatig verlopen, merkte de Geschillenkamer
op dat het privacy beleid4 van de verweerder niet duidelijk vermeldt op welke rechtsgrond
van artikel 6 AVG zij hun verwerkingsactiviteiten baseren. Hierdoor moet de
Geschillenkamer een mogelijke schending van artikel 13.1.c) AVG vaststellen, waarbij de
verwerkingsverantwoordelijke verplicht is om de betrokkene op de hoogte te stellen van de
verwerkingsdoeleinden voor de verwerking van persoonsgegeven.
12. Bovendien stelt de Geschillenkamer vast dat een dergelijke verwerking, waarbij onder meer
de locatie en IP-adres worden gebruikt om een uniek ID toe te kennen aan een bezoeker, in
principe moet gebaseerd zijn op de toestemming van een betrokkene. Hieraan lijkt prima
facie niet te zijn voldaan. De Geschillenkamer constateert daarom een mogelijke inbreuk
op artikel 5.1.a) en 6 AVG.
13. De klaagster benadrukte in haar klacht ook dat andere partijen mogelijk dezelfde
technologie zouden kunnen gebruiken op een manier die niet voldoet aan de AVG. Het is
echter belangrijk op te merken dat de klacht specifiek gericht is tegen de verweerder, en het
is aan elke verwerkingsverantwoordelijke om zelf te verzekeren dat hun
verwerkingsactiviteiten in overeenstemming zijn met de AVG, zoals bepaald in artikel 24 van
de AVG. Daarom zal de Geschillenkamer alleen de activiteiten onderzoeken die plaatsvinden
onder de verantwoordelijkheid van de verweerder, en niet verder ingaan op mogelijke
verwerkingsactiviteiten die door welke andere entiteiten dan ook kunnen worden
uitgevoerd. Het is aan iedere verwerkingsverantwoordelijke zelf om telkens te controleren
of hun verwerkingsactiviteiten in overeenstemming met de AVG plaatsvinden.
14. Daarnaast geeft de klaagster in haar klacht aan dat zij een verzoek tot inzage en
gegevenswissing overeenkomstig de artikelen 15 en 17 AVG heeft ingediend bij de
verweerder, maar geen gunstige respons heeft mogen ontvangen. Bij het bekijken van de
4
Zie […] (geconsulteerd op 8 maart 2024).
Beslissing 51/2024 — 4/7
stukken die aan de klacht zijn toegevoegd, blijkt dat er inderdaad mailcontact is geweest
tussen de klaagster en de verweerder. Het lijkt er dus op dat de verweerder heeft
gereageerd op de verzoeken van de klaagster, maar de inhoud van deze communicatie is
niet aan de Geschillenkamer verstrekt. Daarom kan de Geschillenkamer niet beoordelen of
de reactie van de verweerder voldoet aan de eisen van de AVG.
15. In dit verband herinnert de Geschillenkamer eraan dat het recht op gegevenswissing van
artikel 17 AVG geen absoluut recht is. Het eerste lid van artikel 17 AVG somt een limitatief
aantal situaties op waarin de verwerkingsverantwoordelijke verplicht is om uitvoering te
geven aan het recht op gegevenswissing van een betrokkene. Een verzoek tot wissing
overeenkomstig artikel 17.1 van de AVG dient niet te worden uitgevoerd door de
verwerkingsverantwoordelijke indien er een uitzondering overeenkomstig het derde lid van
dit artikel van toepassing is. Het is onduidelijk of de verweerder zich in casu op een dergelijke
uitzondering beroept. De Geschillenkamer kan zich daarom niet uitspreken over een
potentiële schending van artikel 17 AVG in hoofde van de verweerder.
