1/29
Geschillenkamer
Beslissing ten gronde 71/2022 van 4 mei 2022
Deze beslissing werd door het Marktenhof gedeeltelijk gewijzigd in die zin dat het
bedrag van de geldboete werd verlaagd (arrest 2022/AR/723 van 14 juni 2023)
Dossiernummer : DOS-2020-04750
Betreft : Nieuwsbrief Hello Belgium Railpass NMBS
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans,
voorzitter en de heren Yves Poullet en Frank De Smet;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende
de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene
verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers
op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
heeft de volgende beslissing genomen inzake:
De verweerder: NATIONALE MAATSCHAPPIJ DER BELGISCHE SPOORWEGEN (“NMBS”), nv
van publiek recht, met maatschappelijke zetel in de Frankrijkstraat 56, 1060
Brussel, ingeschreven bij de Kruispuntbank van Ondernemingen (KBO) in Brussel,
onder het nummer 0203.430.576, hierna “de verweerder”
Beslissing ten gronde 71/2022 - 2/29
I. Feiten en procedure
1. Op 14 oktober 2020 kreeg de GBA een melding van een Twitter-gebruiker over een nieuwsbrief die zij
had ontvangen van NMBS over de Hello Belgium Railpass. De Hello Belgium Railpass is een
vervoersbewijs met een aantal gratis treinritten die op aanvraag kosteloos aan Belgische inwoners
werd verstrekt. De nieuwsbrief bevatte volgens de persoon die de melding deed geen mogelijkheid tot
uitschrijving ervan.
2. Op 19 oktober 2020 besliste de Inspectiedienst om de zaak uit eigen beweging aanhangig te maken op
grond van artikel 63, 6° WOG omdat er ernstige aanwijzingen waren vast te stellen over het bestaan
van een praktijk die aanleiding kon geven tot een inbreuk op de grondbeginselen van de bescherming
van persoonsgegevens.
3. Op 9 november 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het
dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van
de Geschillenkamer (art. 91, § 1 en § 2 WOG).
4. Het verslag bevat de volgende vaststellingen :
• De per e-mail verzonden nieuwsbrief was niet noodzakelijk ter uitvoering van de overeenkomst
(door aanvraag van de Hello Belgium Railpass) tussen verweerder en de betrokken reizigers. Er
had gekozen kunnen worden voor een andere manier van publicatie van de nieuwsbrief. Er was
bovendien geen rechtsgrond aanwezig voor de verwerking van de persoonsgegevens aangezien
de verzending van de nieuwsbrief per e-mail geen uitvoering gaf aan de overeenkomst tussen
verweerder en de reizigers. Er zijn geen passende technische en organisatorische maatregelen
genomen om te waarborgen en aan te tonen dat de verwerking plaatsvond conform de AVG.
Dit leidt volgens de Inspectiedienst tot een inbreuk op de artikelen 5. 1, a) en c) en 5.2 van de AVG,
artikel 6.1 van de AVG, artikel 24. 1 van de AVG en artikel 25.1 en 25.2 van de AVG;
• Het recht van bezwaar werd niet gefaciliteerd door verweerder terwijl de geviseerde e-mails
kunnen worden aangemerkt als “direct marketing” hetgeen inbreuken oplevert op artikel 12. 2
van de AVG en artikel 21. 2, 21.3 en 21.4 van de AVG.
Het verslag bevat daarnaast vaststellingen omtrent de functionaris voor gegevensbescherming:
• De functionaris voor gegevensbescherming bracht geen verslag uit aan het hoogst leidinggevend
orgaan binnen de organisatie van verweerder.
• De functiebeschrijving, het aantal werkuren per week, en de toegang tot de middelen door de
functionaris voor gegevensbescherming werden door de Inspectiedienst voldoende bevonden. De
door de functionaris verstrekte adviezen in het kader van de verzonden geviseerde e-mails was
Beslissing ten gronde 71/2022 - 3/29
volgens de Inspectiedienst eveneens voldoende om aan te nemen dat aan de wettelijke plicht op
het vlak van geven van advies werd voldaan.
Derhalve stelt de Inspectiedienst een inbreuk vast op artikel 38.3 van de AVG, doch geen inbreuk
op artikel 38. 1, 38.2 en 38. 6 van de AVG en geen inbreuk op artikel 39 van de AVG.
5. Op 19 februari 2021 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het
dossier gereed is voor behandeling ten gronde.
6. Op 19 februari 2021 wordt verweerder in kennis gesteld van de bepalingen zoals vermeld in artikel 95,
§ 2, alsook van deze in art. 98 WOG. Tevens wordt zij op grond van art. 99 WOG in kennis gesteld van
de termijn om haar verweermiddelen in te dienen.
7. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 2
april 2021.
8. Op 4 maart 2021 vraagt de verweerder een kopie van het dossier aanvaardt de verweerder elektronisch
alle communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid
om te worden gehoord, overeenkomstig artikel 98 WOG. (art. 95, §2, 3° WOG) het dossier werd
overgemaakt op 17 maart 2021.
Conclusie van antwoord verweerder
9. Op 2 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder.
10. Volgens de verweerder heeft zij de e-mail met daarin de nieuwsbrief over de Hello Belgium Railpass
rechtmatig verzonden. Verweerder stelt dat de e-mails werden verzonden in het kader van de
uitvoering van de overeenkomst tussen de aanvragers/gebruikers van de Hello Belgium Railpass en
verweerder. De geviseerde verwerking van persoonsgegevens was volgens verweerder derhalve
noodzakelijk ter uitvoering van de overeenkomst op grond van artikel 6.1 sub b AVG en om de sanitaire
veiligheid van de reizigers te garanderen. De voorwaarden voor het gebruik van de Hello Belgium
Railpass samen met de Algemene Vervoersvoorwaarden maken deel uit van de
vervoersovereenkomst met de reizigers. Het was volgens verweerder bovendien noodzakelijk dat de
e-mails verzonden werden gezien de precaire situatie op dat moment, waarbij een tweede golf in de
Covid-19-epidemie in België op komst was en een ieder derhalve extra alert moest zijn teneinde de
veiligheid in de treinen de kunnen waarborgen. Om de reizigers tijdig te bereiken was NMBS derhalve
genoodzaakt om de aanvragers de nieuwsbrief per e-mail toe te sturen. De disclaimer van de e-mail
bevatte volgens verweerder duidelijke informatie over het beoogde doel van de e-mail, namelijk het
informeren van de reizigers over de manier waarop de Railpass zo correct en optimaal mogelijk gebruikt
diende te worden. Er is volgens verweerder dus voldaan aan het beginsel van minimale
gegevensverwerking conform artikel 5.1 sub c, aangezien er geen realistische en minder indringende
alternatieven voorhanden waren om uitvoering te geven aan de overeenkomst.
Beslissing ten gronde 71/2022 - 4/29
11. Bovendien vormde de geviseerde e-mail volgens verweerder geen direct marketing in de zin van artikel
21.2 AVG omdat de e-mail niet bestemd was voor het direct of indirect promoten van goederen,
diensten of het imago van NMBS. De e-mail kaderde binnen de uitvoering van de overheidstaken van
NMBS en deze taken zijn uitgesloten van het begrip ‘direct marketing’. Nu er geen sprake is van direct
marketing en de verwerking plaatsvond op grond van artikel 6 .1, b (uitvoering van de overeenkomst),
leidt dit er volgens verweerder toe dat het recht van bezwaar zoals neergelegd in artikel 21.1 AVG niet
van toepassing is. Bovendien bevatte de disclaimer van de e-mail inzake de Hello Belgium Railpass
volgens verweerder duidelijk een hyperlink naar de privacyverklaring van NMBS. De betrokkenen
werden derhalve geïnformeerd over de rechten waarover zij beschikten.
