1/7
Geschillenkamer
Beslissing 52/2024 van 3 april 2024
Dossiernummer : DOS-2024-00220
Betreft : Klacht wegens het verzenden van een e-mail met persoonsgegevens van de
klager naar een verkeerde geadresseerde
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerster: Y, hierna “de verweerster”
Beslissing 52/2024 — 2/7
I. Feiten en procedure
1. Op 5 januari 2024 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerster.
2. Het voorwerp van de klacht betreft het verzenden door de verweerster van een e-mail met
persoonsgegevens van de klager naar een verkeerde geadresseerde. De verweerster trad
op als notaris in het kader van de verkoop van onroerend goed van een erflater. Op 30
november 2023 verstuurde de verweerster een e-mail naar de erfgenamen met als bijlagen
het ontwerp van de verkoopakte en de afrekening. Deze bijlagen bevatten de namen,
adressen, burgerlijke staten, geboortedata, en rijksregisternummers van de 17 erfgenamen,
waaronder ook de klager. De verweerster stuurde deze e-mail ook naar een verkeerd
geadresseerde derde persoon. Deze persoon liet op 1 december 2023 per e-mail aan alle
geadresseerden weten dat zij de e-mail verkeerdelijk had ontvangen.
3. Op 30 januari 2024 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 van de WOG1 en wordt de klacht op grond van artikel 62, § 1
van de WOG overgemaakt aan de Geschillenkamer 2.
4. Ingevolge artikel 95, § 2, 3° van de WOG alsmede artikel 47 van het reglement van interne
orde van de GBA kunnen de partijen om een afschrift van het dossier verzoeken. Indien één
van beide partijen gebruik wenst te maken van de mogelijkheid tot het raadplegen en het
kopiëren van het dossier, dient deze zich te wenden tot het secretariaat van de
Geschillenkamer, bij voorkeur via [email protected].
II. Motivering
II.1. De rechtmatigheid van de verwerking
5. Overeenkomstig artikel 5.1.a) en artikel 6.1 van de AVG, moet elke verwerking van
persoonsgegevens berusten op een rechtsgrond die voorafgaand aan de verwerking wordt
vastgesteld door de verwerkingsverantwoordelijke.
6. In het voorliggend geval trad de verweerster op als notaris in het kader van de verkoop van
onroerend goed van een erflater. Daartoe verwerkte de verweerster onder andere de
persoonsgegevens van de klager, aangezien deze laatste een erfgename was. De klacht
heeft betrekking op het feit dat de verweerster in die context de persoonsgegevens van de
1
Overeenkomstig artikel 61 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat de klacht ontvankelijk is
verklaard.
2
Overeenkomstig artikel 95, § 2 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat het dossier naar
aanleiding van deze klacht aan haar is overgedragen.
Beslissing 52/2024 — 3/7
klager per e-mail heeft doorgestuurd naar een derde persoon. De Geschillenkamer dient na
te gaan of deze verdere verwerking als rechtmatig kan worden beschouwd.
7. Om te beginnen merkt de Geschillenkamer op dat de geadresseerde derde persoon, na het
ontvangen van de e-mail, het volgende stuurde naar alle geadresseerden: “Verkeerd mail
adres deze is niet voor mij”. In haar e-mail naar de klager op 4 december 2023, verwijst
bovendien ook de verweerster naar de derde persoon als “de verkeerde geadresseerde”.
Aangezien de derde persoon – zoals ook de verweerster aangeeft – verkeerd geadresseerd
werd, kan worden opgevat dat het verzenden van de e-mail naar de derde persoon niet tot
het oorspronkelijke doel van de verwerking van de persoonsgegevens behoorde.
