APD/GBA (Belgium) - 72/2025

1/48

Geschillenkamer

Beslissing ten gronde 72/2025 van 22 april 2025

“Deze beslissing werd deels vernietigd door het Arrest 2025/AR/892 van het Marktenhof dd. 17
december 2025 in zoverre zij stelt dat de verweerder zich niet kan beroepen op de uitzondering
voorzien in artikel 14.5.a) AVG, een bevel oplegt om de verwerkingen in overeenstemming te
brengen met de transparantieverplichting, en hiervoor een boete oplegt van 6000 EUR.
Daarnaast hervormt het Marktenhof de overige administratieve boetes, zodat deze worden
verminderd naar 6000 EUR en 4000 EUR.”

Dossiernummer : DOS-2021-00561

Betreft : Klacht tegen een gegevensmakelaar

De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter en de heren Jelle Stassijns en Frank De Smet;

Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG;

Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;

Gelet op de stukken van het dossier;

heeft de volgende beslissing genomen inzake:

De klager: X, hierna “de klager”

De verweerder: Y, vertegenwoordigd door meester Wim Wijsmans, hierna “de verweerder”

Beslissing ten gronde 72/2025- 2/48

I. Feiten en procedure

1. De heer X (hierna, “de klager”) is managing partner bij het bedrijf Z1. Nadat hij een direct
marketing e-mail ontvangt van Z2 International Sarl, dient hij bij deze laatste een verzoek
tot verwijdering van zijn gegevens in.

Op 15 januari 2021 informeert Z2 International de klager dat zij de gegevens van Y
(de verweerder) heeft bekomen en per 7 januari 2021 heeft toegevoegd aan haar
database. Zij stelt verder dat de betreffende gegevens nu uit haar database zijn
verwijderd.

Vervolgens stuurt de klager op 15 januari 2021 een verzoek van inzage naar de
verweerder. Meer bepaald vraagt hij een overzicht van alle gegevens die de
verweerder van hem heeft verzameld, hoe de gegevens werden verkregen,
wanneer de gegevens werden verkregen, van welke bron de gegevens werden
verkregen, van welke tussenpartijen de gegevens werden verkregen, aan welke
partijen de gegevens werden doorgegeven, de opslagtermijn, en hoe de gegevens
werden verwerkt. Voorts stelt de klager in dezelfde e-mail dat hij niet
overeenkomstig de artikelen 13 en 14 AVG werd ingelicht op het moment van de
verzameling van de gegevens of ten laatste één maand na de verwerking of op het
moment van eerste contact. Daarnaast verwijst de klager naar de gebruiksregels
van de Kruispuntbank van Ondernemingen (KBO), op basis waarvan het onwettig
zou zijn om persoonsgegevens van de KBO te gebruiken voor direct marketing
doeleinden. De klager eist bovendien dat de verweerder alle verwerkingen van zijn
gegevens staakt en de gegevens wist nadat hij inzage heeft verkregen.

Op 29 januari 2021 antwoordt de verweerder op de e-mail van de klager. De
verweerder stelt dat zij een leverancier is van een platform waarop organisaties
heel gedetailleerd hun zakelijke doelgroep in kaart kunnen brengen. Deze dienst
kan als startpunt dienen voor analyses, verrijkingen, of marketing- en salesacties.
De verweerder informeert de klager dat de gegevens die zij verwerkt uitsluitend de
gegevens zijn van de organisatie van de klager zoals die geregistreerd zijn bij de
KBO. Zij voegt een kopie van de gegevens toe in bijlage van de e-mail.

De verweerder bevestigt dat de gegevens van de klager uit haar database zullen
worden verwijderd, en dat er een geautomatiseerd verwijderverzoek zal worden
doorgegeven aan haar klanten. Wat betreft de vraag van de klager omtrent de
ontvangers van de gegevens, stelt de verweerder dat dit ten eerste een
onevenredige inspanning zou vergen, en ten tweede dat dit geen vereiste is onder
de AVG, daar het benoemen van de ‘categorieën’ van ontvangers voldoende is, met
name: “organisaties die belang hechten aan een kwalitatief hoogwaardige

Beslissing ten gronde 72/2025- 3/48

ondersteuning van B2B marketing- en salesacties, analyses van zakelijke
doelgroepen en het actueel houden van zorgvuldig opgebouwde zakelijke
databases”. Tenslotte meent de verweerder dat zij zelf nooit de klager heeft
benaderd voor marketing- of salesdoeleinden, en dat de stelling van klager dat zij
een actieve rol heeft met betrekking tot de direct-marketing communicatie die hij
van Z2 heeft ontvangen, derhalve onjuist is. De verweerder stelt dat Z2 op foutieve
wijze gebruik heeft gemaakt van haar diensten door ongevraagd een commercieel
bericht te versturen naar het e-mailadres van de klager. De verweerder informeert
de klager dat zij hier passende actie op zal ondernemen.

2. Op 1 februari 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder. De klager stelt dat de verweerder gebruik maakt van zijn
persoonsgegevens uit de KBO voor doeleinden van direct marketing. Hij verwijst naar de
privacyverklaring op de website van de verweerder, waarin ten tijde van de klacht het
volgende stond te lezen: “Alle persoonsgegevens in de database van Y hebben als
uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen”. Volgens de
klager zou het gebruik van deze gegevens voor direct marketingdoeleinden onwettig zijn
op basis van artikel 2, § 1, lid 2 van het koninklijk besluit van 18 juli 2008 betreffende het
commercieel hergebruik van publieke gegevens van de Kruispuntbank van
Ondernemingen1. Voorts stelt de klager dat hij bij het vragen van inzage in zijn gegevens bij
de verweerder geen details krijgt over de ontvangers van zijn gegevens en de opvraging
daarvan bij de KBO. Hij stelt dat de verweerder weigert haar plicht na te komen om de in
artikel 14 AVG vereiste informatie te verstrekken aan de betrokkenen.

3. Op 24 februari 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG
overgemaakt aan de Geschillenkamer.

4. Op 24 maart 2021 beslist de Geschillenkamer op grond van art. 63, 2° en 94, 1° WOG een
onderzoek te vragen aan de Inspectiedienst.

5. Op 24 maart 2021 wordt overeenkomstig art. 96, § 1 WOG het verzoek van de
Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de
Inspectiedienst, samen met de klacht en de inventaris van de stukken.

