APD/GBA (Belgium) - 56/2021

1/41

Geschillenkamer

Beslissing ten gronde 56/2021 van 26 april 2021

Dossiernr. : DOS-2019-02288

Betreft: klacht wegens onrechtmatige raadpleging van persoonsgegevens en weigering
van het recht van inzage

De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans,
voorzitter, en de heren Yves Poullet en Christophe Boeraeve, leden, die de zaak in deze samenstelling
in behandeling neemt;

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit , hierna
WOG;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;

Gelet op de stukken van het dossier;

Heeft de volgende beslissing genomen inzake:

- De klager : mevrouw X, vertegenwoordigd door haar raadsman meester Victor Rouard,
Kunstlaan 46, 1000 Brussel,

- De verweerder: de nv Y, vertegenwoordigd door haar raadslieden, meester Didier Putzeys
en meester Bernadette De Graeuwe, Brigade Pironlaan 132, 1080 Brussel.

Beslissing ten gronde 56/2021- 2/41

1. Procedurele voorgeschiedenis

1. Gelet op de eerste klacht die door de klager op 15 april 2019 bij de Gegevensbeschermingsautoriteit
(GBA) werd ingediend, gevolgd door een tweede klacht op 20 april 2020;

2. Gelet op de beslissing van 21 april 2020 van de Eerstelijnsdienst van de
Gegevensbeschermingsautoriteit (hierna GBA) de klacht ontvankelijk te verklaren, en
de toezending van de klacht aan de Geschillenkamer op dezelfde datum;

Gelet op de brief van 31 juli 2020 van de Geschillenkamer waarin deze de partijen in kennis stelt
van haar beslissing om het dossier op grond van artikel 98 WOG te beschouwen als klaar voor
behandeling ten gronde, en de mededeling van het tijdschema voor de uitwisseling van de
conclusies;

3. Gelet op de conclusies van de verweerder, ontvangen op 8 september 2020;

4. Gelet op de conclusies van de klager, ontvangen op 30 september 2020;

5. Gelet op de syntheseconclusies van de verweerder, ontvangen op 21 oktober 2020;

6. Gelet op de hoorzitting van 7 januari 2021 in aanwezigheid van de klager, haar raadsman mr.
Rouard, en de verweerder, vertegenwoordigd door haar raadsman mr. De Graeuwe, alsmede de
DPO, mevrouw Z1, en de Compliance Officer, de heer Z2;

7. Gelet op de toezending aan de partijen van het PV van de hoorzitting en de opmerkingen van de
partijen;

8. Gelet op de afzonderlijke behandeling van de procedures tegen de ex-man van de klager en tegen
de verweerder;

9. Gelet op het aan de verwerende partij toegezonden formulier voor de boete en de opmerkingen
daarbij.

2. Feiten en voorwerp van de klacht

Beslissing ten gronde 56/2021- 3/41

10. De klager verneemt in april 2019 dat haar persoonsgegevens tussen 2016 en 2018 door de
verweerder twintig keer zijn geraadpleegd in haar bestand bij de Centrale voor kredieten aan
particulieren (hierna CKP) bij de Nationale Bank van België (hierna NBB).

11. De verweerder is actief in de sector financiële diensten, waaronder kredieten aan particulieren.
De ex-echtgenoot van de klager, met wie zij na hun scheiding in 2015 uit onverdeeldheid trad, is
in dienst bij de verweerder. De klager verklaart dat door het raadplegen van haar gegevens in
haar bestand bij de NBB en aldus de informatie betreffende haar kredieten, haar ex-man de
overhand in de onverdeelde boedel heeft gekregen en haar financiële en morele schade heeft
berokkend.

12. De ex-man van de klager heeft bovendien erkend ten onrechte de gegevens van de klager te
hebben geraadpleegd1.

13. Op 14 november 2018 richt de klager zich tot de NBB om de lijst op te vragen van de financiële
instellingen die het CKP-bestand op haar naam hebben geraadpleegd.

14. Op 24 januari 2019 wendt de klager zich tot de verweerder met de vraag “wat uw criteria zijn om
de bestanden van de Nationale Bank van België van uw cliënten te raadplegen en of Y of enig
andere persoon gemachtigd is om deze te raadplegen zonder specifieke financieringsaanvraag”.

15. Op 1 februari 2019 antwoordt de voormalige functionaris voor gegevensbescherming (DPO) van
de verweerder dat de bestanden van de NBB “uitsluitend worden geraadpleegd in het kader van
de toekenning of het beheer van kredieten of betalingsdiensten, die mogelijk het privévermogen
van een natuurlijke persoon kunnen bezwaren en waarvan de uitvoering kan worden voortgezet
(sic) op het privévermogen van die persoon”.

16. De klager verklaart echter dat zij geen enkel open kredietdossier bij de verweerder heeft. Tijdens
de hoorzitting van 7 januari 2021 heeft de DPO van de verweerder bevestigd dat de klager geen
lopend dossier heeft, maar wel een afgesloten dossier thuis, wat uit technisch oogpunt verklaart
dat de ex-echtgenoot toegang heeft kunnen krijgen tot het NBB-bestand.

17. Op 13 maart 2019 vraagt de klager wat de sancties zijn voor een werknemer die zich niet houdt
aan de regels inzake gegevensbescherming. De DPO antwoordt op 21 maart 2019 met een
verzoek om aanvullende informatie. Hij stelt een telefonisch onderhoud voor om de communicatie
te vergemakkelijken.

1 cf. aanvullende en syntheseconclusies van de verweerder blz. 14.

Beslissing ten gronde 56/2021- 4/41

18. De klager antwoordt instemmend, maar preciseert daarbij dat "het zeer delicaat is, aangezien ik
in eerste instantie geen zin heb om wie dan ook nadeel te berokkenen, ook al heb ik officiële
bewijsstukken". Het telefoongesprek tussen de nieuwe DPO van de verweerder en de klager vond
plaats.

19. In een mail van 5 april 2019 verstrekt de klager een overzicht van de raadplegingen van haar CKP-
bestand, ontvangen van de NBB op 14 november 2018, dat betrekking heeft op de periode van
april 2016 tot augustus 2018.

20. Zij voegt dat document bij haar mail. In deze mail beschuldigt zij haar ex-man ervan de auteur te
zijn van de 20 raadplegingen door de verweerder van haar CKP-bestand sinds 2016.

21. Zij vraagt geen bevestiging van haar beweringen, maar voordat zij klacht neerlegt tegen haar ex-
man, vraagt zij welke sancties hem zijn opgelegd voor deze inmenging in haar persoonlijke
levenssfeer.

22. Op 11 april 2019

- antwoordt de nieuwe DPO van de verweerder dat zij niet over de elementen beschikt om
alle raadplegingen die zijn opgenomen in de door de NBB verstrekte lijst, te
rechtvaardigen,

- bevestigt zij de regels voor raadpleging van het NBB-register die van toepassing zijn op
de werknemers van de verweerder,

- bevestigt zij het bestaan van disciplinaire maatregelen tegen werknemers die deze regels
niet naleven, en

- weigert zij te antwoorden op de vragen van de klager over de aard van de aan haar ex-
man opgelegde sanctie, uit hoofde van het privéleven van de werknemers van de nv.

23. Op 15 april 2019 dient de klager een eerste klacht in bij de GBA voor onrechtmatige raadpleging
van haar gegevens bij de NBB door haar ex-man, via zijn functies bij de verweerder, en vraagt zij
in kennis te worden gesteld van de sancties die haar ex-man heeft opgelopen.

24. Op 5 september 2019 neemt de Eerstelijnsdienst (ELD) van de GBA contact op met de verweerder
om te melden dat hij een klacht van de klager had ontvangen, en om te vragen naar de

Beslissing ten gronde 56/2021- 5/41

rechtsgrond en de rechtvaardiging voor de twintig raadplegingen door de verweerder van de
gegevens van de klager in de gegevensbank van de NBB. De dienst verzoekt de verweerder tevens
de klager de lijst mee te delen van alle raadplegingen van de gegevensbank van de CKP, de
identiteit van de personen die de raadplegingen hebben verricht en de geraadpleegde gegevens.

25. Op 13 september 2019 antwoordt de verweerder de GBA:
- dat zij nooit de raadpleging door een van haar werknemers van gegevens betreffende de
klager in de CKP heeft goedgekeurd, noch gedoogd;

- dat elke raadpleging buiten het kader van de sluiting van een
consumentenkredietovereenkomst of het beheer ervan verboden is;

- dat er controlemaatregelen en een tuchtprocedure bestaan om dergelijke handelwijzen te
voorkomen en te sanctioneren en dat de auteur van deze onrechtmatige raadplegingen
gesanctioneerd is;

- dat zij geen rechtsgrond kan geven, aangezien deze raadplegingen buiten de normale
procedures om zijn verricht, en dat zij noch de namen van de personen die de raadpleging
hebben verricht, noch de geraadpleegde gegevens kan verstrekken, noch de lijst kan
meedelen van die raadplegingen, omdat het computersysteem geen enkel spoor van de
verwerking zoals uitgevoerd door de ex-man van de klager bewaart. De ex-man van de
klager heeft als leidinggevende immers een andere toegang tot het register van de NBB
dan niet-leidinggevende werknemers ("medewerkers"). Door de technische kenmerken
van het toegangssysteem is het volgens de verweerder onmogelijk om enig spoor van de
door hem verrichte raadplegingen te bewaren2.

26. Op 21 oktober 2019 antwoordt de ELD dat de verwerkingsverantwoordelijke moet zorgen voor de
veiligheid en de vertrouwelijkheid van de gegevens die hij verzamelt, en dat hij moet antwoorden
op het verzoek om inzage overeenkomstig artikel 15 van de AVG. De klager heeft dus recht op de
lijst van de geraadpleegde gegevens, de identiteit van de personen die de raadplegingen hebben
verricht, het doeleinde en de rechtgrond. Deze informatie is niet aan de klager verstrekt.

27. Op 20 april 2020 dient de klager een nieuwe klacht in bij de GBA tegen haar ex-man en tegen de
verweerder wegens onrechtmatige raadpleging van haar persoonlijke bestanden bij de NBB via de
functies van haar ex-man bij de verweerder. Zij vraagt ook dat haar ex-man op passende wijze
wordt gesanctioneerd en dat zij van die sanctie in kennis wordt gesteld.

2 Zie aanvullende en syntheseconclusies van de verweerder, blz. 18.

Beslissing ten gronde 56/2021- 6/41

28. Naar aanleiding van de afzonderlijke behandeling van de procedures worden de partijen op de
hoogte gebracht van het feit dat het gedeelte van de klacht met betrekking tot de ex-man van de
klager in een apart dossier zal worden behandeld. De onderhavige beslissing betreft enkel het
gedeelte van de klacht met betrekking tot de verweerder.

29. Uit de juridische analyse van de klacht - gestaafd door de conclusies van de klager - blijkt:
- de schending van de beginselen van doelbinding, behoorlijkheid, transparantie, en informatie
(de artikelen 5, 12, 13, 14 van de AVG)
- de schending van de verplichtingen tot beveiliging (artikel 32, in combinatie met de
artikelen 5, lid 2, en 24 van de AVG)

- het gebrek aan onafhankelijkheid van de DPO (artikel 38 van de AVG)

- het nalaten van Y om de uitoefening door de eiser van haar rechten te faciliteren, en de
schending van haar recht van inzage.

30. In haar conclusies verzoekt de klager de Geschillenkamer om:

- de verweerder te gelasten haar een overzicht te geven van alle raadplegingen van haar
gegevens door de verweerder (met de datum, identiteit van de persoon die de
raadplegingen heeft verricht, en of de raadpleging al dan niet rechtmatig was);
- de verweerder te gelasten de verwerking van de in het kader van haar activiteiten
geraadpleegde gegevens in overeenstemming te brengen, en haar de corrigerende
maatregelen te doen toekomen die zijn genomen om de beveiliging van de verwerkingen
te verzekeren;
- de verweerder een geldboete op te leggen, rekening houdend met de ernst van de
inbreuken, de duur ervan, het aantal betrokkenen en de houding van de verweerder.

31. De verweerder weerlegt de klachten.

3. Wat betreft de redenen voor de beslissing

II - Over de bevoegdheden van de GBA

32. In toepassing van artikel 4, §1, van de WOG, is de GBA verantwoordelijk voor het toezicht op de
naleving van de grondbeginselen van de bescherming van de persoonsgegevens, zoals bevestigd
door de AVG en andere wetten die bepalingen bevatten inzake de bescherming van de verwerking
van persoonsgegevens.