12. Verweerder stelt voorts dat de vaststelling van de Inspectiedienst, volgens welke de functionaris voor
gegevensbescherming niet rechtstreeks verslag zou uitbrengen aan het hoogst leidinggevend orgaan
binnen NMBS, onjuist is. Verweerder maakt duidelijk dat de functionaris voor gegevensbescherming
zowel periodiek als ad-hoc verslag uitbrengt aan de CEO van NMBS. De CEO is voorzitter van het
Executive Committee als ook van het Directiecomité. Derhalve rapporteert de functionaris voor
gegevensbescherming geheel conform artikel 38.3 aan het hoogste orgaan binnen NMBS en is er
volgens verweerder geen sprake van een schending van dit artikel.
13. Op 14 februari 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op
28 februari 2022.
14. Op 28 februari 2022 worden de partijen gehoord door de Geschillenkamer.
15. Op 16 maart 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
16. Op 23 maart 2022 ontvangt de Geschillenkamer vanwege de verweerder opmerkingen met betrekking
tot het proces-verbaal. Verweerder merkt het volgende op ten aanzien van de weergave in het proces-
verbaal: de communicatie die voorwerp uitmaakt van onderhavige procedure betreft geen nieuwsbrief
maar communicatie die gericht is aan de houders van de Hello Belgium Railpass. Verweerder is van
mening dat de nadruk in het proces-verbaal wordt gelegd op het eerste onderdeel van de
communicatie met daarin de boodschap “herontdek meer dan 500 bestemmingen in België".
Voorgaande strookt volgens verweerder niet met hetgeen dat ter zitting is ingebracht door
verweerder. Alle elementen in de communicatie dienen volgens verweerder als gelijkwaardig te worden
beschouwd. De weergave van hetgeen door de verweerder werd toegelicht tijdens de zitting is volgens
verweerder ook onvolledig. Ieder van de onderdelen van de communicatie was gericht op het spreiden
van de reizigers, het aansporen om gebruik te maken van de Move Safe App en het correct vooraf
invullen van de Railpass om agressie tegen personeel tegen te vermijden en controle te faciliteren. De
Geschillenkamer benadrukt dat de reactie op het proces-verhaal de debatten niet doet heropenen,
maar dat de weergave van deze reactie in casu nuttig is, voor een beter begrip van de positie van de
verweerder.
Beslissing ten gronde 71/2022 - 5/29
17. Op 16 maart 2022 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om
over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan
teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt
opgelegd.
18. Op 8 april 2022 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het
opleggen van een administratieve geldboete, alsmede het bedrag daarvan. 1
II. Motivering
II.1. De naleving van de beginselen inzake de verwerking van persoonsgegevens (artikelen 5.1 en
5.2 AVG) en de rechtmatigheid van de verwerking (artikel 6.1 AVG)
19. De verwerking van persoonsgegevens is enkel rechtmatig indien deze steunt op een van de in artikel
6.1 AVG opgesomde rechtsgronden.2
De Inspectiedienst heeft vastgesteld dat de verwerking van persoonsgegevens van de reizigers die een
e-mail ontvingen, met daarin een nieuwsbrief over de Hello Belgium Railpass, gebeurde zonder geldige
rechtsgrond. In tegenstelling tot verweerder die meent een rechtsgeldig beroep te kunnen doen op
artikel 6.1.b AVG, namelijk de uitvoering van een overeenkomst, is de Inspectiedienst van mening dat
daar geen sprake van is. Volgens de Inspectiedienst was de verwerking van persoonsgegevens van
treinreizigers door het versturen van een communicatie via e-mail niet noodzakelijk ter uitvoering of
voorbereiding van de overeenkomst tussen de verweerder en de aanvragers/reizigers van de Hello
Belgium Railpass. Bovendien was de verwerking niet noodzakelijk aangezien verweerder ervoor had
kunnen kiezen om de informatie via andere kanalen zoals via haar website te verspreiden. De
verwerking steunde volgens de Inspectiedienst derhalve niet op een van de in artikel 6.1 AVG
opgesomde rechtsgronden en was volgens de Inspectiedienst in strijd met artikel 6.1 AVG.
1
Zie punt 68 van deze beslissing.
2
Artikel 6.1 sub b AVG: “De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden
is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke
doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek
van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te
beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke
of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die
tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een
kind is.”
Beslissing ten gronde 71/2022 - 6/29
20. Verweerder beroept zich op de uitvoering van de overeenkomst (artikel 6.1 (b) AVG) die NMBS met de
betrokkene heeft. Het beroep op deze rechtsgrond is volgens de verweerder rechtmatig aangezien de
wettelijke voorwaarden in hoofde van NMBS vervuld zijn: er bestaat een geldige overeenkomst met de
betrokkene en de verwerking is objectief gezien noodzakelijk voor de uitvoering van de overeenkomst.
21. Verweerder maakt duidelijk dat de beslissing om een gratis Hello Belgium Railpass te verstrekken aan
Belgische inwoners een beslissing was die werd genomen bij Koninklijk besluit “met het oog op het
herstel van de Belgische economie en het promoten van het spoor als openbaar vervoer”. 3
22. De Hello Belgium Railpassen konden worden gebruikt vanaf 5 oktober 2020. Dit moment viel samen
met de “tweede golf” van de Covid-19-epidemie die steeds kritieker werd. Er werd een groot aantal
railpassen aangevraagd en verstrekt, waardoor NMBS (opnieuw) problemen kon verwachten op
bepaalde stations. Verweerder legt bij conclusie eveneens een aantal krantenartikelen over waaruit
blijkt dat er bij haar directie al bij de aankondiging van de Hello Belgium Railpass bezorgdheid bestond
over de gevolgen van het initiatief voor de sanitaire veiligheid van het personeel en de reizigers. Om
voornoemde redenen werd de aanvang van de geldigheidsduur van de Hello Belgium Railpass volgens
verweerder tot tweemaal toe uitgesteld.
23. Gezien de beschreven situatie bestond er volgens verweerder een noodzaak om al het mogelijke te
doen om dit in goede banen te leiden en waar mogelijk drukte te vermijden. Volgens verweerder werd
derhalve beslist dat: “ (i) het versturen van een communicatie aan de houders (en dus aan de verwachte
gebruikers) van de Hello Belgium Railpass noodzakelijk was om de bestaande initiatieven van NMBS
om drukte te vermijden en de voorwaarden voor gebruik van het vervoersbewijs onder de aandacht te
brengen en (ii) dat dit de enige mogelijke manier was om de reizigers (tijdig) te bereiken.”
24. Verweerder zet bij conclusie uiteen dat de voorwaarden voor het gebruik van de Hello Belgium Railpass
samen met de Algemene Vervoersvoorwaarden van NMBS de vervoersovereenkomst met de
aanvrager/reiziger vormen. Deze Algemene Vervoersvoorwaarden zijn volgens verweerder
beschikbaar op de website van NMBS en worden op iedere pagina van de website in de voetnoot
weergegeven. Gezien het voorgaande is volgens verweerder derhalve sprake van een rechtsgeldige
overeenkomst tussen NMBS en de aanvrager van de Hello Belgium Railpass.
25. De geviseerde e-mail die verweerder verstuurde aan de aanvragers van de Hello Belgium Railpass
bevat de volgende tekst :
(i) “Herontdek meer dan 500 bestemmingen in België” vergezeld van een knop ‘Vind inspiratie’;
3
Koninklijk besluit van 28 juli 2020 tot wijziging van het koninklijk besluit van 21 december 2013 tot vaststelling van de voorlopige
regels die als beheerscontract van Infrabel en NMBS gelden, BS 31 juli 2020: “In het koninklijk besluit van 21 december 2013 tot
vaststelling van de voorlopige regels die als beheerscontract van Infrabel en NMBS gelden, laatstelijk gewijzigd bij het besluit van 9
april 2020, wordt een artikel 4/5 ingelast, dat luidt als volgt: "Art. 4/5. § 1. Naar aanleiding van de COVID-19-crisis wil de federale Staat
het gebruik van het spoorvervoer, en de toeristische, recreatieve, culturele en economische sectoren promoten door enerzijds aan de
NMBS te vragen om een nieuw gratis vervoerbewijs te verdelen voor het binnenlandse reizigersvervoer, nl. de 12-TRAJECTEN-PASS,
en door anderzijds het gratis meenemen van de fiets op de trein tijdelijk toe te laten ».