1
Art. 2.§ 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen overeenkomstig de nadere regels en
de voorwaarden van dit besluit, door de beheersdienst doorgegeven worden aan derden met het oog op commercieel
hergebruik.
Derden mogen evenwel geen persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden.

Beslissing ten gronde 72/2025- 4/48

6. Op 20 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag
bij het dossier gevoegd en wordt het dossier door de Inspecteur-generaal overgemaakt aan
de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG).

7. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit
dat Y inbreuken heeft begaan op de volgende artikelen:

▪ Artikel 5.1.a en 5.2, alsook artikel 6.1 van de AVG;

▪ Artikel 12.1, 12.2, 12.3 en 12.4 AVG, alsook artikel 15, artikel 17, artikel 19, artikel 21,
artikel 24.1 en artikel 25.1 van de AVG;

▪ Artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel
25.1 van de AVG.

Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat Y inbreuken heeft begaan op de volgende
artikelen:

▪ Artikel 4.11, artikel 5.1.a en artikel 5.2 AVG, artikel 6.1.a, alsook artikel 7.1 en 7.3 van de
AVG;

▪ Artikel 5 en artikel 24.1 AVG, alsook artikel 25.1 en 25.2 van de AVG;

▪ Artikel 30.1 en artikel 30.3 van de AVG;

▪ Artikel 38.1 en artikel 39.1 van de AVG.

8. Op 18 juni 2021 beslist de Geschillenkamer op grond van art. 96, § 2 WOG en toepassing
makende van artikelen 63, 3° en 94, 2° WOG om een aanvullend onderzoek te vragen bij de
Inspectiedienst.

9. Op 22 juni 2021 wordt het aanvullend onderzoek door de Inspectiedienst afgerond, wordt
het aanvullend verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-
generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG).
Het aanvullend verslag besluit dat Y ook inbreuken heeft begaan op de volgende artikelen:

▪ Artikel 28.3 van de AVG.

▪ Artikel 12.1, artikel 14.2, artikel 5.2, artikel 24.1 alsmede artikel 25.1 van de AVG.

10. Op 21 januari 2022 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG
dat het dossier gereed is voor behandeling ten gronde, en worden de betrokken partijen per
aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2,
alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis
gesteld van de termijnen om hun verweermiddelen in te dienen.

Beslissing ten gronde 72/2025- 5/48

Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de
uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder
vastgelegd op 4 maart 2022, deze voor de conclusie van repliek van de klager op 25 maart
2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 15 april 2022.

De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder met
betrekking tot de vaststellingen die niet rechtstreeks betrekking houden met het voorwerp
van de klacht, werd daarbij vastgelegd op 4 maart 2022.

11. Op 21 januari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.

12. Op 21 januari 2022 aanvaardt ook de verweerder elektronisch alle communicatie omtrent
de zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om een kopie
van het dossier te verkrijgen (art. 95, §2, 3° WOG), dewelke haar werd overgemaakt op 26
januari 2022. Tevens geeft de verweerder te kennen gebruik te willen maken van de
mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.

13. Op 4 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de
klacht.

Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die
door de Inspectiedienst werden gedaan buiten de scope van de klacht.

14. Op 23 maart 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager,
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht.

15. Op 15 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder
voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht.

16. Op 9 oktober 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 4 november 2024.

17. Op 4 november 2024 worden de partijen gehoord door de Geschillenkamer.

18. Op 8 november 2024 wordt het proces-verbaal van de hoorzitting aan de partijen
voorgelegd.

19. Op 15 november 2024 ontvangt de Geschillenkamer vanwege de verweerder enkele
opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen
in haar beraad.

20. Op 19 februari 2025 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar
gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het
bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen,
voordat de sanctie effectief wordt opgelegd. Op 13 maart 2025 ontvangt de

Beslissing ten gronde 72/2025- 6/48

Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een
administratieve geldboete, alsmede het bedrag daarvan.

II. Procedure in Kort Geding

21. Op 6 maart 2025 heeft Y bij dagvaarding een vordering voor de rechtbank ingesteld. Zij
vordert, in hoofdorde, te zeggen voor recht dat de publicatie van de beslissing van de
Geschillenkamer opgeschort dient te worden tot op het ogenblik dat de beslissing definitief
(of hervormd) zou worden, i.e. tot op het ogenblik van het aflopen van de beroepstermijn of
tot op het ogenblik van de uitspraak van het Marktenhof en dit onder verbeurte van een
dwangsom. In ondergeschikte orde vordert Yte zeggen voor recht dat de beslissing van de
Geschillenkamer vóór de publicatie ervan geanonimiseerd dient te worden en dit onder
verbeurte van een dwangsom. Hierbij vordert Y het recht te verkrijgen om de anonimisering
van de beslissing te controleren en suggesties voor (bijkomende) anonimisering te doen.
Voorts vordert Yte zeggen voor recht dat de Gegevensbeschermingsautoriteit zich dient
te onthouden van enige publicatie met betrekking tot de beslissing (via nieuwsberichten of
sociale media) om te vermijden dat de anonimiteit in hoofde van Y doorprikt kan worden.

22. Op de openbare zitting van 19 maart 2025 worden de partijen gehoord, worden de stukken
van de partijen neergelegd, worden de debatten gesloten en wordt de zaak in beraad
genomen.

23. Op 26 maart 2025 verklaart de kortgedingrechter de vordering van Y ontvankelijk doch
ongegrond, en veroordeelt hij Y tot betaling van de kosten van het geding en de
rolrechten. Er worden, volgens de voorzitter van de rechtbank, “geen materiële bewijzen of
elementen voorgebracht van de beweringen en doemscenario’s die eiseres [Y] voorschotelt,
ingeval van publicatie van de uitspraak van verweerster [de
Gegevensbeschermingsautoriteit]”. Ten eerste oordeelt de kortgedingrechter dat Yde
hoogdringendheid niet bewijst. De vermeende reputatieschade is volgens de rechter
gebaseerd op eenzijdige beweringen, en financiële schade bij een commerciële
onderneming kan, behoudens tegenbewijs, aangenomen worden herstelbaar te zijn. Y
maakt niet geloofwaardig dat haar voortbestaan in het gedrang zou komen door de loutere
publicatie van de beslissing. Bovendien wijst de rechter erop dat de publicatie van de
beslissingen van de Geschillenkamer gebaseerd is op de wet (art. 95, § 1, 8°, 100, § 1, 16° en
108, § 3 WOG) en dus volledig verwacht kan worden. Aldus kan deze publicatie geen
afdoende grond tot vermeende schade zijn. De stelling van Y volgen zou, volgens de rechter,
leiden tot een verbod op publicatie voor elke beslissing tot er uitspraak is gedaan over het
beroep, terwijl art. 108, § 3 WOG net de publicatie voorschrijft om rechten van derden te
vrijwaren in het kader van de beroepsprocedure. Ten tweede oordeelt de
kortgedingrechter dat Y niet laat blijken van een voldoende schijn van recht. De voorzitter
van de rechtbank verduidelijkt dat de beslissingsbevoegdheid over publicatie exclusief en