Beslissing ten gronde 56/2021- 7/41

33. In toepassing van artikel 33, §1, van de WOG, is de Geschillenkamer het administratief
geschillenorgaan van de GBA3. Zij behandelt de klachten die de ELD haar overeenkomstig artikel
62, §1, van de WOG toezendt, d.w.z. klachten die ontvankelijk zijn indien zij overeenkomstig
artikel 60, tweede lid, van de WOG in een van de nationale talen zijn opgesteld, een uiteenzetting
bevatten van de feiten en de informatie die nodig is om de verwerking van persoonsgegevens
waarop zij betrekking hebben te identificeren, en die onder de bevoegdheid vallen van de
Gegevensbeschermingsautoriteit.

34. Overeenkomstig de artikelen 51 e.v. van de AVG en artikel 4, §1, van de WOG is het de taak van
de Geschillenkamer als administratief geschillenorgaan van de GBA om een effectieve controle van
de toepassing van de AVG uit te voeren en de fundamentele rechten en vrijheden van natuurlijke
personen in verband met de verwerking te beschermen, alsmede het vrije verkeer van
persoonsgegevens binnen de Unie te vergemakkelijken.

35. Zoals de Geschillenkamer reeds eerder heeft uiteengezet 4, vinden gegevensverwerkingen plaats
in vele sectoren, met name in een professionele context, zoals hier het geval is. Desalniettemin is
de bevoegdheid van de GBA in het algemeen en van de Geschillenkamer in het bijzonder, beperkt
tot de controle op de naleving van de regelgeving die van toepassing is op gegevensverwerkingen,
ongeacht de sector waarin deze gegevensverwerkingen plaatsvinden. Het is niet haar taak om de
rechtbanken te vervangen bij de uitoefening van hun bevoegdheden. Zoals de verweerder
overigens in haar conclusies opmerkt, is de Geschillenkamer dus niet bevoegd om zich uit te
spreken over de inhoud van de disciplinaire sanctie die door de verweerder aan de ex-echtgenoot
van de klager is opgelegd naar aanleiding van de onrechtmatige raadplegingen die hij heeft
verricht. De GBA blijft overeenkomstig artikel 51 van de AVG evenwel bevoegd om de
doeltreffendheid te verifiëren van de organisatorische maatregelen die in geval van een inbreuk
op de bepalingen van de AVG zijn genomen, met name die met betrekking tot de beveiliging van
de verwerkingen. In die zin behoudt de GBA zich het recht voor om van de verweerder de
mededeling te verkrijgen van de aard van de disciplinaire sanctie die is opgelegd aan de ex-man
van de klager, evenals van alle andere maatregelen die zijn getroffen om nieuwe onrechtmatige
verwerkingen door de werknemers van de verweerder te voorkomen.

36. Zoals hierboven vermeld, naar aanleiding van de beslissing van de Geschillenkamer om de
procedures afzonderlijk te behandelen, wordt in de onderhavige beslissing niet het gedeelte van

3 Het administratieve karakter van de geschillen voor de Geschillenkamer is bevestigd door het Marktenhof, de

beroepsinstantie tegen de beslissingen van de Geschillenkamer. Zie met name het arrest van 12 juni 2019,
gepubliceerd op de website van de GBA, evenals beslissing 17/2020 van de Geschillenkamer.
4 Zie met name beslissing 03/2020 van de Geschillenkamer.

Beslissing ten gronde 56/2021- 8/41

de klacht met betrekking tot de ex-man van de klager onderzocht, maar enkel het gedeelte met
betrekking tot de verweerder. Aangezien de verweerder actief is in de banksector en grote
hoeveelheden gevoelige financiële gegevens behandelt, en rekening houdend met het feit dat zij
deel uitmaakt van een multinational die meer dan 10.000 werknemers in België in dienst heeft,
en gelet op het feit dat de effectieve uitoefening van de rechten van de betrokkenen (waaronder
het recht van inzage) een van de thematische prioriteiten van de GBA is 5, acht de Geschillenkamer
het gepast dit gedeelte van de klacht met voorrang te onderzoeken.

37. De Geschillenkamer wijst er ook op dat het conflict tussen de klager en haar ex-man verband
houdt met hun echtscheiding en uitonverdeeldheidtreding, aspecten die niet vallen onder het recht
op gegevensbescherming.

38. Voorts merkt de Geschillenkamer op dat zij niet bevoegd is voor onrechtmatige raadplegingen die
hebben plaatsgevonden vóór 25 mei 2018, de datum van invoering van de AVG, maar wel voor
latere raadplegingen. Voor zover de raadplegingen na augustus 2018 hebben plaatsgevonden, is
de Geschillenkamer bevoegd.

II- Ten gronde

II.1- Wat betreft de hoedanigheid van verwerkingsverantwoordelijke en verwerker

II.1.1- Definities en hoedanigheid van verwerkingsverantwoordelijke en verwerker

39. Overeenkomstig artikel 4, lid 7, van de AVG dient als verwerkingsverantwoordelijke te worden
beschouwd: "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een
ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de
verwerking van persoonsgegevens vaststelt".

40. Artikel 4, lid 8, van de AVG bepaalt dat als verwerker dient te worden beschouwd: "een natuurlijke
persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten
behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt".

41. De Gegevensbeschermingsautoriteit heeft verder de volgende aspecten van de hoedanigheid van
verwerker gespecificeerd: "Het bestaan van de onderaanneming hangt af van de
verwerkingsverantwoordelijke die beslist moet hebben om de verwerking waarvan hij de
beslissingsbevoegdheid over de doeleinden en/of de middelen heeft, niet zelf uit te voeren maar

5 Zie de prioriteiten 2019-2025 van de GBA in haar Strategisch Plan, dat op de website is gepubliceerd.

Beslissing ten gronde 56/2021- 9/41

deze geheel of gedeeltelijk over te laten aan een andere externe persoon of organisatie. Deze
andere persoon moet juridisch verschillen van de organisatie van de verwerkingsverantwoordelijke
en dient de gedelegeerde verwerkingsactiviteiten uit te voeren voor rekening van deze laatste en
dit overeenkomstig zijn geschreven instructies."6 (wij onderstrepen)

42. Overeenkomstig Richtsnoeren 07/2020 van de EDPB 7, evalueert de Geschillenkamer concreet de
rol en de hoedanigheid van de verwerkingsverantwoordelijke(n).

43. In dit geval stelt de Geschillenkamer vast dat de verweerder het doel van en de middelen voor de
verwerking vaststelt. De raadplegingen van de CKP van de NBB vinden immers uitsluitend plaats
in het kader van de toekenning van kredieten aan particulieren of het beheer van deze dossiers.
Het is overigens de verweerder die de middelen ter beschikking stelt om deze verwerking uit te
voeren (via zijn computersystemen). Zij moet dus worden beschouwd als de
verwerkingsverantwoordelijke.

44. Niettemin moet dadelijk worden onderstreept dat, zoals het HvJ-EU in zijn arrest
Wirtschaftsakademie van 5 juni 2018 opmerkt, "het begrip "voor de verwerking verantwoordelijke"
doelt op het lichaam dat "alleen of tezamen met anderen" het doel van en de middelen voor de
verwerking van persoonsgegevens vaststelt; dit begrip verwijst niet noodzakelijkerwijs naar een
enkel lichaam en kan betrekking hebben op meerdere deelnemers (…)”8. Dat de verweerder
verwerkingsverantwoordelijke is voor de raadplegingen van haar werknemers van het CKP-register
betekent in dit geval dus niet dat zij als enige die hoedanigheid heeft. Er moet immers een
onderscheid worden gemaakt tussen de raadplegingen van het CKP-register in het kader van de
doeleinden van de verweerder (toekenning of beheer van kredieten), en de onrechtmatige
raadplegingen voor privédoeleinden die door de ex-man van de klager zijn verricht. Zoals
hieronder wordt aangegeven, ook al heeft hij gebruik gemaakt van de middelen die hem ter
beschikking werden gesteld door de verweerder, toch moet de ex-man van de klager voor zover
hij omstreden raadplegingen heeft verricht die buiten het kader van zijn taken als werknemer van
de verweerder vallen, specifiek als verwerkingsverantwoordelijke voor deze onrechtmatige
raadplegingen worden beschouwd.

6 Nota van de GBA "Overzicht van de begrippen verwerkingsverantwoordelijke/verwerker in het licht van de
Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en enkele
specifieke toepassingen voor vrije beroepen zoals advocaten", september 2018, blz. 2.
7 Zie Guidelines EDPB 07/2020 on the concepts of controller and processor in the GDPR, 2 september 2020, punt

12.
8 HvJ-EU, zaak C-210/16, 5 juni 2018, ECLI:EU:C:2018:388, §29.

Beslissing ten gronde 56/2021- 10/41

45. Zoals de EDPB opmerkt, ontheft dit de verweerder als verwerkingverantwoordelijke van de
raadplegingen van het CKP-register echter niet van haar verplichting de beveiliging van de
verwerkingen te waarborgen9. Dit aspect wordt hieronder (zie II.1.2- Over de verantwoordelijkheid
van de verwerkingsverantwoordelijke) besproken.

46. Wat de hoedanigheid van verwerker betreft, is de Geschillenkamer van mening dat de klager niet
kan worden gevolgd in haar argumentatie dat de ex-man van de klager verwerker van de
verweerder is. Aan de twee bovengenoemde voorwaarden wordt immers niet voldaan. De ex-man
van de klager is als werknemer geen van de verweerder te onderscheiden juridische entiteit, en
hij heeft de verwerking niet voor rekening en in opdracht van de verweerder uitgevoerd.

47. De klacht over de niet-naleving van de verplichtingen inzake de verwerking door een verwerker
(artikel 28 AVG) zoals uiteengezet door de klager, is niet ter zake dienend, en wordt niet verder
onderzocht in het kader van deze beslissing.

II.1.2- Over de verantwoordelijkheid van de verwerkingsverantwoordelijke

48. De verweerder verwijst naar Auidvies 1/2020 van de Groep artikel 29 over de begrippen "voor de
verwerking verantwoordelijke" en "verwerker" 10 om te betogen dat zij geen
verwerkingsverantwoordelijke is en dat die hoedanigheid aan de ex-man van de klager moet
worden toegeschreven.

49. De Geschillenkamer wijst op de volgende passages uit dat advies (blz 16-19):

"Vanuit het strategische oogpunt van het beleggen van verantwoordelijkheden, en om
betrokkenen stelselmatig duidelijkheid te bieden over de vraag waar zij hun rechten op grond van
de richtlijn kunnen uitoefenen, moet bij voorkeur de onderneming of instantie zelf als voor de
verwerking verantwoordelijk worden beschouwd, en niet een specifieke persoon binnen de
onderneming of instantie. De onderneming of instantie zal uiteindelijk worden beschouwd als de
partij die verantwoordelijk is voor de verwerking van gegevens en de naleving van de wettelijke
verplichtingen voor gegevensbescherming, tenzij duidelijk blijkt dat een natuurlijke persoon
verantwoordelijk is.

In algemene zin moet worden aangenomen dat een onderneming of instantie als zodanig
verantwoordelijk is voor de verwerkingen die plaatsvinden in het kader van de activiteiten en
risico’s van die onderneming of instantie.