Beslissing ten gronde 71/2022 - 7/29
(ii) “MoveSafe-app: jouw veiligheid” vergezeld van een knop ‘Download de app’
(iii) “Klaar voor je eerste reis?”;
(iv) “Nog vragen? Raadpleeg onze FAQ over het gebruik van je Hello Belgium Railpass”, vergezeld
van een knop ‘Bekijk de voorwaarden’;
(v) De mededeling “We wensen je leuke reizen toe met je Hello Belgium Railpass!”
(vi) Disclaimer
“Met bovenstaande communicatie wil NMBS u informeren over de manier waarop u uw Hello
Belgium Railpass correct en zo optimaal mogelijk kan gebruiken. NMBS verwerkt uw persoonlijke
gegevens om uitvoering te geven aan de overeenkomst die op basis van de Hello Belgium Railpass
bestaat. Meer details over hoe NMBS uw persoonsgegevens verwerkt en over uw rechten, vindt u
op www.nmbs.be/privacy”4
26. In artikel 4.1 AVG zijn persoonsgegevens gedefinieerd als: “Alle informatie over een geïdentificeerde
of identificeerbare natuurlijke persoon.” In casu heeft het grootste deel van de aanvragers van de Hello
Belgium Railpass hun naam en e-mailadres doorgegeven. Dit zijn persoonsgegevens in de zin van
artikel 4.1 AVG. Artikel 4. 2 bevat de definitie van een verwerking, deze luidt: „verwerking”: een
bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van
persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen,
vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken,
verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen,
aligneren of combineren, afschermen, wissen of vernietigen van gegevens. De door de aanvragers
verstrekte persoonsgegevens werden (initieel) door verweerder verzameld en gebruikt voor de
afhandeling van de aanvraag van de Railpass. Derhalve is er sprake van een verwerking van
persoonsgegevens in de zin van artikel 4.2 AVG.
27. De geviseerde e-mail van NMBS dient volgens verweerder te worden beschouwd als ”een officiële
herinnering aan enkele van de wezenlijke voorwaarden van de vervoersovereenkomst met de reiziger,
in het bijzonder de verplichting om het vervoersbewijs correct te gebruiken en om als reiziger steeds
op de eigen veiligheid toe te zien. Beide verplichtingen kunnen nageleefd worden door niet allemaal
tegelijk naar de voor de hand liggende (kust)bestemmingen te reizen. “
28. Allereerst wijst de Geschillenkamer erop dat voor een geslaagd beroep op artikel 6.1.b AVG
noodzakelijk is dat er sprake is van een overeenkomst waarbij de betrokkene zelf partij is en de
verwerking een noodzakelijk uitvloeisel is van de overeenkomst. In casu dient derhalve te worden
beoordeeld of de geviseerde e-mail kan worden aangemerkt als een noodzakelijk uitvloeisel van de
vervoersovereenkomst tussen de aanvragers van de railpass en verweerder.
4
Zie bijlage 1 bij deze beslissing voor de geviseerde e-mail in zijn geheel
Beslissing ten gronde 71/2022 - 8/29
29. Voor de Geschillenkamer staat buiten twijfel dat het garanderen van de sanitaire veiligheid van de
treinreigers een noodzakelijk element is voor de uitvoering van de overeenkomst waarvan sprake.
Echter, de e-mail bevat ook algemene informatie (die eerder promotioneel van aard is) waarin niet enkel
en specifiek wordt gecommuniceerd over de sanitaire situatie op dat ogenblik en de
voorzorgsmaatregelen die genomen dienen te worden teneinde de veiligheid te waarborgen. Er wordt
melding gemaakt van de grote hoeveelheid aanvragen van een Hello Belgium Railpass. Dit is echter -
zoals hierboven omschreven - niet de enige informatie die in de e-mail wordt gegeven. De tekst onder
het onderdeel: “Herontdek meer dan 500 bestemmingen in België” luidt bijvoorbeeld :
Bijna 3,6 miljoen Belgen hebben een Hello Belgium Railpass aangevraagd. Gelijk hebben ze! Je
moet natuurlijk in alle veiligheid op ontdekkingstocht kunnen gaan in ons land. Laat je inspireren
door onze blogs die overlopen van ideeën om op citytrip te vertrekken, op stap te gaan in de
natuur, met familie of met vrienden… Je vindt in België voor elk wat wils!
30. De Geschillenkamer oordeelt – in overeenstemming met de vaststellingen van de Inspectiedienst - dat
de e-mail dus ook algemene promotionele informatie bevat die geen betrekking heeft op de specifieke
sanitaire situatie. Daarom kan de e-mail volgens de Geschillenkamer, anders dan door verweerder is
betoogd, niet worden aangemerkt als “Een officiële herinnering aan enkele van de wezenlijke
voorwaarden van de vervoersovereenkomst met de reiziger, in het bijzonder de verplichting om het
vervoersbewijs correct te gebruiken en om als reiziger steeds op de eigen veiligheid toe te zien ...”. De
nieuwsbrief bevat immers naast een verwijzing naar de Move Safe app en mededelingen over het juist
gebruik van de Hello Belgium Railpass, ook blogs om inspiratie op te doen om bepaalde plaatsen te
ontdekken.
31. De Geschillenkamer oordeelt tevens dat de in de e-mail opgenomen informatie evengoed zonder
verwerking van de persoonsgegevens van de aanvragers van de Hello Belgium Railpass had kunnen
gebeuren. De Inspectiedienst heeft vastgesteld dat verweerder voornoemde informatie eveneens op
zijn website https://www.belgiantrain.be had gepubliceerd.5 De inhoud van de e-mail had volgens de
Geschillenkamer geen dermate spoedeisend karakter, omdat het in dit specifieke geval zou volstaan
om te publiceren op de website en/of de NMBS applicatie, gezien de inhoud ervan.
5
https://www.belgiantrain.be/nl van de VV die op 27/10/2020 werden genomen door de Inspectiedienst.
Zie de schermafdrukken van de website op de volgende pagina
Beslissing ten gronde 71/2022 - 9/29
De Geschillenkamer wijst in dit verband op de Richtsnoeren van het Europees Comité voor
Gegevensbescherming (EDPB) inzake artikel 6.1. b waarin het volgende wordt gesteld: “Wat de
wetgeving inzake gegevensbescherming betreft, moeten de verwerkingsverantwoordelijken er
rekening mee houden dat de voorziene verwerkingsactiviteiten een passende rechtsgrond moeten
hebben. Wanneer de overeenkomst bestaat uit meerdere afzonderlijke diensten of onderdelen van
een dienst die in feite redelijkerwijs onafhankelijk van elkaar kunnen worden verricht, rijst de vraag in
hoeverre artikel 6, lid 1, onder b), als rechtsgrondslag kan dienen. In overeenstemming met het
evenredigheidsbeginsel moet de toepasselijkheid van artikel 6, lid 1, onder b), worden beoordeeld in de
Beslissing ten gronde 71/2022 - 10/29
context van elk van die diensten afzonderlijk, waarbij wordt gekeken naar wat objectief nodig is om elk
van de afzonderlijke diensten te verlenen die de betrokkene actief heeft uitgevoerd aangevraagd of
aangemeld. Uit deze beoordeling kan blijken dat bepaalde verwerkingsactiviteiten niet noodzakelijk
zijn voor de door de betrokkene gevraagde individuele diensten, maar eerder noodzakelijk zijn voor het
bredere bedrijfsmodel van de verwerkingsverantwoordelijke. In dat geval zal artikel 6, lid 1, onder b),
geen rechtsgrondslag zijn voor die activiteiten. Er kunnen echter andere rechtsgrondslagen voor die
verwerking beschikbaar zijn, zoals artikel 6, lid 1, onder a) of f), op voorwaarde dat aan de relevante
criteria wordt voldaan.”6
32. De EDPB wijst er bovendien op dat een overeenkomst de categorieën van persoonsgegevens of het
soort verwerkingsoperaties die nodig zijn voor de uitvoering van de overeenkomst waarbij de
betrokkene partij is, niet kunstmatig mag uitbreiden. Daarbij wordt er eveneens op gewezen dat
hetgeen onder een overeenkomst valt, niet alleen afhangt van het perspectief van de
verwerkingsverantwoordelijke, maar ook van de redelijke verwachtingen van de betrokkene. Een zeer
strikte toepassing is derhalve gezien de hoge mate van precisie van deze rechtsgrond op zijn plaats.