Beslissing ten gronde 72/2025- 7/48

enkel aan de Geschillenkamer toekomt. Hij merkt op dat de wetgever er klaarblijkend van
uitging dat een publicatie de regel is en de niet publicatie de uitzondering. Door de
Geschillenkamer preventief te verplichten al dan niet te publiceren, zou de voorzitter van de
rechtbank zich de bevoegdheden van de Geschillenkamer toe-eigenen. Bovendien zou er
geen begin van bewijs voorliggen dat de Geschillenkamer niet correct zou optreden. Tot slot
herinnert de voorzitter van de rechtbank eraan dat de publicatie op grond van art. 108, § 3
WOG er gekomen is om derden de mogelijkheid te geven beroep in te stellen tegen een
beslissing van de Geschillenkamer. De discussie in het onderhavige dossier blijkt in dat
kader, volgens de voorzitter, een ruimere impact te hebben en ook de rechten en belangen
van derden te raken.

III. Motivering

III.1. Beschrijving van de omstreden verwerkingsactiviteit door de verweerder

24. De verweerder,Y, is een dochteronderneming van de in Nederland ingeschreven
vennootschappen Z3 en W2. Deze laatste is een datalicentieovereenkomst aangegaan met
de eveneens in Nederland ingeschreven vennootschap Z7, op basis waarvan Z7 gegevens
levert aan W, die de gegevens vervolgens doorgeeft aan haar dochterondernemingen,
waaronder de verweerder3. De verweerder verleent vervolgens (sub-)licenties van de
gegevens aan haar klanten4. In haar “Algemene Voorwaarden (verkort)” stelt de
verweerder dat haar klanten de gegevens voor verschillende doeleinden kunnen inzetten,
waaronder marketing- en salesacties, verrijkingen, en analyses5. In de praktijk worden de
gegevens ter beschikking van de klanten gesteld via een portal van de verweerder6.

25. De categorieën van gegevens die door Z7 aan W worden geleverd, en die vervolgens door
de verweerder ter beschikking worden gesteld aan haar klanten, worden in bijlage 1 van de
overeenkomst tussen Z7 en W beschreven7. Deze gegevens betreffen een database van
“Nederlandse Basisdata”, en, relevant binnen de reikwijdte van de onderhavige klacht, een
database van “Belgische Basisdata”. Deze laatste database omvat volgens de
overeenkomst 1,3 miljoen bedrijfsadressen en maandelijkse updates van een bepaalde lijst
data-onderdelen.

2
Randnummer 1 syntheseconclusies verweerder
3
Stuk 1 syntheseconclusies verweerder
4
Stukken 4-5 syntheseconclusies verweerder
5
Stukken 6-7 syntheseconclusies verweerder
6
Randnummer 4 syntheseconclusies verweerder
7
Stuk 1 syntheseconclusies verweerder

Beslissing ten gronde 72/2025- 8/48

III.1.1. Kwalificatie van de gegevens

26. De verweerder stelt in haar syntheseconclusies dat zij slechts in zeer beperkte mate
persoonsgegevens verwerkt. De verwerking die aanleiding gaf tot de onderhavige klacht
kan volgens haar niet worden gekwalificeerd als een verwerking van persoonsgegevens,
waardoor de AVG niet van toepassing is. Volgens de verweerder is het e-mailadres “[…]”
immers geen persoonsgegeven maar een gegeven over een rechtspersoon. Zij verwijst
naar Overweging 14 van de AVG:

“De bescherming die door deze verordening wordt geboden, heeft betrekking op
natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, in verband met de
verwerking van hun persoonsgegevens. Deze verordening heeft geen betrekking
op de verwerking van gegevens over rechtspersonen en met name als
rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm
van de rechtspersoon en de contactgegevens van de rechtspersoon.”

(nadruk van de verweerder)

Volgens de verweerder moet het e-mailadres “[…]” worden aangemerkt als een
contactgegeven van een rechtspersoon, en is de AVG overeenkomstig Overweging 14 niet
van toepassing. In het algemeen stelt de verweerder dat de gegevens in haar databanken
slechts als persoonsgegevens kunnen worden gekwalificeerd in geval van eenmanszaken
of de namen van de bestuurders van rechtspersonen 8.

27. In dit verband wijst de Geschillenkamer op artikel 4.1 AVG, waar het begrip
persoonsgegevens wordt gedefinieerd:

“Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare
natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een
natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan
de hand van een identificator zoals een naam…”

28. De klager is een natuurlijke persoon die rechtstreeks kan worden geïdentificeerd aan de
hand van het e-mailadres “[..]”, waardoor dit e-mailadres volgens artikel 4.1 AVG weldegelijk
als een persoonsgegeven moet worden beschouwd. Hoewel het een e-mailadres betreft
dat de klager in het kader van een beroepsactiviteit gebruikt, blijft het informatie over een
natuurlijke persoon. Het Hof van Justitie van de Europese Unie heeft bovendien geoordeeld
dat de omstandigheid dat informatie behoort tot een professionele context niet afdoet aan
de kwalificatie ervan als persoonsgegevens 9. De Geschillenkamer herinnert er bovendien
aan dat dit Hof reeds in 2010 oordeelde dat de naam van een rechtspersoon als een

8
Randnummer 52 syntheseconclusies verweerder
9
HvJEU, arrest van 9 maart 2017, Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce t. Salvatore
Manni, C-398/15, ECLI:EU:C:2017:197, punt 34 en aldaar aangehaalde rechtspraak

Beslissing ten gronde 72/2025- 9/48

persoonsgegeven wordt aangemerkt indien uit deze naam de identiteit van een of meer
natuurlijke personen blijkt10. Overweging 14 dient ertoe te specifiëren dat de naam van een
rechtspersoon zoals Y geen persoonsgegeven is indien het geen informatie bevat over een
natuurlijke persoon. De verwerking van het e-mailadres van de klager valt aldus binnen het
materieel toepassingsgebied van de verordening, conform artikel 2.1 AVG. Deze
persoonsgegevens vallen immers niet onder de categorieën persoonsgegevens
beschreven in art. 2.2 AVG waarop de AVG niet van toepassing is. Ten overvloede wijst de
Geschillenkamer erop dat overweging 14 AVG geen uitzondering kan uitmaken op het
materieel toepassingsgebied van de AVG in de zin van art. 2 AVG.