8. Overeenkomstig artikel 5.1.b) AVG, kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel
worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de
persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria
opgenomen in artikel 6.4 AVG en overweging 50 AVG, dient aldus te worden nagegaan of
de verdere verwerking, in casu het verzenden van de e-mail naar de derde persoon, al dan
niet verenigbaar is met de initiële verwerking in het kader van de verkoop van het onroerend
goed van de erflater. Bij de beoordeling daarvan spelen de redelijke verwachtingen van de
betrokkene een belangrijke rol. In het voorliggend geval kon de klager niet redelijkerwijs
verwachten dat de verweerster de gegevens zou delen met de derde persoon, aangezien
deze persoon niet betrokken is bij de verkoop van het onroerend goed.
9. Dit leidt tot de vaststelling dat er mogelijk sprake is van een onverenigbare verdere
verwerking. In dat geval zou er een afzonderlijke rechtsgrond vereist zijn opdat het
verzenden van de persoonsgegevens van de klager naar de derde persoon als rechtmatig
zou kunnen worden beschouwd.
10. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere
verwerking zoals – mogelijk – het voorliggend geval, is slechts rechtmatig indien daartoe een
rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden
teruggevallen op artikel 6.1 AVG. Artikel 6.1 van de AVG stipuleert dat de verwerking moet
plaatsvinden op basis van een van de volgende rechtsgrondslagen: de betrokkene heeft
toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer
specifieke doeleinden (artikel 6.1.a) AVG); de verwerking is noodzakelijk voor de uitvoering
van een overeenkomst waarbij de betrokkene partij is of voor de uitvoering van
precontractuele maatregelen die op verzoek van de betrokkene zijn genomen (artikel 6.1.b)
AVG); de verwerking is noodzakelijk om een wettelijke verplichting na te komen waaraan de
verwerkingsverantwoordelijke is onderworpen (artikel 6.1.c) AVG); de verwerking is
noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon
te beschermen (artikel 6.1.d) AVG); de verwerking is noodzakelijk voor de vervulling van een
Beslissing 52/2024 — 4/7
taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar
gezag dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6.1.e) AVG) of de
verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de
grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van
persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de
betrokkene een kind is (artikel 6.1.f) AVG).
11. Zoals in randnummers 7 en 8 van deze beslissing wordt opgemerkt, was de derde persoon
“verkeerdelijk” geadresseerd. Aangezien de verweerster zelf ook naar de derde persoon
verwijst als de “verkeerdelijk geadresseerde”, kan worden opgevat dat het doorstuurden
van de persoonsgegevens naar de derde persoon niet het doel was van de verweerster. De
betrokken verwerking zou aldus als een vergissing kunnen worden aangemerkt, en niet als
een verwerking waarvoor de verweerster op voorrand een rechtsgrond had vastgesteld. Op
basis daarvan is de Geschillenkamer van oordeel dat de verweerster zich prima facie op geen
enkele rechtsgrond kan beroepen waaruit de rechtmatigheid van de verwerking zou blijken.
12. Op basis van de voorafgaande redenering oordeelt de Geschillenkamer dat er mogelijk
inbreuk is gemaakt op artikel 5.1.a), artikel 5.1.b) en artikel 6.1 van de AVG.
II.2. Het basisprincipe van integriteit en vertrouwelijkheid
13. Volgens artikel 5.1.f) en artikel 32.1.b) AVG, moeten persoonsgegevens “door het nemen van
passende technische of organisatorische maatregelen op een dusdanige manier worden
verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer
beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk
verlies, vernietiging of beschadiging”.
14. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat de
persoonsgegevens van de klager zonder rechtsgrond werden gecommuniceerd aan een
derde persoon. Er is sprake van een inbreuk op de vertrouwelijkheid, namelijk een
ongeoorloofde of onbedoelde verstrekking van of toegang tot persoonsgegevens.
Bijgevolg kan worden vastgesteld dat de technische en organisatorische maatregelen die
de verweerster al dan niet had genomen onvoldoende waren om een dergelijke inbreuk te
vermijden. Het is derhalve mogelijk dat de verweerster is nagelaten passende technische en
organisatorische maatregelen vast te stellen.
