1/36
Geschillenkamer
Beslissing ten gronde 57/2021 van 06 mei 2021
Dossiernummer : DOS-2019-02902
Betreft: Gebrek aan transparantie in de privacyverklaring van een
verzekeringsmaatschappij (heroverweging beslissing 24-2020)
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
.
.
.
Beslissing ten gronde 57/2021 - 2/36
heeft de volgende beslissing genomen inzake:
- De heer X, hierna “de klager”;
- Y, vertegenwoordigd door Meesters Benoit Van Asbroeck en Simon Mortier, hierna “de
verweerder”.
1. Feiten en procedure
1. Deze beslissing is een heroverweging van beslissing 24/2020 van de Geschillenkamer van 14
mei 2020, en geeft uitvoering aan het arrest van het Marktenhof van 18 november 2020, met
rolnummer 2020/AR/813.
2. Deze beslissing moet worden gelezen in samenhang met beslissing 24/2020 en bevat een
heroverweging die ertoe strekt de verweerder de gelegenheid te bieden zich te verdedigen
omtrent alle inbreuken op de AVG waarvoor in de initiële beslissing een sanctie werd opgelegd,
in zoverre deze inbreuken door Y worden betwist. Bij deze heroverweging blijft de
Geschillenkamer aldus binnen het kader van de initiële beslissing, ook voor wat betreft de
administratieve geldboete die het bedrag van de initieel bepaalde boete niet te boven kan gaan.
Voor wat betreft de aantijgingen waaromtrent de Geschillenkamer in de initiële beslissing
oordeelde dat er geen sprake was van enige inbreuk op de AVG, blijft dat oordeel behouden. De
inbreuken die in de initiële beslissing werden vastgesteld en niet door Y worden betwist, blijven
evenzeer behouden.
3. Op 14 juni 2019 diende klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder.
Het voorwerp van de klacht betreft het gebruik van gezondheidsgegevens die de
verzekeringsmaatschappij van de betrokkene heeft verkregen in het kader van een
hospitalisatieverzekering voor andere doeleinden zonder de uitdrukkelijke toestemming van de
verzekerde betrokkene. De klager stelt dat hij er geen probleem mee heeft dat zijn
gezondheidsgegevens worden verwerkt voor het uitvoeren van verplichtingen in het kader van
de hospitalisatieverzekering die werd afgesloten met de verweerder, maar wel een probleem
heeft wanneer diezelfde gezondheidsgegevens worden verwerkt voor de doeleinden opgesomd
in punt 4.3. van de privacyverklaring en voor de doorgifte aan derden zoals vermeld in punt 9
van diezelfde privacyverklaring (het betreft punt 6, maar de verwijzing naar punt 9 is een
materiële vergissing) zoals vermeld in de privacyverklaring van verweerder. Hij vraagt dat
specifiek voor die doeleinden, alsook voor de doorgifte de verweerder de keuze geeft aan de
betrokkene om al dan niet toe te stemmen met de verwerking van zijn gezondheidsgegevens.
Beslissing ten gronde 57/2021 - 3/36
Tot slot geeft klager te kennen een gegevensbeschermingseffectbeoordeling te willen ontvangen
van de verweerder daar er sprake is van het verwerken van gegevens met een hoog risico voor
de betrokkenen.
4. Op 26 juni 2019 wordt de klacht ontvankelijk verklaard op grond van de artikelen 58 en 60 van
de WOG, wordt de klager hiervan in kennis gesteld op grond van art. 61 WOG en wordt de klacht
op grond van art. 62, §1 WOG overgemaakt aan de Geschillenkamer.
5. Op 23 juli 2019 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
6. Op 24 juli 2019 worden de betrokken partijen per aangetekende zending in kennis gesteld van
de bepalingen zoals vermeld in artikel 95, §2 en in art. 98 WOG. Ook werden de betrokken
partijen op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen
in te dienen. De uiterste datum voor ontvangst van de conclusie van repliek van de klager werd
daarbij vastgelegd op 7 oktober 2019 en voor de verweerder 7 november 2019.
7. Op 29 juli 2019 meldt de verweerder aan de Geschillenkamer dat zij kennis heeft genomen van
de klacht, vraagt zij een kopie van het dossier (art. 95, §2, 3° WOG) en aanvaardt zij elektronisch
alle communicatie omtrent de zaak (art. 98, 1° WOG).
8. Op 30 juli 2019 wordt een kopie van het dossier aan de verweerder overgemaakt.
9. Op 2 augustus 2019 ontvangt de Geschillenkamer een schrijven waarin de verweerder aangeeft
dat hij wenst te worden gehoord door de Geschillenkamer (art. 98, 2° WOG).
10. Op 6 september 2019 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. Verweerder stelt, ten eerste, dat het verwerken van bijzondere categorieën van
persoonsgegevens, in casu gezondheidsgegevens door zorgverzekeraar Y op rechtmatige wijze
geschiedt. De verwerking van deze bijzondere categorieën van persoonsgegevens (art. 9 AVG)
is in beginsel verboden. Verweerder beroept zich voor de verwerking op de uitzonderingsgrond
van artikel 9 lid 2, a AVG, de uitdrukkelijke toestemming van de betrokkene. Ten tweede betoogt
verweerder dat er geen afzonderlijke toestemming noodzakelijk is voor iedere doorgifte van
persoonsgegevens. Ten derde is er volgens verweerder geen sprake van het vragen van
toestemming voor het verwerken van andere gegevens dan gezondheidsgegevens. Tot slot was
volgens verweerder een gegevensbeschermingseffectbeoordeling in dit geval niet noodzakelijk
aangezien het reeds bestaande verwerkingen betreft en geen nieuwe verwerkingen die
aanvingen na 25 mei 2018.
Beslissing ten gronde 57/2021 - 4/36
11. De klager heeft geen gebruik gemaakt van het recht om een conclusie van repliek in te dienen.
12. De verweerder dient geen nieuwe conclusie in en bezorgt op 7 november 2019 enkel producties
ter staving van de op 6 september 2019 ingediende conclusie van antwoord.
13. Op 9 januari 2020 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden
op 28 januari 2020.
14. Op 28 januari 2020 wordt de verweerder gehoord door de Geschillenkamer. De klager, hoewel
behoorlijk opgeroepen, is niet verschenen. Onder meer beantwoordt de verweerder vragen van
de Geschillenkamer over de rechtsgrondslag voor de verwerking van persoonsgegevens, niet
zijnde gezondheidsgegevens. Hierna worden de debatten gesloten.
15. Op 29 januari 2019 wordt het proces verbaal van de hoorzitting aan partijen voorgelegd.
16. Op 31 januari 2020 bezorgt de verweerder, zoals gevraagd tijdens de hoorzitting de jaaromzet
van de drie laatste boekjaren. Deze bedragen over de jaren 2016-2018 steeds een omzet tussen
de 500 en 600 miljoen Euro.
17. Op 6 februari 2020 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen
met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad.
18. Op 25 maart 2020 maakt de Geschillenkamer aan de verweerder het voornemen kenbaar om
over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan
teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief
wordt opgelegd.
19. Op 8 mei 2020 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen
tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan.
De verweerder voert aan dat de vermeende inbreuken zoals opgenomen in het voornemen van
de Geschillenkamer volledig nieuw zouden zijn en hij zich daaromtrent niet heeft kunnen
verdedigen. De Geschillenkamer dient evenwel vast te stellen dat uit de stukken van het dossier
onweerlegbaar blijkt dat de verweerder zijn recht van verdediging wel degelijk ten volle heeft
kunnen uitoefenen.
De verweerder stelt het ook oneens te zijn met het opleggen van een geldboete, of de
voorgenomen hoogte van de geldboete. Hij voert echter geen (nieuwe) argumenten aan ter
onderbouwing van deze stelling. De reactie van de verweerder geeft voor de Geschillenkamer
Beslissing ten gronde 57/2021 - 5/36
dan ook geen aanleiding tot aanpassing van het voornemen tot het opleggen van een
administratieve geldboete en evenmin tot wijziging van het bedrag van de boete zoals
voorgenomen.
20. Op 14 mei 2020 oordeelt de Geschillenkamer in haar Beslissing ten gronde 24/2020 als volgt:
- op grond van art. 100, §1, 9° WOG, de verweerder te bevelen dat de verwerking in
overeenstemming wordt gebracht met artikel 5.1 a), artikel 5.2, artikel 6.1, artikel 12.1, artikel
13.1 c) en d) en 13.2 b) AVG.
- op grond van art. 100, §1, 13° WOG en art. 101 WOG een administratieve geldboete op te
leggen van 50.000 EUR ingevolge de inbreuken op artikel 5.1 a), artikel 5.2, artikel 6.1, artikel
12.1, artikel 13.1 c) en d) en artikel 13.2 b) AVG.
21. Op 17 juni 2020 ontvangt de Geschillenkamer vanwege het Hof van beroep te Brussel de
kennisgeving van een verzoekschrift tegen de GBA, neergelegd ter griffie van het Hof.
22. Op 24 juni 2020 vindt de inleidingszitting voor het Marktenhof plaats, waarbij de
conclusietermijnen voor de partijen worden vastgelegd, alsook wordt de zaak vastgesteld voor
pleidooien op de zitting van 21 oktober 2020.
Op 18 november 2020 velt het Marktenhof arrest.
Het arrest1 bevat in hoofdlijnen de volgende aandachtspunten aangaande de beoordeling van
het voorwerp van het verzoekschrift:
• Vernietiging van beslissing ten gronde nr. 24/2020 van 14 mei 2020 van de Geschillenkamer.
• Het Marktenhof stelt dat de verweerder de gelegenheid moest krijgen – nadat de grief klaar
en duidelijk schriftelijk geformuleerd werd – om daaromtrent een schriftelijke conclusie te
nemen. Het feit dat de verweerder ter gelegenheid van de hoorzitting werd gevraagd
(hetgeen werd vermeld in het proces-verbaald van de hoorzitting) stelling te nemen
betreffende de algemene vraag inzake het gerechtvaardigd belang waarop de verweerder
zich beroept om andere dan gezondheidsgegevens te verwerken en dat de verweerder
hierop slechts een summier antwoord formuleerde zonder bedenkingen of bezwaren
verantwoordt de beslissing nr. 24/2020 van 14 mei 2020 niet op afdoende wijze.