III.1.2. Omvang van de gegevensverwerking

29. In randnummer 54 van haar syntheseconclusies verstrekt de verweerder een overzicht van
de e-mailadressen die in haar databank van gegevens zijn opgenomen. In totaal zou de
verweerder 229.557 e-mailadressen verwerken. Op basis van haar redenering betreffende
de kwalificatie van gegevens stelt de verweerder dat 161.387 – oftewel 70,3% van de
229.557 – e-mailadressen “onpersoonlijk” zijn. Verder stelt de verweerder dat 21.017 e-
mailadressen vermoedelijk persoonsgegevens zijn, 44.964 e-mailadressen “niet
beoordeeld” zijn, en 2.184 e-mailadressen “onbekend” zijn. Op basis van haar hypotheses
dat 50% van de “onbekende” e-mailadressen, en 70% van de “niet beoordeelde” e-
mailadressen, persoonsgegevens zijn, stelt de verweerder dat 53.584 e-mailadressen
mogelijkerwijze persoonsgegevens zijn. Volgens de verweerder is de AVG echter niet van
toepassing op het merendeel van deze e-mailadressen omdat de meeste ervan het
contactadres van een vennootschap zijn. In dat verband stelt zij dat slechts de gegevens
met betrekking tot eenmanszaken als persoonsgegevens kunnen worden beschouwd.

30. Zoals hierboven uiteengezet, oordeelt de Geschillenkamer dat de verweerder gegevens,
zoals het e-mailadres van de klager, onjuist kwalificeert als zijnde geen persoonsgegevens.
Dientengevolge volgt de Geschillenkamer de berekening van de verweerder op basis van
haar eigen kwalificatie-methode ook niet. Minstens 68.165 e-mailadressen zouden
mogelijkerwijze persoonsgegevens kunnen zijn die ook binnen het toepassingsgebied van
de AVG vallen, aangezien de verweerder zelf stelt dat 21.017 e-mailadressen vermoedelijk
persoonsgegevens zijn, 44.964 e-mailadressen “niet beoordeeld” zijn, en 2.184 e-
mailadressen “onbekend” zijn. In ieder geval komt de verweerder zelf in mei 2021 tot de
conclusie dat zij persoonsgegevens op een grote schaal verwerkt 11. Bovendien stelt de
Inspectiedienst in haar onderzoeksverslag vast dat de verweerder systematisch en op
grote schaal persoonsgegevens verwerkt. Tijdens de hoorzitting stelt de verweerder dat

10
HVJEU, arrest van 9 november 2010, Volker und Markus Schecke GbR (C -92/09) en Hartmut Eifert (C-93/09) tegen Land
Hessen, C-92/09 en C-93/09, ECLI:EU:C:2010:662, punten 53 en 54
11
Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021

Beslissing ten gronde 72/2025- 10/48

het aantal gegevens dat heden wordt verwerkt niet veel zou verschillen van het aantal dat
in de syntheseconclusies werd gecommuniceerd12.

31. Voorts merkt de Geschillenkamer op er onduidelijkheid is betreffende de oorspronkelijke
bron van de gegevens, en met name of de gegevens van de klager oorspronkelijk bij de KBO
werden verzameld. De klager stelt in zijn klacht dat de gegevens bij de KBO werden
verzameld. Ten tijde van de klacht stelt de verweerder in haar privacyverklaring het
volgende: “Alle persoonsgegevens in de database van Y hebben als uiteindelijke bron de
Kruispuntbank van Ondernemingen of openbare bronnen”. De verweerder paste dit later
aan, zodat haar privacyverklaring ten tijde van dit schrijven stelt dat “de Kruispunt van
Ondernemingen niet de bron is van de gegevens opgenomen in onze database”. De
verweerder stelt in haar syntheseconclusies dat de gegevens niet van de KBO of andere
publieke bronnen afkomstig zijn, maar van Z7. De verweerder stelt echter ook dat zij ervan
uitgaat dat de databank van Belgische bedrijfsinformatie van Z7 verrijkt is met gegevens
van (onder meer) de KBO teneinde de juistheid ervan te garanderen. Z7 zou de gegevens
van Z3 hebben bekomen, en volgens de verweerder zou deze partij de gegevens bij diverse
bronnen zoals de KBO en Z6 hebben verzameld13. Tijdens de hoorzitting vraagt de
Geschillenkamer aan de verweerder een toelichting over de relatie tussen Yen de KBO. De
verweerder antwoordt dat zij geen relatie heeft met de KBO, maar dat de oorspronkelijke
bron van de gegevens in veel gevallen de KBO zou zijn 14. Voorts stelt zij dat de gegevens
niet rechtstreeks van de KBO komen, maar dat deze mogelijkerwijze onrechtstreeks bij de
KBO werden verzameld door Z5. Die mogelijkheid leidt zij af uit de privacyverklaring van Z5.
De verweerder stelt dat zij hier geen zicht op heeft15.

III.2. Rechtmatigheid van de verwerking (artikel 5.1.a en 5.2, alsook artikel 6.1)

32. Artikel 5.1.a) AVG bepaalt dat persoonsgegevens op een ten aanzien van de betrokkenen
rechtmatige, behoorlijke en transparante wijze moeten worden verwerkt. Voorts bepaalt
artikel 6.1 AVG dat de verwerking van persoonsgegevens slechts rechtmatig is indien en
voor zover deze rust op één van de in artikel 6.1.a) – f) AVG vastgelegde rechtsgronden. De
verwerkingsverantwoordelijke dient voorafgaand aan de verwerking na te gaan of er wordt
voldaan aan de voorwaarden van één van de mogelijke rechtsgronden. Ten slotte moet de
verwerkingsverantwoordelijke kunnen aantonen dat de verwerking rechtmatig is, gelet op
de verantwoordingsplicht die krachtens artikel 5.2 AVG op hem rust.