33. Hoewel niet strikt noodzakelijk, aangezien NMBS zich beroept op artikel 6.1.b, toetst de
Geschillenkamer ambtshalve en ten overvloede of verweerder eventueel een geslaagd beroep
toekomt op de rechtsgronden van artikel 6. 1 c, e en f van de AVG . De Geschillenkamer merkt op dat
verweerder zich voor de geviseerde verwerking beriep op artikel 6.1 b, (de uitvoering van de
overeenkomst ) maar anderzijds ook het volgende stelde : "Ten tweede kadert de e-mail inzake de Hello
Belgium Railpass binnen de uitvoering van de overheidstaken van NMBS. NMBS heeft een
openbaredienstverplichting inzake het binnenlands reizigersvervoer via het spoor. Zoals hoger
vermeld, kreeg NMBS bij KB 28 juli 2020 van de Koning de opdracht om de Hello Belgium Railpassen
aan de Belgische bevolking ter beschikking te stellen en de treinritten te verzorgen waarvoor deze titel
kon worden gebruikt.” Verweerder kreeg van de Koning de opdracht om de Railpassen ter beschikking
te stellen en diende daarvoor persoonsgegevens te verwerken om de aanvragen van de Railpassen
juist af te kunnen handelen. Het Koninklijk besluit bevatte echter geen duidelijk omschreven bepalingen
over de verdere verwerking van de persoonsgegevens nadat de aanvragen werden afgehandeld. Een
eventueel beroep op artikel 6.1 sub c kan reeds om deze reden niet slagen.
34. Artikel 6. 1 e bevat de rechtsgrond taak van algemeen belang of een taak ter uitvoering van het
openbaar gezag. Zoals hierboven reeds is aangegeven geldt ook voor deze rechtsgrond dat er sprake
moet zijn van noodzakelijkheid voor de verwerking. De Geschillenkamer acht niet aannemelijk dat de
(inhoud van de) e-mail noodzakelijk was om de taak van algemeen belang (het ter beschikking stellen
van de Hello Belgium Railpassen ) te dienen.
35. De Geschillenkamer wijst er in dit verband op dat overeenkomstig artikel 6.3 AVG, gelezen in
samenhang met artikel 22 van de Grondwet en in het licht van de artikelen 7 en 8 van het Europees
6
EDPB, Richtsnoeren 2/2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder b), van de AVG in
het kader van de verlening van onlinediensten aan betrokkenen, 8 oktober 2019.
Beslissing ten gronde 71/2022 - 11/29
Grondrechtenhandvest, een wetgevende norm de essentiële kenmerken van een gegevensverwerking
moet vastleggen die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is toevertrouwd.7 De
Geschillenkamer benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die
voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar
is. Overeenkomstig artikel 6.3 AVG dienen de precieze doeleinde(n) van de verwerking in de wettelijke
norm zelf te worden opgenomen. Van voorgaande was in casu geen sprake. Bovendien is niet komen
vast te staan dat de verzonden e-mails noodzakelijk waren ter uitvoering van het Koninklijk besluit.
Daarin is bepaald dat verweerder het nodige kan doen en het gebruik van de Railpass kan beperken of
stopzetten in geval van overmacht. De Covid-19-epidemie en de gevolgen ervan staan niet ter
discussie. Echter waren de verzonden e-mails volgens de Geschillenkamer - zoals reeds eerder in de
beslissing uiteen gezet - niet noodzakelijk voor het louter ter beschikking stellen van de Hello Belgium
Railpassen, waardoor een eventueel beroep op artikel 6. 1, e niet kan slagen.
36. In artikel 6. 1 f AVG is de rechtsgrond gerechtvaardigd belang neergelegd. De Geschillenkamer gaat na
of de verdere verwerking van de persoonsgegevens van de aanvragers van de railpass in casu
eventueel rechtmatig was onder voornoemde bepaling. Om dit te kunnen bepalen dient de
verwerkingsverantwoordelijke overeenkomstig de rechtspraak van het Hof van Justitie aan te tonen
dat:
1) de belangen die zij met de verwerking nastreven, als gerechtvaardigd kunnen worden
erkend (de “doeltoets”)
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen
(de“noodzakelijkheidstoets”)
3) een afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijken of van een derde (de “afwegingstoets”).
37. Allereerst is de vraag welk belang en doeleinde de verwerkingsverantwoordelijke met de verdere
verwerking van de persoonsgegevens nastreefde (doeltoets). Door de persoonsgegevens van de
betrokkenen te gebruiken om hen een e-mail te sturen waarin de railpass vooral werd gepromoot,
bestond het doel van verweerder volgens de Geschillenkamer onder meer om de aanvragers van
de railpass aan te sporen te gaan reizen. De promotie van de railpass door verweerder worden
aangemerkt als een (commercieel) gerechtvaardigd belang.
38. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking
noodzakelijk was voor de verwezenlijking van de nagestreefde doeleinden
7
Zie ook de adviezen van het Kenniscentrum van de GBA 36/2020, 42/2020, 44/2020, 46/2020, 52/2020 en
64/2020(https://www.gegevensbeschermingsautoriteit.be/burger/zoeken?q=&search_category%5B%5D=taxonomy%3Apublicati
ons&search_type%5B%5D=advice&s=recent&l=2
Beslissing ten gronde 71/2022 - 12/29
(noodzakelijkheidstoets). Dit betekent dat de vraag dient te worden gesteld of met andere
middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of
zonder een onnodig ingrijpende verwerking voor de betrokkenen. De Geschillenkamer stelt vast
dat het geenszins noodzakelijk was om de persoonsgegevens van de reizigers verder te verwerken
om hen de geviseerde e-mails te doen toekomen. De Geschillenkamer kwam immers eerder tot het
oordeel dat de boodschap die werd aangekondigd in de e-mail eveneens op een andere wijze
kenbaar gemaakt had kunnen worden. Aan de tweede voorwaarde is derhalve niet voldaan.
39. De derde voorwaarde betreft de “afwegingstoets” tussen de belangen van de
verwerkingsverantwoordelijke enerzijds, en de fundamentele vrijheden en grondrechten van
betrokkene, anderzijds. Overeenkomstig overweging 47 AVG dient bij de bepaling hiervan te
worden nagegaan of de “betrokkene op het tijdstip en in het kader van de verzameling van de
persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”
De Geschillenkamer stelt vast dat de betrokkenen niet hadden kunnen verwachten dat de
persoonsgegevens die werden verstrekt in het kader van een vervoersovereenkomst zouden
worden aangewend voor andere doeleinden dan het verwerken van de aanvraag van een railpass,
in het bijzonder promotionele activiteiten. Derhalve zou een eventueel beroep op artikel 6. 1, f niet
slagen.
40. De Geschillenkamer is gezien het bovenstaande van oordeel dat de verwerking van de
persoonsgegevens door verzending van e-mails gebeurde zonder de keuze (en zelfs de
aanwezigheid) voor een rechtmatige grondslag. Het beroep van verweerder op de rechtsgrond
uitvoering van overeenkomst van artikel 6.1b, kan in casu niet worden ingeroepen aangezien de e-
mail geen noodzakelijke uitvloeisel is van de vervoersovereenkomst tussen partijen. Daarom is er
ook niet voldaan aan het beginsel van noodzakelijkheid zoals neergelegd in artikel 5.1c AVG. De
Geschillenkamer stelt derhalve inbreuken vast op de artikelen 5. 1 a en c, 5 . 2 en 6 . 1 AVG.
Recht van bezwaar en direct marketing
41. De Inspectiedienst is tot de vaststelling gekomen dat er sprake was van direct marketing door de
verzending van de nieuwsbrieven door verweerder en dat daarbij geen effectief recht tot bezwaar
werd toegekend aan de betrokkenen. Derhalve was volgens de Inspectiedienst sprake van inbreuk
op de artikelen 21. 2 en 21.4 AVG.