23. In opvolging van het arrest beslist de Geschillenkamer op 27 november 2020 om over te gaan
tot het hernemen van het dossier met het oog op het nemen van een nieuwe beslissing. De
overweging die hieraan ten grondslag ligt, is dat de Geschillenkamer niettegenstaande de
1
Het arrest is beschikbaar op de website van de Gegevensbeschermingsautoriteit via volgende link:
https://www.gegevensbeschermingsautoriteit.be/publications/tussenarrest-van-02-september-2020-van-het-marktenhof.pdf
Beslissing ten gronde 57/2021 - 6/36
vernietiging van voormelde beslissing door het arrest van het Marktenhof, nog steeds is gevat
door de initiële klacht ingediend op 14 juni 2019 zoals ontvankelijk verklaard door de
Eerstelijnsdienst op 26 juni 2019. Derhalve wordt overgegaan tot heropening van de debatten
en worden nieuwe conclusietermijnen bepaald, zodat partijen standpunt kunnen innemen
omtrent het gerechtvaardigd belang waarop de verweerder zich beroept om andere dan
gezondheidsgegevens te verwerken.
De partijen worden in kennis gesteld van de volgende conclusietermijnen:
• de uiterste datum voor de conclusie van antwoord van de klager wordt vastgelegd op 8
januari 2021;
• de uiterste datum voor de conclusie van repliek van de verweerder wordt vastgelegd op 19
februari 2021;
Ook de datum van de hoorzitting wordt bepaald, welke zal plaatsvinden op 22 maart 2021.
24. Op 27 november 2020 ontvangt de Geschillenkamer vanwege de klager de mededeling dat het
hem vanwege de duidelijke argumenten niet nodig lijkt nog extra argumentatie aan te brengen.
De Geschillenkamer brengt diezelfde dag de verweerder op de hoogte dat de klager te kennen
heeft gegeven geen conclusie te zullen indienen. Op verzoek van de verweerder bevestigt de
Geschillenkamer verder ook dat de initieel bepaalde datum voor conclusie van repliek van de
verweerder, alsook de datum van de hoorzitting behouden blijven.
25. Op 19 februari 2021 ontvangt de Geschillenkamer de conclusie met bijhorende stukken vanwege
de verweerder. Daarin brengt de verweerder volgende middelen naar voor:
• Verweerder kan zich beroepen op haar gerechtvaardigde belangen voor de verwerking
van persoonsgegevens voor doeleinden overeenkomstig artikel 4.3 van haar oude
privacyverklaring (geen overtreding van artikelen 5.1 a); 5.2, 6.1 f) en 13.1 c) en d)
AVG.
• Verweerder kan zich beroepen op een toepasselijke rechtsgrond voor doorgiften aan
derde partijen overeenkomstig artikel 6 van de oude privacyverklaring (geen
overtreding van artikelen 5.1 a), 5.2, 6.1 en 13.1 c) en d) AVG.
• Indien verweerder zich niet kan beroepen op alle rechtsgronden op grond van artikel
6.1 AVG voor de verwerkingsdoeleinden overeenkomstig artikel 4.3 van de oude
privacyverklaring en doorgiften aan derden overeenkomstig artikel 6 van de oude
privacyverklaring, vormt dit een inbreuk op de vrijheid van ondernemerschap van de
verweerder.
• Verweerder voert aan dat een berisping volstaat en de administratieve geldboete van
€50.000,00 disproportioneel is.
Beslissing ten gronde 57/2021 - 7/36
26. Op 22 maart 2020 worden de partijen gehoord door de Geschillenkamer. De klager, hoewel
behoorlijk opgeroepen, is niet verschenen. De verweerder licht tijdens de hoorzitting zijn verweer
toe. Hierbij worden geen andere elementen aangebracht dan deze die reeds deel uitmaken van
het dossier. Hierna worden de debatten gesloten.
27. Op 25 maart 2021 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd
overeenkomstig artikel 54 van het reglement van interne orde. De verweerder bezorgt op 5 april
2021 de Geschillenkamer enkele opmerkingen met betrekking tot het proces-verbaal, dewelke
zij beslist mee op te nemen in haar beraad.
28. Op 6 april 2021 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt
om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag
daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie
effectief wordt opgelegd.
29. Op 27 april 2021 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen
tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan.
Samengevat, stelt de verweerder in zijn reactie op het voornemen tot het opleggen van een
administratieve boete het volgende:
- Aangaande het gebrek aan een aangetoond gerechtvaardigd belang als rechtsgrond voor de
doeleinden “het opleiden van personeel” en “de opslag van opnamen van videobewaking
gedurende de wettelijke periode”, voert de verweerder aan dat er tijdens de hoorzitting geen
vragen werden gesteld met betrekking tot de rechtmatigheid, noodzakelijkheid of de
proportionaliteit van deze verwerkingsdoeleinden.
Dienaangaande merkt de Geschillenkamer op dat de verweerder in de conclusies reeds
uitgebreid is ingegaan op de rechtmatigheid, noodzakelijkheid en proportionaliteit van alle
verwerkingsdoeleinden, waaronder ook deze voor “het opleiden van personeel” en “de opslag
van opnamen van videobewaking gedurende de wettelijke periode”, zodat daaromtrent geen
bijkomende toelichting werd gevraagd tijdens de hoorzitting. Tijdens een hoorzitting worden
enkel punctuele vragen gesteld omtrent nog resterende onduidelijkheden teneinde deze uit te
klaren en de Geschillenkamer toe te laten een oordeel te vormen.
Thans kan de Geschillenkamer enkel vaststellen dat de reactie van de verweerder op het
voornemen tot het opleggen van een administratieve geldboete ingevolge de inbreuk op
artikel 6.1 AVG voor wat betreft de doeleinden “het opleiden van personeel” en “de opslag
van opnamen van videobewaking gedurende de wettelijke periode” bij gebrek aan een
Beslissing ten gronde 57/2021 - 8/36
aangetoond gerechtvaardigd belang als rechtsgrond, geen nieuwe elementen bevat die van
aard zijn om het oordeel van de Geschillenkamer te wijzigen.
- Wat betreft de hoogte van de geldboete, meent de verweerder dat er geen geldboete kan
worden opgelegd voor de tenlastelegging dat persoonsgegevens zouden zijn verwerkt zonder
te beschikken over een gerechtvaardigd belang. Minstens meent de verweerder dat een
bedrag van 30.000 EUR disproportioneel hoog is. De verweerder haalt aan dat uit de
schriftelijke conclusies en tijdens de hoorzitting is gebleken dat algemeen opleidingsmateriaal
in principe steeds is geanonimiseerd en er zo goed als geen persoonsgegevens van klanten
worden verwerkt via camerabewaking. Uit de stukken van het dossier zou ook niet blijken dat
enige persoonsgegevens van de klager zouden zijn verwerkt voor deze
verwerkingsdoeleinden. Om die reden zou de klager (en bij uitbreiding de andere klanten van
verweerder), in principe geen persoonlijk nadeel hebben ondervonden van enig gebrek aan
gerechtvaardigde belangen voor de verwerkingsactiviteiten “het opleiden van personeel” en
“de opslag van opnamen van videobewaking gedurende de wettelijke periode”.
De Geschillenkamer benadrukt dat het al dan niet ondervinden van enig persoonlijk nadeel
geen criterium vormt voor het opleggen van een administratieve geldboete, vermits dit niet is
opgenomen in artikel 83.2 AVG. Zij motiveert hierna in haar beslissing deze sanctie dan ook
zonder hierbij in aanmerking te nemen of de klager al dan niet enig persoonlijk nadeel heeft
geleden. De criteria voor het opleggen van een administratieve geldboete zijn duidelijk bepaald
in artikel 83.2 AVG, waarop de Geschillenkamer haar beslissing omtrent de administratieve
geldboete baseert.
Voor zover als nodig, voegt de Geschillenkamer hieraan toe dat de klager zijn
persoonsgegevens aan de verweerder heeft verstrekt voor verwerking in het kader van een
hospitalisatieverzekering en de verweerder vervolgens op basis van de toenmalige
privacyverklaring aangaf de persoonsgegevens van de klager eveneens te verwerken voor alle
in de privacyverklaring vermelde doeleinden. Op basis van de toenmalige privacyverklaring
verwerkte de verweerder de gegevens van de klager voor elk van de doeleinden opgenomen
in de privacyverklaring. Dit blijkt ook uit de conclusie die aan de grondslag ligt van de huidige
beslissing, waarin de verweerder zelf de aantijgingen die voortvloeien uit de klacht afbakent
(zie randnummer 33) en vormen de aantijgingen onder punten f), g) en h) het voorwerp van
zijn verweer. De aantijgingen voortvloeiend uit de klacht en zoals door de verweerder zelf
omschreven in zijn conclusie, betreffen gebreken in de privacyverklaring die de klager
betreffen, alsook ipso facto elke andere klant van de verweerder die een
hospitalisatieverzekering afsluit. De privacyverklaring is immers niet uitsluitend voor de klager
opgesteld, maar voor elke klant van de verweerder die een hospitalisatieverzekering afsluit.
Beslissing ten gronde 57/2021 - 9/36
Dit verklaart ook waarom de verweerder in zijn conclusie de rechtmatigheid, noodzakelijkheid
en proportionaliteit van alle verwerkingsdoeleinden, zonder enig onderscheid of het al dan niet
een verwerkingsdoeleinde betreft waarvoor persoonsgegevens van de klager worden
verwerkt, tracht aan te tonen. De verweerder gaat na of hij voor alle verwerkingsdoeleinden
over een gerechtvaardigd belang beschikt, omdat voor elk van die verwerkingsdoeleinden de
persoonsgegevens van de klager werden verwerkt overeenkomstig de toenmalige
privacyverklaring.
- Daarnaast meent de verweerder dat een bedrag van 30.000 EUR niet in verhouding staat met
de inbreuk.