33. In casu beroept de verweerder zich op de rechtsgrond voorzien in artikel 6.1.f) AVG. Deze
rechtsgrond bepaalt dat de verwerking rechtmatig is voor zover die “noodzakelijk [is] voor

12
PV Hoorzitting, pagina 4
13
Randnummers 60 en 61 syntheseconclusies verweerder
14
PV hoorzitting, pagina 4
15
PV hoorzitting, pagina 6

Beslissing ten gronde 72/2025- 11/48

de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of
van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder
wegen dan die belangen, met name wanneer de betrokkene een kind is”. De in deze
bepaling bedoelde rechtsgrond moet volgens het Hof van Justitie restrictief worden
uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn
zonder dat de betrokkene toestemming heeft gegeven16.

34. Het Hof van Justitie heeft geoordeeld dat in artikel 6.1.f) AVG drie cumulatieve
voorwaarden worden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde
verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging
van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde,
ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging
van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de
grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming
betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de
verwerkingsverantwoordelijke of van een derde 17.

35. In het onderhavige geval stelt de Inspectiedienst vast dat de verweerder de verplichtingen
opgelegd door artikelen 5.1.a), 6.1 en 5.2 AVG niet naleeft. De Inspectiedienst oordeelt dat
de verweerder niet voldoende rekening houdt met de drie cumulatieve voorwaarden
waaraan moet worden voldaan om de rechtsgrond van een gerechtvaardigd belang te
kunnen inroepen. Volgens de Inspectiedienst voldoet de verweerder met name niet aan de
voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de
betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de
verwerkingsverantwoordelijke of van een derde (de “afwegingstoets”).

36. Deze afweging van de betrokken tegengestelde rechten en belangen hangt af van de
omstandigheden van het concrete geval 18. De verwerkingsverantwoordelijke moet
rekening houden met de belangen, de grondrechten en de fundamentele vrijheden van de
betrokkene, de impact van de verwerking op de betrokkene en de redelijke verwachtingen
van de betrokkene. Overweging 47 AVG bepaalt dat de belangen en de grondrechten van
de betrokkene met name zwaarder wegen dan het belang van de
verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in
omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet

16
HvJEU, arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621/22,
ECLI:EU:C:2024:857, punt 31 en aldaar aangehaalde rechtspraak
17
HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 106 en aldaar aangehaalde
rechtspraak; zie ook Richtsnoeren 1/2024 over het verwerken van persoonsgegevens op basis van artikel 6, lid 1, onder f),
AVG, Versie 1 van 8 October 2024.
18
HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 110 en aldaar aangehaalde
rechtspraak.

Beslissing ten gronde 72/2025- 12/48

verwachten19. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of er
sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het
tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag
verwachten dat verwerking met dat doel kan plaatsvinden 20.

37. De Inspectiedienst verwijst in haar verslag naar het arrest TK, waarin het Hof van Justitie
oordeelt dat “de redelijke verwachtingen van de betrokkene dat zijn persoonsgegevens
niet worden verwerkt wanneer hij, in de omstandigheden van het geval, redelijkerwijs geen
verdere verwerking ervan kan verwachten” 21 relevant zijn. In dat verband stelt de
Inspectiedienst vast dat het feit dat persoonsgegevens van betrokkenen worden verwerkt
in het kader van en toegankelijk zijn via de KBO of openbare bronnen, niet impliceert dat die
betrokkenen redelijkerwijs kunnen verwachten dat die persoonsgegevens vervolgens door
de verweerder zonder hun toestemming systematisch en tegen betaling ter beschikking
worden gesteld aan haar klanten en dus verder worden verwerkt.

III.2.1. Belangenafweging ten aanzien van de belangen, de grondrechten en de
fundamentele vrijheden van de betrokkene en de impact van de verwerking op de
betrokkene

38. De verweerder stelt in haar syntheseconclusies dat haar eigen belangen, rekening houdend
met de maatregelen die zij heeft voorzien, zwaarder doorwegen dan de rechten van de
betrokkenen. Zij verwijst net zoals de Inspectiedienst naar het arrest TK, en meer bepaald
naar punten 54 en 55 van dit arrest waarin het Hof van Justitie oordeelt dat er rekening mee
kan worden gehouden dat de ernst van de aantasting van de grondrechten van de
betrokkene als gevolg van de verwerking kan verschillen afhankelijk van de vraag of de
betrokken gegevens beschikbaar zijn in voor het publiek toegankelijke bronnen22. Voorts
volgt, volgens de verweerder, uit datzelfde arrest dat er voor deze afweging ook rekening
moet worden gehouden met de aard van de betrokken persoonsgegevens en de
verwerking, de concrete wijze van verwerking en de toegang tot de gegevens, en de
redelijke verwachtingen van de betrokkene. De verweerder stelt dat de gegevens die zij
verwerkt niet gevoelig zijn aangezien het slechts “bedrijfsgegevens” zijn die steeds
publiekelijk beschikbaar zijn.

39. Betreffende de stelling van de verweerder dat de betrokken gegevens tevens op andere
manieren publiek beschikbaar zijn, is de Geschillenkamer van oordeel dat de verweerder dit
niet voldoende heeft aangetoond. De gegevens van de klager waren in casu publiek

19
HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 112.
20
Overweging 47 AVG.
21
HvJEU, arrest van 11 december 2019, TK tegen Asociatia de Proprietari blok M5A-ScaraA, C-708/18,
ECLI:EU:C:2019:1064, punt 58
22
HvJEU, arrest van 11 december 2019, TK tegen Asociatia de Proprietari blok M5A-ScaraA, C-708/18,
ECLI:EU:C:2019:1064, punt 54

Beslissing ten gronde 72/2025- 13/48

beschikbaar via de KBO, maar de verweerder stelt dat de KBO niet de bron was voor haar
databank. Het is dan ook aan de verweerder om aan te tonen dat alle persoonsgegevens
waar zij over beschikt publiek beschikbaar zijn.

40. Voorts stelt de verweerder dat het aantal betrokkenen waarvan zij de persoonsgegevens
zou verwerken beperkt is omdat het een klein percentage van personen is in verhouding
met de bevolking23. De Geschillenkamer herinnert eraan dat de verweerder in mei 2021 zelf
beoordeelde dat zij persoonsgegevens op een grote schaal verwerkt 24. Zoals uiteengezet
in randnummer 26 van deze beslissing kan niet worden uitgesloten dat de verweerder
minstens 68.165 e-mailadressen verwerkt die persoonsgegevens kunnen zijn en binnen
het toepassingsgebied vallen van de AVG. De verhouding tussen het aantal betrokkenen
en de algemene bevolking doet niet af aan het feit dat de verweerder persoonsgegevens
op een grote schaal verwerkt.