9 Advies 1/2010 over de begrippen “voor de verwerking verantwoordelijke” en “verwerker”, WP169, blz. 17.

10 Advies 1/2010 over de begrippen “voor de verwerking verantwoordelijke” en “verwerker”, WP169, blz. 17.

Beslissing ten gronde 56/2021- 11/41

50. Soms stellen ondernemingen en overheidsorganen een specifieke persoon aan als
verantwoordelijke voor de uitvoering van de verwerkingen. Ook in dergelijke gevallen, wanneer
een specifieke natuurlijke persoon wordt aangesteld om de naleving van de beginselen voor
gegevensbescherming te waarborgen of om persoonsgegevens te verwerken, is deze persoon
echter niet de voor de verwerking verantwoordelijke maar handelt hij/zij namens de rechtspersoon
(onderneming of overheidsorgaan), die in zijn hoedanigheid van voor de verwerking
verantwoordelijke aansprakelijk blijft voor inbreuken op de beginselen." (wij onderstrepen)

51. De verweerder verwijst meer in het bijzonder naar de volgende paragraaf van het advies:

« Nader onderzoek is noodzakelijk wanneer een natuurlijke persoon die binnen een rechtspersoon
handelt gegevens gebruikt voor eigen doeleinden, die buiten het kader van de activiteiten van de
rechtspersoon en het toezicht daarop vallen. In dat geval zou de betrokken natuurlijke persoon
verantwoordelijk zijn voor de vastgestelde verwerking, en daarnaast ook verantwoordelijk voor dit
gebruik van persoonsgegevens. Degene die oorspronkelijk voor de verwerking verantwoordelijk
was, zou niettemin enige verantwoordelijkheid kunnen behouden wanneer de nieuwe verwerking
kan plaatsvinden als gevolg van ontoereikende beveiligingsmaatregelen. »

52. De Geschillenkamer onderstreept het volgende gedeelte van hetzelfde advies:

"Samenvattend kan uit bovenstaande overwegingen worden geconcludeerd dat voor
overtredingen op het gebied van gegevensbescherming altijd de voor de verwerking
verantwoordelijke aansprakelijk is, dus de rechtspersoon (onderneming of overheidsorgaan) of de
natuurlijke persoon die formeel volgens de criteria van de richtlijn is geïdentificeerd. Wanneer een
natuurlijke persoon die werkzaam is bij een onderneming of overheidsinstantie gegevens voor
eigen doeleinden gebruikt buiten het kader van de activiteiten van de onderneming, wordt deze
persoon als de facto voor de verwerking verantwoordelijk beschouwd en is hij als zodanig
aansprakelijk." (blz. 20) (wij onderstrepen)

53. De Groep geeft zelf een voorbeeld:

"Voorbeeld 4: Heimelijk toezicht op werknemers

Een directielid van een onderneming besluit om heimelijk toezicht te houden op de werknemers
van de onderneming, hoewel dit besluit niet formeel door de directie is bekrachtigd. De
onderneming dient als voor de verwerking verantwoordelijke te worden beschouwd en is
aansprakelijk jegens de werknemers van wie de persoonsgegevens zijn misbruikt.

Beslissing ten gronde 56/2021- 12/41

De aansprakelijkheid van de onderneming vloeit met name voort uit het feit dat deze als
voor de verwerking verantwoordelijke verplicht is om de naleving van de regelgeving met
betrekking tot beveiliging en vertrouwelijkheid te waarborgen. Misbruik door een
functionaris van de onderneming of een werknemer kan worden beschouwd als een
gevolg van ontoereikende beveiligingsmaatregelen.

Dit staat los van een eventuele aansprakelijkheidsstelling in een later stadium van het directielid
of andere natuurlijke personen binnen de onderneming, zowel vanuit civielrechtelijk – ook jegens
de onderneming – als vanuit strafrechtelijk oogpunt. Dat kan bijvoorbeeld het geval zijn wanneer
het directielid de verzamelde gegevens gebruikt om persoonlijke gunsten van werknemers te
verkrijgen: het moet dan als “voor de verwerking verantwoordelijke” worden beschouwd en is
aansprakelijk voor dit specifieke gebruik van gegevens. " (blz. 18-19)

54. Dit Advies 1/2020 is vervangen door Richtsnoeren 07/2020 van de EDPB (opvolger van de Groep
artikel 29), die het volgende bepalen:

“Whereas the terms “personal data”, “data subject”, “controller” and “processor” are defined in
the Regulation, the concept of “persons who, under the direct authority of the controller or
processor, are authorised to process personal data” is not. It is, however, generally understood
as referring to persons that belong to the legal entity of the controller or processor (an employee
or a role highly comparable to that of employees, e.g. interim staff provided via a temporary
employment agency) but only insofar as they are authorized to process personal data.”11

(Vrije vertaling:

55. De termen "persoonsgegevens", "betrokkene", "verwerkingsverantwoordelijke" en "verwerker"
worden in de verordening gedefinieerd, maar dat is niet het geval voor het begrip "personen onder
rechtstreeks gezag van de verwerkingsverantwoordelijke of van de verwerker, die gemachtigd zijn
persoonsgegevens te verwerken". Over het algemeen wordt met het begrip echter verwezen naar
personen die deel uitmaken van de juridische entiteit van de verwerkingsverantwoordelijke of de
verwerker (een werknemer of een functie die in hoge mate te vergelijken is met die van een
werknemer, bijvoorbeeld uitzendkrachten die via een uitzendbureau ter beschikking worden
gesteld), maar enkel voor zover zij gemachtigd zijn om persoonsgegevens te verwerken".)

11 Guidelines 07/2020 on the concepts of controller and processor in the GDPR, 2 september 2020, punt 86, blz.

27.

Beslissing ten gronde 56/2021- 13/41

56. Uit aandachtige lezing van het advies blijkt dat daarentegen een werknemer die in het kader van
zijn functie geen toegang heeft tot persoonsgegevens die hij voor eigen doeleinden zou gebruiken,
moet worden beschouwd als een derde partij, d.w.z. als een entiteit die verschillend is van zijn
werkgever:

57. « An employee etc. who obtains access to data that he or she is not authorised to access and for
other purposes than that of the employer does not fall within this category. Instead, this employee
should be considered as a third party vis-à-vis the processing undertaken by the employer. Insofar
as the employee processes personal data for his or her own purposes, distinct from those of his
or her employer, he or she will then be considered a controller and take on all the resulting
consequences and liabilities in terms of personal data processing”.12

(Vrije vertaling:
58. Een werknemer enz. die toegang krijgt tot gegevens waartoe hij niet gemachtigd is en voor andere
doeleinden dan die van de werknemer, valt niet onder deze categorie. Deze werknemer moet
veeleer worden beschouwd als een derde ten aanzien van de door de werkgever uitgevoerde
verwerking. Voor zover de werknemer persoonsgegevens verwerkt voor eigen doeleinden die
verschillen van die van de werkgever, zal hij worden beschouwd als verwerkingsverantwoordelijke
en zal hij alle gevolgen en verantwoordelijkheden inzake de verwerking van persoonsgegevens
dragen die daaruit voortvloeien.)

59. In het onderhavige geval had de ex-man van de klager toegang tot de CKP op grond van zijn taak
om kredietdossiers te controleren, maar zijn de omstreden raadplegingen uitgevoerd buiten het
kader van zijn taken als werknemer. De redenering van de EDPB in Richtsnoeren 07/2020 moet
worden gevolgd, en bijgevolg moet de ex-man worden beschouwd als een derde partij die
verschillend is van de verweerder, met name voor wat betreft de onrechtmatige raadplegingen.

60. De verweerder moet derhalve worden gevolgd in haar argumentatie dat de ex-man
verwerkingsverantwoordelijke voor de onrechtmatige raadplegingen is.

61. De Geschillenkamer wijst er echter op dat de verantwoordelijkheid van de ex-man in de
onderhavige beslissing niet wordt onderzocht, maar enkel die van de verweerder, aangezien de
procedures tegen deze twee partijen van elkaar zijn gescheiden.

62. De Geschillenkamer maakt dus een onderscheid tussen de verwerkingen die zijn verricht in het
kader van de raadplegingen van het CKP-register voor de doeleinden van de verweerder en de

12 Ibid.

Beslissing ten gronde 56/2021- 14/41

onrechtmatige verwerkingen die zijn verricht door de ex-man van de klager. Deze is
verwerkingsverantwoordelijke voor de onrechtmatige raadplegingen, maar de verweerder blijft
verwerkingsverantwoordelijke voor de raadplegingen van het CKP-register in het kader van de
door haar vastgestelde doeleinden (toekenning of beheer van kredieten aan particulieren). In dat
kader blijft zij onderworpen aan het verantwoordingsbeginsel (artikel 5, lid 2, en artikel 24 van de
AVG) als verwerkingsverantwoordelijke en werkgever, evenals aan artikel 29 AVG 13 en artikel 32
AVG, met name lid 4 daarvan14.

63. Voor zover de verwerkingsverantwoordelijke de beveiliging van de verwerkingen moet waarborgen
(met inbegrip van de toegang tot gegevens door zijn werknemers overeenkomstig de AVG), had
de verweerder passende technische en organisatorische maatregelen moeten treffen om
onrechtmatige raadplegingen door haar werknemers te voorkomen, zoals in het onderhavige geval
(dit aspect worden hieronder uitgewerkt). Dit geldt des te meer in het licht van de gevoelige aard
van de gegevens waartoe de werknemers van de verweerder toegang hebben (financiële
gegevens). Dit standpunt is ook het standpunt dat in de doctrine wordt verdedigd 15.

64. Indien daarentegen, zoals de verweerder beweert, de werkgever geen
beveiligingsverantwoordelijkheid zou dragen voor ongeoorloofde verwerkingen van zijn
werknemers in het kader van de uitoefening van hun functies, zelfs voor eigen doeleinden, zou
dit een deel van het nuttige effect van de AVG en de bescherming van persoonsgegevens
wegnemen.

65. De Geschillenkamer benadrukt evenwel dat ongeacht de vraag wie verwerkingsverantwoordelijke
voor de onrechtmatige raadplegingen is, het de plicht van de verweerder als
verwerkingsverantwoordelijke is om de beveiliging van de gegevens en de verwerkingen, die in
deze beslissing centraal staat, te waarborgen. In het onderhavige geval betwist de verweerder
niet dat hij de plicht heeft de toegang van zijn werknemers tot het CKP-register en in ruimere zin
de gegevens van de NBB, te beveiligen. Dit aspect worden hieronder uitgewerkt.

II.2- Wat betreft het verantwoordingsbeginsel en de plicht tot beveiliging van
persoonsgegevens

13Artikel 29 van de AVG: "De verwerker en eenieder die onder het gezag van de verwerkingsverantwoordelijke of

van de verwerker handelt en toegang heeft tot persoonsgegevens, verwerkt deze uitsluitend in opdracht van de
verwerkingsverantwoordelijke, tenzij hij Unierechtelijk of lidstaatrechtelijk tot de verwerking gehouden is »
14Artikel 32, lid 4, van de AVG: "De verwerkingsverantwoordelijke en de verwerker treffen maatregelen om ervoor

te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van
de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de
verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden. »
15 Delforge, A., « Titre 8 - Les obligations générales du responsable du traitement et la place du sous-traitant »

in Le règlement général sur la protection des données (RGPD/GDPR), Brussel, Éditions Larcier, 2018, blz. 374.

Beslissing ten gronde 56/2021- 15/41

II.2.1- Verantwoordingsbeginsel

66. Artikel 24, lid 1, van de AVG bepaalt het volgende: "Rekening houdend met de aard, de omvang,
de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst
uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de
verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te
waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening
wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd." Dit
artikel weerspiegelt het beginsel van verantwoordingsplicht of "accountability" in artikel 5, lid 2,
van de AVG, dat bepaalt dat "de verwerkingsverantwoordelijke verantwoordelijk is voor de
naleving van lid 1 en kan deze aantonen ("verantwoordingsplicht")."

67. Artikel 24, lid 2, van de AVG bepaalt dat, wanneer zulks in verhouding staat tot de
verwerkingsactiviteiten, de in artikel 24, lid 1, van de AVG genoemde maatregelen, een passend
gegevensbeschermingsbeleid omvatten dat door de verwerkingsverantwoordelijke wordt
uitgevoerd.

68. Overweging 74 van de AVG voegt hieraan toe: "De verantwoordelijkheid en aansprakelijkheid van
de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van
persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de
verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te
voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening
geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet
rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking
en het risico voor de rechten en vrijheden van natuurlijke personen."

69. Hij moet eveneens, overeenkomstig artikel 25 van de AVG (gegevensbescherming door ontwerp
en door standaardinstellingen) de noodzakelijke naleving van de AVG-regels vooraf in zijn
handelingen en procedures inbouwen (bijvoorbeeld door te zorgen voor het bestaan en de
doeltreffendheid van controleprocedures voor medewerkers, maar ook voor kaderleden, bij hun
toegang tot gegevens van de CKP).

70. De verwerkingsverantwoordelijke is bovendien verplicht, op grond van artikel 32 van de AVG, de
beveiliging van de verwerking te waarborgen, "rekening houdend met de stand van de techniek,
de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden
en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van
personen". De Geschillenkamer stelt echter vast dat de verweerder niet heeft voldaan aan de

Beslissing ten gronde 56/2021- 16/41

plicht tot waarborging van de beveiliging van de verwerking, die deel uitmaakt van het
verantwoordingsbeginsel. Dit verzuim wordt hieronder nader besproken.

71. Dit niet-nakomen van de plicht om de beveiliging van de verwerking te waarborgen, vormt de
grondslag van de onderhavige beslissing en de sancties die daarin worden opgelegd. Het
ontbreken van technische en organisatorische maatregelen om de ongeoorloofde en onvoldoende
beveiligde toegang door een werknemer tot de CKP-gegevensbank van de NBB te voorkomen, en
a fortiori het ontbreken van een controlesysteem achteraf van de toegangen die hebben
plaatsgevonden, wordt als een ernstige inbreuk beschouwd. De leidinggevende positie van deze
werknemer kan dit gebrek aan beveiligingsmaatregelen niet rechtvaardigen.