16. Wel is duidelijk dat indien persoonsgegevens worden bekomen door het indienen van een
verzoek tot gegevenswissing, deze daarna niet kunnen worden aangewend voor het
uitsturen van marketingmails. Dit ligt in lijn met het doelbindingsbeginsel van artikel 5.1.b)
AVG. Het doelbindingsbeginsel vereist dat het doel van de verwerking wordt gedefinieerd
op het moment dat de gegevens worden verzameld en schrijft als uitgangspunt voor dat alle
opeenvolgende verwerkingen het gedefinieerde doel niet mogen overschrijden.
17. De Geschillenkamer moet in dit verband vaststellen dat het verder aanwenden van de
contactgegevens van de klaagster voor marketingdoeleinden, niet kan worden gezien als
een verenigbare verdere verwerking in de zin van artikel 6.4 AVG. Zij stelt daarom een
mogelijke schending van artikel 5.1.b) AVG vast.
18. Ten slotte bemerkt de Geschillenkamer dat er geen vertegenwoordiger van de
verwerkingsverantwoordelijke is aangesteld op het Europese grondgebied. Deze
verplichting staat opgenomen in artikel 27 AVG.
19. Het voorgaande is allemaal des te opvallender omdat de verweerder wel op zijn website
afficheert dat deze voldoet aan de vereisten van de AVG (“GDPR compliant”). Uit het
voorgaande blijkt dit prima facie niet het geval te zijn.
20. De Geschillenkamer is van oordeel dat op grond van bovenstaande analyse dient te worden
geconcludeerd dat door de verweerder mogelijk een inbreuk op de bepalingen van de AVG
werd gepleegd, dewelke rechtvaardigt dat in casu wordt overgegaan tot het nemen van een
beslissing op grond van artikel 95, § 1, 4°, WOG, meer bepaald de verweerder een
waarschuwing te geven voor het tekort schieten in de informatieverplichting in hoofde
van artikel 13 AVG, voor het aanwenden van de contactgegevens van de klaagster voor
Beslissing 51/2024 — 5/7
het versturen van marketingmails en op die manier artikel 5.1.b) AVG wellicht te
schenden, alsook voor het nalaten een vertegenwoordiger in de Unie aan te duiden
overeenkomstig artikel 27 AVG. De Geschillenkamer stelt eveneens een mogelijke
schending van artikel 6 AVG j° artikel 5.1.a) AVG vast, wegens het bestaan van een
mogelijk onrechtmatige verwerking, waarvoor zij de verweerder eveneens een
waarschuwing geeft.
Tot slot waarschuwt de Geschillenkamer op basis van artikel 95, §1, 4°, WOG om, indien nog
relevant, gehoor te geven aan het verzoek tot gegevenswissing (en inzage) van de
klaagster.
22. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klaagster ingediende
klacht, in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 5 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
De Geschillenkamer waarschuwt de verweerder aldus dat er waarschijnlijk een inbreuk
wordt begaan op artikel 5.1.a) j° artikel 6 AVG, artikel 5.1.b), artikel 5.1.a) j° artikel 13 en artikel
27 AVG door de huidige verwerkingsactiviteiten.
23. Onderhavige beslissing heeft tot doel de verweerder in kennis te stellen van het feit dat deze
mogelijk een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de
mogelijkheid te stellen zich alsnog te conformeren met voornoemde bepalingen.
24. Indien de verweerder evenwel niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van oordeel is dat deze feitelijke en/of juridische argumenten kan laten gelden
die tot een andere beslissing zouden kunnen leiden, kan deze via het e-mailadres
[email protected] een verzoek tot behandeling ten gronde van de zaak richten
aan de Geschillenkamer en dit binnen de termijn van 30 dagen na de kennisgeving van deze
beslissing. De tenuitvoerlegging van onderhavige beslissing wordt desgevallend gedurende
voormelde periode geschorst.
25. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 WOG
uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten bij het
dossier te voegen. De onderhavige beslissing wordt desgevallend definitief opgeschort.
26. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 WOG 6.
5
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
6
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
Beslissing 51/2024 — 7/7
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 7. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.8, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
7
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
8
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.