42. Op basis van artikel 12 van de AVG dient de verwerkingsverantwoordelijke de betrokkenen
transparant te informeren. De verwerkingsverantwoordelijke dient daarbij onder meer de
uitoefening van de rechten van de betrokkene op basis van de artikelen 15 tot en met 22 van de
AVG te faciliteren. In artikel 21 AVG wordt het recht van bezwaar van de betrokkenen ten opzichte
van de verwerkingsverantwoordelijke geregeld. Artikel 21. 2, bepaalt dat wanneer
persoonsgegevens ten behoeve van direct marketing worden verwerkt, de betrokkene te allen
tijde recht heeft om bezwaar te maken tegen de verwerking van de hem betreffende
persoonsgegevens. Indien de betrokkene dat recht uitoefent tegen een verwerking voor direct
Beslissing ten gronde 71/2022 - 13/29
marketing dan mogen de persoonsgegevens niet meer voor dat doeleinde worden verwerkt door
de verwerkingsverantwoordelijke. Het recht van bezwaar dient volgens artikel 21. 4 uiterlijk bij het
eerste contact met de betrokkene onder de aandacht van de betrokkene te worden gebracht en
duidelijk en onderscheiden van de andere informatie worden weergegeven.
43. Verweerder betwist de vaststellingen van de Inspectiedienst en stelt dat er geen sprake was van
direct marketing, aangezien: ”(i) de e-mail niet bestemd was voor het direct of indirect promoten
van goederen, diensten of het imago van NMBS en (ii) de e-mail kadert binnen de uitvoering van de
overheidstaken van NMBS die van het begrip ‘direct marketing’ zijn uitgesloten.”
44. De AVG bevat geen definitie van wat onder “direct marketing” moet worden verstaan. Evenmin
bestaat er tot op heden een officiële, wettelijke, of algemeen aanvaarde definitie van dit begrip op
Europees niveau. De GBA verduidelijkte haar interpretatie van dit wettelijk begrip in aanbeveling
1/2020 als volgt :
“Elke communicatie, in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een
organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan niet
tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon die
handelt in een commerciële of niet- commerciële context, die rechtstreeks gericht is aan een of
meer natuurlijke personen in een privé-of professionele context en die de verwerking van
persoonsgegevens met zich meebrengt”. Onder “direct marketing” worden dus verschillende
vormen van promotie verstaan, zoals nieuwsbrieven per e-mail, commerciële telefoontjes of
sms’jes of e-mails, of online reclame en dit, al dan niet in een commerciële context.”8
45. Volgens bovenstaande interpretatie kan de promotie of verkoop van diensten of producten waar
niet voor betaald hoeft te worden ook als direct marketing worden aangemerkt. De verweerder
stelde echter dat e-mails betreffende de Hello Belgium Railpass - onder andere - niet kunnen
worden aangemerkt als direct marketing omdat de railpass geheel gratis werd toegekend aan de
aanvragers ervan. De Geschillenkamer is van oordeel dat die opvatting onjuist is uitgaande van
bovenstaande interpretatie van het begrip direct marketing.
46. Daarenboven kadert de e-mail inzake de Hello Belgium Railpass volgens verweerder binnen de
uitvoering van de overheidstaken van NMBS. Zij stelt in haar conclusie namelijk : ”NMBS heeft een
openbaredienstverplichting inzake het binnenlands reizigersvervoer via het spoor. Zij kreeg bij KB
28 juli 2020 van de Koning de opdracht om de Hello Belgium Railpassen aan de Belgische bevolking
ter beschikking te stellen en de treinritten te verzorgen waarvoor deze titel kon worden gebruikt.
Bijgevolg kan de e-mail ook om deze reden niet als ‘direct marketing’ worden beschouwd. Dit wordt
immers uitdrukkelijk bevestigd door de Aanbeveling direct marketing van de GBA zelf.”
8
GBA, Aanbeveling nr. 01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden”, p. 9
Beslissing ten gronde 71/2022 - 14/29
47. Tevens citeert verweerder het volgende uit de genoemde aanbeveling Direct Marketing van de
GBA:
”Deze definitie omvat alle vormen van communicatie, ongeacht of deze gericht zijn op de promotie
van goederen of diensten, de promotie van ideeën, voorgesteld of ondersteund door een persoon
of organisatie, maar ook de promotie van die persoon of organisatie zelf, met inbegrip van haar
merkimago of de merken die haar eigendom zijn of door haar worden gebruikt, met uitzondering van
de promotie die wordt uitgevoerd op initiatief van overheidsinstanties die strikt handelen in het
kader van hun wettelijke verplichtingen of openbare dienstverleningstaken voor diensten waarvoor
zij alleen verantwoordelijk zijn.”
Tot slot worden mededelingen van overheidsdiensten die bepaalde campagnes voeren (bv.
vaccinatiecampagnes) of diensten (bv. telefooncentra voor bijstand aan personen in moeilijkheden)
promoten waarvoor zij wettelijk verantwoordelijk zijn of die zij als openbare dienst aanbieden,
niet beschouwd als direct marketingcommunicatie, tenzij zij tegelijkertijd specifieke diensten of
producten promoten die door particuliere dienstverleners worden aangeboden.” 9
48. Uit het bovenstaande en het ter zitting verklaarde blijkt dat verweerder betoogt een plicht te
hebben om de Hello Belgium Railpass te promoten omdat zij daartoe een wettelijke
verantwoordelijkheid had. De e-mails zouden derhalve dienen te worden aangemerkt als een
“mededeling van overheidsdiensten” ofwel een “promotie op initiatief van overheidsinstanties”. De
aanbeveling van de GBA benadrukt echter dat er sprake moet zijn van een promotie die wordt
uitgevoerd op initiatief van overheidsinstanties die strikt handelen in het kader van hun wettelijke
verplichtingen of openbare dienstverleningstaken.
49. Bovendien kan verweerder niet zonder meer worden beschouwd als een “overheidsdienst”, zoals
hierboven gedefinieerd. Immers, verweerder is een autonoom overheidsbedrijf. Kenmerkend aan
het statuut van een autonoom overheidsbedrijf is de uitdrukkelijke mogelijkheid die aan
deze ondernemingen wordt gelaten om naast hun wettelijke opdrachten van openbare dienst
tevens andere activiteiten te ontwikkelen.10 Een restrictieve opvatting van het begrip
overheidsdienst is volgens de Geschillenkamer gelet op het voorgaande, op zijn plaats. De
Geschillenkamer wenst er eveneens op te wijzen dat verweerder volgens artikel 221 § 2 van de Wet
bescherming persoonsgegevens een publiekrechtelijke rechtspersoon is die diensten aanbiedt op
de markt waardoor haar in tegenstelling tot "de overheid en hun aangestelden of gemachtigden”
wel een administratieve boete in de zin van 83 AVG kan worden opgelegd. Dit is volgens de
Geschillenkamer eveneens een aanwijzing voor het feit dat verweerder niet kan worden
beschouwd als "klassieke" overheid.
9
Citaat en markering door verweerder uit aanbeveling Direct marketing GBA 01/2020
10
Artikel 7 van de Wet betreffende de hervorming van sommige economische overheidsbedrijven
Beslissing ten gronde 71/2022 - 15/29
50. De Geschillenkamer is van oordeel dat de verzonden e-mail (die ook algemene informatie bevat die
geen betrekking heeft op de specifieke sanitaire situatie of die niet specifiek geldig is bij het gebruik
van de Hello Belgium Railpass maar ook van toepassing zou kunnen zijn bij het gebruik van andere
vervoersbewijzen) niet kan worden aangemerkt als promotie die strikt beperkt was tot het
uitvoeren van de opgelegde wettelijke verplichting aan NMBS in het kader van het aanbieden van
de Hello Belgium Railpass of die beperkt was tot het aanbieden van een openbare dienst. De
Geschillenkamer wijst er bovendien op dat er in de verzonden e-mail ook sprake kan zijn van het
(eventueel indirect) promoten van diensten of producten die door particuliere dienstverleners
worden aangeboden, wat een bijkomende aanwijzing is dat de e-mail niet uitsluitend betrekking had
op een openbare dienstverlening.