II.2.2.- De verplichting tot beveiliging van persoonsgegevens en de registratie van IT-logs

a- De reikwijdte van de verplichting tot beveiliging

72. Op grond van artikel 5, lid 1, punt f), van de AVG moeten persoonsgegevens "door het nemen van
passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt
dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen
ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging". Bij gebrek aan passende maatregelen om de persoonsgegevens van de
betrokkenen te beveiligen, kan de doeltreffendheid van het fundamentele recht op privacy en de
bescherming van de persoonsgegevens niet worden gewaarborgd16, des te meer in het licht van
de cruciale rol die de informatie- en communicatietechnologieën in onze samenleving spelen.

73. Zoals hierboven vermeld, vormt het niet-nakomen van de plicht om de beveiliging van de
verwerking te waarborgen, de kern van deze beslissing. De impact voor de eerbiediging van het
recht op bescherming van de persoonlijke levenssfeer van de klager ten gevolge van het ontbreken
van technische en organisatorische maatregelen ter voorkoming van de ongeoorloofde en
onvoldoende beveiligde toegang door een werknemer tot de CKP-gegevensbestand van de NBB,
wordt bovendien versterkt door het ontbreken van de mogelijkheid om achteraf de verrichte
raadplegingen na te trekken. De Geschillenkamer herinnert eraan dat de gecombineerde lezing
van artikel 32 (verplichting om de beveiliging van de verwerking te waarborgen), en de artikelen
5, lid 2, en 24 van de AVG (die de verwerkingsverantwoordelijke de verantwoordingsplicht
opleggen) de verwerkingsverantwoordelijke verplicht de naleving van artikel 32 aan te tonen door

16 De cruciale rol die gegevensbeveiliging speelt voor de doeftreffende uitoefening van de rechten van de
betrokkenen is met name vastgelegd door het EHRM in zijn arrest van 17 juli 2008, I. tegen Finland, nr. 20511/03,
waarin het Hof unaniem een schending vaststelde van artikel 8 door de Finse autoriteiten, op basis van een
onvoldoende beveiliging tegen de ongeoorloofde toegang tot het medische dossier van een seropositieve
verpleegster.

Beslissing ten gronde 56/2021- 17/41

passende technische en organisatorische maatregelen te treffen, op transparante en traceerbare
wijze. Het bijhouden van een register van IT-logs of "loggen" vormt het uitgangspunt van deze
verplichting, meer bepaald de traceerbaarheid van de verwerkingen, en draagt bij tot de
noodzakelijke "beschikbaarheid"17 van de verwerkte gegevens.

74. De Geschillenkamer herinnert bovendien aan het vereiste van artikel 25 (gegevensbescherming
door ontwerp en door standaardinstelllingen), dat de verwerkingsverantwoordelijke verplicht de
noodzakelijke naleving van de AVG-regels vooraf in zijn handelingen en procedures in te bouwen
(bijvoorbeeld door te zorgen voor het bestaan en de doeltreffendheid van controleprocedures voor
medewerkers, maar ook voor kaderleden, bij hun toegang tot gegevens van de CKP).

75. Er zij op gewezen dat het beveiligingsbeginsel met zijn verschillende componenten integriteit,
vertrouwelijkheid18 en beschikbaarheid19 in de artikelen 5, lid 1, punt f), en 32 van de AVG is
opgenomen, en thans in de AVG is verheven tot dezelfde rang als de beginselen van
rechtmatigheid, transparantie en behoorlijkheid.

76. De verplichtingen van verwerkingsverantwoordelijken in verband met de beveiliging van de
verwerking zijn gebaseerd op de artikelen 32 en volgende van de AVG.

77. De klassieke componenten van de aanbevelingen in verband met informatiebeveiliging , zoals
vervat in de ISO27xxx-serie20, zijn de vertrouwelijkheid van gegevens, hun integriteit en hun
beschikbaarheid. Hieraan wordt het begrip "toerekenbaarheid" toegevoegd "dat toelaat voor alle
gedane handelingen de personen, de systemen of processen te identificeren die eraan voorafgaan
(identificatie) en de auteur en de handeling te volgen (traceerbaarheid)".21

78. De toerekenbaarheid komt concreet tot uiting door middel van het bijhouden van logbestanden.

79. Het loggen bestaat in het registreren van relevante informatie over de gebeurtenissen in een
informaticasysteem (toegang tot het systeem of een van de dossiers ervan, wijziging van een
bestand, overdracht van gegevens...) in bestanden, genaamd "logbestanden". De opgenomen

17 Artikel 32, lid 1, punt a), van de AVG.

18 Volgens de Groep artikel 29 kan de integriteit van gegevens worden gedefinieerd als "de eigenschap dat
gegevens authentiek zijn en niet per ongeluk of moedwillig zijn gewijzigd tijdens de verwerking, opslag of
toezending. Het begrip integriteit kan worden uitgebreid naar IT-systemen en vereist dat de verwerking van
persoonsgegevens op deze systemen ongewijzigd blijft." Groep 29, WP 196, Advies 05/2012 over cloud
computing, blz. 18.

20 De ISO27xxx norm is een van de belangrijkste internationale informatiebeveiligingsnormen.

21 Dumortier, F., « Chapitre 4 - Cybersécurité, vie privée, imputabilité, journalisation et log files » in Les obligations

légales de cybersécurité et de notifications d’incidents, Brussel, Politeia, 2019, blz. 187, en GBA "Nota inzake de
beveiliging van persoonsgegevens" blz. 2.

Beslissing ten gronde 56/2021- 18/41

informatie bestaat onder andere uit de geraadpleegde gegevens, de datum, het soort van
gebeurtenis, de gegevens aan de hand waarvan de auteur van de gebeurtenis kan worden
geïdentificeerd, evenals de reden van die toegang. Dit maakt het met name mogelijk elke
onrechtmatige raadpleging van persoonsgevens te identificeren, of om de raadpleging voor een
niet-legitiem doeleinde, of de oorsprong van een incident vast te stellen.

80. Al wordt het loggen niet uitdrukkelijk in de AVG vermeld 22, toch vormt het bijhouden van
logbestanden een technische en organisatorische maatregel die in artikel 32 van de AVG wordt
bedoeld. Het is een goede praktijk die door de Geschillenkamer voor iedere
verwerkingsverantwoordelijke aangeraden wordt. Deze maatregelen moeten aan de risico's
worden aangepast.

81. De voorganger van GBA (de Privacycommissie - hierna CBPL) wees in haar Richtsnoeren met
betrekking tot de informatiebeveiliging van persoonsgegevens 23 en in haar aanbeveling24 aan de
steden en gemeenten25 over het bijhouden van logbestanden, reeds op het feit dat het loggen
een essentieel onderdeel uitmaakt van elk informatiebeveiligingsbeleid, omdat het de
traceerbaarheid van de toegang tot informatiesystemen mogelijk maakt 26.

22 Richtlijn (EU) 2016/680 hecht daarentegen bijzonder belang aan de raadpleging en openbaarmaking (de meest

courante verwerkingen), en verplicht tot de identificatie van de auteur van de verwerking, en van de ontvangers
in geval van openbaarmaking, het exacte tijdstip, en de rechtvaardiging van de verwerking (van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door
bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare
feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens).
23Beschikbaar via de link https://www.gegevensbeschermingsautoriteit.be/publications/richtsnoeren-met-
betrekking-tot-informatiebeveiliging.pdf..
24 Aanbeveling aan de steden en gemeenten over de registratie van de reden voor de raadpleging van het
Rijksregister door hun personeelsleden (CO-AR-2017-013), 30 augustus 2017, blz. 7.
25 In deze aanbeveling aan de steden en gemeenten over het bijhouden van logbestanden, onderstreept de CBPL

het belang van het logboek als "essentieel onderdeel van elk informatiebeveiligingsbeleid" en wijst op:
« 21. De uitwerking van een gedegen informatieveiligheidsbeleid is noodzakelijk om maatregelen te treffen die
ongeoorloofde toegang uitsluiten en dit op een gedocumenteerde manier die de gemeente toelaat om aan haar
verantwoordingsplicht te voldoen. In haar referentiemaatregelen inzake beveiliging die van toepassing zijn op
elke verwerking van persoonsgegevens, heeft de Commissie reeds benadrukt dat het instellen van een selectief
zoek- en logmechanisme een essentieel onderdeel uitmaakt van elk informatiebeveiligingsbeleid. (...) deze
richtsnoeren bepalen dat elke toegang tot een computersysteem traceerbaar moet zijn om na te gaan wie toegang
heeft gehad, wanneer, waartoe en om welke reden.
(…)
23. Tot slot heeft ook de Commissie zelf herhaaldelijk aangegeven dat het van cruciaal belang is om de reden
van de raadpleging van het Rijksregister te registreren. In haar aanbevelingen met betrekking tot het toegangs-
en gebruikersbeheer in de overheidssector en het verkrijgen van informatie uit de bevolkingsregisters
onderstreept de Commissie het belang van een volledige tracing (wie, wat, waar, wanneer, waarom) die elke
raadpleging van de bevolkingsregisters logt zodat de raadpleging van de gegevens voor een niet-legitiem
doeleinde of ten persoonlijke titel kan worden gedetecteerd en gesanctioneerd. Bij uitbreiding geldt deze
verplichting ook voor de raadpleging en bijwerking van het Rijksregister. » (blz. 8) (de Geschillenkamer
onderstreept)
26 Deze aanbeveling richt zich tot gemeenten en steden, maar de redenering is van toepassing op andere soorten

gegevensverwerkingen, des te meer indien het gaat om gevoelige gegevens.

Beslissing ten gronde 56/2021- 19/41

b- Verband tussen de beveiligingsverplichtingen van de verwerkingsverantwoordelijke en de
beginselen van verantwoording en transparantie.

82. De Geschillenkamer herinnert eraan dat artikel 32 van de AVG moet worden gelezen in combinatie
met artikel 5, lid 2, van de AVG, op grond waarvan de verwerkingsverantwoordelijke onderworpen
is aan het verantwoordingsbeginsel. Het is aan de verwerkingsverantwoordelijke om aan te tonen
dat hij de bepalingen van de AVG naleeft door passende technische en organisatorische
maatregelen te nemen, op transparante en traceerbare wijze, zodat hij in het geval van controle
het bewijs van de toegepaste waarborgen kan leveren.

83. Het verantwoordingsbeginsel, gelezen in samenhang met het transparantiebeginsel (artikel 5, lid
1, punt a), van de AVG) maakt het voor de betrokkenen mogelijk hun rechten uit te oefenen en
de overeenstemming van de verwerkingen die met hun persoonsgegevens zijn verricht te
controleren. Dit laat toe de verantwoordelijkheid op zich te nemen27.

84. Bovendien voegt overweging 63 van de AVG hieraan toe dat dit recht van inzage dient te worden
opgevat als een controlemechanisme: “Een betrokkene moet het recht hebben om de
persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met
redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen
en de rechtmatigheid daarvan kan controleren.”

85. Deze beginselen van verantwoording en transparantie zijn verweven met artikel 15 van de AVG,
dat het recht van inzage van de betrokkene van zijn verwerkte persoonsgegevens waarborgt. De
CBPL is reeds tot een eenduidige conclusie over het loggen gekomen:

86. « Indien de logfile onvolledig is en niet de reden van de raadpleging vermeldt, schaadt dit de
nuttige uitoefening van het inzage- en controlerecht waarover de betrokkene beschikt. Bovendien
frustreert dit eveneens de uitoefening van andere rechten zoals het recht op rectificatie (artikel
16 van de AVG), het recht op vergetelheid (artikel 17 van de AVG) en het recht op de beperking
van het gebruik van onrechtmatig verwerkte gegevens (artikel van de 18 AVG)."28 (blz. 10) (wij
onderstrepen)

27 Zie overweging 78 van de AVG.

28 Aanbeveling aan de steden en gemeenten over de registratie van de reden voor de raadpleging van het
Rijksregister door hun personeelsleden (CO-AR-2017-013), 30 augustus 2017, blz. 10. In dezelfde zin, zie
beslissing van het Sectoraal Comité van het Rijksregister van 11/01/2012.

