1/11
Geschillenkamer
Beslissing ten gronde 63/2024 van 25 april 2024
Dossiernummer : DOS-2022-01907
Betreft : Uitoefening van het recht van inzage
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: Mevrouw X, hierna “de klager”
De verweerder: Y, hierna “de verweerder”
Beslissing ten gronde 63/2024 — 2/11
I. Feiten en procedure
1. Op 4 februari 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen verweerder.
2. Het voorwerp van de klacht betreft de uitoefening van het recht van inzage door de klager,
waarbij zij haar verzoek richt tot de verweerder, zijnde de beheerder van het software
platform voor een online agendasysteem. Aan het verzoek van de klager werd geen gevolg
gegeven door de verweerder. In het kader van de daaropvolgende bemiddeling die
plaatsvond op het niveau van de Eerstelijnsdienst, heeft de verweerder gereageerd en
aangestipt op te treden in de hoedanigheid van verwerker en enkel de persoonsgegevens
te verwerken in opdracht van de klanten die gebruik maken van het softwareplatform van
de verweerder. De verweerder heeft de klager daarbij een overzicht bezorgd van de klanten
bij wie de klager zich in de databank bevindt, zodat de klager zich tot de hem gewenste
klanten van verweerder kan richten met het verzoek tot inzage. Volgens de klager is dit
antwoord van de verweerder ontoereikend, aangezien zij stelt dat de verweerder
verantwoordelijk is voor de persoonsgegevens die worden verwerkt via het platform en
aldus zou hebben gehandeld in strijd met artikel 4.7) AVG, artikel 12.3 en 12.4 AVG juncto
artikel 15.1 AVG.
3. Op 16 februari 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 31 juli 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG
dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per
aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2,
alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis
gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd
daarbij vastgelegd op 22 september 2023, deze voor de conclusie van repliek van de klager
op 13 oktober 2023 en deze voor de conclusie van repliek van de verweerder op 3 november
2023.
5. Op 31 juli 2023 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG),
dewelke hem werd overgemaakt op 8 augustus 2023.
6. Op 22 september 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege
de verweerder die in essentie aanvoert de gegevensverwerking te verrichten in opdracht
van de verwerkingsverantwoordelijken die op het SaaS 1-aanbod van de verweerder zijn
1
Software as a Service
Beslissing ten gronde 63/2024 — 3/11
ingegaan en waardoor de verweerder voorhoudt als verwerker op te treden. De verweerder
zet uiteen dat zijn rol als verwerker met zich meebrengt dat er geen verplichting op hem rust
om te voldoen aan artikel 12.3 en 12.4 AVG en artikel 15.1 AVG. In ondergeschikte orde voert
de verweerder aan dat de klager werd verzocht om aanvullende informatie te verstrekken
met het oog op correcte verificatie van haar persoonsgegevens om een gepaste reactie te
kunnen geven aan de verwerkingsverantwoordelijke, zijnde een zorgverstrekker,
overeenkomstig de afgesproken verplichtingen uit de verwerkersovereenkomst, maar dat
medewerking van de klager om deze informatie te verstrekken is uitgebleven. De
verweerder stipt ook aan dat er meermaals op transparante en begrijpelijke wijze informatie
werd verstrekt aan de klager met betrekking tot het inzageverzoek.
7. Op 6 september 2023 worden de partijen ervan in kennis gesteld dat de Geschillenkamer
ambtshalve overgaat tot het vastleggen van een hoorzitting waarvoor de datum wordt
vastgelegd op 23 november 2023.
8. Op 13 oktober 2023 ontvangt de Geschillenkamer een brief van de klager waarin wordt
gemeld dat niet alle stukken van het dossier elektronisch konden worden geraadpleegd en
dat het bij gebrek aan alle informatie niet mogelijk was om een repliekconclusie in te dienen
binnen de vastgestelde conclusietermijn. Daarop maakt de Geschillenkamer de gevraagde
stukken aan de klager over per post.
