1/21
Geschillenkamer
Beslissing ten gronde 62/2022 van 29 april 2022
Dossiernummer : DOS-2018-03944
Betreft : Verzending van een globale e-mail waarbij alle bestemmelingen zichtbaar zijn,
het uitsturen van dienstboodschappen zonder rechtmatigheidsgrondslag en
verwerking van beeldmateriaal van een minderjarige zonder ouderlijke toestemming
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Yves Poullet en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
De klaagster: Mevrouw X, hierna “de klaagster”;
De verweerster: Y, hierna “de verweerster” of “de verwerkingsverantwoordelijke”
Beslissing ten gronde 62/2022 - 2/21
I. Feiten en procedure
1. Op 23 juli 2018 diende mevr. X een klacht in bij de Gegevensbeschermingsautoriteit (hierna
‘GBA’) tegen Y.
2. Het voorwerp van de klacht heeft betrekking op een gegroepeerde verzending van
gegevens per e-mail waardoor de ontvangers de e-mailadressen van andere betrokkenen
konden achterhalen en het uitsturen van communicaties (dienstboodschappen) waarvoor
de wettelijke grondslag door klaagster werd betwist. Daarnaast stelt klaagster dat
verweerster, zonder haar voorafgaand te hebben ingelicht, de minderjarige zoon van
klaagster liet deelnemen aan een project bestemd voor externe publicatie, waarbij tevens
foto’s werden genomen van de zoon, evenwel zonder de ouderlijke toestemming van
klaagster te bekomen.
3. Op 11 september 2018 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 3 oktober 2018 beslist de Geschillenkamer op grond van artikelen 63, 2° en 94, 1° WOG
een onderzoek te vragen aan de Inspectiedienst.
5. Op 3 oktober 2018 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst,
samen met de klacht en de inventaris van de stukken.
6. Op 23 maart 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
7. Het verslag bevat vaststellingen met betrekking tot de verwerkingsverantwoordelijke
alsmede het voorwerp van de klacht, en besluit allereerst dat de
verwerkingsverantwoordelijke instaat voor “integrale jeugdhulp met huisvesting” en wordt
beschouwd als een Vlaamse bestuursinstantie zoals bedoeld in artikel 2, 10° van het e-
govdecreet1 en omschreven op de website van de Vlaamse Overheid2, daar verweerster
voldoet aan de criteria van artikel I, 3, 6° van het Bestuursdecreet 3.
8. De Inspectiedienst stelt vervolgens vast dat klaagster twee verwerkingsactiviteiten
onderscheidt in haar klacht: de vermeende datalek ten gevolge van de e-mailcommunicatie
van 7 juni 2018, enerzijds, en de ongevraagde nieuwsberichten per e-mail van 27 maart 2019
en 29 mei 2019, anderzijds.
1
Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, B.S., 29 oktober 2008.
2
https://overheid.vlaanderen.be/digitale-overheid/is-uw-organisatie-een-vlaamse-bestuursinstantie/.
3
Bestuursdecreet van 7 december 2018, B.S., 19 december 2018.http://www.jjgoldman.net/index/
Beslissing ten gronde 62/2022 - 3/21
9. Volgens de Inspectiedienst valt de eerste verwerkingsactiviteit binnen de werking en
kernopdracht van verweerster. De Inspectiedienst acht het tevens voldoende bewezen, op
grond van de voorgelegde stukken en het antwoord van verweerster, dat er voldaan is aan
het transparantiebeginsel. Betrokkenen worden dankzij de informatie in de
privacyverklaring, dewelke makkelijk terug te vinden is op de website van de
verwerkingsverantwoordelijke, afdoende ingelicht over de verwerking van hun
persoonsgegevens in het kader van het uitsturen van nieuwsbrieven en
dienstcommunicaties.
10. Overigens stelt de Inspectiedienst vast dat verweerster aangeeft sedert april 2018 de
ouders van jongeren die bij Y verblijven, niet meer automatisch in te schrijven, maar hen uit
te nodigen om zich via de website in te schrijven (opt-in systeem). De Inspectiedienst stelt
vast dat betrokkenen worden uitgenodigd om zichzelf in te schrijven op de nieuwsbrief door
het zelfstandig ingeven van hun e-mailadres op de website, en dat deze inschrijving geen
blokkerende werking heeft voor een verder bezoek aan de website. Aldus concludeert de
Inspectiedienst dat de toestemming van betrokkenen afdoende geïnformeerd, specifiek,
vrij en ondubbelzinnig is.
11. Hoewel klaagster geen verwijzing maakt naar de uitschrijfmogelijkheid voor
dienstcommunicaties in haar klacht, stelt de Inspectiedienst bovendien vast dat
betrokkenen alsnog over de mogelijkheid beschikken hun toestemming ten allen tijde in te
trekken, middels een schrijven aan de functionaris voor de gegevensbescherming van
verweerster.
12. Derhalve beschouwt de Inspectiedienst de eerste verwerkingsactiviteit als zijnde in
overeenstemming met artikelen 5, 6 en 4.11 juncto artikel 7.2 AVG, evenals met
artikelen 12.1 en 13 en 14 AVG.
13. Voorts stelt de Inspectiedienst vast dat, ofschoon de ontvangers van het e-mailbericht
kennis hebben kunnen nemen van de identiteit en het e-mailadres van de andere
ontvangers, de inhoud van de communicatie van juni 2018 geen persoonsgegevens bevat.
14. Aangaande het gebruik van CC in plaats van BCC, hetgeen volgens klaagster moet
beschouwd worden als een datalek, bevestigt de Inspectiedienst allereerst dat verweerster
heeft nagelaten het incident binnen de 72 uur te melden aan de GBA.
15. Echter moet deze schending van artikel 33 AVG volgens de Inspectiedienst enigszins
genuanceerd worden, in die zin dat de verwerkingsverantwoordelijke zich overeenkomstig
artikel 33.1 AVG mogelijks heeft kunnen beroepen op de waarschijnlijkheid dat het
gegevenslek een laag risico inhield voor de rechten en vrijheden van natuurlijke personen,
teneinde te besluiten geen melding te doen bij de GBA.
Beslissing ten gronde 62/2022 - 4/21
16. De Inspectiedienst benadrukt in het bijzonder dat het gegevenslek zowel in het aantal
ontvangers (16 ouders of opvoedingsverantwoordelijken) als in blootgestelde
persoonsgegevens (het e-mail adres waaruit mogelijks de identiteit van de ontvangers kan
vastgesteld worden) beperkt was, met als gevolg dat de kwestieuze e-mail mogelijks slechts
heel beperkte schade heeft bezorgd aan klaagster.
17. In het inspectieverslag wordt eveneens verwezen naar het feit dat de klacht en inbreuk
eerder sloegen op een niet-intentionele, eenmalige en voornamelijk menselijke fout, gelet
op de ICT Gedragscode van verweerster waarin aangegeven staat dat de medewerkers BCC
dienen te gebruiken indien nodig.
18. Daarnevens blijkt het gegevenslek volgens de Inspectiedienst in de toekomst vermeden te
kunnen worden doordat verweerster lering trok uit de situatie en reeds beschikt over een
procedure en formulier die gebruikt kunnen worden voor het melden van een gegevenslek.
19. Tot slot verwijst de Inspectiedienst naar de interne sensibilisering en opleiding over de
bestaande ICT Gedragscode en procedure voor veiligheidsincidenten evenals het daartoe
bestemde meldingsformulier, die verweerster sedert het incident heeft voorzien voor de
medewerkers van de afdeling waar het feit voorviel.