Beslissing ten gronde 56/2021- 20/41

87. De Geschillenkamer beveelt het bijhouden van een logboek als goede praktijk aan,
voor zover het loggen nuttig is voor de verwerkingsverantwoordelijke, in de zin dat
het hem toelaat het beginsel van beschikbaarheid te concretiseren, dat zelf nauw
verbonden is met de beginselen van vertrouwelijkheid en integriteit van de gegevens.

88. Zoals hierboven vermeld is de doeltreffendheid van de grondrechten van de persoonlijke
levenssfeer en de bescherming van persoonsgegevens in hoge mate afhankelijk van de
maatregelen die voor de beveiliging ervan zijn getroffen 29, en wordt het bijhouden van een
logboek door de Geschillenkamer aangemoedigd, hoewel dit als zodanig niet door de AVG wordt
opgelegd.

89. Dit geldt des te meer voor kredietinstellingen, voor zover de wet hen verplicht de kredietstatus
van de betrokkenen bij de NBB na te gaan voordat zij een krediet verlenen.

II.2.3- Toepassing op het onderhavige geval

90. In het licht van het voorgaande en meer bepaald voor zover de raadpleging van de
persoonsgegevens in verband met kredieten van de betrokkenen een ingrijpende verwerking van
gevoelige gegevens vormt, is de Geschillenkamer van mening dat de getroffen maatregelen des
te passender moeten zijn, hoe groter de risico's voor de grondrechten van de betrokkenen zijn.

91. Het belang van deze risico's als factor wordt benadrukt in meerdere relevante artikelen van de
AVG, waaronder de artikelen 24, 25 en 32.

92. In het onderhavige geval heeft een werknemer van de verweerder echter 20 keer een
onrechtmatige raadpleging van die gevoelige financiële gegevens kunnen uitvoeren, gedurende
de periode van april 2016 tot augustus 2018.

93. Dit in combinatie met het ontbreken van een toegangslogboek of enige andere controle van de
toegang van kaderleden (waarvan de ex-man deel uitmaakte) tot de registers van de NBB door
de verweerder vóór het incident, bewijst de ontoereikendheid van de door de verweerder getroffen
maatregelen.

94. Hoewel de DPO tijdens de hoorzitting de nadruk legde op het bestaan van een logboek voor de
toegang van niet-leidinggevende werknemers, en op het deontologisch reglement dat elk misbruik

29 Dumortier, F., « Chapitre 4 - Cybersécurité, vie privée, imputabilité, journalisation et log files » in Les obligations

légales de cybersécurité et de notifications d’incidents, Brussel, Politeia, 2019, blz. 141.

Beslissing ten gronde 56/2021- 21/41

van toegang verbiedt, bevestigde zij dat er geen controlesysteem voor de toegang door
kaderleden bestond.

95. Dit vormt een ernstige schending van artikel 32 van de AVG (beveiliging van de verwerking),
gelezen in combinatie met artikel 5, lid 2, en artikel 24 van de AVG.

96. Door dit ontbreken van een logboek of van andere beveiligingsmaatregelen bij de verweerder kan
de klager haar recht van inzage niet uitoefenen in verband met de onrechtmatige verwerkingen
die zijn uitgevoerd door haar ex-man, een werknemer van de verweerder, aangezien de
verweerder er geen enkel spoor van heeft.

97. De ELD van de GBA heeft in zijn brief van 5 september 2019 de verweerder gevraagd de klager
de lijst van raadplegingen en betrokken gegevens, en de identiteit van de auteur van de
raadplegingen, mee te delen.

98. Dit aspect van de uitoefening van het recht van inzage wordt hieronder behandeld (zie punt II.4).

99. De verweerder vermeldt voorts dat "tal van maatregelen zijn getroffen (...) om zoveel mogelijk
het risico van ongeoorloofde raadplegingen van de Centrale van kredieten aan particulieren door
zijn personeelsleden te beperken".30

100. Zij beroept zich op deze maatregelen en merkt op dat deze na de onrechtmatige raadpleging
door de ex-man van de klager zijn versterkt.

101. Zij vermeldt het volgende:

• personeelsselectie op basis van betrouwbaarheid en beveiligingsopleiding voor het
personeel (waaronder een examen voor de werknemers die toegang hebben tot gegevens
van de CKP);
• technische beperkingen voor de toegang tot de gegevens van de CKP:
o er moet een kredietdossier bestaan;
o indien toegang plaatsvindt via het systeem voor niet-leidinggevende werknemers,
wordt de raadpleging en de identiteit van de werknemer geregistreerd;
o indien toegang via de site van de CKP (voor kaderleden) is die toegang enkel
mogelijk via de computers van de kaderleden, en is een gebruikersnaam en
paswoord (uniek voor alle kaderleden van de nv) nodig;

30 Zie aanvullende en syntheseconclusies van de verweerder, blz. 12.

Beslissing ten gronde 56/2021- 22/41

• menselijke controles op verschillende niveaus.

102. Dit neemt niet weg dat de klager kan worden gevolgd wanneer zij erop wijst dat de verweerder
in haar conclusies toegeeft dat haar kaderleden uitgebreide toegang tot de gegevens in de CKP
hebben, maar enkel en alleen voor de volgende doeleinden: "het aanbrengen van correcties in de
gecodeerde gegevens in de CKP, de raadpleging van de contactgegevens van de bemiddelaar in
geval van een collectieve schuldenregeling en de verrichting genaamd "clean NBB", d.w.z. de
vergelijking van de in de CKP opgenomen gegevens met de bestanden van de verweerder" 31.

103. Er is geen enkel systeem voor toezicht op de raadplegingen van de gegevens bij de CKP.

104. De verweerder wijst er in dit verband zelf op dat het bij de kaderleden onmogelijk is de persoon
te identificeren die de gegevens heeft geraadpleegd.

105. De verweerder erkent dit overigens impliciet wanneer zij aanvoert dat sinds de door de klager
aan de kaak gestelde raadplegingen binnen de vennootschap een aantal aanvullende maatregelen
zijn getroffen (waaronder een AVG-opleiding voor de kaderleden, versterking van de
eerstelijnscontrole (d.w.z. van niet-leidinggevende werknemers)).

106. Met name ten aanzien van de kaderleden, heeft de DPO van de verweerder, die tijdens de
hoorzitting werd gevraagd naar de beveiligingsmaatregelen die specifiek zijn genomen met
betrekking tot de toegang van kaderleden tot de registers van de NBB sinds het incident, verklaard
dat de toegang voortaan beperkt is tot twee supervisors (in plaats van vijf zoals voordien), en dat
het paswoord tweemaal is gewijzigd (eenmaal in 2019 en eenmaal in 2020).

107. Zij voegt eraan toe dat de verweerder op het einde van 2020 (dus onlangs) de NBB heeft
gevraagd om haar de lijst van toegangen van de NBB mee te delen, om deze met de lijst te
vergelijken die wordt bijgehouden door de twee kaderleden die toegang tot de registers van de
NBB hebben, om eventuele verschillen vast te stellen met het oog op de controle van de
activiteiten van de kaderleden.

108. De Geschillenkamer neemt nota van de geleverde inspanningen, die in haar ogen onvoldoende
blijven ten aanzien van de kaderleden die toegang tot de registers van de NBB hebben, maar dit
doet niets af aan het feit dat de verweerder haar verplichting tot beveiliging, overeenkomstig het
verantwoordingsbeginsel, niet is nagekomen.

31 Aanvullende en syntheseconclusies, blz. 10.

Beslissing ten gronde 56/2021- 23/41

109. Zij stelt ook vast dat haar geen bewijs van die aanvullende maatregelen werd verstrekt.

110. De verweerder wijst er verder op dat zij elk jaar tienduizenden rechtmatige raadplegingen van
de CKP uitvoert, en dat het aantal onrechtmatige raadplegingen beperkt is tot 20, verspreid over
de periode van april 2016 tot augustus 2018.

111. De Geschillenkamer neemt hiervan akte, maar herinnert eraan dat dit niets afdoet aan het
onrechtmatige en herhaalde karakter van de raadplegingen van gevoelige financiële
persoonsgegevens.

112. De Geschillenkamer stelt vast dat de verweerder in gebreke is gebleven en in gebreke blijft de
passende technische en organisatorische maatregelen te nemen, vereist door artikel 24, leden 1
en 2, van de AVG, om niet alleen de beveiliging van de gegevens te waarborgen door
onrechtmatige raadplegingen te voorkomen, maar ook een daadwerkelijke uitoefening van de
rechten van betrokkenen zoals de klager bij gebreke aan vastlegging, te waarborgen.

113. De verweerder benadrukt voorts dat de klager zeven maanden na de laatste onrechtmatige
raadpleging voor de eerste keer melding maakte van een "inbreuk", hoewel zij er al vier maanden
van op de hoogte was. Dit is niet relevant, aangezien de klager vrij is haar rechten op elk moment
uit te oefenen.

114. De verweerder heeft derhalve artikel 32, gelezen in combinatie met artikel 5, lid 2, en artikel 24,
van de AVG, geschonden.

II.3- Wat betreft de naleving van de beginselen van doelbinding, transparantie en
informatie

II.3.1- Over de beginselen behoorlijkheid, transparantie en informatie

115. Overeenkomstig artikel 5, lid 1, punt a), moeten persoonsgegevens "worden verwerkt op een
wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (rechtmatigheid,
behoorlijkheid, transparantie)";

116. Op grond van de artikelen 13 en 14 van de AVG moet elke persoon wiens persoonsgegevens
worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden
verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen (leden 1

Beslissing ten gronde 56/2021- 24/41

en 2)32. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op
de hoogte gebracht van de in de leden 1 en 2 van artikel 13 van de AVG genoemde elementen,
met name:

• de identiteit en de contactgegevens van de verwerkingsverantwoordelijke, en eventueel de
contactgegevens van de functionaris voor gegevensbescherming
• de verwerkingsdoeleinden en de rechtsgrond voor de verwerking (indien de verwerking is
gebaseerd op het gerechtvaardigd belang van de verwerkingsverantwoordelijke moet dit
belang worden gepreciseerd)
• de ontvangers of categorieën van ontvangers van de verwerking
• het voornemen van de verwerkingsverantwoordelijke om gegevens buiten de Europese
Economische Ruimte door te geven
• de vaststelling van de opslagperiode van de gegevens,
• de rechten die de AVG hem toekent, met inbegrip van het recht om zijn instemming te allen
tijde in te trekken, en het recht om een klacht in te dienen bij de
gegevensbeschermingsautoriteit (in onderhavig geval de GBA)
• informatie over de vraag of de verstrekking van persoonsgegevens een wettelijke of
contractuele verplichting is en wat de gevolgen zijn wanneer zij niet worden verstrekt, en
het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, als bedoeld
in artikel 22 van de AVG.

117. De Geschillenkamer wijst er ook op dat in het geval van rechtstreekse verzameling (artikel 13
van de AVG) niet in een uitzondering is voorzien.

118. In artikel 14, leden 1 en 2, worden soortgelijke elementen opgesomd, met dien verstande dat
artikel 14 van de AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden
verzameld, maar bij derden.

119. Deze informatie moet op grond van artikel 13 of artikel 14 van de AVG aan de betrokkene worden
verstrekt overeenkomstig de bepalingen van artikel 12 van de AVG.

II.3.2- Het standpunt van de klager met betrekking tot de toepassing van de beginselen van
behoorlijkheid, transparantie en informatie

32 In haar richtsnoeren inzake het transparantiebeginsel (punt 23), vermeldt de Groep 29 het volgende: " (...) het

standpunt van de WP29 is dat er geen statusverschil bestaat tussen de informatie die op grond van de leden 1
en 2 van respectievelijk artikel 13 en artikel 14 moet worden verstrekt. Alle informatie uit hoofde van deze leden
is even belangrijk en moet worden verstrekt aan de betrokkene." De Geschillenkamer sluit zich met name in haar
beslissing 41/2020 (blz. 19) bij dit standpunt aan.

Beslissing ten gronde 56/2021- 25/41

120. De klager onderstreept dat de verweerder, toen zij via haar uitwisselingen met de klager had
kennisgenomen van de door haar werknemer uitgevoerde onrechtmatige raadplegingen, door
deze laatste trouwens toegegeven, naliet haar het overgrote deel van de krachtens artikel 14 van
de AVG vereiste informatie te verstrekken. Zij heeft aangegeven wat het verwerkingsdoeleinde
was (raadpleging van de gegevens van de CKP op grond van zijn wettelijke verplichting en in het
kader van het beheer van de kredietovereenkomsten), maar heeft haar niet haar privacyverklaring
toegezonden. Zij heeft de klager bijvoorbeeld niet geïnformeerd over de bewaartermijn van de
gegevens.