51. Ook indien ervan uit zou worden gegaan dat het een mededeling betreft die afkomstig was van een
overheidsdienst, kan de inhoud van die mededeling niet onbegrensd zijn. Het verweer dat de e-mail
die werd verstuurd geen direct marketing zou zijn omdat NMBS de taak als overheidsdienst had om
de reizigers te verwittigen treft volgens de Geschillenkamer geen doel. Het zou verweerder vrij
hebben gestaan om in het kader van haar wettelijke taak / taak van algemeen belang, de reizigers
te verwittigen en in te lichten met betrekking tot de bijzondere sanitaire situatie vanwege de
pandemie. Derhalve had verweerder in de mail kunnen opnemen dat er drukte op de stations werd
verwacht en dat deze drukte gevaar met zich mee zou kunnen brengen. Daarbij had zij zich moeten
beperken tot het inlichten van de reizigers omtrent dit gevaar.
52. Naar het oordeel van de Geschillenkamer kan de inhoud van de e-mail echter niet worden opgevat
als louter feitelijke voorlichting over de toenmalige sanitaire situatie waarin reizigers werden
gewaarschuwd en gevraagd voorzichtigheid te betrachten en zoveel mogelijk te spreiden.
Integendeel, de e-mail had door de (door)verwijzingen en inhoud die soms weinig te maken had met
de sanitaire situatie, (ook) een aanprijzend karakter gekregen, teneinde te bewerkstelligen dat er
zoveel mogelijk personen gebruik zouden maken van de Railpass (en van andere diensten of
producten, of (indirect) zelfs van andere vervoersbewijzen).
53. Derhalve is door verweerder dus niet aangetoond dat de e-mails er strikt toe dienden om de
reizigers aan te moedigen om te kiezen voor minder druk bezochte steden. Alhoewel er wel tips
gegeven worden om bepaalde steden te bezoeken, is de hoofdboodschap van de e-mail volgens de
Geschillenkamer wel degelijk de promotie van de Hello Belgium Railpass of zelfs andere
vervoersbewijzen en diensten of producten (alhoewel niet altijd expliciet vernoemd). Daarbij is niet
van belang dat NMBS daar geen geldelijk voordeel uit zou halen. Immers, er wordt bij de verzending
van de e-mails gewezen op de bijzondere diensten die door NMBS worden geleverd, hetgeen het
bedrijfsimago ten goede komt. De Geschillenkamer is het dus met de Inspectiedienst eens, waar
deze stelt dat er sprake is van promotie: De boodschap is immers dat de diensten van de VV
treinreizigers toelaten om (1) meer dan 500 Belgische bestemmingen te herontdekken, (2)
comfortabel en veilig te reizen en (3) gemakkelijk hun Railpass te gebruiken.” Verweerder had
ervoor kunnen kiezen om een kennisgeving te versturen waaruit direct en duidelijk de boodschap
Beslissing ten gronde 71/2022 - 16/29
kon worden afgeleid dat er vrees bestond dat bepaalde steden te druk bezocht zouden worden en
dat de reizigers daar rekening mee zouden moeten houden. Bovendien blijkt uit de communicatie
tussen de functionaris voor gegevensbescherming en verschillende medewerkers van verweerder
dat men zich bewust is van het feit dat de mailing zou kunnen worden aangemerkt als direct
marketing en dat om die redenen werd gezocht naar een juiste balans en omschrijving zodat de e-
mails aangemerkt zouden worden als onderdeel van de uitvoering van de overeenkomst. Zo valt
onder andere te lezen in deze communicatie : ”Op voorwaarde dat we de directe link naar de blogs
eruit kunnen halen en kunnen vervangen door een tekst die meer wijst naar onze planningsmodule
op de site kunnen we deze informatie brengen onder de rechtvaardigingsgrond “uitvoering van een
contract” wat een sterker argument is om te zeggen dat mensen zich hiervoor niet kunnen
uitschrijven.”11
54. De Geschillenkamer is dus van oordeel dat de geviseerde e-mails dienen te worden aangemerkt als
direct marketing.
55. Artikel 21.1 bepaalt dat het recht van bezwaar gefaciliteerd dient te worden in het geval dat
gegevens worden verwerkt op grond van artikel 6. 1 onder e) of f) AVG. Conform artikel 21. 2 van de
AVG heeft de betrokkene wiens persoonsgegevens voor direct marketing doeleinden worden
verwerkt ook ten alle tijde het recht bezwaar te maken tegen de verwerking van hem betreffende
persoonsgegevens, met inbegrip van profilering die betrekking heeft op direct marketing
56. Verweerder beriep zich wat betreft de verwerking van de persoonsgegevens voor het toezenden
van de e-mails naar de aanvragers (ten onrechte trouwens, cf. supra) op de rechtsgrond van de
uitvoering van een overeenkomst artikel 6.1, b, en argumenteert daarbij dat de geviseerde e-mails
noodzakelijk waren om die overeenkomst na te komen en de veiligheid van de reizigers en de
medewerkers te waarborgen waardoor art 21.1 AVG niet van toepassing zou zijn. Van direct
marketing zou ook geen sprake zijn aangezien verweerder in het kader van zijn opdracht van de
overheid deze e-mails heeft verzonden waardoor art 21.2 AVG ook niet van toepassing zou zijn.
Zoals hierboven besproken kunnen de e-mails volgens de Geschillenkamer weldegelijk
aangemerkt worden als direct marketing waardoor de verweerder de plicht had om conform met
art. 21.2 en art. 12.2 AVG het recht op bezwaar te voorzien en te faciliteren.
57. De verweerder wijst erop dat de disclaimer van de e-mail inzake de Hello Belgium Railpass een
duidelijke hyperlink naar de privacyverklaring van NMBS bevatte. Via deze hyperlink werden
betrokkenen geïnformeerd over andere rechten zoals het recht op gegevenswissing waarover zij
beschikten. Derhalve hadden betrokkenen volgens verweerder met een beroep op het recht om
hun gegevens te laten wissen hetzelfde effect kunnen bewerkstelligen als het recht op bezwaar.
58. De Geschillenkamer oordeelt dat het recht van bezwaar in casu niet is gefaciliteerd. Verweerder
wijst erop dat de betrokkenen andere rechten zoals het recht op gegevenswissing konden
11
Stuk 11 bij conclusie verweerder: e-mail van DPO van 6 oktober 2020
Beslissing ten gronde 71/2022 - 17/29
uitoefenen. Dat diende te gebeuren door een e-mail te versturen aan NMBS tezamen met een kopie
van de identiteitskaart. De Geschillenkamer benadrukt dat het recht van bezwaar een recht is dat
uitdrukkelijk wordt toegekend aan betrokkenen volgens artikel 21. 2 AVG. Dit recht dient volgens
artikel 21.4 bovendien tijdens het eerste contact en duidelijk gescheiden van andere enige andere
informatie te worden weergegeven. Voor wat betreft de informatie over het recht van bezwaar
(artikel 14.2 b) AVG) in het bijzonder bepaalt artikel 21.4 AVG 12 uitdrukkelijk dat deze mogelijkheid,
afzonderlijk van de overige informatie, reeds in het eerste bericht aan de betrokkene, moet worden
opgenomen. Echter, de e-mail die het voorwerp uitmaakt van onderhavige procedure, maakt
geenszins het recht van bezwaar kenbaar. Meer nog, het bevat geen enkele verwijzing naar dit
recht van bezwaar. Overweging 70 AVG bepaalt nochtans dat dit recht uitdrukkelijk, op duidelijke
wijze en gescheiden van overige informatie, onder de aandacht van de betrokkene moet worden
gebracht. Bij gebrek aan kennisgeving van dit recht van bezwaar in de geviseerde e-mails, heeft de
verwerkingsverantwoordelijke ook in strijd gehandeld met artikel 21.4 AVG.