20. Gelet op voorgaande elementen meent de Inspectiedienst dat de overtreding van
artikel 33.1 van de AVG zou kunnen worden afgesloten. Niettegenstaande merkt de
Inspectiedienst een reeks aandachtspunten in verband met de interne procedure van
verweerster.
21. Meer bepaald stelt de Inspectiedienst vast dat een melding aan de GBA niet is voorzien in de
procedure voor veiligheidslekken, en dat voornoemde procedure derhalve zou kunnen
aangevuld worden met specifieke instructies teneinde steeds een registratie van incidenten
te voorzien in het eigen register van gegevenslekken van verweerster, verontschuldigingen
aan te bieden aan de betrokkenen, alsmede om de ontvangers van verkeerdelijk verstuurde
e-mailberichten een e-mailbericht na te sturen met de vraag tot onmiddellijke verwijdering
van de voorafgaande e-mail.
22. Ten aanzien van de tweede verwerkingsactiviteit, met name de twee e-mailcommunicaties
van 27 maart en 29 mei 2019, stelt de Inspectiedienst vast dat deze betrekking heeft op het
uitzenden van nieuwsberichten o.a. aan de ouders van de adolescenten die verblijven in de
afdeling van de verwerkingsverantwoordelijke.
23. De Inspectiedienst merkt op dat deze nieuwsbrieven een uitschrijfmogelijkheid bevatten
onderaan de e-mailberichten, en dat betrokkenen ook de mogelijkheid wordt geboden hun
toestemming in te trekken middels een schrijven aan de functionaris voor
gegevensbescherming van verweerster.
Beslissing ten gronde 62/2022 - 5/21
24. Op basis van deze specifieke elementen voorhanden in het dossier stelt de Inspectiedienst
vast dat de toestemming voorzien door de verwerkingsverantwoordelijke vrij en
ondubbelzinnig is, en derhalve voldoet aan de voorwaarden voorzien in artikel 4.11 juncto
artikel 7.3 AVG. De Inspectiedienst stelt deze verwerkingsactiviteit op grond van artikel
6.1.a) AVG bijgevolg niet in vraag en merkt op dat deze verwerkingsactiviteit kan worden
aanzien als zijnde in overeenstemming met artikel 5.1.a) AVG.
25. Omtrent de vraag of klaagster afdoende in kennis werd gesteld van de verwerking van haar
persoonsgegevens met het oog op het versturen van nieuwsbrieven, stelt de
Inspectiedienst vast dat betrokkenen op passende wijze worden ingelicht middels de
privacyverklaring op de website van de verwerkingsverantwoordelijke. Derhalve besluit de
Inspectiedienst dat het versturen van de betwiste nieuwsbrieven geen schending inhoudt
van artikel 12.1 en artikelen 13 en 14 AVG.
26. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt meer bepaald vast dat het voorgelegde register van
verwerkingsactiviteiten onvolledig en onduidelijk is, en verweerster bijgevolg artikel 30.1
AVG heeft overtreden.
27. Op 23 september 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en
artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
28. Op 23 februari 2022 worden de betrokken partijen in kennis gesteld van de bepalingen zoals
vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van
artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
29. Gelet op het feit dat klaagster op het moment dat zij de klacht heeft ingediend in het
Nederlandstalig taalgebied woonde, en verweerster volgens het inspectieverslag als een
Vlaamse bestuursinstantie wordt beschouwd 4, besluit de Geschillenkamer eveneens om de
procedure te voeren in het Nederlands, in overeenstemming met haar talenbeleid5.
Beide partijen krijgen evenwel 14 dagen om hiertegen bezwaar te maken.
30. Op 6 oktober 2021 tekent klaagster bezwaar aan tegen het gebruik van het Nederlands als
proceduretaal. Rekening houdend met het feit dat klaagster op het moment van het
indienen van haar klacht, in het Frans, weliswaar woonachtig was in het homogene
Nederlandse taalgebied; verweerster als een Vlaamse bestuursinstantie dient te worden
beschouwd; en klaagster zich overigens meermaals van de Nederlandse taal heeft bediend
in het kader van haar uitwisselingen met verweerster, alsook met onder meer de diensten
4
Inspectieverslag van 23 maart 2021, p. 3.
5
Nota talenbeleid gehanteerd door de Geschillenkamer, beschikbaar op de website van de GBA:
https://www.gegevensbeschermingsautoriteit.be/publications/nota-talenbeleid-gehanteerd-door-de-geschillenkamer.pdf
Beslissing ten gronde 62/2022 - 6/21
van het Agentschap Jongerenwelzijn, besluit de Geschillenkamer om de partijen op
14 oktober 2021 per aangetekende brief de hiernavolgende overeenkomst voor te stellen.
a. De officiële proceduretaal blijft het Nederlands, met dien verstande dat de partijen
zich, in de procedure voor de Geschillenkamer, zowel schriftelijk in hun conclusies
als mondeling op een eventuele hoorzitting, in het Frans of het Nederlands kunnen
uitdrukken.
b. De Geschillenkamer verbindt zich ertoe om haar correspondentie met de
betrokken partijen in de toekomst steeds in zowel het Frans als in het Nederlands
te laten verlopen, in overeenstemming met artikel 41, § 1 en § 2 van de wetten van
18 juli 1966 op het gebruik van de talen in bestuurszaken (hierna, ‘SWT’)6.
De eerder gecommuniceerde conclusietermijnen zullen worden vervangen door
nieuwe conclusietermijnen.
De Geschillenkamer zal eveneens een Franstalige vertaling van het
Nederlandstalige inspectieverslag bezorgen aan klaagster, zonder dat deze
Franstalige versie het inspectieverslag vervangt.
c. De Geschillenkamer zal de procedurestukken ingediend door een partij niet
vertalen ten behoeve van de wederpartij, noch zal zij instaan voor de door hen zelf
gemaakte kosten in verband met de vertaling van deze stukken. De partijen moeten
ook zelf geen vertalingen van hun procedurestukken verstrekken.
d. De Geschillenkamer verbindt zich ertoe haar eindbeslissing in het Nederlands te
nemen, en simultaan een Franse versie aan klaagster mee te delen; beide versies
zullen op de website van de GBA beschikbaar worden gesteld.
31. Bij gebrek aan bezwaar binnen de 7 dagen na de mededeling van het voorgaande voorstel,
verstuurt de Geschillenkamer een nieuw uitnodiging aan de partijen om hun
verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van
antwoord van verweerster werd daarbij vastgelegd op 6 december 2021, deze voor de
conclusie van repliek van klaagster op 3 januari 2022 en deze voor de conclusie van repliek
van verweerster op 24 januari 2022.
32. Overeenkomstig artikelen 95 § 2, 98 en 99 WOG worden de partijen zowel per e-mail als per
aangetekende zending in kennis gesteld dat de reikwijdte van deze zaak betrekking heeft
op de volgende vermeende inbreuken door verweerster:
1) vermeende overtreding van artikelen 6 en 7 AVG, aangaande het gebrek aan
ouderlijke toestemming voor de vermeende verwerking van beeldmateriaal van de
6
Wetten van 18 juli 1966 op het gebruik van de talen in bestuurszaken, B.S., 2 augustus 1966.