121. Het feit dat de klager al in het bezit was van de lijst van raadplegingen (verkregen via de NBB)
doet niets af aan de vaststelling dat de verweerder haar niet de andere krachtens artikel 14
vereiste informatie heeft verstrekt, die zij haar wel kon geven.

122. II.3.3- Het standpunt van de verweerder met betrekking tot de toepassing van de beginselen van
behoorlijkheid, transparantie en informatie

123. De verweerder voert in de eerste plaats aan dat de klager voor het eerst om de krachtens artikel
14 vereiste informatie heeft verzocht in haar conclusies, en dat zij dit verzoek in de uitwisselingen
tussen de partijen nooit eerder heeft geuit. De Geschillenkamer is van mening dat dit wijst op
kwade trouw, aangezien de ELD de GBA de verweerder 33 formeel heeft verzocht om deze
informatie aan de klager te verstrekken, maar er geen gevolg aan is gegeven.

124. Artikel 14, lid 3. van de AVG bepaalt:

"De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:

a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de
persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden
verwerkt;

b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk
op het moment van het eerste contact met de betrokkene; of

c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het
tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt." (wij onderstrepen)

33 Brief van 21 oktober 2019 van de ELD.

Beslissing ten gronde 56/2021- 26/41

125. De verwerkingsverantwoordelijke moet dus de vereiste informatie op eigen initiatief verstrekken,
in plaats van te wachten tot de betrokkene hierom verzoekt. In het onderhavige geval, aangezien
de persoonsgegevens gebruikt moesten worden voor de communicatie met de klager, had die
informatie haar uiterlijk op het moment van de eerste communicatie tussen de partijen moeten
worden meegedeeld.

126. De verweerder probeert zich voorts aan haar verantwoordelijkheid te onttrekken, door het
argument te herhalen dat zij geen verwerkingsverantwoordelijke is voor de onrechtmatige
raadplegingen van de gegevens van de klager, en dat de verplichting om de in artikel 14 van de
AVG vereiste informatie te verstrekken op de ex-man van de klager rust.

127. Zoals hierboven gezegd, kan deze redenering niet worden gevolgd.

128. De verweerder is immers gehouden aan het beginsel van transparantie en informatie (artikel 14
van de AVG in dit geval), een fundamenteel artikel dat verwerkingsverantwoordelijken duidelijke
en essentiële verplichtingen oplegt om ervoor te zorgen dat de betrokkenen hun rechten kunnen
uitoefenen.

129. Voorts legt de verweerder uit dat geen registers worden bijgehouden in het kader van het
systeem voor de raadpleging van gegevens van de CKP, dat is voorbehouden aan
toezichthoudende kaderleden, zoals de ex-man van de klager, en dat het voor haar dus materieel
onmogelijk is informatie over de geraadpleegde gegevens te verstrekken.

130. De Geschillenkamer is van mening dat dit een erkenning vormt, zoals hierboven aangegeven,
van de niet-naleving door de verweerder van het verantwoordingsbeginsel en het beginsel van
beveiliging (artikel 5, lid 2, en de artikelen 24 en 32 van de AVG).

131. De door de verweerder aangevoerde argumenten om zich aan haar verplichting te onttrekken
om de beginselen van behoorlijkheid, transparantie en informatie in acht te nemen, kunnen niet
worden aanvaard.

132. Bijgevolg, en aangezien de verweerder niet aantoont dat de informatie die de verweerder uit
hoofde van artikel 14 kon verstrekken (ondanks het feit dat met geavanceerde techniek niet kon
worden gezorgd voor bijvoorbeeld de lijst van geraadpleegde gegevens) aan de klager is
meegedeeld, concludeert de Geschillenkamer dat de verweerder haar verplichting om de klager
te informeren niet is nagekomen.

133. De Geschillenkamer herinnert eraan dat een essentieel aspect van het transparantiebeginsel,

Beslissing ten gronde 56/2021- 27/41

zoals benadrukt in de artikelen 12, 13 en 14 van de AVG, is dat de betrokkene van tevoren moeten
kunnen bepalen wat de reikwijdte en de gevolgen van de verwerking zijn, om in een later stadium
niet verrast te zijn over de manier waarop zijn persoonsgegevens zijn gebruikt.

134. De informatie moet concreet en betrouwbaar zijn, niet op abstracte of dubbelzinnige wijze
worden geformuleerd en niet vatbaar zijn voor verschillende interpretaties. Meer in het bijzonder
moeten de doeleinden en de rechtsgronden van de verwerking van persoonsgegevens
duidelijk zijn.

II.4- Wat betreft het faciliteren van de rechten van de klager en haar recht van inzage

135. Artikel 12 van de AVG bepaalt:

"1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de
artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde
communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer
de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere
middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de
betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat
de identiteit van de betrokkene met andere middelen bewezen is.

2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit
hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de
verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om
diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de
verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren. " (wij
onderstrepen)

136. Artikel 15 van de AVG bepaalt:

"1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen
over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is,
om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a) de verwerkingsdoeleinden;

b) de betrokken categorieën van persoonsgegevens;

Beslissing ten gronde 56/2021- 28/41

c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, met name ontvangers gevestigd in derde landen of internationale organisaties;

d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden
opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat
persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende
persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare
informatie over de bron van die gegevens;

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4,
bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica,
alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale
organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen
overeenkomstig artikel 46 inzake de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die
worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de
verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding vragen.
Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt,
wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en
vrijheden van anderen.”

137. De klager voert aan dat de verweerder de uitoefening van haar rechten niet heeft gefaciliteerd
en terughoudend was ten aanzien van haar verzoek om uitleg (door de in artikel 14 vereiste
informatie bijvoorbeeld niet te verstrekken). De verweerder antwoordt dat de klager niet heeft
gevraagd haar deze informatie door te geven. Aangezien deze kwestie hierboven is besproken en
het argument van de verweerder is verworpen, verwijst de Geschillenkamer naar punt II.3.

Beslissing ten gronde 56/2021- 29/41

138. De klager beweert ook dat "menen dat (de klager) haar recht van inzage niet heeft uitgeoefend,
hoewel zij uitdrukkelijk heeft verzocht om een motivatie voor de raadplegingen, getuigt van een
zekere kwade trouw" (conclusies van de klager, blz. 18).

139. Volgens het vaste standpunt van de Geschillenkamer 34 kan het formuleren van een verzoek om
inzage of de uitoefening van enig ander recht - ook al is het onvolledig of gebaseerd op een
onjuiste bepaling, of het gevolg van een verkeerd begrip of een verkeerde interpretatie van het
ingeroepen recht - voor de verwerkingsverantwoordelijke geen voorwendsel zijn om geen nuttig
gevolg te geven aan het verzoek. Dit moet van geval tot geval worden bekeken.

140. In het onderhavige geval, bij lezing van de e-mails die de partijen hebben uitgewisseld, is de
Geschillenkamer van mening dat het niet voldoende duidelijk is dat de klager om de uitoefening
van haar recht van inzage heeft verzocht. In haar e-mails vraagt de klager immers voornamelijk
uitleg over de procedures voor toegang tot de CKP-gegevens en over de sancties tegen een
werknemer die misbruik maakt van zijn toegang tot het bestand, zoals haar ex-man35.

141. Niettemin, hoewel een onderscheid moet worden gemaakt tussen e-mails waarin uitleg wordt
gevraagd over de procedures voor toegang tot de CKP-gegevens en de sancties tegen een
werknemer die misbruik maakt van zijn toegang tot het bestand, en een verzoek om inzage van
haar persoonsgegevens, herinnert de Geschillenkamer eraan dat de ELD in zijn e-mail van 21
oktober (stuk 4 van de klager) de verweerder formeel heeft verzocht (namens de klager) de klager
de informatie uit hoofde van artikel 14 te verstrekken en gevolg te geven aan haar recht van
inzage van de gegevens waarover de verweerder beschikt. De verweerder heeft geen gevolg
gegeven aan deze brief.

142. Door niet in te gaan op het verzoek om inzage van de klager heeft de verweerder derhalve artikel
15 van de AVG geschonden.

34 Zie met name beslissing 41/2020 van 29 juli 2020 van de Geschillenkamer.

35 Zo kan in de e-mails van de klager naar de DPO van de verweerder bijvoorbeeld het volgende worden gelezen:

- "(...) Dank dat u de ernst van de feiten in aanmerking neemt. Ik wens echter niet dat mijn ex-man regelrecht
wordt ontslagen, ik wil alleen dat hij door de tegen hem genomen sanctie beseft dat zijn gedrag mij financieel
nadeel heeft berokkend... " (e-mail van 8 april 2019)
- Ik zou niettemin willen weten wat de gevolgen zijn voor een werknemer die de gegevensbescherming schendt
" (e-mail van 13 maart 2019)
- "Hoe dan ook zou ik, voordat ik mijn klacht indien, willen weten wat de gevolgen voor mijn ex-man zijn voor
het plegen van die inbreuk op mijn privé-leven. Dan zal ik u zijn naam geven, zodat u hem enkel kunt
sanctioneren" (e-mail van 5 april 2019).

Beslissing ten gronde 56/2021- 30/41

II.5- Wat betreft de onafhankelijkheid van de functionairis voor gegevensbescherming

143. De klager voert aan dat de functionaris voor gegevensbescherming (DPO) van de verweerder
niet voldoet aan de voorwaarde van onafhankelijkheid overeenkomstig artikel 38, lid 3, van de
AVG, vanwege haar professionele achtergrond, de cumulatie van haar functie als DPO met die van
CISO (Chief Information Security Officer), en vanwege het feit dat zij de "belangen" van de
verweerder "vertegenwoordigde" tijdens haar interacties met de klager. Deze argumenten worden
hieronder achtereenvolgens besproken.

II.5.1- De professionele achtergrond van de DPO leidt niet tot een belangenconflict

144. De klager beweert dat de DPO vroeger directeur van de juridische dienst van de verweerder is
geweest. De verweerder verklaart echter dat de DPO die functie heeft bekleed, maar bij het bedrijf
"W", waarmee er geen band was. Dit argument wordt dus verworpen.

II.5.2- De cumulatie van de functies van DPO en CISO leidt niet tot een belangenconflict

145. Artikel 38, lid 6, bepaalt: "De functionaris voor gegevensbescherming kan andere taken en
plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken
of plichten niet tot een belangenconflict leiden."

146. Volgens de richtsnoeren van de EDPB "kan de functionaris voor gegevensbescherming binnen de
organisatie geen functie bekleden waarbij hij of zij de doelstellingen van en de middelen voor de
verwerking van persoonsgegevens moet bepalen. Gezien de specifieke organisatiestructuur van
elke organisatie moet dit geval per geval worden beoordeeld." 36

147. Er is dus sprake van een wezenlijk belangenconflict, dat met name kan ontstaan wanneer
dezelfde persoon tegelijk als controleur en als gecontroleerde optreedt (bijvoorbeeld een project-
of afdelingsverantwoordelijke die gegevens verwerkt, die tegelijk de functie van DPO bekleedt,
omdat hij in die hoedanigheid de overeenstemming van de verwerking in het kader van zijn project
zou moeten controleren).

36 EDPB, Richtlijnen voor functionarissen voor gegevensbescherming (DPO), 5 april 2017, blz. 19.

Beslissing ten gronde 56/2021- 31/41

148. Er moet derhalve rekening worden gehouden met de vraag of de functionaris voor
gegevensbescherming al dan niet beslissingsbevoegdheid heeft bij de uitoefening van zijn andere
functie37.

149. De klager wijst op een belangenconflict bij de cumulatie van de functies van DPO en CISO door
dezelfde persoon binnen de verwerende partij, omdat deze persoon een beslissingsbevoegdheid
zou hebben met betrekking tot de technische en organisatorische maatregelen die binnen de NV
zijn genomen, maatregelen die de klager ontoereikend en in strijd met artikel 32 van de AVG acht.

150. De verweerder verklaart in haar conclusies en tijdens de hoorzitting dat de functies van DPO en
CISO geen uitvoerende functies zijn, maar adviserende functies, waarbij risico's in kaart worden
gebracht. Tijdens de hoorzitting verklaarde de DPO van de verweerder dat zij het management
van de onderneming wijst op de risico's en het belang ervan en dat het aan dat management is
om te beslissen of de genomen maatregelen volstaan om de risico's aan te pakken. Verder
preciseerde zij dat in geval van onenigheid tussen haar en het management over de genomen
maatregelen, en niettegenstaande de opmerkingen aan het adres van deze laatste, de beslissing
niet tot haar bevoegdheid behoort. Zij preciseert bovendien dat de beveiligingsmaatregelen de
verantwoordelijkheid van de IT-afdeling is, en niet van de CISO.