41. De verweerder stelt verder dat de betrokkenen de mogelijkheid hebben om bezwaar te
maken tegen de verwerking. In dit verband verwijst de Geschillenkamer naar hoofdstuk III.3
van deze beslissing, waaruit blijkt dat de verweerder onvoldoende maatregelen neemt om
betrokkenen proactief te informeren dat hun gegevens verwerkt worden. In het
onderhavige geval werd de klager niet geïnformeerd door de verweerder dat zijn gegevens
zouden worden verwerkt, en kon hij ook onmogelijk zijn recht van bezwaar uitoefenen
totdat hij de nodige informatie had verkregen van een klant van de verweerder.

42. Vervolgens stelt de verweerder dat het risico op een inbreuk op de gegevens beperkt is
omdat zij maatregelen genomen heeft om deze te beveiligen, en dat, indien er een inbreuk
zou voorvallen, de impact ervan steeds beperkt zou zijn omdat er geen gevoelige gegevens
worden verwerkt en omdat de gegevens steeds publiekelijk toegankelijk zijn. Zoals
hierboven vermeld oordeelt de Geschillenkamer dat de verweerder dit laatste punt niet
heeft aangetoond.

43. De Geschillenkamer stelt vast dat er in het document “belangenafweging” dat de
verweerder in april 2021 opstelde25 geen aandacht wordt besteed aan de belangen, de
grondrechten en de fundamentele vrijheden van de betrokkene, de impact van de
verwerking op de betrokkene of de redelijke verwachtingen van de betrokkene. Aldus
toont zij niet aan dat zij, voorafgaand aan de verwerking, heeft beoordeeld in welke mate
betrokkenen mogelijk negatieve gevolgen zouden kunnen ervaren. Zonder deze essentiële
elementen kan er geen sprake zijn van een belangenafweging zoals vereist door het Hof
van Justitie.

23
Randnummer 78, pagina 29 syntheseconclusies verweerder
24
Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021
25
Bijlage 9 bij de brief van de verweerder aan de GBA op 5 mei 2021

Beslissing ten gronde 72/2025- 14/48

44. De Geschillenkamer merkt op dat de verweerder in haar “belangenafweging” blijk geeft van
misvattingen betreffende de vereiste belangenafweging. Om te beginnen leest titel 2.2 van
de “Belangenafweging” als volgt: “2.2 Afweging van de belangen: is de verwerking nodig en
noodzakelijk om één of meerdere doelstellingen van Y te bereiken?”. De vraag die de
verweerder zichzelf stelt betreft de noodzakelijkheidstoets, en niet een afweging van de
betrokken tegengestelde rechten en belangen26. Voorts schrijft de verweerder in dezelfde
“belangenafweging” dat “Y [haar belangen altijd zorgvuldig afweegt] tegen het belang om
klanten van de nodige bedrijfsinformatie te voorzien.” Dit is een onjuiste toets. De
verweerder moet haar belangen namelijk afwegen tegen de belangen van de betrokkenen,
en niet tegen die van haar klanten.

Samenvattend stelt de Geschillenkamer vast dat de verweerder niet aantoont een
belangenafweging te hebben uitgeoefend ten aanzien van de belangen, de grondrechten
en de fundamentele vrijheden van de betrokkene en de impact van de verwerking op de
betrokkene.

Ten aanzien van de redelijke verwachtingen van de betrokkenen

45. De verweerder stelt in haar syntheseconclusies dat de betrokkenen op basis van de
privacyverklaring van de KBO27 redelijkerwijs hadden kunnen verwachten dat de
verweerder de gegevens ter beschikking van haar klanten zou stellen. Dit zou volgen uit het
feit dat de KBO in haar privacyverklaring expliciet verwijst naar het doeleinde om de
gegevens voor een al dan niet commercieel hergebruik toe te laten. De verweerder erkent
echter dat het niet is toegestaan aan derden om persoonsgegevens die opgenomen zijn in
de KBO en via licenties zijn verkregen voor direct marketingdoeleinden te gebruiken en/of
verder te verspreiden. In dit verband stelt de verweerder dat zij het gebruik van de
gegevens door haar klanten voor direct marketingdoeleinden heeft verboden in de
relevante contracten.

46. De Geschillenkamer merkt op dat de verweerder bij de beoordeling van de redelijke
verwachtingen van de betrokkenen verwijst naar de privacyverklaring van de KBO en
artikel 2, § 1, lid 2 van het koninklijk besluit van 18 juli 2008 betreffende het commercieel
hergebruik van publieke gegevens van de Kruispuntbank van Ondernemingen 28. Op basis
daarvan zouden betrokkenen, volgens de verweerder, redelijkerwijs kunnen verwachten
dat de verweerder de gegevens ter beschikking van haar klanten zou stellen. De

26
HvJEU, arrest van 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, ECLI:EU:C:2023:537, punt 110 en aldaar aangehaalde
rechtspraak
27
Raadpleegbaar via https://economie.fgov.be/nl/kruispuntbank-van-1
28
Art. 2.§ 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen overeenkomstig de nadere regels en
de voorwaarden van dit besluit, door de beheersdienst doorgegeven worden aan derden met het oog op commercieel
hergebruik.
Derden mogen evenwel geen persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden.

Beslissing ten gronde 72/2025- 15/48

verweerder stelt evenwel dat zij geen relatie heeft met de KBO en tevens geen sub-licentie
op de KBO-gegevens heeft, en dat de wettelijke verplichtingen in dat verband
(vermoedelijk het verbod op het gebruik van die gegevens door derden voor direct
marketing) niet op haar van toepassing zijn.

47. Indien de verwerking van persoonsgegevens van de KBO inhoudt dat betrokkenen
redelijkerwijs bepaalde verdere verwerkingen dienen te verwachten, dan strekt dit slechts
tot de verwerking van die persoonsgegevens door licentiehouders en derden zoals
omschreven en gekaderd in de privacyverklaring van de KBO en het koninklijk besluit van
18 juli 2008. De Geschillenkamer benadrukt dat aldus wordt uitgesloten dat derden de
gegevens verwerken voor direct marketing doeleinden. De verweerder stelt echter geen
licentiehouder te zijn van KBO gegevens, waardoor de wettelijke verplichtingen die
daarmee gepaard gaan volgens haar niet van toepassing zijn. Bovendien heeft de
verweerder niet bevestigd dat de gegevens al dan niet oorspronkelijk van de KBO werden
verzameld. Hierdoor kan zij onmogelijk beroep doen op de redelijke verwachtingen die de
betrokkenen zouden hebben bij het verwerken van hun gegevens door de KBO. De
Geschillenkamer oordeelt dus dat de algemene mogelijkheid van commercieel hergebruik
van KBO-gegevens geenszins inhoudt dat de betrokkenen in casu redelijkerwijze hadden
kunnen verwachten dat de verweerder de gegevens zou verwerken voor haar eigen
doeleinden.