Meer bepaald, wat betreft de ernst van de inbreuk, is de verweerder het niet eens met de
stelling van de Geschillenkamer dat, louter omwille van het feit dat een inbreuk op artikelen 5
en 6 van de AVG zou zijn vastgesteld, de inbreuken daarom automatisch “zwaarwichtig” en
“ernstig” zouden zijn. De verweerder voert aan dat enerzijds deze artikelen ten grondslag
liggen aan zowat de hele AVG en bijgevolg zo goed als elke inbreuk op de overige AVG-
artikelen kan worden teruggebracht tot een inbreuk op artikelen 5 en 6 AVG.
Anderzijds staat een kwalificatie van deze inbreuken als zijnde “zwaarwichtig” en “ernstig”
eraan in de weg dat een differentiatie zou worden gemaakt met inbreuken die werkelijk
zwaarwichtig en ernstig zijn, zoals bijvoorbeeld de gehele afwezigheid van een
privacyverklaring. Dit is hier echter helemaal niet aan de orde.
De verweerder stelt dat zij deze verwerkingsdoeleinden wel degelijk heeft vermeld in haar
privacyverklaring en met de nodige nauwgezetheid uitvoerige belangenafwegingen heeft
opgemaakt om na te gaan of zij zich kan beroepen op haar gerechtvaardigde belangen.
Aangaande de stelling van de verweerder dat een inbreuk op de basisbeginselen van de AVG
opgenomen in de artikelen 5 en 6 AVG niet automatisch als zwaarwichtig en ernstig zouden
kunnen worden beschouwd, merkt de Geschillenkamer op dat artikel 83.5 AVG zelf voorziet in
een ernstigere bestraffing van deze inbreuk waarvoor de hoogste maximale geldboete is
bepaald, precies omwille van het feit dat het gaat om basisbeginselen die de kern van een
gegevensverwerking betreffen. De bewering van de verweerder dat elke inbreuk op de AVG
kan worden herleid tot een inbreuk op de basisbeginselen, houdt geen stand vermits de
Geschillenkamer is gevat door de klacht en binnen die grenzen de toetsing aan de AVG doet
en dus geenszins, in tegenstelling tot wat de verweerder voorhoudt, elke inbreuk zou kunnen
worden ‘teruggebracht’ tot inbreuken op de basisbeginselen. Vermits de klacht precies de
basisbeginselen tot voorwerp heeft, doet de Geschillenkamer in casu uitspraak over de
toepassing van die beginselen. Daar waar de verweerder als voorbeeld aanhaalt dat de
algehele afwezigheid van een privacyverklaring ernstig en zwaarwichtig zou zijn, stelt de
Geschillenkamer dat het totale gebrek aan een privacyverklaring niet alleen een ernstige en
Beslissing ten gronde 57/2021 - 10/36
zwaarwichtige inbreuk zou zijn, maar een totale miskenning van de AVG. Dit neemt echter
niet weg dat een gebrekkige privacyverklaring, zoals in voorliggend geval, die de
basisbeginselen van de AVG niet respecteert, als ernstig en zwaarwichtig moet worden
aangemerkt.
Wat betreft de duur van de inbreuk, wijst de verweerder erop dat zij haar privacyverklaring al
tijdens de initiële procedure begin 2020 heeft aangepast en zij haar privacyverklaring naar
aanleiding van de initiële beslissing van de Geschillenkamer begin 2021 nogmaals heeft
aangepast en dit in aanmerking dient te worden genomen als verzachtende omstandigheid.
Wat betreft de afschrikwekkende werking, wijst de verweerder andermaal op haar
bereidwilligheid om steeds haar privacyverklaring aan te passen, hetgeen zij dan ook
tweemaal op zeer ingrijpende wijze heeft gedaan, zodat bijgevolg het doel van deze procedure
hierdoor volgens de verweerder is bereikt.
De Geschillenkamer gaf reeds in het voornemen tot het opleggen van een administratieve
geldboete, alsmede het bedrag daarvan, aan dat zij de reeds door de verweerder gedane
inspanningen om de nieuwe privacyverklaring in overeenstemming te brengen met de AVG,
waaruit diens bereidwilligheid blijkt, in aanmerking neemt. Daarentegen moet worden
opgemerkt dat hoewel de wijzigingen aangebracht in de nieuwe privacyverklaring een gunstig
element vormen bij de beoordeling van de administratieve geldboete, deze er niet toe strekken
dat de vastgestelde inbreuken ongedaan zouden worden gemaakt (zie randnummer 120).
De Geschillenkamer motiveert het opleggen van de administratieve geldboete meer uitgebreid
in onderdeel 3 van deze beslissing.
Uit het voorgaande volgt dat de reactie van de verweerder voor de Geschillenkamer geen
aanleiding geeft tot aanpassing van het voornemen tot het opleggen van een administratieve
geldboete en evenmin tot wijziging van het bedrag van de boete zoals voorgenomen.
2. Motivering
1. Gerechtvaardigd belang
a) Voorafgaande opmerking
30. Uit het arrest van het Marktenhof volgt dat de Geschillenkamer in haar beslissing 24/2020 van
14 mei 2020 zou hebben geoordeeld zonder dat de verweerder zich ten volle zou hebben kunnen
verdedigen omdat de beslissing van de Geschillenkamer niet zou zijn beperkt gebleven tot de
aantijgingen die het voorwerp uitmaken van de klacht.
Beslissing ten gronde 57/2021 - 11/36
31. De klager stelt in de klacht evenwel uitdrukkelijk dat de klant de keuze moet krijgen of hij met
de verwerkingen opgesomd in punt 4.3 en 6 akkoord gaat en hij krijgt deze niet. Immers, zodra
hij zijn toestemming heeft gegeven tot verwerking van zijn persoonsgegevens in het kader van
een hospitalisatieverzekering, dient volgens de klager de gegevensverwerking beperkt te zijn tot
het uitvoeren van de verplichtingen die uit die verzekering voortvloeien. De klager houdt voor
dat de verweerder zijn gegevens niet voor om het even welk ander doeleinde, meer specifiek de
doeleinden vermeld in punt 4.3 en 6 van de oude privacyverklaring, kan verwerken zonder zijn
toestemming. In de klacht wordt dus de rechtsgrond van de verwerkingen voor de doeleinden
opgesomd in punt 4.3 betwist. De klager meent dat voor die doeleinden vermeld in punt 4.3 zijn
toestemming is vereist en de verweerder dus niet zonder meer de gegevens verkregen op basis
van toestemming in het kader van een hospitalisatieverzekering ook kan gebruiken voor andere
doeleinden, waarvoor de verweerder zich baseert op zijn gerechtvaardigd belang.
32. De klacht heeft aldus in essentie betrekking op de rechtsgrond waarop de verweerder zich kan
beroepen om de van de klager verkregen persoonsgegevens te verwerken voor de doeleinden
opgesomd in punt 4.3 en 6 van de oude privacyverklaring van de verweerder.
33. In de voorliggende conclusie van de verweerder worden de aantijgingen opgesomd in de punten
a) tot en met h):
“a) Y zou de toestemming voor de verwerking van medische gegevens in het kader van het sluiten
en uitvoeren van verzekeringsovereenkomsten onder dwang verkrijgen, waardoor deze
toestemming ongeldig zou zijn (overtreding van artikelen 5, lid 1, onder a)
(rechtmatigheidsbeginsel); 6, lid 1, onder a) en 9, lid 2, onder a) AVG)
b) Y dient de Klager toegang te verlenen tot de gegevensbeschermingseffectenbeoordeling
(“GBEB”) die zij zou hebben uitgevoerd voor de verwerking van medische gegevens in verband
met de uitvoering van verzekeringsovereenkomsten met haar klanten (overtreding van artikelen
35 en 36 AVG)
c) Y dient, in de artikelen 4.3 en 6 van de oude Privacyverklaring, een beter onderscheid te maken
tussen de verwerking van medische gegevens enerzijds en de verwerking van andere "gewone"
persoonsgegevens anderzijds (overtreding van artikel 13, lid 1, onder c) AVG);
d) Y dient aanvullende maatregelen te nemen om de betrokkenen op de hoogte te stellen van hun
recht om bezwaar te maken op grond van artikel 21, lid 2 AVG (overtreding van artikel 12, lid 1
en 13, lid 2, onder b) AVG)
Beslissing ten gronde 57/2021 - 12/36
e) Y dient de in artikel 6 van de Y oude Privacyverklaring genoemde rechtsgronden voor de
doorgifte van persoonsgegevens aan derden, verder te verduidelijken (overtreding van artikel 13,
lid 1, onder c) AVG)
f) Y zou persoonsgegevens verwerken zonder aangetoonde rechtsgrond (waaronder haar
gerechtvaardigd belang in de zin van artikel 6, lid 1 AVG) voor een aantal in artikel 4.3 van de
oude Y Privacyverklaring genoemde doeleinden en in artikel 6 van de oude Y Privacyverklaring
genoemde doorgiften aan derden (overtreding van artikel 5, lid 1, onder a)
(rechtmatigheidsbeginsel) en 6, lid 1 AVG)
g) Y zou in haar oude Privacyverklaring onvoldoende informatie hebben verstrekt over haar
gerechtvaardigde belangen, daar waar Y zich op deze rechtsgrond beroept (overtreding van
artikelen 5, lid 1, onder a) (transparantiebeginsel) en 13, lid 1, onder c) en d) AVG)
h) Y zou, daar waar Y zich op deze rechtsgrond beroept, onvoldoende hebben aangetoond waaruit
haar gerechtvaardigde belangen zouden bestaan en zou hebben nagelaten aan te tonen in
hoeverre haar belangen zwaarder zou doorwegen dan de belangen en grondrechten van de Klager
(overtreding van artikel 5, lid 2 AVG).”
34. De verweerder bevestigt ook dat de aantijgingen als beschreven in punt a) tot en met h)
voortvloeien uit de klacht door in de conclusie het volgende te stellen:
“Mocht de Geschillenkamer menen dat de bovenstaande aantijgingen en vermeende inbreuken
op de AVG door Y (punten a tot h) niet voortvloeien uit de klacht […], wordt de Geschillenkamer
uitgenodigd om Y hiervan op de hoogte te stellen […].”