15. Op basis van de voorafgaande redenering oordeelt de Geschillenkamer dat er mogelijk
inbreuk is gemaakt op artikel 5.1.f) en artikel 32.1.b) AVG.
Beslissing 52/2024 — 5/7
II.3. Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende
autoriteit
16. Een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4.12 AVG is “een
inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging,
het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang
tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”.
17. De Geschillenkamer herinnert eraan dat wanneer een dergelijke inbreuk in verband met
persoonsgegevens zich voordoet, artikel 33.1 AVG bepaalt dat de
verwerkingsverantwoordelijke verplicht is om dit “zonder onredelijke vertraging en, indien
mogelijk, uiterlijk 72 uur nadat [de verwerkingsverantwoordelijke] er kennis van heeft
genomen” te melden aan de bevoegde nationale toezichthoudende autoriteit, tenzij het niet
waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de
rechten en vrijheden van natuurlijke personen. Indien de inbreuk waarschijnlijk een hoog
risico inhoudt voor de rechten en vrijheden van natuurlijke personen, is de
verwerkingsverantwoordelijke op basis van artikel 34.1 AVG ook verplicht deze inbreuk mee
te delen aan de personen op wiens persoonsgegevens de inbreuk betrekking heeft.
18. In het onderhavige geval merkt de Geschillenkamer op dat de verweerster stappen heeft
ondernomen om risico’s voor de rechten en vrijheden van natuurlijke personen af te wenden.
In haar e-mail van 4 december 2023 naar de klager, geeft de verweerster namelijk aan dat
zij bevestiging heeft ontvangen van de verkeerd geadresseerde derde persoon dat deze
laatste de bijlagen bij de e-mail (het ontwerp van de akte van verkoop en de afrekening) niet
had geopend en de e-mail onmiddellijk had verwijderd. Op basis daarvan kan worden
opgevat dat het prima facie niet waarschijnlijk is dat de inbreuk in verband met
persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
In dat geval zou er ook geen verplichting zijn om de inbreuk te melden aan de
Gegevensbeschermingsautoriteit, of om de inbreuk mee te delen aan de personen op wiens
persoonsgegevens de inbreuk betrekking heeft.
III. Besluit
19. De Geschillenkamer is van oordeel dat op grond van bovenstaande analyse dient te worden
geconcludeerd dat de verweerster mogelijk inbreuken op de bepalingen van de AVG heeft
gepleegd, dewelke rechtvaardigt dat in casu wordt overgegaan tot het nemen van een
beslissing op grond van artikel 95, § 1, 4° van de WOG, meer bepaald de verweerster te
waarschuwen dat het verstrekken van persoonsgegevens aan een derde persoon zonder
enige toepasselijke rechtsgrondslag, een onrechtmatige verwerking uitmaakt en een
inbreuk op de integriteit en vertrouwelijkheid van de verwerking vormt.
Beslissing 52/2024 — 6/7
20. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klager ingediende klacht,
in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 3 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
21. Onderhavige beslissing heeft tot doel de verweerster in kennis te stellen van het feit dat
deze mogelijk een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de
mogelijkheid te stellen zich alsnog te conformeren met voornoemde bepalingen.
22. Indien de verweerster niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren die
tot een nieuwe beslissing zouden kunnen leiden, kan zij een verzoek tot heroverweging
indienen bij de Geschillenkamer volgens de procedure vastgesteld in de artikelen 98 juncto
99 van de WOG, bekend als een “behandeling ten gronde”. Dit verzoek moet worden
gestuurd naar het e-mailadres [email protected] binnen een termijn van 30
dagen na kennisgeving van dit prima facie besluit. Indien van toepassing, wordt de uitvoering
van dit besluit opgeschort gedurende de bovengenoemde periode.
23. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 WOG
uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten bij het
dossier te voegen. De onderhavige beslissing wordt desgevallend definitief opgeschort.
24. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 WOG4.
3
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
4
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het
gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.