48. Volgens het Hof van Justitie blijkt uit overweging 47 AVG dat de belangen en de
grondrechten van de betrokkene in het bijzonder zwaarder wegen dan het belang van de
verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in
omstandigheden waarin de betrokkene een dergelijke verwerking redelijkerwijs niet
verwacht29.

49. Voorts moet rekening worden gehouden met de verhouding tussen de betrokkene en de
verwerkingsverantwoordelijke. Overweging 47 AVG bepaalt dat een gerechtvaardigd
belang aanwezig kan zijn wanneer er sprake is van een “relevante en passende” verhouding
tussen de betrokkene en de verwerkingsverantwoordelijke, bijvoorbeeld in situaties waarin
de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In casu was
er duidelijk geen relevante of passende verhouding tussen de klager en de verweerder en
haar klanten. De klager was niet op de hoogte van het feit dat de verweerder zijn gegevens
verwerkte totdat hij zijn recht van inzage uitoefende bij een derde partij die de gegevens
had bekomen van de verweerder.

50. Uit de voorafgaande punten volgt dat de verweerder niet aantoont dat de betrokkenen,
waaronder de klager, een dergelijke verwerking redelijkerwijs hadden kunnen verwachten.

29
HvJEU, arrest van 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621/22,
ECLI:EU:C:2024:857, punt 45 en aldaar aangehaalde rechtspraak

Beslissing ten gronde 72/2025- 16/48

De oorzaak hiervan is met name dat de verweerder niet concreet kan aantonen van welke
bron en op welk tijdstip de gegevens voor het eerst werden verzameld. Hierdoor kon zij niet
beoordelen of de betrokkene op dat tijdstip en in dat kader redelijkerwijs kon verwachten
dat zijn gegevens verder zouden worden verwerkt, en kon zij ook geen volledige
afwegingstoets uitoefenen.

51. Aangezien de drieledige toets voor het verwerken van gegevens op basis van een
gerechtvaardigd belang cumulatieve voorwaarden betreft, is het niet nodig om na te gaan
of de verweerder voldoet aan de overige twee voorwaarden van artikel 6.1.f) AVG. Het
Marktenhof heeft in dat verband reeds geoordeeld dat als er niet wordt voldaan aan één
van de drie elementen van de drieledige toets, de Geschillenkamer correct kan motiveren
dat artikel 6.1.f) AVG geen mogelijke rechtsgrond kan uitmaken30.

52. In deze omstandigheden moet worden geoordeeld dat de verweerder niet aantoont dat
haar belang zwaarder weegt dan de belangen en grondrechten van de betrokkenen,
zodat de verwerking niet onder artikel 6.1.f) AVG kan vallen. Aldus heeft de verweerder
de verplichtingen opgelegd door artikelen 5.1.a), 6.1 en 5.2 AVG geschonden.

III.3. Transparantie en informatieplichten (artikel 12.1, artikel 13.1 en 13.2, artikel 14.1 en
14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG)

53. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 12.1,
artikel 13.1 en 13.2, artikel 14.1 en 14.2, artikel 5.2, artikel 24.1 alsook artikel 25.1 van de AVG,
aangezien de privacyverklaring van de verweerder niet transparant en begrijpelijk is voor
de betrokkenen alsmede onjuiste informatie bevat. Bovendien besluit de Inspectiedienst
dat de privacyverklaring van Y onvolledig is, vermits niet alle volgens artikelen 13 en 14 van
de AVG verplicht te vermelden informatie effectief wordt vermeld. In haar aanvullend
onderzoeksverslag stelt de inspectiedienst vast dat Y een inbreuk heeft begaan op artikel
12.1, artikel 14.2, artikel 5.2, artikel 24.1 alsmede artikel 25.1 van de AVG, doordat de
verweerder in haar privacyverklaring verduidelijkt dat zij persoonsgegevens verwerkt die
afkomstig zijn uit de KBO, de Bijlagen bij het Belgisch staatsblad en openbare bronnen zoals
de website van een onderneming, doch niet vermeldt dat er persoonsgegevens worden
verkregen van Z7.

54. Op grond van de artikelen 13 en 14 van de AVG moet elke persoon wiens
persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij
hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen
genoemde elementen. Wanneer de gegevens rechtstreeks bij de betrokkene worden
verzameld, wordt deze op de hoogte gebracht van de elementen opgesomd in artikel 13.1
en 2 van de AVG. In artikel 14.1 en 2, worden soortgelijke elementen opgesomd, met dien

30
Hof van Beroep van Brussel, 19de Kamer, Sectie Marktenhof, arrest van 14 juni 2023, NMBS t. GBA, 2022/AR/723

Beslissing ten gronde 72/2025- 17/48

verstande dat artikel 14 van de AVG betrekking heeft op gegevens die niet rechtstreeks bij
de betrokkene worden verzameld, maar bij derden. Deze informatie moet op grond van
artikel 13 of artikel 14 van de AVG aan de betrokkene worden verstrekt op de wijze als
bepaald in artikel 12 van de AVG.

55. In de voorliggende zaak staat allereerst vast dat de door de verweerder verwerkte
persoonsgegevens niet rechtstreeks bij de klagers werden verzameld. Bijgevolg is enkel
artikel 14 AVG van toepassing, waarvan de eerste twee leden de informatie vastleggen die
aan de betrokkenen moet worden verstrekt31.

56. De Geschillenkamer herinnert eraan dat een essentieel aspect van het
transparantiebeginsel, zoals benadrukt in de artikelen 12, 13 en 14 van de AVG, is dat de
betrokkene van tevoren moet kunnen bepalen wat de reikwijdte en de gevolgen van de
verwerking zijn, om in een later stadium niet verrast te zijn over de manier waarop zijn
persoonsgegevens zijn gebruikt. De informatie moet concreet en betrouwbaar zijn, niet op
abstracte of dubbelzinnige wijze worden geformuleerd en niet vatbaar zijn voor
verschillende interpretaties. Meer in het bijzonder moeten de doeleinden en de
rechtsgronden van de verwerking van persoonsgegevens duidelijk zijn.