35. De Geschillenkamer merkt daaromtrent op dat reeds in de klacht de aantijgingen zoals thans
beschreven door de verweerder in punt a) tot en met h) naar voor werden gebracht en
waaromtrent de verweerder thans aangeeft dat deze wel degelijk voortvloeien uit de klacht,
maar waaromtrent hij voor wat betreft f), g) en h) niettemin geen verweer voerde in de
procedure voorafgaand aan beslissing 24/2020 van 14 mei 2020.
Voor wat betreft de aantijgingen onder a) tot en met e) van zijn conclusie geeft de verweerder
aan dat hij zich ofwel heeft kunnen verdedigen en in het gelijk werd gesteld door de
Geschillenkamer (dit betreft de aantijgingen a) en b)), ofwel de aantijgingen niet heeft betwist
en heeft rechtgezet in de nieuwe privacyverklaring (dit betreft de aantijgingen onder c), d) en
e)). Aangaande de vastgestelde inbreuk op artikel 13.1 c) AVG betreffende de aantijging onder
c), de inbreuk op artikel 12.1 en artikel 13.2 b) AVG betreffende aantijging onder d) en de
Beslissing ten gronde 57/2021 - 13/36
inbreuk op artikel 13.1 c) AVG betreffende de aantijging onder e) verwijst de Geschillenkamer
naar de motivering daartoe in beslissing 24/2020 van 14 mei 2020.
Het verweer in de voorliggende conclusie is enkel gericht op de aantijgingen onder punten f), g)
en h).
36. In de mate dat er omtrent het voorwerp van de klacht toch enige onduidelijkheid zou zijn
geweest in hoofde van de verweerder voorafgaand aan de beslissing 24/2020, heeft de
Geschillenkamer aan de verweerder niettemin de mogelijkheid geboden om zich alsnog te
verdedigen en gaat de Geschillenkamer hierna na of, en desgevallend, in welke mate de
verweerder een inbreuk heeft gepleegd op de AVG voor wat betreft de aantijgingen als
beschreven in punt f), g) en h) van diens conclusie en of de administratieve geldboete moet
worden gehandhaafd.
b) Rechtsgrond voor doeleinden vermeld onder 4.3 van de privacyverklaring
37. De verweerder voert aan zich te kunnen beroepen op haar gerechtvaardigde belangen voor de
verwerking van niet-gevoelige persoonsgegevens voor de volgende doeleinden opgenomen
onder punt 4.3 van de oude privacyverklaring:
• het uitvoeren van computertesten;
• het bewaken van de kwaliteit van de dienstverlening;
• het opleiden van personeel;
• monitoring en rapportage;
• de opslag van opnamen van videobewaking gedurende de wettelijke periode; en
• het opstellen van statistieken van gecodeerde gegevens, inclusief big data.
38. Voor elk van deze doeleinden heeft de verweerder een belangenafweging uitgevoerd. De
Geschillenkamer beoordeelt hierna voor elk van deze doeleinden de gemaakte belangenafweging
in overeenstemming met de vaste besluitvorming2 die zij hanteert voor de toetsing van het
gerechtvaardig belang.
39. Overeenkomstig artikel 6.1 f) AVG en de rechtspraak van het Hof van Justitie van de Europese
Unie dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een
2
Zie onder meer: Beslissing ten gronde 03/2021 van 13 januari 2021; Beslissing ten gronde 71/2020 van 30 oktober 2020;
Beslissing ten gronde 36/2020 van 9 juli 2020; Beslissing ten gronde 35/2020 van 30 juni 2020.
Beslissing ten gronde 57/2021 - 14/36
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “ te
weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de
verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de
tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging
van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele
rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren ”
(arrest “Rigas”3).
40. Teneinde zich conform artikel 6.1 f) AVG te kunnen beroepen op de rechtmatigheidsgrond van
het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan
te tonen dat:
1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend
(de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de
“noodzakelijkheidstoets”); en
3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke (de “afwegingstoets”).
41. Aangaande het doeleinde “het uitvoeren van computertesten” stelt de verweerder het
volgende:
“Context van het verwerkingsdoeleinde
Dit verwerkingsdoeleinde omvat de tests die worden uitgevoerd door IT-testers en -ontwikkelaars:
• in verband met "wijzigingen", dit zijn kleinere aanpassingen of in verband met louter functionele
aspecten; en
• in het kader van eventuele automatiseringsprojecten.
Deze tests worden uitgevoerd in het kader van:
• IT- en netwerkbeveiliging;
• het onderhoud, de verbetering en ontwikkeling van (de kwaliteit van) Y producten en -diensten;
of
• de verbetering van de klantervaring (bijv. om interne processen en systemen efficiënter te
maken voor back-office activiteiten, om de gebruikerservaring in de digitale kanalen van Y te
verbeteren, etc.).
3
HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA
„Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA,
overweging 40.
Beslissing ten gronde 57/2021 - 15/36
Dit proces omvat niet de acceptatie- en emulatiefase, die alleen door het team "gespecialiseerde
activiteiten" kan worden uitgevoerd voordat de wijzigingen daadwerkelijk kunnen worden
geïmplementeerd en in productie kunnen worden genomen.”
42. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het verwerkingsdoeleinde zoals beschreven door de verweerder moet worden
beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
43. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
44. Uitgaande van het doeleinde, zijnde het uitvoeren van computertesten, dient de Geschillenkamer
vast te stellen dat de verweerder laat gelden dat daar waar mogelijk dummy-gegevens of
geanonimiseerde gegevens worden gebruikt (vb. bij veranderingen waarbij verschillende
systemen of applicaties worden betrokken en die een unieke referentie vereisen, zoals bijv. het
polisnummer). Enkel wanneer het niet anders kan, worden persoonsgegevens gebruikt om de
beoogde verandering of ontwikkeling te kunnen realiseren. Eventuele mogelijkheden tot (een
verdere) beperking van de gegevensverwerking worden constant onderzocht en progressief
ingevoerd in het kader van het project 'data anonimisatie in non-productieomgevingen'. Voorts
worden strikte toegangscontroles ingevoerd op de IT-omgevingen waar de IT-tests worden
uitgevoerd. Ook worden procedures vastgesteld voor de wijze waarop deze IT-tests moeten
worden uitgevoerd, waarmee alle betrokkenen rekening moeten houden.
45. De Geschillenkamer merkt op dat de verweerder aanhaalt enkel persoonsgegevens te gebruiken
wanneer het niet anders kan. Tijdens de hoorzitting verklaart Y dat de testen steeds plaatsvinden
aan de hand van dummy-gegevens, maar dat de testfase bepalend is voor de mate waarin met
dergelijke gegevens kan worden getest. In sommige gevallen zijn immers de grenzen van de
mogelijkheden om aan data masking te doen, bereikt. Dit heeft te maken met de life cycle van
de testen, namelijk geleidelijk aan kunnen dummy-gegevens worden gebruikt bij IT-testen, maar
soms is de verwerking van persoonsgegevens vereist teneinde de wisselwerking tussen
applicaties te kunnen verzekeren. De Geschillenkamer is van oordeel dat de verweerder aldus
redelijkerwijs aannemelijk maakt dat de computersystemen niet steeds op basis van
Beslissing ten gronde 57/2021 - 16/36
geanonimiseerde of gepseudonimiseerde gegevens kunnen worden getest. Aan de tweede
voorwaarde is aldus voldaan, doordat werd aangetoond dat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd. Niettemin merkt de Geschillenkamer
op dat met het oog op duiding ten aanzien van de betrokken klanten, de verweerder zou kunnen
overwegen om in de privacyverklaring enige beknopte uitleg te verstrekken omtrent het geval
waarin de verweerder niet anders kan dan met persoonsgegevens computertesten uitvoeren.
46. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “ betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”4.
47. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens zullen worden
gebruikt voor het uitvoeren van computertesten. De klanten verwachten immers een correcte
uitvoering van hun verzekeringscontracten, hetwelk gepaard gaat met een veilig en correct
beheer van de IT-systemen. Het belang van de klanten vereist aldus dat de functionaliteiten van
de IT-omgeving hiertoe worden getest.
48. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “het uitvoeren van computertesten” kan beroepen op de rechtsgrond opgenomen in
artikel 6.1 f) AVG.
49. Aangaande het doeleinde “het bewaken van de kwaliteit van de dienstverlening” en “het
opstellen van statistieken van gecodeerde gegevens, inclusief big data” stelt de
verweerder dat dit drie onderdelen omvat en bepaalt het volgende:
- Voor het onderdeel “Statistieken en kwaliteitstesten”
“Context van het verwerkingsdoeleinde
4
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 17/36
Y is, als verzekeraar, onderworpen aan prudentieel toezicht. Dit houdt onder meer in dat zij
gehouden is tot algehele controle van haar onderneming en haar prestaties, met inbegrip van,
doch niet beperkt tot, de controle van de verkoopprestaties, de prestaties en erelonen van
bepaalde-ziekenhuisnetwerken en de dekkingen/terugbetalingen. Dit heeft betrekking op de
algemene controle van de kwaliteit van de diensten en de prestaties van de
verzekeringsonderneming om de continuïteit ervan te verzekeren. Dit verwerkingsdoeleinde
omvat zowel eenmalige als terugkerende rapporteringen waarbij al dan niet gebruik wordt
gemaakt van big data methodieken. Hierbij worden hoofzakelijk geaggregeerde of
geanonimiseerde rapporten opgesteld, tenzij specifieke statistieken nodig zijn (per categorie
zoals bijv. per leeftijdsgroep).”
50. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat de context van het verwerkingsdoeleinde zoals beschreven door de verweerder moet
worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
51. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
52. De Geschillenkamer merkt op dat de verweerder enkel verantwoordt dat het voor hem
noodzakelijk is om statistieken op te stellen en kwaliteitstesten uit te voeren, aangezien de
financiële levensvatbaarheid, de kwaliteit van de dienstverlening, de premiezetting en de
prestaties niet kunnen worden bepaald zonder deze actief te meten. De Geschillenkamer miskent
geenszins de noodzaak voor de verweerder om te beschikken over statistieken en
kwaliteitstesten, maar de verweerder beperkt er zich toe te stellen dat hoofdzakelijk
geaggregeerde of geanonimiseerde rapporten worden opgesteld, tenzij specifieke statistieken
nodig zijn (per categorie zoals bijv. per leeftijdsgroep). Bovendien stelt de verweerder dat voor
de opmaak van die rapporteringen al dan niet gebruik wordt gemaakt van big data methodieken.