151. Zij wijst er ook op dat in het organigram van de verwerende nv de functies van CISO en DPO
vallen binnen de "tweede verdedigingslinie", waarbij de eerste wordt gevormd door operationele
functies, in tegenstelling tot de tweede.

152. Aangezien de CISO in het onderhavige geval niet verantwoordelijk is voor een operationele
afdeling38, kan de klager niet worden gevolgd in haar betoog dat de persoon die tegelijk DPO en
CISO is, beslissingsbevoegdheid heeft met betrekking tot de technische en operationele
maatregelen die bij de verweerder zijn genomen.

II.5.3- De inhoud van de antwoorden van de DPO aan de klager wijst niet op een schending van haar
rol

153. Artikel 38, lid 4, van de AVG bepaalt: "Betrokkenen kunnen met de functionaris voor
gegevensbescherming contact opnemen over alle aangelegenheden die verband houden met de
verwerking van hun gegevens en met de uitoefening van hun rechten uit hoofde van deze
verordening."

37 Rosier, K., « Délégué à la protection des données :une fonction multifacette» in Le règlement général sur la

protection des données (RGPD/GDPR), Brussel, Éditions Larcier, 2018, blz. 578.
38 Anderzijds is de Geschillenkamer van mening dat er sprake is van een belangenconflict wanneer de DPO tegelijk

verantwoordelijk is voor verschillende operationele afdelingen (zie beslissing 18/2020, blz. 15 e.v.).

Beslissing ten gronde 56/2021- 32/41

154. De DPO fungeert dus onder andere als contactpunt voor personen die hun rechten bij de
verwerkingsverantwoordelijke willen uitoefenen.

155. De klager beweert dat de DPO partij zou hebben gekozen voor de verweerder (zijn werkgever),
in plaats van de klacht van de klager onafhankelijk te onderzoeken. De klager baseert zich daarbij
op de inhoud van de antwoorden van de DPO op de e-mails van de klager, waarin zij het woord
"wij" gebruikt ("wij kunnen u niet meer informatie geven", "wij hebben onze excuses
aangeboden", "wij hebben uiteraard dwangmaatregelen getroffen"...).

156. Hoewel de klager haar frustratie uitte over de kwaliteit van de bijstand van de DPO om de
uitoefening van haar rechten te vergemakkelijken, blijkt uit het onderzoek van de schriftelijke
uitwisselingen tussen de klager en de DPO echter niet dat de DPO zich niet overeenkomstig haar
rol heeft gedragen. Zoals de DPO tijdens de hoorzitting verklaarde, waren de verzoeken van de
klager voornamelijk gericht op de door haar ex-man opgelopen sanctie, die geen deel uitmaakt
van de persoonsgegevens van de klager. De Geschillenkamer herinnert er voorts aan dat de DPO
gehouden is aan de geheimhoudingsplicht (artikel 38, lid 5), en volgt de DPO wanneer zijn ter
zitting uitlegt dat zij om die reden de klager niet kon antwoorden in verband met de door haar ex-
man opgelopen sancties.

157. Concluderend kan de klager niet worden gevolgd wanneer zij stelt dat de DPO niet voldoet aan
de voorwaarde van onafhankelijkheid vanwege haar professionele achtergrond, de cumulatie van
haar functies als DPO en CISO, en vanwege het "behartigen van de belangen" van de verweerder
in haar interacties met de klager.

158. Derhalve is er geen sprake van een inbreuk op artikel 38 van de AVG.

4. Wat betreft corrigerende maatregelen en sancties

4.1- Corrigerende maatregelen en sancties

Krachtens artikel 100 WOG heeft de Geschillenkamer de bevoegdheid om:

1° een klacht te seponeren;

2° de buitenvervolgingstelling te bevelen;

3° een opschorting van de uitspraak te bevelen;

4° een schikking voor te stellen;

5° waarschuwingen en berispingen te formuleren;

Beslissing ten gronde 56/2021- 33/41

6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;

7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;

8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;

9° te bevelen dat de verwerking in overeenstemming wordt gebracht;

10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de
ontvangers van de gegevens te bevelen;

11° de intrekking van de erkenning van certificatie-instellingen te bevelen;

12° dwangsommen op te leggen;

13° administratieve geldboeten op te leggen;

14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een
internationale instelling te bevelen;

15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in
kennis stelt van het gevolg dat aan het dossier wordt gegeven;

16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.

159. In bovengenoemd artikel 100 wordt de lijst van sancties van artikel 58, lid 2, van de AVG
gespecificeerd.

Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 83
van de AVG en de artikelen 100, 13°, en 101 van de WOG, bepaalt artikel 83 van de AVG :

"1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde
van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening
in elke zaak doeltreffend, evenredig en afschrikkend zijn.

2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval,
opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde
maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over
de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:

a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het
doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de
door hen geleden schade;

b) de opzettelijke of nalatige aard van de inbreuk;

Beslissing ten gronde 56/2021- 34/41

c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door
betrokkenen geleden schade te beperken;

d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de
technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25
en 32;

e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;

f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen
en de mogelijke negatieve gevolgen daarvan te beperken;

g) | de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;

h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name
of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;

i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien
van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde
aangelegenheid zijn genomen;

j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde
certificeringsmechanismen overeenkomstig artikel 42; en

k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor,
zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk
voortvloeien."

160. De niet-naleving van artikel 32, in combinatie met de artikelen 5 en 24, en van artikel 15, van de
AVG moet in de juiste context worden geplaatst om de meest geschikte corrigerende maatregelen
vast te stellen.

161. In dit verband zal de Geschillenkamer rekening houden met alle omstandigheden van de zaak,
met inbegrip - binnen de hierna gepreciseerde grenzen - van de reactie van de verweerder op het
voorgestelde bedrag van de geldboete dat haar is meegedeeld (zie procedurele voorgeschiedenis).
In dit verband wijst de Geschillenkamer erop dat het genoemde formulier uitdrukkelijk vermeldt
dat het geen heropening van de procedure inhoudt. Het enige doel ervan is het verkrijgen van de
reactie van de verweerder op het bedrag van de voorgestelde geldboete.

162. De Geschillenkamer wenst er tevens aan te herinneren dat het haar soevereine
verantwoordelijkheid is als onafhankelijke administratieve autoriteit - met inachtneming van de
relevante artikelen van de AVG en van de WOG - om de passende corrigerende maatregel(en) en
sanctie(s) te bepalen.

Beslissing ten gronde 56/2021- 35/41

163. Het is dus niet aan de klager om de Geschillenkamer te verzoeken een bepaalde corrigerende
maatregel of sanctie op te leggen. Indien ondanks het voorgaande de klager de Geschillenkamer
toch verzoekt een of andere maatregel en/of sanctie op te leggen, is het dus niet aan de
Geschillenkamer om te motiveren waarom zij een van de verzoeken van de klager niet zou
inwilligen. Deze overwegingen laten de verplichting van de Geschillenkamer onverlet om de keuze
te motiveren van de maatregelen en sancties (uit de lijst van maatregelen en sancties die haar op
grond van artikel 58 van de AVG en artikel 100 van de WOG ter beschikking staan) die zij passend
acht om de partij waartegen de klacht is gericht te veroordelen.

164. De Geschillenkamer wijst erop dat in het onderhavige geval de klager met name de
Geschillenkamer verzoekt te bevelen dat de raadplegingen van de CKP van de kaderleden in
overeenstemming worden gebracht met de AVG (met name artikel 32, in combinatie met de
artikelen 5 en 24).

165. De klager vordert eveneens de oplegging van een administratieve geldboete. De Geschillenkamer
onderstreept dat het haar taak is erover te waken dat de regels van de AVG doeltreffend worden
toegepast. Andere maatregelen, zoals bijvoorbeeld een nalevingsbevel of een verbod om bepaalde
verwerkingen te blijven uitvoeren, kunnen worden gebruikt om een einde te maken aan een
vastgestelde schending. Zoals blijkt uit overweging 148 van de AVG worden in geval van ernstige
inbreuken sancties opgelegd, met inbegrip van administratieve geldboeten, naast of in plaats van
passende maatregelen. Daarom kan een administratieve boete zeker worden gebruikt om een
ernstige inbreuk te sanctionneren die tijdens de procedure is verholpen of die op het punt staat
te worden verholpen. De Geschillenkamer zal bij het vaststellen van het bedrag van de geldboete
evenwel rekening houden met de maatregelen die zijn getroffen naar aanleiding van het incident.

4.2- Wat betreft de schendingen

166. De Geschillenkamer heeft een schending vastgesteld van artikel 32, in combinatie met de
artikelen 5 en 24, alsmede van artikel 15 van de AVG.

167. De Geschillenkamer neemt verder nota van het feit dat de verweerder in haar conclusies en
tijdens de hoorzitting heeft erkend dat haar een schending van artikel 32 kan worden verweten 39.
Zij heeft overigens verklaard dat een nieuwe organisatorische maatregel is ingesteld naar
aanleiding van het incident (slechts twee kaderleden hebben momenteel toegang tot het CKP-
register van de NBB, en zij houden nu een register bij dat zal worden vergeleken met het register
van de NBB bij wijze van controlemaatregel).

39 Aanvullende en syntheseconclusies van Y, blz. 9.

Beslissing ten gronde 56/2021- 36/41

168. Hoewel zij akte neemt van deze inspanningen, is de Geschillenkamer van mening dat deze niet
voldoende zijn en dat andere maatregelen moeten worden getroffen door de verweerder om haar
verplichtingen uit hoofde van de AVG na te komen. Derhalve legt de Geschillenkamer haar op de
procedure voor toegang van de kaderleden tot de NBB in overeenstemming te brengen. Zij beveelt
het bijhouden van een toegangsregister ook sterk aan, te vergelijken met het register van de NBB,
en in overeenstemming met alle hierboven genoemde aanwijzigingen (zie II.2.2).

169. De Geschillenkamer is voorts van mening dat het gevoelige karakter van de door de verweerder
op grote schaal verwerkte gegevens, de verweerder er al eerder had moeten toe aanzetten de
bovengenoemde beginselen van de AVG beter na te leven (waaronder gegevensbeveiliging), met
name door het anticiperen op de risico's die aan dergelijke inbreuken verbonden zijn.

170. Behalve dit bevel tot naleving, is de Geschillenkamer van mening dat hier bovendien een
administratieve geldboete gerechtvaardigd is om de hierna genoemde redenen, geanalyseerd op
basis van artikel 83, lid 2, van de AVG, en in overeenstemming met de recente rechtspraak van
het Marktenhof.40

171. De rechten van de betrokkenen, evenals het beginsel beveiliging, behoren tot de essentie van de
AVG en inbreuken hierop worden bestraft met de hoogste geldboeten, overeenkomstg artikel 83,
lid 5, van de AVG. In deze geest kunnen deze ernstige inbreuken gesanctioneerd worden met
dienovereenkomstig hoge geldboeten, afhankelijk van de omstandigheden van het geval in
kwestie. In dit verband kan worden verwezen naar de richtsnoeren van de Groep artikel 29 voor
de toepassing en de vaststelling van administratieve geldboeten41, die het volgende bepalen:

"Geldboeten zijn een belangrijk instrument dat de toezichthoudende autoriteiten in passende
omstandigheden moeten gebruiken. De toezichthoudende autoriteiten worden aangemoedigd om
bij het gebruik van corrigerende maatregelen een weloverwogen en evenwichtige aanpak te
hanteren, teneinde zowel een doeltreffende en afschrikkende als een evenredige reactie op de
inbreuk te bewerkstelligen. Het gaat er niet om de geldboeten als laatste redmiddel aan te merken,
noch om ervoor terug te deinzen geldboeten op te leggen, maar wel om ze niet zodanig te
gebruiken dat hun doeltreffendheid als instrument zou worden aangetast .”

172. Artikel 83, lid 2, punt a) heeft betrekking op "de aard, de ernst en de duur van de inbreuk,
rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het
aantal getroffen betrokkenen en de omvang van de door hen geleden schade".

40 Hof van Beroep van Brussel, 19e kamer, sectie Marktenhof, arrest van 27 januari 2021, blz. 21-24.

41 Groep 29, Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten

in de zin van Verordening (EU) 2016/679, WP 253, aangenomen op 3 oktober 2017, blz. 7.