59. In Aanbeveling 1/2020 over direct marketing stelt de GBA ook dat de betrokkene zijn recht van
bezwaar tegen direct marketing gemakkelijk moet kunnen uitoefenen, rekening houdend met de
middelen waarmee de verwerkingsverantwoordelijke met betrokkene communiceert: “als de
verplichte informatie digitaal wordt verstrekt of als u de persoon contacteert via digitale kanalen,
zou één enkele klik moeten volstaan”13
60. De Geschillenkamer stelt gezien het bovenstaande inbreuken vast op de artikelen 12. 2, 21.2, 21.
3 en 21.4 van de AVG aangezien verweerder het recht op bezwaar voor betrokkenen niet heeft
gefaciliteerd terwijl de geviseerde e-mails kunnen worden aangemerkt als direct marketing.
De functionaris voor gegevensbescherming
61. Artikel 38. 3 bepaalt dat de functionaris voor gegevensbescherming rechtstreeks verslag uitbrengt
aan het hoogst leidinggevend niveau van de verwerkingsverantwoordelijke. In de richtsnoeren van
de Werkgroep 29 over de functionaris voor gegevensbescherming wordt de volgende uitleg
gegeven aan het uitbrengen van verslag aan de hoogste leidinggevende zoals bedoeld in artikel
38.3: ”Als de verwerkingsverantwoordelijke of de verwerker beslissingen nemen die niet in de lijn
liggen van de algemene verordening gegevensbescherming en het advies van de functionaris voor
gegevensbescherming, moet deze laatste de kans krijgen om zijn/haar afwijkende mening duidelijk
te maken aan de hoogste leidinggevende en aan diegenen die de beslissingen nemen. In dat opzicht
wordt in artikel 38.3, voorzien dat de functionaris voor gegevensbescherming "rechtstreeks
verslag [uitbrengt] aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de
verwerker". 14 Via een dergelijke rapportage wordt verzekerd dat het hogere management (bv. de
12
Artikel 21.4 AVG. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene
uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.
13
GBA, Aanbeveling nr.01/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct
marketingdoeleinden, randnummer 162, p. 54
14
Richtlijnen voor de functionaris voor gegevensbescherming van de Werkgroep 29, WP 243 rev.01, p.19, overgenomen door de
EDPB.
Beslissing ten gronde 71/2022 - 18/29
raad van bestuur) op de hoogte is van het advies en de aanbevelingen die de functionaris voor
gegevensbescherming verstrekt in het kader van zijn missie om de verwerkingsverantwoordelijke
of de verwerker te informeren en te adviseren.
62. De Inspectiedienst heeft vastgesteld dat verweerder niet voldoet aan deze bepaling, zoals
uitgelegd door de Werkgroep 29. Uit het antwoord van verweerder op vragen van de
Inspectiedienst over de precieze plaats van de functionaris binnen het organogram, blijkt volgens
de Inspectiedienst dat de functionaris geen rechtstreeks verslag uitbrengt aan het hoogste niveau,
in casu de CEO.
63. Verweerder is het oneens met de vaststelling van de Inspectiedienst. Om dit aan te tonen legt
verweerder bij conclusie verschillende documenten over waaronder e-mail correspondentie tussen
de functionaris voor gegevensbescherming en de assistente van de CEO betreffende privacy
kwesties. Tevens is een door de functionaris voor gegevensbescherming opgestelde Powerpoint
presentatie voor het directiecomité met als titel: “GDPR aandachtspunten en tussentijdse update
audit” toegevoegd. Een ‘Governance Charter voor de bescherming van persoonsgegevens’ werd
ook ingebracht daarin valt het volgende te lezen:
- Dat de functionaris voor gegevensbescherming samen met de “ Chief Information Security”
beleid voor de bescherming van persoonsgegevens uitwerkt en dit voorlegt aan het
directiecomité.
- Hij adviseert het Executive Committee en alle onderdelen van NMBS over bescherming van
persoonsgegevens en over het opzetten van een structuur en processen om de naleving van de
regels voor de bescherming van de persoonsgegeven te garanderen
- De DPO meldt belangrijke tekortkomingen bij het verwerken van persoonsgegevens, het
naleven van de regels of het beleid voor de bescherming van persoonsgegevens rechtstreeks
aan het Directiecomité
- Het directiecomité bekrachtigt het beleid voor de bescherming van persoonsgegevens en het
informatieveiligheidsbeleid en stelt de nodige middelen ter beschikking van de Data Protection
Officer om de door NMBS gewenste richting voor het beheer van persoonsgegevens kenbaar
te maken aan de hele organisatie.
64. De Geschillenkamer is van oordeel dat verweerder aan de hand van de overgelegde documenten
en hetgeen ter zitting door de functionaris werd verklaard, voldoende aannemelijk heeft gemaakt
dat de functionaris voor gegevensbescherming rechtstreeks verslag uitbrengt of kan uitbrengen
aan het hoogst leidinggevend niveau binnen de organisatie. De functionaris heeft ter zitting
verklaard geen enkele tegenwerking te hebben ervaren en door het bestuur juist aangemoedigd
wordt zijn wettelijke verplichtingen na te komen. Tevens blijkt volgens de Geschillenkamer uit de e-
mailcorrespondentie tussen de functionaris voor gegevensbescherming en de CEO alsmede uit de
“Governance Charter” dat er direct verslag kan worden uitgebracht aan de CEO die eveneens
Beslissing ten gronde 71/2022 - 19/29
permanent voorzitter is van het Executive Committee als ook het Directiecomité van NMBS. De
Geschillenkamer is derhalve - anders dan de Inspectiedienst - van oordeel dat verweerder heeft
voldaan aan artikel 38. 3 AVG en er derhalve geen sprake is van een inbreuk op dat artikel.
III. Sanctie
65. De Geschillenkamer stelt bij het bepalen van de sanctie de volgende punten voorop. Het gaat om e-
mails die zijn verzonden aan klanten in verband met het gebruik van de Hello Belgium Railpass. Het
staat voor de Geschillenkamer vast dat de NMBS de sanitaire en de commerciële overwegingen
vermengt. Waar het in verband met de Covid-19-crisis te rechtvaardigen is dat de NMBS zijn
klanten inlicht over gezondheidsrisico’s in verband met het gebruik van de trein, geldt dit niet voor
aansporingen om zoveel mogelijk van de trein gebruik te maken, onder meer voor toeristische
excursies.
66. Een ander punt betreft de bevoegdheid tot het opleggen van een geldboete aan de NMBS. De
NMBS is een rechtspersoon van publiek recht die diensten aanbiedt op een markt. Daarmee valt de
NMBS niet onder de uitzondering met betrekking tot het opleggen van administratieve geldboetes,
zoals voorzien in art. 221 § 2 van de wet betreffende de bescherming van natuurlijke personen met
betrekking tot de verwerking van persoonsgegevens van 30 juli 2018.
67. De Geschillenkamer beslist tot het opleggen van een administratieve geldboete die er niet toe
strekt om een gemaakte overtreding te beëindigen, maar wel met het oog op een krachtige
handhaving van de regels van de AVG. Zoals duidelijk blijkt uit overweging 148 AVG, stelt de AVG
immers voorop dat bij elke inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen,
met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden
opgelegd.15
68. Hierna toont de Geschillenkamer aan dat de inbreuken die de verweerder heeft begaan op de
artikelen AVG geenszins kleine inbreuken betreft, noch dat de geldboete onevenredige last zou
berokkenen aan een natuurlijk persoon zoals bedoeld in overweging 148 AVG, waarbij in elk van
beide gevallen kan worden afgezien van een geldboete. Het feit dat het een eerste vaststelling van
een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk
15
Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met
inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende
maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine
inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een
geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van
de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid,
of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met
de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij
een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van
administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen
van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen
onderlijning]
Beslissing ten gronde 71/2022 - 20/29
aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De
Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2 i) AVG. Het
instrument van administratieve boete heeft geenszins tot doel inbreuken te beëindigen. Daartoe
voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen
genoemd in artikel 100, § 1, 8° en 9° WOG.