53. In hoeverre de statistieken alsnog persoonsgegevens bevatten of toelaten om over te gaan tot
heridentificatie van een betrokkene, wordt nader uiteengezet tijdens de hoorzitting. De
verweerder stelt dat er nog zeer weinig statistieken zijn die persoonsgegevens bevatten. De
Beslissing ten gronde 57/2021 - 18/36
statistieken bevatten in geen geval namen en zeker geen gezondheidsgegevens. De statistieken
bevatten wel codes, maar het betreft in de massa geaggregeerde, gesegmenteerde gegevens.
Ook vereist de richtlijn (EU) 2016/97 betreffende verzekeringsdistributie 5 en de Belgische
uitvoeringswetgeving van deze richtlijn dat voor specifieke rapportering bepaalde
persoonsgegevens worden verwerkt. Soms worden polisgegevens verwerkt in de rapportering,
maar daarmee gebeuren geen verdere verwerkingen in de statistieken. Elk rapport heeft een
doeleinde en de verwerking mag daar niet buiten gaan. Er wordt een register bijgehouden van
die rapporten en hun doeleinde, dewelke strikt zijn gereglementeerd via het datawarehouse en
waarvoor ‘approvals’ nodig zijn om ervan af te wijken.
54. De Geschillenkamer besluit dat de verweerder de nodige inspanningen heeft gedaan om de
gegevensverwerking voor dit doeleinde te beperken tot wat strikt noodzakelijk is. Aan de tweede
voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd.
55. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”.
56. De Geschillenkamer volgt het standpunt van de verweerder dat als een persoon een
verzekeringsovereenkomst aangaat met Y, deze redelijkerwijs kan verwachten dat Y interne
controles uitvoert en statistieken opmaakt om ervoor te zorgen dat Y haar contractuele
verplichtingen kan nakomen.
57. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “Statistieken en kwaliteitsvereisten” kan beroepen op de rechtsgrond opgenomen in
artikel 6.1 f) AVG.
- Voor het onderdeel “Tevredenheidsenquêtes”
5
Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende verzekeringsdistributie
(herschikking), OJ L 26/19.
Beslissing ten gronde 57/2021 - 19/36
“Context van het verwerkingsdoeleinde
Dit verwerkingsdoeleinde omvat het bepalen van de NPS ("Net Promotor Score"), de
tevredenheidsfactor van de klanten o.b.v. een externe bevraging door een derde partij om de
anonimiteit van de bevraging te vrijwaren. Deze factor wordt berekend m.b.t. de opvolging
door het Y Contact Center en het claims departement (schadeafhandelingen)
58. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het verwerkingsdoeleinde zoals beschreven door de verweerder moet worden
beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
59. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
60. Uitgaande van het doeleinde, zijnde het uitvoeren van tevredenheidsenquêtes, dient de
Geschillenkamer vast te stellen dat de verweerder laat gelden dat de klant via deze bevraging
op een anonieme manier een opinie kan geven en dus zijn belangen doen gelden. De resultaten
worden geaggregeerd en verwerkt door een externe vennootschap zodat de anonimiteit van de
betrokkenen kan worden gevrijwaard. Tijdens de hoorzitting wordt daaraan toegevoegd dat de
klanten steeds de keuze hebben om al dan niet deel te nemen aan de enquête, vermits zij steeds
over het recht van bezwaar beschikken. De Geschillenkamer stelt vast dat de klanten aldus over
de nodige keuzevrijheid beschikken, alsook dat de resultaten van zij die deelnemen aan de
enquête in anonieme vorm worden ter beschikking gesteld aan de verweerder.
Aan de tweede voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van
minimale gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd.
61. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
Beslissing ten gronde 57/2021 - 20/36
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”6.
62. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens door de verweerder
zullen worden gebruikt om te peilen naar zijn tevredenheid over de dienstverlening van de
verweerder.
63. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “het uitvoeren van tevredenheidsenquêtes” kan beroepen op de rechtsgrond
opgenomen in artikel 6.1 f) AVG.
- Voor het onderdeel “Kwaliteitstesten operations”
“Context van het verwerkingsdoeleinde
Dit verwerkingsdoeleinde heeft betrekking op de algemene controle van de kwaliteit van
de operationele diensten en de prestaties van Y . Dit gaat over kwaliteitschecks waarbij
elke betrokken medewerker per week 2 willekeurige controles moet uitvoeren m.b.t. tot
de correcte onderschrijving of uitvoering van de verzekeringsovereenkomst en geldende
instructies en procedures hiertoe.”
64. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het verwerkingsdoeleinde zoals beschreven door de verweerder moet worden
beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
65. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
6
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 21/36
66. Uitgaande van het doeleinde, zijnde de algemene controle van de kwaliteit van de operationele
diensten en de prestaties van Y, dient de Geschillenkamer vast te stellen dat de verweerder laat
gelden dat Y is onderworpen aan de richtlijn (EU) 2016/97 betreffende verzekeringsdistributie
en aan de Belgische uitvoeringswetgeving die de verzekeringsmaatschappijen verplichten hun
diensten af te stemmen op de verlangens en behoeften van hun klanten. Zoals aangegeven
tijdens de hoorzitting, beroept de verweerder zich niet op zijn wettelijke verplichting (artikel 6.1
c) AVG) als rechtsgrond voor de verwerking, vermits de aard en de omvang van de rapportering
niet expliciet als dusdanig door de wet wordt opgelegd. Vandaar dat de verweerder voor die
verwerkingen haar ‘legitiem belang in het kader van die wetgeving’ als rechtsgrond laat gelden.
Aan de tweede voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van
minimale gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd. De verwerking van
persoonsgegevens is nodig teneinde de kwaliteit van de dienstverlening actief te meten.
67. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”7.
68. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens zullen worden
gebruikt voor het uitvoeren voor interne kwaliteitscontroles om ervoor te zorgen dat Y haar
wettelijke en contractuele verplichtingen kan nakomen.
69. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “kwaliteitstesten operations” kan beroepen op de rechtsgrond opgenomen in artikel
6.1 f) AVG.
70. Aangaande het doeleinde “het opleiden van personeel” stelt de verweerder het volgende:
“Context van het verwerkingsdoeleinde
7
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 22/36
Dit omvat de organisatie en opvolging van opleidingen, bewustwordingssessies ("awareness") en
trainingen voor Y bedienden die in contact komen met (persoonsgegevens van) klanten.
Trainingen omvatten onder meer:
• verzekeringstechnische aspecten (vb. m.b.t. Y producten);
• technische aspecten (vb. het gebruik van Office 365 applicaties, trainingen aangaande
informatiebeveiliging, etc.);
• "on the job" trainingen (training voor nieuwe medewerkers alsook training met als doel om de
kwaliteit van de dienstverlening voortdurend te verbeteren); en
• meer algemene aspecten zoals compliance onderwerpen (vb. de AVG, IDD, etc.).”
71. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het verwerkingsdoeleinde zoals beschreven door de verweerder moet worden
beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
72. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
73. Uitgaande van het doeleinde, zijnde het opleiden van personeel, dient de Geschillenkamer vast
te stellen dat de verweerder opwerpt dat in uitzonderlijke gevallen de casussen die gebruikt
worden voor de opleidingen persoonsgegevens van klanten bevatten, of worden
persoonsgegevens van klanten gebruikt voor het opstellen van het opleidingsmateriaal. De
verweerder stelt dat het onderliggend materiaal (casussen) echter over het algemeen volledig
wordt geanonimiseerd.
74. De Geschillenkamer merkt op dat de verweerder aanhaalt dat in het kader van opleidingen de
casussen enkel persoonsgegevens van klanten bevatten in uitzonderlijke gevallen of
persoonsgegevens van klanten worden gebruikt voor het opstellen van het opleidingsmateriaal.
De verweerder laat evenwel na te verduidelijken in welke gevallen hij genoodzaakt zou zijn
opleidingen aan het personeel aan te bieden aan de hand van de persoonsgegevens van klanten.
De verweerder maakt niet redelijkerwijs aannemelijk dat personeelsopleidingen niet steeds op
basis van geanonimiseerde gegevens zouden kunnen worden verstrekt. Aan de tweede
Beslissing ten gronde 57/2021 - 23/36
voorwaarde is aldus niet voldaan doordat niet werd aangetoond dat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd.
75. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”8.
76. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er niet vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens zullen worden
gebruikt voor het opleiden van personeel. Een verzekeringnemer kan zich enkel verwachten aan
een normaal beheer van zijn klantdossier, hetwelk enkel toegang vergt tot de daarin opgenomen
informatie door het personeel dat daarin taken moet uitvoeren ten behoeve van de betrokken
klant. Wanneer in het kader van een opleiding informatie uit concrete dossiers wordt gedeeld,
blijft de verwerking van die informatie niet beperkt tot diegenen die taken moeten verrichten in
het betreffende dossier.
77. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “het opleiden van personeel” niet kan beroepen op de rechtsgrond ‘gerechtvaardigd
belang’ en er dus sprake is van een inbreuk op artikel 6.1 f) AVG. De Geschillenkamer merkt
aanvullend op dat indien de verweerder toch zou wensen om persoonsgegevens van klanten te
gebruiken voor het opleiden van personeel, hij zich kan beroepen op een andere rechtsgrond
zijnde de toestemming (artikel 6.1 a) AVG).
78. Aangaande het doeleinde “monitoring en rapportage” stelt de verweerder het volgende:
“Context van het verwerkingsdoeleinde
Dit verwerkingsdoeleinde omvat onder meer het opstellen van rapporten om controles te
kunnen uitvoeren in het kader van:
• IFRS 17 boekhoudstandaarden voor verzekeringscontracten en de Belgische, algemeen
aanvaarde boekhoudregels ("Belgian GAAP");
8
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 24/36
• het berekenen van de reserves (in het kader van bijvoorbeeld de wet van 13 maart 2016 op
het statuut van en het toezicht op de verzekerings- of herverzekeringsondernemingen (Solvency
II wet), etc.); of
• rentabiliteitsmonitoring of rapporteringen in het kader van grote schadeclaims.