9. Op 26 oktober 2023 wordt de datum voor hoorzitting uitgesteld naar 14 december 2023,
waarbij een (nieuwe) uiterste datum voor ontvangst van de conclusie van repliek van de
klager werd vastgelegd op 8 november 2023 alsook voor de conclusie van repliek van de
verweerder op 29 november 2023.
10. Niettegenstaande de verlenging van de conclusietermijnen, worden geen nieuwe conclusies
ingediend bij de Geschillenkamer.
11. Op 14 december 2023 wordt de verweerder gehoord door de Geschillenkamer. De klager
die behoorlijk werd opgeroepen, meldt per brief ontvangen door de Geschillenkamer op 13
december 2024 niet te zullen verschijnen.
12. Op 21 december 2023 wordt het proces-verbaal van de hoorzitting aan de partijen
voorgelegd.
13. Op 22 december 2023 ontvangt de Geschillenkamer vanwege de verweerder een enkele
opmerking met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in
haar beraad.
Beslissing ten gronde 63/2024 — 4/11
II. Motivering
a) Hoedanigheid van de verweerder
14. Teneinde de verplichtingen waaraan de verweerder dient te voldoen overeenkomstig de
AVG, te kunnen bepalen, dient voorafgaand te worden bepaald in welke hoedanigheid de
verweerder optreedt met betrekking tot de gegevensverwerking die het voorwerp vormt
van de klacht. Cruciaal daarbij is dat wordt onderzocht of de verweerder handelt als
verwerkingsverantwoordelijke (artikel 4. 7) AVG2) dan wel als verwerker (artikel 4.8) AVG3).
15. De verweerder argumenteert louter op te treden als verwerker, niet als
verwerkingsverantwoordelijke. De Geschillenkamer gaat na of het uitgangspunt dat de
verweerder enkel als verwerker dient te worden beschouwd in overeenstemming is met de
(ruime) interpretatie van het begrip verwerkingsverantwoordelijke door het Hof van Justitie 4
en de European Data Protection Board (EDPB), in het bijzonder in de richtsnoeren 07/2020
over het begrip verwerkingsverantwoordelijke.
16. De AVG definieert een “verwerkingsverantwoordelijke” als de entiteit die, alleen of samen
met anderen, het doel en de middelen voor de verwerking van de persoonsgegevens
vaststelt5. Deze definitie moet worden begrepen in het licht van de doelstelling van de
wetgever om de hoofdverantwoordelijkheid voor de bescherming van persoonsgegevens
te leggen bij de entiteit die daadwerkelijk controle uitoefent over de gegevensverwerking.
Dit houdt in dat niet alleen rekening moet worden gehouden met de juridische kwalificering,
maar ook met de feitelijke realiteit6.
17. De EDPB heeft verduidelijkt dat het concept van verwerkingsverantwoordelijke gebaseerd
is op de invloed van de verwerkingsverantwoordelijke op de verwerking, op grond van een
beslissingsbevoegdheid of controle over de verwerkingsactiviteiten. Zulke controle kan
2
Artikel 4 AVG;
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander
orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens
vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden
vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt
aangewezen;
3
Artikel 4 AVG;
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
8) „verwerker”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten
behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;
4
Zie o.a. HvJEU, Arrest van 10 juli 2018, Jehovan todistajat, C-25/17, ECLI:EU:C:2018:551, pt 66, en meest recentelijk arrest van
7 maart 2024, IAB Europe, C-604/22, ECLI:EU:C:2024:214, pt 55.
5
Art. 4.7) AVG
6
L. A. BYGRAVE & L. TOSONI, “Article 4(7). Controller” in The EU General Data Protection Regulation. A Commentary, Oxford
University Press, 2020, p. 148.