69. Rekening houdend met artikel 83 AVG en de rechtspraak 16 van het Marktenhof, motiveert de
Geschillenkamer het opleggen van een administratieve sanctie in concreto:
- De ernst van de inbreuk: Vaststaat dat de verweerder verschillende inbreuken heeft begaan op
de beginselen van de artikelen 5 en 6 van de AVG en op de rechten van de betrokkenen in
artikelen 12 en 21 van de AVG. Dergelijke inbreuken vormen in belangrijke mate een inbreuk op
de doelstellingen van de verordening namelijk het beschermen van de grondrechten en de
fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van
persoonsgegevens. Bovendien schrijft artikel 83 .5 voor dat de hoogste administratieve boetes
opgelegd kunnen worden voor schendingen van voornoemde artikelen. De NMBS heeft zich
gedurende het onderzoek wel meewerkend opgesteld.
- De duur van de inbreuk: het verzenden van de nieuwsbrief aan de aanvragers van de Hello
Belgium Railpass gebeurde in oktober 2020. Het gaat derhalve om een eenmalige overtreding,
hetgeen het relatief lage bedrag van de boete rechtvaardigt.
- De omvang : Zoals uit de verzonden geviseerde nieuwsbief zelf blijkt zijn er 3,6 miljoen Hello
Belgium Railpassen aangevraagd. Het gaat hier derhalve om bijna een derde van de hele
Belgische bevolking waardoor de omvang van de inbreuk uitzonderlijk groot is.
- De nodige afschrikwekkende werking om verdere inbreuken te voorkomen.
Uit dit dossier blijkt dat onvoldoende rekening werd gehouden met de
persoonsgegevensbescherming van betrokkenen, hetgeen eigenlijk centraal zou moeten
staan gezien het businessmodel van de verweerder. Het verwerken van persoonsgegevens
maakt immers een belangrijk deel uit van de activiteit van verweerder. Het is van cruciaal belang
dat dergelijke ondernemingen de regels betreffende gegevensbescherming naleven. De feiten
en vastgestelde inbreuken nopen daarom tot een boete die tegemoetkomt aan de nood om een
voldoende afschrikwekkende werking te hebben, waarbij de verweerder voldoende sterk wordt
gesanctioneerd, opdat praktijken met dergelijke inbreuken niet zouden worden herhaald, en
opdat de verweerder voortaan meer aandacht zou besteden aan
persoonsgegevensbescherming.
70. Op 18 maart 2022 werd een sanctieformulier (“formulier voor reactie tegen voorgenomen
sanctie”) gericht aan verweerder. Verweerder heeft daarop samenvattend als volgt gereageerd:
16
Hof van Beroep Brussel (sectie Marktenhof),, Arrest 2020/1471 van 19 februari 2020.
Beslissing ten gronde 71/2022 - 21/29
Volgens verweerder heeft de Geschillenkamer onvoldoende rekening gehouden met de bijzondere
situatie en context waarin verweerder verkeerde ten tijde van het verzenden van de nieuwsbrief. De
communicatie gebeurde tijdens de tweede golf van de epidemie en diende ertoe zoveel mogelijk
reizigers te spreiden. Verweerder werd van overheidswege verplicht de Railpass uit te geven en
kreeg daarvoor een forfaitaire vergoeding, ongeacht of de kaart werd gebruikt of niet. Verweerder
probeerde enkel op een juiste wijze uitvoering te geven aan de contractuele verbintenis die zij was
aangegaan met de gebruikers van de Railpass. Het verwijzen naar andere bestemmingen in de
nieuwsbrief was enkel een beperkt onderdeel van de communicatie. Er is geenszins sprake van het
desbewust vermengen van commerciële en sanitaire overwegingen door zoals door de
Geschillenkamer is gesteld in het sanctieformulier. De verweerder stelt dat er vanuit de politiek ook
geen initiatief is genomen teneinde de reizigers te verspreiden over verschillende bestemmingen,
waardoor verweerder dit heeft gedaan om een juiste uitvoering te geven aan de contractuele
verbintenis met de gebruikers van de Railpass. Volgens verweerder heeft de Geschillenkamer
bovendien geen acht geslagen op het gegeven dat door verweerder wel degelijk rekening is
gehouden met de rechten van betrokkenen. Voornoemde gebeurde volgens verweerder door een
analyse te doen van de gebruikte rechtsgrond, het inwinnen van advies van de functionaris en het
faciliteren van de rechten van de betrokkenen.
71. Verweerder is van mening dat de sancties onaanvaardbaar zijn. Vooral nu de Railpass kaderde
binnen de openbaredienstverplichting van verweerder tot het gratis aanbieden van de Railpass.
Verweerder zou met andere woorden worden gesanctioneerd omdat zij de maatregelen die zij
opgelegd kreeg door de regering heeft uitgevoerd.
72. De Geschillenkamer is van oordeel dat alle door verweerder aangevoerde argumenten in het
sanctieformulier reeds werden behandeld in van onderhavige beslissing en in aanmerking werden
genomen bij de vaststelling van de administratieve geldboete overeenkomstig artikel 83.2 AVG. De
stelling van verweerder dat zij probeerde om op juiste wijze uitvoering te geven aan de
overeenkomst tussen haar en de reizigers kan volgens de Geschillenkamer niet slagen, aangezien
de verwerking in dit geval niet noodzakelijk was ter uitvoering van de overeenkomst ( zie hiervoor
randnummer 29 e.v.) Het verwijzen naar andere bestemmingen in de e-mail was volgens
verweerder enkel een beperkt onderdeel van de communicatie en er is geenszins sprake van het
desbewust vermengen van commerciële en sanitaire overwegingen. De Geschillenkamer is het ook
hier niet mee eens. De geviseerde e-mail bevat volgens de Geschillenkamer wel degelijk eerder
commercieel gerichte inhoud. Derhalve worden de sanitaire doeleinden welke volgens verweerder
het eigenlijke doel bij het verzenden van de e-mail was en commerciële overwegingen welbewust
vermengd. Tot slot wijst de Geschillenkamer erop dat op haar geen verplichting rust, noch op basis
van de AVG of de WOG, noch op basis van rechtspraak van het Marktenhof, om de motivering van
de onderhavige beslissing voorafgaand aan het nemen van de betrokken beslissing aan de
tegenspraak van de verwerende partijen te onderwerpen, het sanctieformulier dient er enkel toe
de mogelijkheid tot tegenspraak op de voorgenomen sanctie te bieden.
Beslissing ten gronde 71/2022 - 22/29
73. Op grond van het geheel van de hierboven uiteengezette elementen beslist de Geschillenkamer de
voorgenomen sanctie van € 10.000 te handhaven. De vastegestelde inbreuken rechtvaardigen een
doeltreffende, evenredige en afschrikkende sanctie als bedoeld in art. 83 AVG, rekening houdend
met de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria
van art. 83.2. AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve
geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
IV. Publicatie van de beslissing
74. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de verweerder
gelet op het algemeen belang van onderhavige beslissing, enerzijds, en de onvermijdelijke
mogelijkheid tot heridentificatie van de verweerder in geval van pseudonimisering, anderzijds.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 100, §1, 13° WOG en art. 101 WOG een administratieve geldboete op te
leggen van,€ 10.000 wegens inbreuken op de artikelen 5. 1 sub a en c, 5. 2 , 6. 1, 12. 2, 21. 2, 3 en
4 AVG.
Tegen deze beslissing kan op grond van art. 108, § 1 WOG, beroep worden aangetekend
binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerster
Tegen deze beslissing kan op grond van art. 108, § 1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get.) Hielke Hijmans
Voorzitter van de Geschillenkamer
Beslissing ten gronde 71/2022 - 23/29
Bijlage: De geviseerde e-mail in het Nederlands en het Frans tezamen met de website waar men terecht
komt na doorklikken op de link in de mail
Beslissing ten gronde 71/2022 - 24/29
Beslissing ten gronde 71/2022 - 25/29
Beslissing ten gronde 71/2022 - 26/29
NL
Beslissing ten gronde 71/2022 - 27/29
Beslissing ten gronde 71/2022 - 28/29
Via de link “herontdek meer dan 500 bestemmingen in België” komt men recent ( 2 mei 2022) terecht
op de website met het volgende:
Beslissing ten gronde 71/2022 - 29/29