Deze rapporten worden zowel gemaakt voor interne controledoeleinden als voor rapportering
aan de Y1 Re groep (waarvan Y deel uitmaakt). Dit houdt zowel terugkerende rapporten als
eenmalige ad hoc rapporten in. Hierbij worden enkel volledige geaggregeerde,
geanonimiseerde, of indien niet anders mogelijk gepseudonimiseerde rapporten opgesteld in
het kader van grote schadeclaims of ad hoc rapporten m.b.t. specifieke gevallen of uitschieters.”
79. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat de context van het verwerkingsdoeleinde zoals beschreven door de verweerder moet
worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
80. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
81. Uitgaande van het doeleinde, zijnde monitoring en rapportage, dient de Geschillenkamer vast te
stellen dat de verweerder laat gelden dat de diverse algemene financiële en
verzekeringsrechtelijke regelgevingen (in het kader van bijvoorbeeld de wet van 13 maart 2016
op het statuut van en het toezicht op de verzekerings- of herverzekeringsondernemingen
(Solvency II wet)) niet kan worden nageleefd zonder hiertoe de benodigde rapporten op te
stellen of aan monitoring te doen. Zoals aangegeven tijdens de hoorzitting, beroept de
verweerder zich ook hier niet op zijn wettelijke verplichting (artikel 6.1 c) AVG) als rechtsgrond
voor de verwerking, vermits de aard en de omvang van de rapportering niet expliciet als
dusdanig door de wet wordt opgelegd. Vandaar dat de verweerder voor die verwerkingen haar
‘legitiem belang in het kader van die wetgeving’ als rechtsgrond laat gelden. Aan de tweede
voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd. De verwerking van persoonsgegevens
is immers nodig aangezien de wetgeving niet kan worden nageleefd zonder dat hiertoe de
benodigde rapporten worden opgesteld of aan monitoring wordt gedaan.
Beslissing ten gronde 57/2021 - 25/36
82. De verweerder voegt daaraan toe dat enkel volledige geaggregeerde, geanonimiseerde, of indien
niet anders mogelijk gepseudonimiseerde rapporten worden opgesteld in het kader van grote
schadeclaims of ad hoc rapporten met betrekking tot specifieke gevallen of uitschieters. Aan de
tweede voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van minimale
gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd.
83. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “ betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”9.
84. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens zullen worden
gebruikt voor het nakomen van de wettelijke en contractuele verplichtingen van de verweerder.
85. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “monitoring en rapportage” kan beroepen op de rechtsgrond opgenomen in artikel 6.1
f) AVG.
86. Aangaande het doeleinde “de opslag van opnamen van videobewaking gedurende de
wettelijke periode” stelt de verweerder het volgende:
“Context van het verwerkingsdoeleinde
Het betreft de verwerking van persoonsgegevens door middel van de camera’s die zich bevinden
binnen de lokalen van Y met als doel de veiligheid van klanten, de veiligheid van de data en de
bescherming van de goederen van de onderneming, te vrijwaren.”
87. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van
oordeel dat het verwerkingsdoeleinde zoals beschreven door de verweerder moet worden
beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het belang dat de
9
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 26/36
verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47
AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste
voorwaarde vervat in artikel 6.1, f) AVG.
88. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer
bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan
worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende
verwerking voor de betrokkenen.
89. Uitgaande van het doeleinde, zijnde het voorzien in videobewaking, dient de Geschillenkamer
vast te stellen dat de verweerder laat gelden dat de beelden worden opgeslagen in een beveiligde
omgeving. Zowel de ruimte als de betrokken IT-servers zijn onderworpen aan strikte
toegangsbeveiligingen. De toegang tot de beelden geschiedt volgens strikte procedures. De
opslag van de beelden is ook beperkt tot de wettelijke bewaartermijn (in principe 30 dagen).
90. Aan de tweede voorwaarde is aldus voldaan doordat werd aangetoond dat het beginsel van
minimale gegevensverwerking (artikel 5.1. c) AVG) werd nageleefd.
91. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1, f) AVG - de zogenaamde
“afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de
fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient
overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke
verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene
op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden”10.
92. De Geschillenkamer is van oordeel dat bij de verzameling van persoonsgegevens in het kader
van het afsluiten van een verzekering er niet vanuit kan worden gegaan dat de verzekeringnemer
zich er op dat ogenblik redelijkerwijs aan mag verwachten dat zijn gegevens zullen worden
gebruikt voor videobewaking. Het doeleinde videobewaking houdt geen verband met het
afsluiten van een verzekeringsovereenkomst, zodat de verzekeringnemer zich er ook niet aan
kan verwachten dat zijn persoonsgegevens verstrekt naar aanleiding van een
verzekeringsovereenkomst zullen worden aangewend in het kader van videobewaking. Enkel bij
het fysiek betreden van de lokalen van de verweerder is er videobewaking en dan volstaat het
10
Overweging 47 AVG.
Beslissing ten gronde 57/2021 - 27/36
dat de camerawet wordt nageleefd, inclusief de verplichting tot het aanbrengen van een
pictogram met informatie om de betrokkene op de hoogte te stellen.
93. Bijgevolg besluit de Geschillenkamer dat de verweerder zich voor verwerkingen voor het
doeleinde “de opslag van opnamen van videobewaking gedurende de wettelijke periode” niet
kan beroepen op de rechtsgrond ‘gerechtvaardigd belang’ en er aldus sprake is van een inbreuk
op artikel 6.1 f) AVG.
94. Volledigheidshalve voegt de Geschillenkamer toe dat indien een verwerkingsverantwoordelijke
gebruik wenst te maken van bewakingscamera’s, deze dan zijn wettelijke verplichtingen
voortvloeiend uit de wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van
bewakingscamera’s dient na te komen. Zodra een verwerkingsverantwoordelijke gebruik maakt
van bewakingscamera’s, vloeien uit voormelde wet verplichtingen voort inzake
gegevensverwerking, zodat de verwerkingsverantwoordelijke zich kan beroepen op artikel 6.1 c)
AVG. Dienaangaande heeft de verweerder tijdens de hoorzitting verklaard dat in
overeenstemming met deze wet de nodige pictogrammen zijn aangebracht.
c) Model van belangenafweging
95. Voor elk van de voorgaand vermelde doeleinden argumenteert de verweerder dat het
verwerkingsdoeleinde toelaatbaar is doordat de kwantitatieve score berekend door het model
van belangenafweging dat Y gebruikt, lager is dan 30. De verweerder stelt dat op basis van dat
model de verwerkingsdoeleinden kunnen worden gesteund op de gerechtvaardigde belangen
van de verwerkingsverantwoordelijke voor zover deze score niet hoger is dan 30.
96. Dienaangaande moet de Geschillenkamer opmerken dat het door Y gehanteerde model een
louter intern instrument vormt dat hooguit als leidraad kan fungeren binnen de onderneming,
maar waaruit geen juridische argumenten kunnen worden geput om de toetsing aan de
rechtsgrond van artikel 6.1 f) AVG te doorstaan. Aan de scores berekend op basis van dat model
kan dus geen juridische waarde worden gehecht.
d) Alle rechtsgronden opgenomen in artikel 6.1 AVG
97. De verweerder meent dat de Geschillenkamer in haar beslissing 24/2020 zou hebben gesteld dat
hij zich enkel kan beroepen op de toestemming als rechtsgrond (artikel 6.1 a) AVG) voor de
Beslissing ten gronde 57/2021 - 28/36
verwerkingsdoeleinden opgenomen onder punt 4.3. van de oude privacyverklaring en niet op
de andere rechtsgronden van artikel 6.1 AVG.
98. De Geschillenkamer licht toe dat dienaangaande in de beslissing 24/2020 het volgende werd
vermeld:
“De Geschillenkamer is bijgevolg van oordeel dat de inbreuk op art. 6.1. AVG is bewezen,
aangezien de gegevensverwerking voor de doeleinden vermeld in de onderdelen 1, 2, 3 4, 6 en
7 van punt 4.3. van de privacyverklaring, zonder enig aangetoond gerechtvaardigd belang,
gebaseerd dient te zijn op de toestemming van de klager bij gebrek aan enige andere mogelijk
toepasselijke rechtsgrond in art. 6.1. AVG.”
99. Hieruit leidt de verweerder, weliswaar verkeerdelijk, af dat de Geschillenkamer als enige
rechtsgrond voor de daarin bepaalde doeleinden de toestemming vooropstelt. De verweerder
gaat evenwel voorbij aan het feit dat de Geschillenkamer tot dat besluit komt, precies omdat de
verweerder nalaat aan te tonen over enig gerechtvaardigd belang te beschikken en aldus in
gebreke blijft om aan te tonen dat de toepasselijke voorwaarden zijn vervuld om zich op deze
rechtsgrond in artikel 6.1 f) AVG te beroepen. De Geschillenkamer stelde in haar beslissing
immers uitdrukkelijk dat de verweerder op geen enkele wijze aantoonde waaruit zijn
gerechtvaardigd belang dan wel zou bestaan en ook naliet aan te tonen in hoeverre zijn belang
zwaarder zou doorwegen dan de belangen en grondrechten van de klager, hoewel de verweerder
daartoe is gehouden op grond van zijn verantwoordingsplicht (artikel 5.2 AVG). De
Geschillenkamer kon aldus artikel 6.1 f) AVG niet weerhouden als geldige rechtsgrond. Op basis
van de feitelijke elementen die leidden tot de beslissing 24/2020 was de enige resterende
rechtsgrond de toestemming.
100. De Geschillenkamer benadrukt dat elke verwerkingsverantwoordelijke, waaronder dus ook de
verweerder, zich kan beroepen op elke mogelijke rechtsgrond van artikel 6.1 AVG, maar dat de
toepasselijke voorwaarden voor de rechtsgrond waarop men zich beroept, moeten zijn vervuld.