Beslissing ten gronde 63/2024 — 5/11
voortkomen uit wettelijke bepalingen, voortvloeien uit een impliciete bevoegdheid of
gegrond zijn op de uitoefening een feitelijke invloed 7. In wezen komt het bepalen van de
doeleinden en de middelen overeen met het bepalen van respectievelijk het waarom en het
hoe van de verwerking: voor een bepaalde verwerkingsactiviteit is de
verwerkingsverantwoordelijke degene die die invloed uitoefent op de verwerking van
persoonsgegevens en dus bepaalt waarom de verwerking plaatsvindt (d.w.z. met welk doel
of waarvoor) en hoe dat doel zal worden bereikt (d.w.z. welke middelen zullen worden
aangewend om het doel te bereiken) 8.
18. De bevoegdheid om de middelen en doeleinden van verwerkingsactiviteiten vast te leggen,
kan allereerst gekoppeld zijn aan de functionele rol van een organisatie 9. Tevens kan de
verantwoordelijkheid worden toegewezen op basis van de contractuele bepalingen tussen
de betrokken partijen, hoewel deze niet altijd doorslaggevend zijn 10, of op grond van een
beoordeling van de feitelijke zeggenschap van een partij. Zo kan de vastlegging van de
middelen en doeleinden voortvloeien uit een beslissende invloed over de verwerking, meer
bepaald over de reden waarom een verwerking volgens een bepaalde wijze plaatsvindt 11.
19. In zijn Jehova’s getuigen-arrest12 geeft het Hof van Justitie een ruime uitleg aan het begrip
verwerkingsverantwoordelijke. Dit arrest beklemtoont dat de definitie van
verwerkingsverantwoordelijke ruim moet worden opgevat, teneinde een “doeltreffende en
volledige bescherming van de betrokkenen” te waarborgen 13, alsook dat er geen toegang
tot de betrokken persoonsgegevens vereist is om als verwerkingsverantwoordelijke in
aanmerking te komen14.
20. De determinerende elementen om te bepalen of de gegevensverwerking plaatsvindt in de
hoedanigheid van verwerkingsverantwoordelijke dan wel als verwerker zijn de doeleinden
en de middelen, meer bepaald de mate waarin daaromtrent beslissingsbevoegdheid
aanwezig is.
21. Concreet in het onderhavige geval ligt de gegevensverwerking voor die door de verweerder
wordt verricht aan de hand van een softwareapplicatie die een op web-technologie
7
EDPB – Guidelines 07/2020 on the concepts of controller and processor in the AVG, v2.0, 2021, para. 20 e.v.
8
Ibidem, para. 35.
9
D. De Bot, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context, Wolters Kluwer,
2020, para. 362.
10
D. De Bot, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context, Wolters Kluwer,
2020, para. 363-365.
11
EDPB – Guidelines 7/2020 on the concepts of controller and processor in the AVG, v2.0, 2021, para. 20.
12
HvJEU Arrest van 10 juli 2018, Jehovan todistajat, C-25/17, ECLI:EU:C:2018:551.
13
HvJEU Arrest van 13 mei 2014, Google Spain en Google e.a., C-131/12, ECLI: EU:C:2014:317, para. 34; zie ook de bespreking
omtrent de reikwijdte van het begrip in C. DOCKSEY en H. HIJMANS, “The Court of Justice as a Key Player in Privacy and Data
Protection”, European Data Protection Law Review, 2019, afl. 3, (300)304.
14
HvJEU Arrest van 10 juli 2018, Tietosuojavaltuutettu et Jehovan todistajat - uskonnollinen yhdyskunta, C-25/17,
ECLI:EU:C:2018:551. Zie ook EDPB - Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in
de AVG, v2.0, 2021, para. 45.