Beslissing ten gronde 62/2022 - 7/21
minderjarige zoon van klaagster met het oog op een externe publicatie, zonder haar
medeweten;
2) vermeende overtreding van artikelen 5, 6 en 4, lid 11 juncto artikel 7 AVG,
betreffende de e-mailcommunicatie van 7 juni 2018 tussen de afdeling “[…]” van
verweerster en de ouders;
3) vermeende overtreding van artikel 12.1 en artikelen 13 en 14 AVG, inzake de
informatie over de nieuwsbrief in de privacyverklaring van verweerster;
4) vermeende overtreding van artikel 30 AVG, wegens een onvolledig en onduidelijk
register van verwerkingsactiviteiten;
5) vermeende overtreding van artikel 33.1 AVG, wegens onvoldoende interne
procedures inzake veiligheidslekken waarin voorzien wordt dat incidenten steeds
opgenomen worden in een eigen register van gegevenslekken van de
verwerkingsverantwoordelijke, alsmede dat incidenten desgevallend aan de GBA
moeten worden gemeld.
33. Op 25 oktober 2021 bevestigt de functionaris voor gegevensbescherming van verweerster
per e-mail de goede ontvangst van het schrijven van de Geschillenkamer evenals de bijlagen.
34. Op 3 december 2021 ontvangt de Geschillenkamer de conclusie van antwoord van
verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht. Deze conclusie bevat eveneens de reactie van verweerster omtrent de vaststellingen
die door de Inspectiedienst werden gedaan buiten de scope van de klacht.
35. Met betrekking tot de inbreuk 1 wijst verweerster op het gebrek aan vaststelling
dienaangaande door de Inspectiedienst, waardoor verweerster het niet mogelijk acht om
hiervoor verweer in te dienen. Voor het overige verklaart verweerster dat haar medewerkers
toestemming vragen aan de bekwame minderjarige, of aan de ouders indien de minderjarige
als niet bekwaam (richtleeftijd 12 jaar) wordt geacht, voor het nemen en verspreiden van
foto’s. Dit is eveneens opgenomen in de onthaalbrochure van verweerster dewelke reeds in
het kader van het inspectieonderzoek is bezorgd.
36. Aangaande de inbreuken 2 en 3 verwijst verweerster naar het oordeel van de
Inspectiedienst dat de inbreuken goed werden opgevolgd en rechtgezet door de
verwerkingsverantwoordelijke. Verweerster laat eveneens weten dat er geen gelijkaardig
incident meer is voorgevallen en het dus gaat om een tot nu toe éénmalige, menselijke
“beginners-fout”, gelet op de recente inwerkingtreding van de AVG ten tijde van het
incident. Verweerster benadrukt tevens dat zij intern voor regelmatige opleiding en
sensibilisering zorgt.
Beslissing ten gronde 62/2022 - 8/21
37. Betreffende de inbreuk 4 verklaart verweerster dat de aanbevelingen uit het
inspectieverslag, ter vervollediging van het register van verwerkingsactiviteiten, inmiddels
werden verwerkt in het voornoemde register. In het bijzonder werd een tabblad met
versiebeheer toegevoegd, evenals een tabblad over de organisatie en de functionaris voor
gegevensbescherming. Daarnaast werd een tabblad toegevoegd met meer uitleg over de
technische en organisatorische maatregelen, alsmede een tabblad met de gehanteerde
bewaringstermijnen. Verweerster verklaart tot slot dat de klacht dateert van 6 maanden
nadat de AVG in voege trad, en verweerster zich toen toespitste op de opleiding van haar
medewerkers inzake het gebruik van procedures.
38. Ten aanzien van de inbreuk 5, waarbij de Inspectiedienst vaststelt dat de interne procedure
voor het melden van veiligheidsincidenten voorziet dat verweerster datalekken meldt bij de
Vlaamse Toezichtcommissie (VTC), meent verweerster een beroep te doen op de informatie
beschikbaar op de website van de Vlaamse Overheid7. Voorts verklaart verweerster dat het
betrokkenen vrij staat om een klacht in te dienen bij de GBA naar aanleiding van datalekken,
alsook dat zij bereid is haar incidenten toch te melden bij de GBA. Ten slotte bevestigt
verweerster dat verkeerdelijk uitgestuurde e-mails thans worden toegevoegd in het
incidentenregister, en dat medewerkers de “verkeerdelijke ontvangers” dienen te
verzoeken om het bericht onmiddellijk te wissen.
39. De Geschillenkamer ontving geen conclusie van repliek van klaagster.
II. Motivering
II.1. Bevoegdheid van de Gegevensbeschermingsautoriteit ten aanzien van een Vlaamse
bestuursinstantie
40. Vooreerst verduidelijkt de Geschillenkamer, naar analogie met o.m. haar beslissing 15/2020
van 15 april 20208 en aansluitend op het gestelde in het verslag van de Inspectiedienst, dat
de GBA in casu bevoegd is om op te treden.
41. De AVG is een verordening die rechtstreeks toepasselijk is in de Unie en niet door de
lidstaten mag worden omgezet in de nationale wetgeving. Bepalingen uit de AVG mogen ook
niet worden gespecificeerd in de nationale regelgeving, behoudens op de punten waar de
AVG dit uitdrukkelijk mogelijk maakt. De gegevensbescherming is dus in beginsel een
Europeesrechtelijke aangelegenheid geworden9.
7
https://overheid.vlaanderen.be/digitale-overheid/is-uw-organisatie-een-vlaamse-bestuursinstantie.
8
Beslissing ten gronde 15/2020 van 15 april 2020 van de Geschillenkamer van de GBA, para. 69-70 alsook 77 e.v. Zie ook
beslissing 23/2022 van 11 februari 2022, para. 6, en beslissing 31/2022 van 4 maart 2022, para. 33-43, beschikbaar op de
website van de GBA: https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen.
9
Zie bijv. in C. KUNER, L.A. BYGRAVE en C. DOCKSEY (eds.),The EU General Data Protection Regulation: A Commentary, Oxford
University Press, 2020, pp. 54-56.
Beslissing ten gronde 62/2022 - 9/21
42. Het uitvaardigen van eventuele regelgevende bepalingen inzake persoonsgegevens door
de federale of een deelstatelijke overheid moet dus gebeuren binnen het kader dat werd
vastgelegd door de AVG. Dienaangaande verwijst de Geschillenkamer naar artikel 22 van de
Grondwet10 en de vaste rechtspraak hieromtrent van het Grondwettelijk Hof dat stelt dat
het recht op eerbiediging van het privéleven, zoals gewaarborgd in artikel 22 van de
Grondwet (alsook in verdragen), een ruime draagwijdte heeft en onder meer de bescherming
van persoonsgegevens en van persoonlijke informatie omvat11.
43. Het Grondwettelijk Hof en de afdeling Wetgeving van de Raad van State hebben reeds
geoordeeld dat het instellen van algemene beperkingen op de door een grondwetsbepaling
gewaarborgde rechten, een aan de federale wetgever voorbehouden materie is12.
Dientengevolge behouden de deelstatelijke overheden de mogelijkheid om, binnen hun
bevoegdheden, specifieke beperkingen te voorzien, slechts in die mate en op voorwaarde
dat zij de algemene federale wetgeving hieromtrent respecteren 13.
44. Kortom, de Geschillenkamer stelt vast dat de federale overheid en deelstatelijke overheden
bevoegd zijn om respectievelijk algemene en specifieke regels uit te vaardigen betreffende
de bescherming van het privé- en gezinsleven en dit enkel op de punten waarop de AVG dit
toelaat en binnen de regels van de AVG die rechtstreeks toepasselijk zijn in de Belgische
rechtsorde14.