2. Rechtsgrond voor doorgiften aan derde partijen
101. Vooreerst beweert de verweerder dat een doorgifte aan derden geen verwerkingsdoeleinde op
zich is, maar wel louter een vorm van verwerking van persoonsgegevens is in de zin van artikel
4.2 AVG. De verweerder stelt dat hij alleen belangenafwegingen opstelt per
verwerkingsdoeleinde, doch niet per verwerking.
Beslissing ten gronde 57/2021 - 29/36
102. De Geschillenkamer stelt dat uit artikel 5.1 a) AVG volgt dat persoonsgegevens moeten worden
verwerkt voor een welbepaald doeleinde en dat die verwerking rechtmatig moet zijn in de zin
van artikel 6.1 AVG. Het is dus duidelijk dat elke verwerking moet gebeuren binnen het kader
van een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde en dat die
verwerking moet gebaseerd zijn op een rechtsgrond om als rechtmatig te kunnen worden
beschouwd. Het is uiteraard mogelijk om meerdere verwerkingen in de zin van artikel 4.2 AVG
te doen met het oog op eenzelfde doeleinde, maar dit neemt niet weg dat de
gegevensverwerkingen voor een bepaald doeleinde slechts als rechtmatig kunnen worden
bestempeld indien daartoe een rechtsgrond bestaat.
103. De Geschillenkamer merkt op dat voor elke doorgifte aan derden moet worden bepaald met het
oog op welk doeleinde die doorgifte plaatsvindt. Om te kunnen nagaan of de doorgifte aan
derden als rechtmatig kan worden bestempeld, moet aldus worden bepaald voor welk doeleinde
die doorgifte aan derden plaatsvindt.
104. Zoals de verweerder terecht stelt, is de rechtsgrond voor de doorgifte aan verwerkers (dewelke
evenwel geen derden zijn in de zin van artikel 4, 10) AVG) dezelfde als voor de
gegevensverwerking door de verweerder zelf. Het verwerkingsdoeleinde blijft immers
ongewijzigd, vermits de verwerker de persoonsgegevens louter verwerkt ten behoeve van de
verweerder als verwerkingsverantwoordelijke.
105. Indien de persoonsgegevens worden doorgegeven aan een derde in de zin van artikel 4. 10)
AVG met het oog op het doeleinde die derde in staat te stellen de betreffende persoonsgegevens
te verwerken voor eigen doeleinden, dan moet die doorgifte voor dat specifieke doeleinde op
zichzelf worden beschouwd en is daarvoor een afzonderlijke rechtsgrond nodig. Met het oog op
transparantie moet de verwerkingsgrondslag voor alle doorgiften in de privacyverklaring worden
vermeld opdat de verweerder zijn verplichting op grond van art. 13.1 c) AVG zou naleven. Dit is
evenwel niet het geval, zodat de Geschillenkamer van oordeel is dat er sprake is van een
inbreuk op art. 13.1. c) AVG juncto artikel 5.1 a) AVG en artikel 5.2 AVG.
3. Transparantiebeginsel
106. Niettegenstaande dat artikel 13.1 d) AVG vereist dat de verwerkingsverantwoordelijke de
betrokkene informatie verstrekt omtrent zijn gerechtvaardigde belangen, indien de verwerking
op artikel 6, lid 1, punt f), is gebaseerd, houdt de verweerder vol dat hij ermee kan volstaan
voor de in punt 4.3 vermelde doeleinden van de privacyverklaring, alsook voor de in 6 van de
Beslissing ten gronde 57/2021 - 30/36
privacyverklaring vermelde doorgiften die zijn gebaseerd op artikel 6, lid 1, punt f) AVG enkel te
vermelden dat persoonsgegevens worden verwerkt op basis van het gerechtvaardigd belang van
de verweerder zonder aan te geven waaruit dat gerechtvaardigd belang dan precies zou bestaan.
107. De verweerder stelt dat de belangenafweging interne documenten betreft die niet door Y
openbaar zijn gemaakt of zijn opgenomen in haar Privacyverklaring, gelet op de
bedrijfsgevoelige informatie die ze bevatten. Bovendien gaat het hier om lijvige, veeleer privacy-
technische documenten die typisch niet worden opgenomen in een privacyverklaring.
108. Voor doorgifte aan “de maatschappijen van de groep Y1 Re waartoe Y behoort, voor monitoring
en rapportering” bevestigt de verweerder dat het gaat om een doorgifte aan een andere
verwerkingsverantwoordelijke, vermeldt de verweerder waaruit zijn gerechtvaardigd belang
bestaat in zijn conclusie onder het verwerkingsdoeleinde “monitoring en rapportage”, maar laat
na in de privacyverklaring zijn gerechtvaardigd belang te verduidelijken.
109. Verder verwijst de verweerder ook naar overweging 48 AVG waarin is bepaald dat
verwerkingsverantwoordelijken die deel uitmaken van een concern of een groep van instellingen
die aan een centraal lichaam verbonden zijn, een gerechtvaardigd belang kunnen hebben bij de
doorzending van persoonsgegevens binnen het concern voor interne administratieve doeleinden,
waaronder de verwerking van persoonsgegevens van klanten of werknemers.
110. De Geschillenkamer erkent dat overweging 48 van toepassing is op de verweerder, maar dit
belet niet dat de verweerder daaromtrent transparant dient te zijn in zijn privacyverklaring en
ook in dergelijk geval de rechtsgrond dient aan te geven en dient duidelijk te maken waaruit zijn
gerechtvaardigd belang bestaat, hetwelk niet het geval is in de oude privacyverklaring.
111. Voor de doorgifte aan “subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk
voor verwerkingsactiviteiten gedefinieerd door Y” voert de verweerder aan dat het gaat om
verwerkers van Y .
112. De Geschillenkamer herneemt dan ook de motivering dienaangaande uit haar beslissing
24/2020 om te besluiten tot een inbreuk op artikel 13.1 d) AVG juncto artikel 5.1 a) AVG
en artikel 5.2 AVG. De privacyverklaring vermeldt enkel dat voor de in 4.3. vermelde
doeleinden persoonsgegevens worden verwerkt op basis van het gerechtvaardigd belang van de
verweerder zonder aan te geven waaruit dat gerechtvaardigd belang dan precies zou bestaan,
terwijl art. 13.1. d) AVG wel degelijk vereist dat de verwerkingsverantwoordelijke ertoe is
gehouden om de betrokkene informatie te verstrekken omtrent zijn gerechtvaardigde belangen,
indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd.
Beslissing ten gronde 57/2021 - 31/36
113. De Geschillenkamer verwijst ook naar de Richtsnoeren van het Europees Comité voor de
gegevensbescherming (EDPB) inzake transparantie overeenkomstig Verordening (EU)
2016/67911, die benadrukken dat het specifieke belang in kwestie moet worden geïdentificeerd
ten behoeve van de betrokkene.
114. Ook voor wat betreft punt 6. van de privacyverklaring geeft de verweerder niet aan waaruit zijn
gerechtvaardigd belang, waarop hij zich beroept, zou bestaan om persoonsgegevens van de
klager te verwerken met als doeleinde de doorgifte aan “De maatschappijen van de Y1 RE groep
waartoe Y behoort, voor monitoring en rapportering” en “Subcontractanten in de Europese Unie
of daarbuiten, verantwoordelijk voor verwerkingsactiviteiten gedefinieerd door Y”. Nochtans
vereist art. 13.1. d) AVG wel degelijk dat de verwerkingsverantwoordelijke de betrokkene
informatie dient te verstrekken omtrent zijn gerechtvaardigde belangen, indien de verwerking
op artikel 6, lid 1, punt f), is gebaseerd. De Geschillenkamer verwijst daarbij opnieuw naar de
Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 en het
daaromtrent hierboven gestelde.
115. De Geschillenkamer stelde in haar beslissing 24/2020 dat als beste praktijk de
verwerkingsverantwoordelijke ook, voordat persoonsgegevens van de betrokkene worden
verzameld, de betrokkene informatie kan verstrekken over de afweging die moet worden
gemaakt om artikel 6, lid 1, onder f), als rechtsgrond voor de verwerking te kunnen gebruiken.
Om informatiemoeheid te voorkomen kan deze informatie worden opgenomen in een gelaagde
privacyverklaring/ mededeling.12 De aan betrokkenen verstrekte informatie moet duidelijk maken
dat deze betrokkenen op verzoek informatie over de afweging kunnen ontvangen. Dit is
essentieel voor een doeltreffende transparantie wanneer betrokkenen twijfels hebben over de
billijkheid van de gemaakte afweging of een klacht willen indienen bij een toezichthoudende
autoriteit.
116. Zoals de verweerder aangeeft, is hij niet bereid de voormelde beste praktijk toe te passen,
omdat het volgens hem interne privacy-technische documenten betreft met bedrijfsgevoelige
informatie.
11
EDPB, Richtsnoeren van de Groep gegevensbescherming artikel 29 inzake transparantie overeenkomstig Verordening (EU)
2016/679, goedgekeurd op 29 november 2017, laatstelijk herzien en goedgekeurd op 11 april 2018, blz. 42.
12
Zie paragraaf 35 van de richtsnoeren bedoeld in voetnoot 6.
Beslissing ten gronde 57/2021 - 32/36
117. De Geschillenkamer stelt dat zelfs indien de verweerder deze beste praktijk weigert te volgen,
hij er minstens toe is gehouden om op grond van artikel 12.1 AVG de betrokkene op een
beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en
eenvoudige taal informatie te verstrekken omtrent zijn gerechtvaardigd belang voor elk van de
doeleinden waarvoor hij zich op die rechtsgrond beroept. Om hieraan te voldoen, is het geenszins
vereist dat privacy-technische documenten openbaar zouden worden gemaakt, doch is het wel
vereist dat informatie omtrent het gerechtvaardigd belang wordt verstrekt in heldere
bewoordingen die eenvoudig te begrijpen zijn door een (potentiële) klant van de verweerder
118. De Geschillenkamer stelt vast dat de door artikel 13.1 d) AVG vereiste informatie op generlei
wijze door de verweerder wordt ter beschikking gesteld, zodat de inbreuk op artikel 13.1 d)
AVG juncto artikel 5.1 a) AVG en artikel 5.2 AVG vaststaat.