Beslissing ten gronde 56/2021- 37/41

173. De Geschillenkamer merkt op dat zowel het beginsel beveiliging (artikel 5, lid 1, punt f), van de
AVG) (en de daaruit voortvloeiende verplichtingen - artikel 32 van de AVG) als het recht van inzage
(artikel 15), kernbeginselen zijn van de beschermingsregeling die bij de AVG is ingesteld. Het in
artikel 5, lid 2, van de AVG vastgelegde en in artikel 24 verder uitgewerkte
verantwoordingsbeginsel vormt de kern van de AVG en weerspiegelt de paradigmaverschuiving
die de AVG teweegbrengt, namelijk een verschuiving van een regeling die gebaseerd is op
voorafgaande verklaringen en machtigingen van de toezichthoudende autoriteit naar een grotere
verantwoordingsplicht en verantwoordelijkheid van de verwerkingsverantwoordelijke. Dit maakt
het des te belangrijker dat deze laatste aan zijn verplichtingen voldoet en dit kan aantonen.
Schendingen van deze beginselen vormen ernstige schendingen.

174. Wat meer in het bijzonder de aard van de onrechtmatig geraadpleegde gegevens betreft,
benadrukt de Geschillenkamer dat de verweerder actief is in de banksector en grote hoeveelheden
gevoelige financiële gegevens verwerkt (gegevens met betrekking tot de kredieten van de
betrokkenen). De gegevens met betrekking tot de kredieten van de klager zijn in casu
onrechtmatig geraadpleegd gedurende de periode van april 2016 tot augustus 2018, en dit niet
minder dan 20 keer. De Geschillenkamer concludeert hieruit dat de onrechtmatige raadplegingen
in kwestie, door de aard, de ernst en de duur ervan, ernstige inbreuken vormen.

175. Zij merkt tevens op dat het niet onredelijk is aan te nemen dat zonder een klacht van de klager
dergelijke onrechtmatige raadplegingen hadden kunnen blijven doorgaan en ongestraft waren
gebleven, aangezien de verweerder pas na de klacht aanvullende maatregelen heeft genomen en
zijn schuldige werknemer heeft gesanctioneerd.

176. De Geschillenkamer merkt verder op dat in het CKP-register van de NBB de persoonsgegevens
van bijna 6 miljoen personen zijn opgenomen, en dat de werknemers van de verweerder,
waaronder kaderleden, deze op regelmatige basis raadplegen.

177. Met betrekking tot de vraag of de inbreuken al dan niet opzettelijk (door nalatigheid) zijn
gepleegd (artikel 83, lid 2, punt b), van de AVG), herinnert de Geschillenkamer eraan dat "niet
opzettelijk" betekent dat het niet de bedoeling was de inbreuk te plegen, hoewel de
verwerkingsverantwoordelijke niet had voldaan aan de zorgvuldigheidsplicht die krachtens de
wetgeving op hem rustte. In het onderhavige geval is de Geschillenkamer van mening dat de
vastgestelde inbreuken - hoe ernstig ook - niet wijzen op een doelbewuste intentie van de
verweerder om de AVG te schenden. Punt d) van artikel 83, lid 2, van de AVG verwijst naar de
mate waarin de verwerkingsverantwoordelijke verantwoordelijk is gezien de technische en
organisatorische maatregelen (artikel 32 van de AVG). De Geschillenkamer verwijst hier naar de

Beslissing ten gronde 56/2021- 38/41

bovenstaande ontwikkelingen waaruit blijkt dat de verweerder geen beveiligingsmaatregelen had
getroffen met betrekking tot de toegang van kaderleden tot de gegevens van het CKP-register
voordat de onrechtmatige raadplegingen werden uitgevoerd. Uit de verklaringen van de DPO van
de verweerder blijkt ook dat naar aanleiding van het incident, de enige nieuwe ingevoerde
maatregel beperkt blijft (vermindering van het aantal kaderleden dat toegang tot het CPK-register
heeft van vijf naar twee, en het bijhouden van een toegangsregister door deze kaderleden).

178. Artikel 83, lid 2, punt e), betreft "eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker". De Geschillenkamer wijst er in dat verband op
dat de groep waarvan de verweerder deel uitmaakt, door een andere toezichthoudende autoriteit
is gesanctioneerd.

179. De Geschillenkamer neemt nota van de inspanningen van de verweerder met betrekking tot zijn
medewerkende personeelsleden (nieuwe AVG-opleiding, bewustmaking van het personeel...),
maar stelt vast, zoals hierboven aangegeven, dat de specifieke bijkomende
beveiligingsmaatregelen voor de toegang van kaderleden, zwak blijven. De enige nieuwe
maatregel naar aanleiding van het incident bestaat immers in een vermindering van 5 naar 2 van
het aantal kaderleden dat toegang tot de CKP heeft. De Geschillenkamer merkt eveneens op dat
de verweerder zich pas in december 2020 bewust werd van de mogelijkheid om de toegangslijst
van kaderleden die zij (nu) heeft te vergelijken met de lijst die de NBB bijhoudt, hoewel de klager
de onrechtmatige raadplegingen had gemeld en zij door de dader (de ex-man van de klager) al in
2019 waren erkend.

180. De Geschillenkamer stelt vast dat de andere criteria van artikel 83, lid 2, van de AVG niet relevant
zijn en geen invloed kunnen hebben op haar beslissing om een administratieve geldboete op te
leggen of op het bedrag ervan. Volgens artikel 83, lid 5, punt a), van de AVG kunnen inbreuken
op deze bepalingen oplopen tot 20 000 000 EUR of, in het geval van een onderneming, tot 4%
van de totale wereldwijde jaaromzet in het voorgaande boekjaar. De maximumbedragen van de
boetes die voor inbreuken op deze bepalingen kunnen worden opgelegd, zijn hoger dan die welke
voor andere soorten overtredingen in artikel 83, lid 4, van de AVG zijn opgesomd. Aangezien het
gaat om schendingen van een grondrecht, neergelegd in artikel 8 van het Handvest van de
grondrechten van de Europese Unie, zal de beoordeling van de ernst ervan, zoals de
Geschillenkamer reeds eerder heeft onderstreept, ter ondersteuning van artikel 83, lid 2, punt a),
van de AVG, op autonome wijze gebeuren42.

42 Zie beslissing 64/2020 van de Geschillenkamer (punt 45), beschikbaar via:
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-64-2020.pdf.

Beslissing ten gronde 56/2021- 39/41

181. De Geschillenkamer herinnert aan het in artikel 83, lid 4, van de AVG bepaalde, dat de inbreuken
waarvoor de geldboeten tot 10 000 000 EUR kunnen oplopen of, in het geval van een
onderneming, tot 2% van de jaarlijkse wereldwijde omzet van het voorgaande boekjaar. De
overtredingen van de artikelen 8, 11, 25 tot en met 39, 42 en 43, worden in aanmerking genomen.
Dergelijke inbreuken betreffen onder andere het verzuim om passende technische en
organisatorische maatregelen te treffen om de naleving van de AVG te waarborgen, de schending
van de verplichting tot gegevensbeveiliging, de verplichting tot gegevensbescherming door
ontwerp en door standaardinstellingen, en de verplichting tot het bijhouden van
verwerkingsregisters. In het onderhavige geval, stelt de Geschillenkamer, zoals hierboven
vermeld, een schending vast van de verplichting tot het treffen van passende technische en
organisatorische maatregelen om de overeenstemming met de AVG te waarborgen, de verplichting
tot gegevensbeveiliging, en de verplichting tot gegevensbescherming door ontwerp en door
standaardinstellingen. Het maximumbedrag van de geldboete in dit geval, zoals bepaald in artikel
83, lid 5, is derhalve 10 000 000 EUR.

182. De verweerder maakt bovendien deel uit van een grote multinational, hetgeen tijdens de
hoorzitting is bevestigd. Bij het bepalen van het bedrag van de geldboete houdt de
Geschillenkamer rekening met het begrip onderneming (artikel 83, lid 5, van de AVG). De
Geschillenkamer houdt ook rekening met het advies van het Europees Comité voor
gegevensbescherming, waarvan zij met name het volgende in aanmerking neemt:

« Om geldboeten op te leggen die doeltreffend, evenredig en afschrikkend zijn, gebruikt de
toezichthoudende autoriteit de definitie van het begrip onderneming zoals vastgesteld door het Hof
van Justitie van de Europese Unie voor de toepassing van de artikelen 101 en 102 VWEU, namelijk
dat het begrip onderneming wordt begrepen als een economische eenheid die door de
moedermaatschappij en alle betrokken dochterondernemingen kan worden gevormd.
Overeenkomstig het EU-recht en de jurisprudentie moet een onderneming worden gezien als een
economische eenheid die commerciële/economische activiteiten uitoefent, ongeacht de rechtsvorm
ervan (overweging 150). »

183. Concluderend, in het licht van de hierboven ontwikkelde elementen die specifiek zijn voor deze
zaak, is de Geschillenkamer van oordeel dat de bovengenoemde schendingen rechtvaardigen dat
als doeltreffende, evenredige en afschrikkende sanctie zoals bepaald in artikel 83 van de AVG en
rekening houdend met de in artikel 83, lid 2, van de AVG opgesomde beoordelingsfactoren en de
reactie van de verweerder op de voorgestelde geldboete, een nalevingsbevel, vergezeld van een
administratieve geldboete van 100 000 EUR (artikel 100.1, 13° en 101 WOG) aan de verweerder
worden opgelegd.

Beslissing ten gronde 56/2021- 40/41

184. Het bedrag van 100 000 EUR blijft in het licht van deze elementen in verhouding staan tot de
gemelde schendingen. Dit bedrag ligt bovendien ver onder het maximumbedrag van 10 000 000
EUR waarin artikel 83, lid 5, van de AVG voorziet (zie hierboven).

185. Dit bedrag is gerechtvaardigd om de bovengenoemde redenen, waaronder de gevoelige aard van
de gegevens die het voorwerp uitmaken van de betwiste verwerkingen (financiële gegevens over
het krediet van de klager), de lange periode gedurende welke de verwerkingen hebben
plaatsgevonden, en het grote aantal keren dat de verwerkingen werden uitgevoerd (20). Andere
overwegingen die dit bedrag rechtvaardigen zijn gebaseerd op het feit dat er sinds het incident
door de verweerder weinig aanvullende maatregelen zijn getroffen ter versterking van haar
gegevensbeveiliging, op het feit dat het niet onredelijk is aan te nemen dat zonder de indiening
van de klacht de onrechtmatige raadplegingen hadden kunnen blijven doorgaan zonder dat de
tekortkomingen van haar beveiligingsmaatregelen onder de aandacht van de verweerder waren
gekomen, die bovendien een grote hoeveelheid gevoelige financiële gegevens verwerkt (6 miljoen
raadplegingen van het CKP-register per jaar, volgens haar verklaringen). De Geschillenkamer is
van mening dat een lagere geldboete in het onderhavige geval niet zou beantwoorden aan de
criteria van artikel 83, lid 1, van de AVG, volgens welke de administratieve geldboete niet alleen
evenredig, maar ook doeltreffend en afschrikkend moet zijn. Deze elementen vormen een
specificatie van de algemene verplichting van de lidstaten uit hoofde van het recht van de
Europese Unie, gebaseerd op het beginsel van loyale samenwerking (artikel 4, lid 3, van het
Verdrag betreffende de Europese Unie).

186. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces van de
Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16°, van de WOG,
bekendgemaakt op de website van de Gegevensbeschermingsautoriteit, met weglating van de
identificatiegegevens van de partijen, aangezien deze identificatiegegevens niet noodzakelijk en
relevant zijn in het kader van de bekendmaking van de onderhavige beslissing.

OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,

- de verweerder te bevelen, overeenkomstig artikel 100, §1, 9°, van de WOG, de toegang tot
het CK-register door leidinggevende werknemers in overeenstemming te brengen met artikel
5, lid 1, punt f), en artikel 32, van de AVG. Hiervoor geeft de Geschillenkamer de verweerder
een termijn van drie maanden en verwacht zij dat de verweerder haar binnen dezelfde termijn
rapporteert over het in overeenstemming brengen van de verwerking met de bovengenoemde
bepalingen.

Beslissing ten gronde 56/2021- 41/41

- op grond van artikel 83 van de AVG en de artikelen 100, 13° en 101 van de WOG, de
verweerder een administratieve geldboete van 100 000 EUR op te leggen wegens schending
van bovengenoemde artikelen.

Tegen deze beslissing kan op grond van art. 108, §1, van de WOG, beroep worden aangetekend bij
het Marktenhof, binnen een termijn van dertig dagen vanaf de kennisgeving, met de
Gegevensbeschermingsautoriteit als verweerder.

(get) Hielke Hijmans
Voorzitter van de Geschillenkamer