45. In haar advies nr. 61.267/2/AV van 27 juni 2017, dat werd uitgevaardigd naar aanleiding van
het voorontwerp dat tot de WOG heeft geleid, ging de afdeling Wetgeving van de Raad van
State uitvoerig in op de bevoegdheidsverdelende regels inzake het toezicht op
gegevensbescherming15. De Raad van State stelde in het voormeld advies dat de federale
overheid een toezichthoudende autoriteit kan oprichten met “een algemene bevoegdheid
[…] over alle verwerkingen van persoonsgegevens, ook die welke plaatsvinden in
aangelegenheden waarvoor de gemeenschappen en de gewesten bevoegd zijn”16.
“Een dergelijke regeling doet geen afbreuk aan de bevoegdheid van de gemeenschappen en
10
“Ieder heeft recht op eerbiediging van zijn privéleven en zijn gezinsleven, behoudens in de gevallen en onder de
voorwaarden onder de wet bepaald. De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming
van dat recht.”
11
Zie bv. GwH, nr. 29/2018, 15 maart 2018, B.11; nr. 104/2018, 19 juli 2018, B.21; nr. 153/2018, 8 november 2018, B.9.1. Zie ook
A. ALEN en K. MUYLLE, Handboek van het Belgisch Staatsrecht, Mechelen, Kluwer 2011, pp. 917 e.v.
12
A. ALEN en K. MUYLLE, Handboek van het Belgisch Staatsrecht, Mechelen, Kluwer, 2011, 918; K. REYBROUCK en S. SOTTIAUX,
De federale bevoegdheden, Antwerpen, Intersentia, 2019, 122; J. VANDE LANOTTE, G. GOEDERTIER, Y. HAECK, J. GOOSSENS en
T. DE PELSMAEKER, Belgisch Publiekrecht, Brugge, die Keure, 2015, p. 449.
13
Arbitragehof, nr. 50/2003, 30 april 2003, B.8.10; nr. 51/2003, 30 april 2003, B.4.12.; nr. 162/2004, 20 oktober 2004 en
16/2005, 19 januari 2005; GwH, 20 oktober 2004, 14 februari 2008; Adv. RvS nr. 37.288/3 van 15 juli 2004, Parl. St. Vl. Parl.
2005-2006, nr. 531/1: “[…] de gemeenschappen en de gewesten [zijn] slechts bevoegd […] om specifieke beperkingen van
het recht op de eerbiediging van het privéleven toe te staan en te regelen voor zover ze daarbij de federaal bepaalde
basisnormen aanpassen of aanvullen, maar […] ze [zijn] niet bevoegd […] om die federale basisnormen aan te tasten”.
14
J. VAN PRAET, De latente staatshervorming, Brugge, die Keure, 2011, pp. 249-250.
15
Adv.RvS nr. 61.267/2 van 27 juni 2017 over het voorontwerp van wet ‘tot hervorming van de Commissie voor de
bescherming van persoonlijke levenssfeer’, pp. 28-45.
16
Ibid., p. 12, para. 5.
Beslissing ten gronde 62/2022 - 10/21
gewesten, […]”, aldus de Raad van State17. Bijgevolg kunnen de deelstatelijke
toezichthoudende autoriteiten volgens de Raad van State enkel worden gemachtigd om
toezicht te houden op de specifieke regels die de zij hebben uitgevaardigd voor
gegevensverwerkingen in het kader van activiteiten die onder hun bevoegdheid vallen, en
dit uiteraard slechts in zoverre de AVG de lidstaten nog toestaat om specifieke bepalingen
vast te stellen en geen afbreuk wordt gedaan aan de bepalingen van de WOG.
46. Kortom, de GBA is, als federale toezichthoudende autoriteit, overeenkomstig artikel 4 WOG
de bevoegde instantie om toe te zien op de algemene regels, waaronder de dwingende
bepalingen van de AVG die geen verdere nationale uitvoering behoeven18. Dit is ook het
geval indien de gegevensverwerking betrekking heeft op een materie die onder de
bevoegdheid van de gemeenschappen of de gewesten (deelstatelijke overheden) valt en/of
indien de verwerkingsverantwoordelijke een overheidsinstantie is die onder de
gemeenschappen of de gewesten ressorteert, zelfs al heeft de deelstaat zelf een
toezichthoudende autoriteit in de zin van de AVG opgericht.
47. Gelet op het bovenstaande concludeert de Geschillenkamer dat opdat een deelstatelijke
toezichthoudende autoriteit bevoegd zou zijn, het geenszins volstaat dat de
gegevensverwerking betrekking heeft op een deelstatelijke materie. De deelstaat in
kwestie moet bovendien ook, binnen de ruimte die de AVG de lidstaten nog laat, specifieke
regels hebben uitgevaardigd voor de verwerking van persoonsgegevens in het kader van
die materie. Het is enkel het toezicht op de naleving van die specifieke deelstatelijke regels
dat aan de deelstatelijke toezichthoudende autoriteit kan worden toevertrouwd.
48. De Geschillenkamer benadrukt dat de notie ‘specifieke regels’ niet te ruim mag worden
opgevat. Uit het aangehaalde advies van de Raad van State blijkt dat het begrip ‘specifieke
regels’ verwijst naar specifieke beperkingen of bijzondere waarborgen, die afwijken van of
verder gaan dan de algemene bepalingen, waarborgen en beperkingen die zijn opgenomen
in, of voortvloeien uit, de AVG of de federale wetgeving. Met andere woorden, het loutere
feit dat de deelstaten (bij decreet of besluit) een algemene regel implementeren of
bevestigen, betekent nog niet dat die regel het karakter krijgt van een ‘specifieke regel’. Er is
pas sprake van een specifieke regel wanneer de deelstaten, gebruikmakend van de ruimte
die de AVG daarvoor laat, bijkomende waarborgen of beperkingen instellen.
49. Daar komt bij dat eventuele beperkingen van bevoegdheden van een autoriteit voor de
gegevensbescherming ingevolge de AVG slechts mogelijk zouden zijn indien op het niveau
17
Ibid., p. 12, para. 6.
18
Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een ontwerp van besluit van de Vlaamse Regering van
10 december 2010 ‘tot uitvoering van het decreet betreffende de private arbeidsbemiddeling, wat betreft de invoering van
een registratieverplichting voor sportmakelaars’, p. 5, para. 5.3; Adv.RvS., nr. 66.277/1 van 2 juli 2019 over een ontwerp van
besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de bewaring en de bewijskracht van de
elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, p. 7, para. 5.3.
Beslissing ten gronde 62/2022 - 11/21
van een deelstaat een toezichthoudende autoriteit zou zijn opgericht die voldoet aan alle
vereisten die ingevolge de Europese Verdragen aan de toezichthoudende autoriteiten
worden gesteld, en die ook alle taken en bevoegdheden van een toezichthoudende
autoriteit heeft verkregen. Verwezen zij in dit verband vooral naar de artikelen 51 tot en met
59 van de AVG. Dit is niet het geval voor de Vlaamse Toezichtcommissie.
50. Uit bovenstaande volgt dat de Vlaamse besturen zijn onderworpen aan de rechtstreeks
toepasselijke bepalingen van de AVG alsook dat de GBA in casu bevoegd is om op te treden.