4. Administratieve geldboete
119. Het feit dat de verweerder wel degelijk de inbreuken op de artikelen 5.1 a), 5.2, 6.1, 12.1, 13.1
c) en d) en 13.2 b) AVG heeft gepleegd, brengt de Geschillenkamer ertoe de administratieve
geldboete te handhaven. Deze sanctie strekt er niet toe om een gemaakte overtreding te
beëindigen, maar wel met het oog op een krachtige handhaving van de regels van de AVG. Zoals
duidelijk blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij elke ernstige inbreuk
– dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve
geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 13 Hierna toont de
Geschillenkamer aan dat de inbreuken die de verweerder heeft begaan op de artikelen 5.1 a),
5.2, 6.1, 12.1, 13.1 c) en d) en 13.2 b) AVG geenszins kleine inbreuken betreffen, noch dat de
geldboete onevenredige last zou berokkenen aan een natuurlijk persoon zoals bedoeld in
overweging 148 AVG, waarbij in elk van beide gevallen kan worden afgezien van een geldboete.
Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de
13
Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen,
met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van
passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat
om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon,
kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de
aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen,
met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de
toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de
verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of
verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan
passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een
doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen onderlijning]
Beslissing ten gronde 57/2021 - 33/36
AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer
om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve
geldboete op in toepassing van artikel 58.2 i) AVG.
120. De Geschillenkamer benadrukt nogmaals dat het instrument van administratieve boete
geenszins tot doel heeft inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een
aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9°
WOG. Zij benadrukt voorts dat de administratieve geldboete één van de sancties is als voorzien
in artikel 58.2 AVG en artikel 100 WOG. Noch het EU recht, noch het nationale Belgische recht
kent een hiërarchie ten aanzien van de op te leggen sancties. Het staat de Geschillenkamer als
orgaan van een onafhankelijke autoriteit voor gegevensbescherming als bedoeld in artikel 51
AVG vrij de meest passende sanctie te kiezen. De Geschillenkamer meent dat, gelet op de
verantwoordingsplicht van de verwerkingsverantwoordelijke, het opleggen van een
administratieve geldboete bij overtreding van de AVG mocht worden verwacht.14
121. Rekening houdend met artikel 83 AVG en de rechtspraak15 van het Marktenhof, motiveert de
Geschillenkamer het opleggen van een administratieve sanctie in concreto:
- De ernst van de inbreuk: uit onderstaande motivering blijkt de ernst van de inbreuk.
- De duur van de inbreuk: de inbreuken worden voor wat betreft dit aspect beoordeeld in
het licht van de datum waarop de AVG van toepassing is geworden, namelijk op 25 mei
2018. De privacyverklaring van de verweerder blijkt ongewijzigd te zijn gebleven sinds
het van toepassing worden van de AVG tot op het ogenblik dat, naar aanleiding van de
klacht, een nieuwe privacyverklaring werd opgesteld. De nieuwe privacyverklaring vormt
evenwel niet het voorwerp van beoordeling door de Geschillenkamer, zodat zij zich dan
ook niet uitspreekt over de mate waarin de nieuwe privacyverklaring in overeenstemming
is met de AVG.
- De nodige afschrikwekkende werking om verdere inbreuken te voorkomen.
122. Wat de aard en de ernst van de inbreuk betreft (art. 83.2 a) AVG) benadrukt de Geschillenkamer
dat de naleving van de beginselen bepaald in art. 5 AVG – in voorliggend geval inzonderheid het
transparantiebeginsel met inbegrip van de verantwoordingsplicht, evenals het
rechtmatigheidsbeginsel – essentieel is, omdat het fundamentele beginselen van
gegevensbescherming betreft. De Geschillenkamer beschouwt de inbreuk van de verweerder op
14
Zie over de bevoegdheid van de Geschillenkamer inzake het opleggen van een administratieve geldboete ook beslissing nr
55/2021 van 26 april 2021, beschikbaar in het Frans op de website van de GBA.
15
Hof van Beroep Brussel (sectie Marktenhof), Arrest 2020/1471 van 19 februari 2020.
Beslissing ten gronde 57/2021 - 34/36
het rechtmatigheidsbeginsel dat wordt gepreciseerd in art. 6 AVG en het transparantiebeginsel
dat concreet is vastgelegd in de artikelen 12 en 13 AVG, dan ook als een ernstige schending.
123. Een belangrijk element bij het bepalen van het bedrag van de boete is het feit dat de verweerder
volgende inbreuken zoals gemotiveerd in beslissing 24/2020 niet betwist en ingevolge daarvan
reeds inspanningen heeft gedaan om de nieuwe privacyverklaring op die punten in
overeenstemming te brengen met de AVG:
- Inbreuk op artikel 13.1 c) AVG wegens gebrek aan duidelijk onderscheid tussen de
verwerking van gezondheidsgegevens enerzijds, en de verwerking van de andere ‘gewone’
persoonsgegevens anderzijds en dit zowel voor elk van de doeleinden van 4.3. van de
privacyverklaring, als voor elk van de doorgiften van 6. van de privacyverklaring.
- Inbreuk op artikel 12.1 en 13.2 b) AVG bij gebrek aan vermelding in de privacyverklaring
van de mogelijkheid voor de betrokkene om zijn recht van bewaar uit te oefenen.
- Inbreuk op artikel 13.1 c) AVG wegens gebrek aan vermelding van de rechtsgrond voor de
doorgifte aan elk van de onderscheiden categorieën van derden in punt 6. van de
privacyverklaring.
124. Hoewel de wijzigingen aangebracht in de nieuwe privacyverklaring een gunstig element vormen
bij de beoordeling van de administratieve geldboete, benadrukt de Geschillenkamer dat deze er
niet toe strekken dat de vastgestelde inbreuken ongedaan zouden worden gemaakt. De
inbreuken werden vastgesteld en kunnen niet retroactief ongedaan worden gemaakt door de
verwerkingsverantwoordelijke die zijn gegevensverwerking alsnog – doch te laat – in
overeenstemming brengt met de vereisten van de AVG.
125. Daarnaast worden ook in de huidige beslissing inbreuken vastgesteld:
- Inbreuk op artikel 6.1 AVG voor wat betreft de doeleinden “het opleiden van personeel” en
“de opslag van opnamen van videobewaking gedurende de wettelijke periode”.
- Inbreuk op art. 13.1. c) AVG juncto artikel 5.1 a) AVG en artikel 5.2 AVG.
- Inbreuk op artikel 13.1 d) AVG juncto artikel 5.1 a) AVG en artikel 5.2 AVG.
Verder houdt de Geschillenkamer ook rekening met de vaststelling dat de inbreuk op artikel 6.1
AVG beperkt is tot twee verwerkingsdoeleinden “het opleiden van personeel” en “de opslag van
opnamen van videobewaking gedurende de wettelijke periode” en dus van aard is om een
verlaging van het bedrag van de boete te verantwoorden. Daarnaast zijn de vastgestelde
inbreuken op het transparantiebeginsel, alsook de verantwoordingsplicht dermate zwaarwegend
Beslissing ten gronde 57/2021 - 35/36
dat een substantiële geldboete zich opdringt. Dit geldt des te meer gelet op de grootschaligheid
van de verwerking van andere dan gezondheidsgegevens door de verweerder met
doorslaggevende impact op alle verzekerden die zich via een hospitalisatieverzekering hebben
aangesloten bij Y, hetwelk een aanzienlijk aantal betrokkenen betreft. Een beslissend element
hierbij vormt ook het feit dat Y een grote speler is op de verzekeringsmarkt waarvan mag worden
verwacht dat deze haar privacybeleid terdege en met de nodige nauwgezetheid afstemt op de
AVG.
126. Aangaande het gebrek aan transparantie, wijst de Geschillenkamer er ook op dat de AVG precies
heeft voorzien in een overgangsperiode van 2 jaar16 teneinde elke verwerkingsverantwoordelijke
de nodige tijd te geven zich voor te bereiden en aan te passen aan de vereisten gesteld door de
AVG. Het tijdens de hoorzitting aangebrachte argument van de verweerder dat de wijzigingen
die de AVG heeft doorgevoerd ten opzichte van de eerdere richtlijn 95/46/EG van het Europees
Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de
verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens aan de
basis liggen van het gebrek aan transparantie, kan dan ook niet worden aanvaard. De
verweerder stelt dat de artikelen 13 en 14 AVG, juncto artikel 12 AVG, en de precieze wijze van
interpretatie ervan de moeilijkheid heeft veroorzaakt. De richtsnoeren inzake transparantie van
de Groep 29 (thans EDPB) waren een hulpinstrument. Ook hier dient de Geschillenkamer vast
te stellen dat die richtsnoeren reeds dateren van 29 november 2017, zijn herzien en goedgekeurd
op 11 april 2018 en sindsdien ongewijzigd zijn gebleven. De verweerder beschikte aldus over
voldoende tijd om, zoals zijn verantwoordingsplicht (artikel 5.2 AVG) vereist, zijn
privacyverklaring af te stemmen op de AVG.
127. Dit brengt de Geschillenkamer ertoe de boete te heroverwegen en terug te brengen tot €30.000.
128. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende,
evenredige en afschrikkende sanctie als bedoeld in art. 83 AVG, rekening houdend met de daarin
bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2.
AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan
die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
5. Publicatie van de beslissing
16
Artikel 99 AVG
Beslissing ten gronde 57/2021 - 36/36
129. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel
niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden
bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om haar
beslissing 24/2020 van 14 mei 2020 te herzien en de verweerder op grond van art. 100, §1, 13° WOG
en art. 101 WOG een administratieve geldboete op te leggen van € 30.000,00 ingevolge de inbreuken
op de artikelen 5.1 a), 5.2, 6.1, 12.1, 13.1 c) en d) en 13.2 b) AVG.
Tegen deze beslissing kan op grond van artikel 108, §1 WOG, beroep worden aangetekend binnen
een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(Get).Hielke Hijmans
Voorzitter van de Geschillenkamer