Beslissing ten gronde 63/2024 — 6/11
gebaseerd afsprakensysteem is. Teneinde de impact van de verweerder op het doeleinde
en de middelen te kunnen beoordelen, dient vooreerst inzicht te worden verkregen in de
werking van deze applicatie. Deze gaat als volgt:
a. De patiënt surft naar de website van de medische praktijk of gebruikt de app;
b. De patiënt identificeert zich in het online agendasysteem. De gebruiker van de
applicatie, in casu de zorgverstrekker, kiest zelf hoe de patiënt kan aanmelden,
namelijk via 1) gebruikersnaam en wachtwoord; 2) naam, voornaam en geboortedatum;
3) e-ID, 4) rijksregisternummer of 5) social media account;
c. De patiënt kiest de arts bij wie hij/zij een afspraak wenst;
d. De patiënt kiest eventueel een afspraakcategorie;
e. De patiënt kiest het gewenste tijdslot;
f. De patiënt vult optioneel bijkomende opmerkingen in;
g. De patiënt bevestigt zijn/haar afspraak.
22. Vervolgens controleert de verweerder of de betreffende persoonsgegevens van de
betrokken patiënt aanwezig zijn in de database van de zorgverstrekker. Indien dit het geval
is, dan kan de patiënt een afspraak maken. Indien dit niet het geval is, dan kan de patiënt zich
ofwel handmatig registreren, ofwel wordt hem de toegang geweigerd indien de
zorgverstrekker geen nieuwe patiënten wenst te aanvaarden.
23. Op basis van de elementen aanwezig in dit dossier stelt de Geschillenkamer vast dat het
nagestreefde doeleinde erin bestaat om te beschikken over een online agendasysteem dat
het mogelijk maakt om afspraken te maken en afspraakherinneringen te krijgen, gegevens
uit te wisselen met andere toepassingen en om volautomatische afspraken te maken per
telefoon. Dit doeleinde vloeit voort uit de noodzaak voor de zorgverstrekker om op een
efficiënte en performante wijze afspraken met patiënten te kunnen registreren. Dit betekent
dat het doeleinde volledig autonoom wordt bepaald door de zorgverstrekker en het online
agendasysteem van de verweerder louter een middel vormt om dit doeleinde te bereiken.
Het staat daarbij vast dat enkel de zorgverstrekkers die van oordeel zijn dat de door de
verweerder aangeboden applicatie met de mogelijkheden die het online agendasysteem
biedt om afspraken met patiënten te registreren, beantwoordt aan hun concrete noden, ook
daadwerkelijk op de verweerder beroep zullen doen en zullen overgaan tot het sluiten van
een overeenkomst met de verweerder. De zorgverstrekker beslist dus niet alleen over het
doeleinde, maar beslist volledig alleen over welk middel volgens hem het meest adequaat is
om het door hem nagestreefde doeleinde te bereiken. Daarbij heeft de verweerder een
louter intermediaire rol in die zin dat deze enkel de onderscheiden functionaliteiten van de
applicatie voorstelt en aanbiedt. Het is echter uitsluitend de zorgverstrekker die in functie
Beslissing ten gronde 63/2024 — 7/11
van het door hem nagestreefde doeleinde kiest van welke functionaliteiten die de applicatie
als toepassingsmogelijkheden biedt, hij wenst gebruik te maken. Aangezien zowel het
doeleinde als het middel daartoe exclusief door de zorgverstrekker wordt bepaald, moet aan
deze bijgevolg de hoedanigheid van verwerkingsverantwoordelijke worden toegekend.
24. De verweerder daarentegen voldoet aan de twee centrale voorwaarden 15 om als verwerker
in de zin van artikel 4. 8) AVG te worden aangemerkt, namelijk:
a) deze is een aparte rechtspersoon die los van de verwerkingsverantwoordelijke, i.e. de
zorgverstrekker, staat en
b) deze verwerkt de persoonsgegevens namens de verwerkingsverantwoordelijke.
25. De zorgverstrekkers, veelal een praktijk van zorgverstrekkers, beslissen om de activiteit
bestaande uit de online registratie van afspraken met patiënten uit te besteden aan de
verweerder die een externe organisatie is die volledig losstaat van de praktijk waartoe de
zorgverleners behoren. De verweerder beschikt ook over de vereiste rechtspersoonlijkheid,
aangezien deze de vorm heeft aangenomen van een besloten vennootschap.