Deze bevoegdheid betekent eveneens dat incidenten met betrekking tot
persoonsgegevens, zoals gedefinieerd in artikel 4.12) AVG, krachtens artikel 33.1 AVG
desgevallend aan de bevoegde toezichthoudende autoriteit gemeld moeten worden, in casu
de GBA.
II.2. Gebrek aan ouderlijke toestemming voor het nemen en verspreiden van foto’s van een
minderjarige
51. De Geschillenkamer neemt akte van het feit dat mevr. X zich erover beklaagt dat
verweerster zonder haar voorafgaande inlichting en toestemming foto’s van haar
minderjarige zoon zou hebben laten nemen met het oog op een externe publicatie.
52. Echter stelt de Geschillenkamer vast dat klaagster negatief antwoordde op de vraag van de
Inspectiedienst om enige bewijs aan te leveren van deze vermeende verwerking.
Meer bepaald merkt klaagster op dat verweerster weigerde haar meer informatie te
verstrekken omtrent het project. Een medewerkster van de ombudsdienst van verweerster
zou bovendien verklaard hebben dat de deelname aan het project rechtstreeks aan de
jongeren werd voorgesteld, waarbij de deelname ook anoniem kon verlopen en verweerster
om deze reden “niet echt toestemming [vroeg]”.
53. De Geschillenkamer stelt vast dat verweerster niet betwist dat de kwestieuze verwerking
plaatsvond, doch verwijst naar haar onthaalbrochure waarin een toestemmingsverklaring
voorziet in de mogelijkheid voor opvoedingsverantwoordelijke dan wel bekwame jongeren
om hun toestemming te geven voor het nemen en gebruiken van sfeerfoto’s19.
54. Vooreerst benadrukt de Geschillenkamer dat de bescherming van persoonsgegevens, die
onder de AVG valt, moet worden losgekoppeld van het "recht op afbeelding", dat een
persoonlijk recht is waarin artikel XI.174 van het Wetboek van Economisch Recht voorziet.
Het feit dat een persoon ermee instemt om gefotografeerd of gefilmd te worden, betekent
derhalve niet noodzakelijkerwijs dat hij of zij instemt met de publicatie of verspreiding van
19
Onthaalbrochure vzw Sporen, p. 13.
Beslissing ten gronde 62/2022 - 12/21
deze beelden. Deze twee toestemmingen staan los van elkaar en moeten daarom apart
worden gevraagd20.
55. De Geschillenkamer begrijpt uit de voorgelegde stukken dat de zoon van klaagster op het
moment van de feiten 15 jaar was. Inzake de leeftijd waarop de minderjarigen zelf zouden
mogen beschikken over hun persoonsgegevens voorzien noch de AVG noch de Belgische
Gegevensbeschermingswet echter uitsluitsel, behoudens in de specifieke context van een
rechtstreekse aanbod van diensten van de informatiemaatschappij aan een kind 21.
56. Hoewel alle natuurlijke personen titularis zijn van het recht op afbeelding, is de uitoefening
van dat recht nauw verbonden aan de handelings(on)bekwaamheid van de titularis 22.
De rechtsleer voorziet daarom in een onderscheid tussen minderjarigen met
onderscheidingsvermogen en minderjarigen zonder onderscheidingsvermogen, waarbij
bovendien gesteld moet worden “dat de huidige rechtspraak het begrip
onderscheidingsvermogen beoordeelt volgens de concrete, feitelijke omstandigheden van
de zaak en niet op grond van een welbepaalde leeftijd”23.
57. Dit betekent met andere woorden dat het voor de Geschillenkamer, bij gebrek aan sluitend
antwoord of klaagster naar aanleiding van de uitspraak van de jeugdrechtbank nog ouderlijk
gezag had over haar zoon alsook of deze laatste al dan niet over het
onderscheidingsvermogen beschikt, onmogelijk is te achterhalen of de toestemming van
klaagster voor de betwiste verwerking in casu noodzakelijk was.
58. Dientengevolge gelden in beginsel de gemeenrechtelijke bepalingen met betrekking tot de
handelings(on)bekwaamheid van minderjarigen 24 ten aanzien van de uitoefening van hun
recht op afbeelding, en is de Geschillenkamer prima facie van mening dat de ouderlijke
toestemming —evenals de toestemming van de betrokkenen indien zij het
onderscheidingsvermogen hebben— nodig is voor de verwerking van beeldmateriaal van
minderjarigen onder de 18 jaar.
59. De Geschillenkamer stelt evenwel vast dat de klacht onvoldoende gestaafd is met bewijzen
voor het bestaan van een inbreuk op de AVG of op de gegevensbeschermingswetten, en het
duidelijk niet mogelijk is om een dergelijk bewijs te verkrijgen25. Evenmin is de
20
https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/recht-op-afbeelding/principes.
21
Artikel 8 van de AVG ; artikel 7 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met
betrekking tot de verwerking van persoonsgegevens, B.S., 5 september 2018.
22
E. GULDIX, De persoonlijkheidsrechten, de persoonlijke levenssfeer en het privéleven in hun onderling verband,
Doctoraatproefschrift Faculteit der Rechtsgeleerdheid V.U.B., Brussel, 1986, pp. 246-247.
23
Kh. Brussel, 24 februari 1995, Ing.-Cons., 1995, p. 333, noot L. MULLER; Rb. Brussel, 17 mei 2002, AM, 2003, p. 138. Zie ook
L. DIERICKX, Het recht op afbeelding, Intersentia, Antwerpen-Oxford, 2005, pp. 39-42.
24
Art. 388, 488 en 1123 t.e.m. 1125 BW. Niet-ontvoogde minderjarigen zijn absoluut, algemeen en volledig
handelingsonbekwaam en worden derhalve vertegenwoordigd. Zie ook FR. SWENNEN, Het personen- en familierecht,
Intersentia, Antwerpen-Cambridge, 2012, para. 265 e.v.
25
In dit verband verwijst de Geschillenkamer naar afdeling 3.1, A.1 van haar sepotbeleid, zoals uiteengezet op de website
van de GBA: https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf.
Beslissing ten gronde 62/2022 - 13/21
Geschillenkamer in staat vast te stellen dat de voorafgaande ouderlijke toestemming in casu
vereist was. Aldus kan de Geschillenkamer op basis van de feiten en de in de klacht
aangevoerde juridische grieven niet tot de conclusie komen dat er sprake is van een inbreuk
op de regelgeving inzake gegevensbescherming. Kortom, op grond van voorgaande
elementen oordeelt de Geschillenkamer dat er geen overtreding van de AVG kan worden
vastgesteld ; deze grief wordt derhalve als kennelijk ongegrond verklaard26.
60. In de hypothese dat er in de onderhavige zaak effectief een publicatie van beeldmateriaal
van jongeren zou hebben plaatsgevonden, dan stelt de Geschillenkamer evenwel in vraag in
welke mate een dergelijke publicatie met foto’s van minderjarigen op sociale media of
communicatieplatformen noodzakelijk is voor de vervulling van een taak van algemeen
belang dat aan verweerster is opgedragen of kadert binnen een wettelijke verplichting die
op verweerster rust. Het feit dat het in de onderhavige zaak gaat om jongeren met
uitgerekend een moeilijke gezinssituatie of achtergrond, zou volgens de Geschillenkamer
minstens tot voorzichtigheid moeten nopen, en zelfs aanleiding moeten zijn tot het niet-
publiceren van beelden waarop deze jongeren herkenbaar zijn, uitgezonderd indien de
ouderlijke toestemming voorafgaand wordt verkregen voor welbepaalde
verwerkingsdoeleinden. Aangezien verweerster als een Vlaamse overheidsinstantie dient te
worden beschouwd27, kan zij overeenkomstig artikel 6.1 in fine AVG immers geen beroep
doen op het gerechtvaardigd belang als grondslag voor de verwerking van
persoonsgegevens28. Bij gebrek aan een legitiem belang of wettelijke verplichting voor de
publicatie van beeldmateriaal waarop jongeren herkenbaar worden afgebeeld, besluit de
Geschillenkamer dat een voorafgaande toestemming, of tenminste specifieke toelating van
de ouders of de wettelijke opvoedingsverantwoordelijke onontbeerlijk is.
II.3. Rechtmatigheid van de verwerking van persoonsgegevens van klaagster in het kader
van de dienstmededeling d.d. 7 juni 2018
61. Het staat vast dat verweerster beschikt over de contactgegevens van de ouders en
opvoedingsverantwoordelijken teneinde met hen te kunnen communiceren omtrent
informatie die van belang is in het kader van de relatie van verweerster ten opzichte van de
ouders van de jongeren. De Geschillenkamer gaat er vanuit dat voor het verkrijgen van deze
gegevens een rechtsgrond bestaat, als bedoeld in artikel 6.1 van de AVG, meer bepaald de
noodzaak van de verwerking teneinde een wettelijke verplichting na te komen (artikel 6.1.c)
26
Ibidem, afdeling 3.1, A.2.
27
Onderzoeksverslag van de Inspectiedienst, p. 3. Zie ook para. 7 in deze beslissing.
28
Artikel 6.1.f) AVG : "De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan : […] f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met
name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties
in het kader van de uitoefening van hun taken." Zie ook para. 67 in deze beslissing.
Beslissing ten gronde 62/2022 - 14/21
AVG). Om die reden is toestemming als rechtsgrond overeenkomstig de voorwaarden van
de artikelen 4.7 en 7 AVG niet denkbaar voor het verkrijgen van de gegevens. Ouders van
jongeren hebben immers niet de vrije keuze om al dan niet hun contactgegevens aan
verweerster over te leggen.
62. De Geschillenkamer gaat na in hoeverre verweerster die contactgegevens van klaagster kan
delen met derden, in voorliggend geval de ouders van andere jongeren.
Overeenkomstig artikel 5.1.b) AVG kan de verwerking van persoonsgegevens voor andere
doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel
worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de
persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria
opgenomen in artikel 6.4 AVG en overweging 50 AVG 29 dient aldus te worden nagegaan of
de doelstelling van de verdere verwerking, in casu het kenbaar maken via mail van de
contactgegevens van klaagster aan de ouders van andere jongeren, al dan niet verenigbaar
is met de doelstelling van de initiële verwerking bestaande uit de verzameling van de
contactgegevens van klaagster binnen de context van rechtstreeks contact tussen de
ouders van jongeren en verweerster. De Geschillenkamer komt tot het besluit dat klaagster
haar contactgegevens heeft verstrekt binnen het kader van haar verhouding tot
verweerster en er zich geenszins redelijkerwijs aan kon verwachten dat verweerster
diezelfde gegevens zou delen met derden die weliswaar een eigen band hebben met
verweerster, vermits het ouders van andere jongeren betreft, maar die buiten de verhouding
tussen klaagster en verweerster staan.
63. Dit leidt tot de vaststelling dat er geen sprake is van een verenigbare verdere verwerking,
zodat er een afzonderlijke rechtsgrond is vereist opdat de mededeling van de
contactgegevens van klaagster aan de ouders van andere jongeren als rechtmatig zou
kunnen worden bestempeld. Een verwerking van persoonsgegevens, waaronder dus ook
een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts
rechtmatig indien daartoe een rechtsgrond bestaat. Voor onverenigbare verdere
verwerkingen dient te worden teruggevallen op artikel 6.1 AVG en overweging 50 AVG.
In overweging 50 AVG30 is opgenomen dat een afzonderlijke rechtsgrond is vereist voor de
verwerking van persoonsgegevens voor andere doeleinden die niet verenigbaar zijn met de
29
Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften
inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele
koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens
zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de
verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van
de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de
voorgenomen verdere verwerkingen.
30
Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de
persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de
doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke
rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
Beslissing ten gronde 62/2022 - 15/21
doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Die afzonderlijke
rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare
verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn bepaald in
artikel 6.1 AVG.
64. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in
artikel 6.1 AVG kunnen worden ingeroepen door verweerster teneinde de verdere
verwerking van de persoonsgegevens die betrekking hebben op klaagster te
rechtvaardigen.
65. Verweerster zelf maakt geen melding van enige rechtsgrond dewelke haar zou toelaten over
te gaan tot de gegevensverwerking die het voorwerp uitmaakt van de klacht, zijnde de
mededeling van het e-mailadres van klaagster aan de ouders van andere jongeren.
Daarenboven geeft verweerster uitdrukkelijk toe dat deze mededeling een fout betrof.
Verweerster argumenteert dus niet dat de mededeling mocht plaatsvinden en tracht deze
dus ook niet te rechtvaardigen door zich uitdrukkelijk te beroepen op enige rechtsgrond.
66. Op basis van de feitelijke elementen in het dossier aanwezig gaat de Geschillenkamer
ambtshalve na of er desgevallend een rechtsgrond kan worden ingeroepen die verweerster
zou toelaten over te gaan tot de verzending van de mail met daarin het e-mailadres van
klaagster zichtbaar voor alle bestemmelingen, ermee rekening houdende dat er een
eenvoudig technisch middel bestaat om de beoogde bestemmelingen van de e-mail in één
enkele beweging te bereiken zonder dat de mailadressen van eenieder zichtbaar zijn,
namelijk de verzending in BCC in plaats van in CC.
67. Gelet op de hoedanigheid van verweerster 31, kan zij zich voor de mededeling van het
e-mailadres van klaagster aan andere ouders in beginsel niet beroepen op haar
gerechtvaardigd belang (artikel 6.1.f) AVG) noch dat van een derde partij.
68. De overige rechtsgronden opgenomen in artikel 6.1.a) tot en met 6.1.e) AVG zijn in
voorliggend geval evenmin van toepassing vermits:
▪ uit het voorwerp van de klacht alsmede de stukken in dit dossier geenszins blijkt
dat klaagster haar toestemming heeft gegeven (artikel 6.1.a) AVG) voor de
kwestieuze verwerking, noch dat verweerster zich op de toestemming meent te
beroepen;
▪ de Geschillenkamer het niet plausibel acht dat de onthulling van de
contactgegevens van klaagster aan andere ouders noodzakelijk is voor de
uitvoering van een overeenkomst tussen klaagster en verweerster
31
Zie para. 60 in fine in deze beslissing.
Beslissing ten gronde 62/2022 - 16/21
(artikel 6.1.b) AVG), noch dat zulke onthulling zou voortvloeien uit een wettelijke
verplichting rustend op verweerster (artikel 6.1.c) AVG);
▪ er niet kan getwijfeld worden dat de mededeling van het e-mailadres van klaagster
niet noodzakelijk was ter bescherming van de vitale belangen van de betrokken
ouders of een andere natuurlijke persoon (artikel 6.1.d) AVG), en dat de mededeling
van de contactgegevens van de ouders noodzakelijk is voor de vervulling van een
taak van algemeen belang dat aan verweerster is opgedragen (artikel 6.1.e) AVG).