26. Uit de verwerkersovereenkomsten die de verweerder heeft bijgebracht blijkt dat de
verwerkingsactiviteit wordt verricht onder de strikte verplichting voor de verweerder om
deze uit te voeren in overeenstemming met en uitsluitend volgens de schriftelijke instructies
van de zorgverstrekker. De Geschillenkamer stelt vast dat daarbij geen enkele ruimte is voor
de verweerder om de verkregen persoonsgegevens voor ook maar enig ander, eigen
doeleinde te verwerken. Zo is daarin ook uitdrukkelijk bepaald dat de verweerder de
persoonsgegevens niet voor enig ander doel zal verwerken dan zoals door de
zorgverstrekker is bepaald en in die zin wordt bijgevolg dan ook voldaan aan de vereiste van
artikel 28.10 AVG om als verwerker te worden beschouwd. Een eigen doeleinde ten aanzien
van de verkregen gegevens is immers volledig afwezig in hoofde van de verweerder die deze
gegevens enkel verwerkt ten behoeve van de zorgverstrekker. Dit wordt ook benadrukt in
de privacyverklaring16 die door de verweerder werd bijgebracht. Daarin is uitdrukkelijk
opgenomen dat de verweerder enkel instaat voor het technisch functioneren van het
platform, waarbij de zorgverleners verantwoordelijk zijn voor het bepalen van het doel en de
inhoud van de gegevensverwerking.
15
EDPB – Guidelines 07/2020 on the concepts of controller and processor in the AVG, v2.0, 2021, para. 73 – 84.
16
Privacyverklaring Y punt 3.1. onder titel 3. Wie verwerkt de persoonsgegevens:
“Ten aanzien van de Onrechtstreekse Gebruikers van het Platform zal de Rechtstreekse Gebruiker zelf de hoedanigheid
verwerven van verwerkingsverantwoordelijke. De Rechtstreekse Gebruiker begrijpt dat Y in deze context slechts als verwerker
optreedt die instaat voor de goede werking van het Platform.”
In de privacyverklaring wordt onder titel 1 Definities aangeduid welke invulling dient te worden gegeven aan “Rechtstreekse
Gebruiker” en “Onrechtstreekse Gebruiker”, waarmee resp. wordt verwezen naar de zorgverleners en de patiënten. Dit wordt
nogmaals bevestigd in de conclusie van de verweerder.
Beslissing ten gronde 63/2024 — 8/11
27. De hoedanigheid van de verweerder als verwerker wordt ook bevestigd doordat de concrete
verwerkingsactiviteit van de verweerder als dienstverlener die de persoonsgegevens van
de patiënt in diens relatie tot de zorgverstrekker verwerkt om te kunnen overgaan tot de
registratie van een afspraak tussen patiënt en zorgverstrekker, plaatsvindt in opdracht van
de zorgverstrekker die het absolute zeggenschap heeft over de gegevensverwerking. De
aard van de dienst is daarbij allesbepalend in die zin dat om als verwerker te kunnen worden
aangemerkt de dienst specifiek dient te zijn gericht op de verwerking van
persoonsgegevens of de verwerking een wezenlijk aspect van die dienst dient te vormen.
De door de verweerder aangeboden softwareapplicatie is in essentie gericht op de
verwerking van persoonsgegevens van patiënten zoals aangereikt door de zorgverstrekker
en dewelke noodzakelijk zijn om te kunnen overgaan tot de registratie van enkel en alleen
afspraken met de betreffende zorgverstrekker zonder dat de verweerder daarbij een
dossierbeheer van gezondheidsgegevens aanbiedt en zonder dat de verweerder ook maar
enige invloed heeft op de vaststelling van het doel en de middelen van de verwerking.