69. De Geschillenkamer is van oordeel dat de voorgaande elementen afdoende aantonen dat
verweerster zich op geen enkele rechtsgrond kan beroepen waaruit de rechtmatigheid blijkt
van de gegevensverwerking zoals deze door haar werd opgezet. Bovendien betwist
verweerster de feiten niet en stelt zij zelf dat in de betreffende e-mail die het voorwerp
uitmaakt van de klacht het e-mailadres van klaagster samen met die van andere ouders in
het veld “CC” werd geplaatst, in plaats van in “BCC”, in tegenstelling tot wat de ICT
Gedragscode voor medewerkers voorziet. Hierdoor geeft verweerster aan dat de
medewerkster die de communicatie uitstuurde een inbreuk heeft gepleegd in verband met
de persoonsgegevens van klaagster.
70. Ondanks het feit dat uit de door verweerster bijgebrachte stukken blijkt dat er binnen haar
organisatie algemene richtlijnen zijn opgesteld waarbij in globale e-mails de
bestemmelingen in BCC dienen te worden geplaatst, toont klaagster aan dat deze richtlijnen
in de praktijk niet werden toegepast. In de dienstmededeling d.d. 7 juni 2018 bijgevoegd door
klaagster en waarop de klacht betrekking heeft, worden deze richtlijnen niet nageleefd.
Verweerster ontkracht dit niet, maar stelt dat het voorval voorkwam uit een menselijke fout
en een eenmalig en accidenteel karakter had.
71. Niettegenstaande de volgens verweerster sindsdien aangebrachte verbeteringen besluit de
Geschillenkamer, op grond van de voorgaande elementen, dat de inbreuk op artikelen 5, 6
en 4.11 juncto artikel 7 AVG bewezen is ten aanzien van de dienstmededeling van 7 juni 2018,
waarin de contactgegevens van alle bestemmelingen zichtbaar bleven.
72. Aansluitend op het gestelde in het verslag van de Inspectiedienst, oordeelt de
Geschillenkamer dat er daarentegen geen inbreuk van artikel 33.1 AVG kan worden
vastgesteld, vermits het niet vaststaat dat het gegevenslek ten gevolge van de
dienstmededeling d.d. 7 juni 2018 een risico inhield voor de rechten en vrijheden van
klaagster, en verweerster derhalve niet gehouden was tot het melden van de inbreuk bij de
GBA.
Beslissing ten gronde 62/2022 - 17/21
II.4. Rechtmatigheid van de verwerking van persoonsgegevens van klaagster in het kader
van het versturen van nieuwsbrieven aan ouders en opvoedingsverantwoordelijken
73. Verweerster verklaart in haar antwoord aan de Inspectiedienst dat zij de nieuwsbrieven niet
als direct marketing aanziet, maar als een essentieel middel om de ouders van de jongeren
die in de leefgroepen verblijven betrokken te houden, om ouders gesprekstof te geven in
communicatie met hun kinderen, en om ouders op de hoogte te houden van activiteiten
zoals oudercontacten.
74. Klaagster stelt daarentegen vast dat de elektronische nieuwsbrieven bestemmelingen ook
oproepen tot het steunen, hetzij door vrijwilligerswerk, hetzij financieel, van de initiatieven
en werking van Y, alsook promotie van externe dienstverleners zoals reisorganisaties.
75. De Geschillenkamer stelt op grond van de voorgelegde nieuwsbrieven d.d. 27 maart 2019 en
29 mei 2019 vast dat de betrokken ontvangers worden uitgenodigd om vrijwillig geld te
storten ten gunste van de Y, hetgeen niet kadert binnen de kernopdracht van verweerster
als Organisatie voor Bijzondere Jeugdzorg. Derhalve oordeelt de Geschillenkamer dat de
nieuwsbrieven in casu niet uitsluitend kaderen in het decreet betreffende de integrale
jeugdhulp, maar ook voor een deel als direct marketing communicaties beschouwd moeten
worden. De Geschillenkamer onderzoekt daartoe welke rechtsgrond zoals bepaald in artikel
6.1 AVG door de verwerkingsverantwoordelijke wordt ingeroepen.
76. Uit het antwoord van verweerster op de vragen van de Inspectiedienst 32, begrijpt de
Geschillenkamer dat betrokkenen zich op haar website via een opt-in kunnen inschrijven
voor de elektronische nieuwsbrief. Tevens verklaart verweerster dat gegeven
toestemmingen worden bijgehouden in MailChimp, en ontvangers zich kunnen uitschrijven
via een “reply op de nieuwsbrief” of via de knop “Uitschrijven” onderaan elke nieuwsbrief.
In het kader van dat onderzoek kon verweerster bovendien vaststellen dat MailChimp geen
poging van klaagster registreerde om zich uit te schrijven via de hiervoor bestemde knop,
noch enige e-mail van klaagster is toegekomen via de “reply” functionaliteit.
77. De Geschillenkamer stelt vast dat betrokkenen op passende wijze geïnformeerd worden
over de verwerking van hun persoonsgegevens met het oog op het uitsturen van
nieuwsbrieven alsmede dat verweerster zich terecht beroept op hun toestemming als
grondslag voor deze verwerking. Verder stelt de Geschillenkamer vast dat verweerster
passende maatregelen heeft voorzien opdat betrokkenen op eenvoudige wijze hun
toestemming kunnen intrekken indien zij wensen zich uit te schrijven.
78. Niettegenstaande het vorige merkt de Geschillenkamer op dat het gebrek aan duidelijk
onderscheid tussen dienstmededelingen en de elektronische nieuwsbrieven echter kan
leiden tot verwarring voor betrokkenen omtrent de precieze rechtmatigheidsgrond.
32
Stuk 12, pp. 1-2.
Beslissing ten gronde 62/2022 - 18/21
De toestemming van betrokkenen vormt namelijk geen passende grondslag voor
communicaties die als noodzakelijk voor de dienstverlening moeten beschouwd worden,
zoals mededelingen over oudercontacten, of communicaties die hun oorsprong vinden in
een wettelijke verplichting rustend op de verwerkingsverantwoordelijke, zoals in casu het
betrekken van ouders en opvoedingsverantwoordelijken in de jeugdhulpverlening 33.
Niettemin behoort het niet aan de Geschillenkamer om te bepalen op welke specifieke
wettelijke verplichting verweerster zich al dan niet mag beroepen als grondslag voor haar
dienstmededelingen aan ouders en opvoedingsverantwoordelijken, in het kader van haar
kernopdrachten.
79. Aansluitend op de voorgaande vaststellingen besluit de Geschillenkamer dat verweerster in
casu de betrokkenen onvoldoende heeft ingelicht over het onderscheid tussen
dienstmededelingen en communicaties die rechtstreeks betrekking hebben op haar
kernopdracht, enerzijds, en communicaties die als direct marketing moeten bestempeld
worden, anderzijds. Hieromtrent benadrukt de Geschillenkamer in het bijzonder het belang
van een passende rechtsgrond voor zowel noodzakelijke dienstmededelingen als voor
elektronische nieuwsbrieven waarin de dagdagelijkse werking van de organisatie op
vrijwillige basis ter kennis van de ouders of opvoedingsverantwoordelijken wordt gebracht.
80. Bij gebrek aan duidelijke informatie over de verschillende categorieën van elektronische
communicaties naar ouders en opvoedingsverantwoordelijken, zowel in de online
privacyverklaring als in de onthaalbrochure, oordeelt de Geschillenkamer dat verweerster
artikelen 12 en 13 AVG heeft geschonden.
33
De Geschillenkamer verwijst in het bijzonder naar het gezamenlijk engagement beoogd door artikel 8 van het decreet van
12 juli 2013 betreffende de integrale jeugdhulp, B.S., 13 september 2013, van toepassing op verweerster:
“Integrale jeugdhulp heeft betrekking op de samenwerking en afstemming in de jeugdhulp met als doel een gezamenlijk
engagement aan te gaan ten behoeve van minderjarigen, hun ouders en, in voorkomend geval, hun
opvoedingsverantwoordelijken en de betrokken personen uit hun leefomgeving en daarvoor :
1° in te zetten op de vermaatschappelijking van de jeugdhulpverlening;
2° de tijdige toegang tot de jeugdhulpverlening te organiseren;
3° de flexibiliteit en continuïteit van de jeugdhulpverlening te waarborgen, met inbegrip van de naadloze overgang naar
andere vormen van hulpverlening;
4° gepast om te gaan met verontrustende situaties in de jeugdhulpverlening;
5° in een subsidiair aanbod crisisjeugdhulpverlening te voorzien;
6° hen maximaal in de jeugdhulpverlening te laten participeren;
7° een integrale aanpak te realiseren bij het organiseren en het aanbieden van jeugdhulpverlening.”
Beslissing ten gronde 62/2022 - 19/21
II.5. Documentatieplicht voor veiligheidsincidenten en meldingsplicht bij de
Gegevensbeschermingsautoriteit
81. De Inspectiedienst stelt in het kader van zijn onderzoek vast dat de interne procedure van
verweerster met betrekking tot het afhandelen van veiligheidsincidenten niet uitdrukkelijk
voorziet in een systematische opname van verkeerdelijk uitgestuurde e-mailberichten als
incident in het eigen register van gegevenslekken, en dat het formulier bestemd voor de
opvolging van veiligheidsincidenten niet overal voorziet in een meldingsplicht bij de GBA.
82. De Geschillenkamer herinnert eraan dat een verwerkingsverantwoordelijke alle inbreuken
moet documenteren zoals in artikel 33.5 AVG wordt uitgelegd, ongeacht of de inbreuk aan
de toezichthoudende autoriteit moet worden gemeld:
“De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met
persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met
persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die
documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te
controleren.”
83. Bij gebrek aan vaststelling door de Inspectiedienst omtrent de opname van het gegevenslek
naar aanleiding van de dienstmededeling d.d. 7 juni 2018 in een intern incidentenregister van
verweerster, is de Geschillenkamer niet in staat om tot de conclusie te komen dat er sprake
is van een inbreuk op de AVG en op de regelgeving inzake gegevensbescherming.
Dientengevolge besluit de Geschillenkamer de buitenvervolgingstelling te bevelen voor wat
betreft dit punt. De Geschillenkamer neemt evenwel akte van het voornemen van
verweerster om de melding van incidenten in de toekomst via het Intranet te laten indienen,
waarop een automatische mail volgt naar de betrokken medewerker met vervolgstappen,
een verwijzing naar de aangepaste incidentenprocedure en enkele voorbeelden van
datalekken.
84. Ten aanzien van de door de Inspectiedienst voorgestelde aanvullingen in de interne
procedure, in het bijzonder de meldingsplicht van inbreuken betreffende persoonsgegevens
bij de GBA, verwijst de Geschillenkamer naar de uiteenzetting supra inzake de algemene
bevoegdheid van de GBA voor de naleving van de AVG34.
II.6. Register van verwerkingsactiviteiten
85. De Geschillenkamer sluit zich aan bij de vaststelling van de Inspectiedienst omtrent de
onvolledigheid en onduidelijkheid van het register van verwerkingsactiviteiten. Artikel 30
AVG bepaalt uitdrukkelijk dat het register onder meer de naam en de contactgegevens van
de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkings-
34
Zie para. 40-50 in deze beslissing.
Beslissing ten gronde 62/2022 - 20/21
verantwoordelijken, alsook, in voorkomend geval, van de vertegenwoordiger van de
verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming moet
bevatten. Daarnaast dient de verwerkingsverantwoordelijke de beoogde termijnen te
beschrijven waarbinnen de verschillende categorieën van gegevens moeten worden gewist,
ermee rekening houdende dat vage termijnen zoals “bewaartermijn ongekend” of “wettige
bewaartermijn” onvoldoende duidelijkheid bieden. Ten slotte moet de beschrijving van de
getroffen organisatorische en technische maatregelen de mogelijkheid bieden om de
precieze uitwerking van de maatregelen te verstaan, teneinde na te kunnen gaan in welke
mate de betrokken persoonsgegevens hiermee afdoende worden beschermd.
86. Gezien het ontbreken van de voormelde informatie in het register van
verwerkingsactiviteiten van verweerster ten tijde van het onderzoek, oordeelt de
Geschillenkamer dat de inbreuk op artikel 30 AVG afdoende is bewezen.
III. Publicatie van de beslissing
87. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de GBA. Het is
evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks
worden bekendgemaakt.
Beslissing ten gronde 62/2022 - 21/21
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- op grond van artikel 100, § 1, 1° WOG, de klacht te seponeren voor wat betreft het
nemen en publiceren van de afbeelding van de minderjarige zoon van klaagster, zonder
haar voorafgaande toestemming;
- op grond van artikel 100, § 1, 2° WOG, de buitenvervolgingstelling te bevelen voor wat
betreft de opname van het gegevenslek d.d. 7 juni 2018 in het interne incidentenregister;
- op grond van artikel 100, § 1, 5° WOG, een waarschuwing te formuleren ten aanzien van
verweerster met betrekking tot het melden van inbreuken in verband met
persoonsgegevens bij de Gegevensbeschermingsautoriteit, in overeenstemming met
artikel 33 AVG;
- op grond van artikel 100, § 1, 5° WOG, een berisping te formuleren ten aanzien van
verweerster wegens de overtreding van artikelen 5, 6 en 4.11 juncto artikel 7 AVG in het
kader van de dienstmededeling van 7 juni 2018, waarin de contactgegevens van alle
bestemmelingen zichtbaar bleven;
- op grond van artikel 100, § 1, 5° WOG, een berisping te formuleren ten aanzien van
verweerster wegens de overtreding van artikelen 12 en 13 AVG voor het gebrek aan
transparantie in de privacyverklaring van verweerster inzake de verwerkingsgronden
voor de dienstmededelingen aan ouders en opvoedingsverantwoordelijken, enerzijds,
en de nieuwsbrieven die als direct marketing moeten worden aangezien, anderzijds;
- op grond van artikel 100, § 1, 9° WOG, verweerster te bevelen om haar privacyverklaring
in overeenstemming te brengen met artikelen 12 en 13 AVG;
- op grond van artikel 100, § 1, 9° WOG, verweerster te bevelen om het register van
verwerkingsactiviteiten in overeenstemming te brengen met artikel 30 AVG;
Tegen deze beslissing kan op grond van art. 108, § 1 WOG, beroep worden aangetekend
binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerster.
(Get). Hielke HIJMANS
Voorzitter van de Geschillenkamer