28. Aangezien de Geschillenkamer van oordeel is dat het vaststaat dat de verweerder optreedt
als verwerker, heeft dit gevolgen voor de verplichtingen inzake gegevensbescherming die
hieruit voortvloeien. Hierna belicht de Geschillenkamer vanuit deze invalshoek waarbij de
verweerder de hoedanigheid heeft van verwerker, de uitoefening van het recht van inzage
dat het voorwerp vormt van de klacht.
b) Recht van inzage
29. Het recht van inzage zoals opgenomen in artikel 15.1 AVG17 bepaalt dat de betrokkene het
recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan
17
1.De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet
verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die
persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name
ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien
dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden
gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht
tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die
gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en,
ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van
die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de
betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3.De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien
de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve
Beslissing ten gronde 63/2024 — 9/11
niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om
inzage te verkrijgen van die persoonsgegevens en van de in deze bepaling opgenomen
informatie. Hieruit vloeien een aantal verplichtingen voort voor de
verwerkingsverantwoordelijke, overeenkomstig artikel 12 AVG inzake transparante
informatie en communicatie ten aanzien van de betrokkene, alsook met betrekking tot de
facilitering van de uitoefening van het inzagerecht door de betrokkene.
30. De Geschillenkamer vestigt de aandacht erop dat dit recht waarover de betrokkene beschikt
dient te worden uitgeoefend ten aanzien van de verwerkingsverantwoordelijke. Het
inzagerecht kan dus door de betrokkene, in casu de klager, exclusief worden uitgeoefend
ten aanzien van de verwerkingsverantwoordelijke, zijnde de zorgverstrekker. Geen enkele
bepaling van de AVG biedt een grondslag voor een betrokkene om het inzagerecht
rechtstreeks uit te oefenen ten aanzien van de verwerker waarop de
verwerkingsverantwoordelijke beroep doet. Vermits de verweerder de hoedanigheid heeft
van verwerker kan de klager zich redelijkerwijs dan ook niet richten tot de verweerder
teneinde inzage te verkrijgen in de haar betreffende gegevens.
31. Uit de stukken van het dossier, inzonderheid deze bijgebracht tijdens de
bemiddelingsprocedure bij de Eerstelijnsdienst, blijkt dat de verweerder bij herhaling heeft
gepoogd om de klager informatie te verstrekken door haar erop te wijzen dat het verzoek
tot inzage aan elke zorgverstrekker in diens hoedanigheid van
verwerkingsverantwoordelijke diende te worden gericht, alsmede door de klager in het
kader van de bemiddeling een overzicht te bieden van de praktijken die haar
persoonsgegevens verwerken. Niettegenstaande dat er op grond van de AVG geen
verplichting was in hoofde van de verweerder om in te gaan op het verzoek tot inzage in de
persoonsgegevens die via de softwareapplicatie worden verwerkt door de zorgverstrekkers
die werden geraadpleegd door de klager, heeft de verweerder getracht om de klager
duidelijk te maken dat zij zich tot de betreffende zorgverstrekkers afzonderlijk diende te
richten met haar verzoek tot inzage. Tijdens de hoorzitting heeft de verweerder herhaald dat
enkel de zorgverstrekker als verwerkingsverantwoordelijke aan de verweerder kan vragen
om gegevens te verstrekken aan de betrokkene. Concreet in het voorliggende dossier, is er
door de verweerder nadat informatie werd verkregen in het kader van de
bemiddelingsprocedure bij de Eerstelijnsdienst, door de verweerder een opzoeking gedaan
naar de klager. Deze opzoeking strekte ertoe te kunnen aanduiden tot welke
verwerkingsverantwoordelijken de klager zich diende te richten met haar verzoek tot inzage
om op die manier de klager in de mogelijkheid te stellen om een antwoord te verkrijgen op
haar verzoek tot inzage.
kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere
regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
Beslissing ten gronde 63/2024 — 11/11
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.19, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
19
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.