31
1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de
betrokkene de volgende informatie:
a)de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de
vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking;
d) de betrokken categorieën van persoonsgegevens;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
f)in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven
aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van
de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften,
welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden
geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie
om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:
a)de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om
die termijn te bepalen;
b)de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6,
lid 1, punt f), is gebaseerd;
c)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing
van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van
bezwaar te maken en het recht op gegevensoverdraagbaarheid;
d)wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de
toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis
van de toestemming vóór de intrekking daarvan;
e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
f)de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen;
g)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en,
ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen
van die verwerking voor de betrokkene.

Beslissing ten gronde 72/2025- 18/48

57. Krachtens artikel 14.3 AVG, welke meer specifiek slaat op de modaliteiten van de
informatieverstrekking en als dusdanig een inherente aanvulling vormt op de
kernverplichtingen uit artikel 14.1 en 14.2 AVG, moet de voormelde informatie binnen
bepaalde termijnen worden medegedeeld aan de betrokkenen. Algemeen geldt de regel
dat de verwerkingsverantwoordelijke de betrokkenen binnen een redelijke termijn doch
uiterlijk binnen één maand na de verkrijging van hun persoonsgegevens dient te informeren
over de verwerking, naargelang de concrete omstandigheden hiervan (artikel 14.3.a) AVG).
Volgens de richtsnoeren inzake transparantie onder de AVG kan deze termijn evenwel
worden ingekort voor zover de verzamelde persoonsgegevens bestemd zijn voor een
contactopname met de betrokkenen, in welk geval de informatie op het moment van de
eerste contactopname met de betrokkene moet worden verstrekt (artikel 14.3.b) AVG)32.
Tot slot kan de termijn van één maand eveneens worden ingekort indien de
persoonsgegevens worden medegedeeld aan een ontvanger in de zin van artikel 4.9 AVG.
In dergelijke omstandigheden moeten de betrokkenen worden geïnformeerd uiterlijk op
het tijdstip waarop hun persoonsgegevens worden verstrekt aan een andere ontvanger
(artikel 14.3.c) AVG).

58. In casu stelt de verweerder dat de betrokkenen door middel van haar privacyverklaring
worden geïnformeerd over de verwerkingen die zij uitvoert. Daarbij stelt de verweerder dat
zij niet verplicht zou zijn om de informatie opgenomen in artikel 14 AVG aan de betrokkenen
te verschaffen, aangezien zij mocht aannemen dat de betrokkenen reeds over deze
informatie beschikken op basis van de wettelijke context van de verwerking en de keten
van gegevensverwerking. In de eerste plaats zou de gegevensverwerking duidelijk te
verwachten zijn op basis van de wet, hetgeen betekent dat betrokkenen geacht worden op
de hoogte te zijn van de verplichting tot publicatie van bedrijfsgegevens bij de KBO en de
verdere verwerking door de verweerder. In de tweede plaats zou Z5 garanderen dat zij
melding maakt aan de betrokkenen, en zou vervolgens de verweerder deze verplichting
ook opleggen op haar klanten. Rekening houdend met artikel 14.5.a) en overweging 62 van
de AVG houdt dit in dat de verweerder voor de verwerkingen die zij uitvoert niet gehouden
is om opnieuw de transparantieverplichting na te leven. In de mate dat haar klanten verdere
verwerkingen wensen te doen (i.e. direct marketing) zijn zij wél gehouden tot deze
verplichting.

59. De klager stelt dat Y de betrokkenen niet actief informeert bij het verzamelen of het
verwerken van hun gegevens. Daardoor zou het onmogelijk zijn voor betrokkenen om op
de hoogte te zijn van de verwerking van hun gegevens door de partijen in de keten van
verwerkingsverantwoordelijken die de verweerder in haar conclusies beschrijft. De klager

32
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU)
2016/679 (WP260, rev. 01, 11 april 2018), overgenomen door de EDPB.

Beslissing ten gronde 72/2025- 19/48

betwist het argument van de verweerder dat zij niet verplicht was de informatie
opgenomen in artikel 14 AVG te verschaffen aangezien zij mocht aannemen dat de
betrokkenen reeds over deze informatie beschikken. De klager zou pas op de hoogte zijn
gesteld van het feit dat zijn gegevens werden verwerkt door de verweerder toen hij zijn
recht van inzage uitoefende bij een klant van de verweerder.

60. Om te beginnen wijst de Geschillenkamer erop dat alle opeenvolgende
verwerkingsverantwoordelijken (i.e., de verweerder, Z7, Z5, en haar klanten) afzonderlijk de
betrokkenen moeten inlichten voor wat betreft de gegevensverwerkingen die zij zelf
uitvoeren. De uitzondering in artikel 14.5.a) AVG, volgens dewelke artikel 14.1 tot en met
14.4 AVG niet van toepassing zijn voor zover de betrokkene reeds over de informatie
beschikt, is niet relevant. De verweerder kan zich niet aan haar informatieplichten
onttrekken op basis van het feit dat Z5 reeds bepaalde informatie zou hebben verstrekt,
aangezien Z5 een afzonderlijke verwerkingsverantwoordelijke is. De informatie in minstens
artikelen 14.1.a), b), c), en e) en 14.2.a), b), en f) zou kunnen verschillen afhankelijk van de
verwerkingsverantwoordelijke, waardoor er niet van kan worden uitgegaan dat de
betrokkenen reeds over de informatie zouden beschikken. De verweerder geeft dit ook
expliciet aan in verband met Z7 waar zij in haar opmerkingen over het PV van de hoorzitting
de onderstreepte zin toevoegt:

“De verweerster stelt, zoals ook de klager stelt, dat Z7 een afzonderlijke
verwerkingsverantwoordelijke is, en niet een verwerker. Bijgevolg heeft zowel Z7
als verweerster haar eigen verplichtingen in het kader van de transparantie
voorzien in artikel 14 AVG.”33

61. Artikel 14.1 en 14.2 voorzien in een plicht om informatie proactief te verstrekken wanneer
de persoonsgegevens niet van de betrokkene zijn verkregen. De onrechtstreekse
verzameling van persoonsgegevens bij de betrokkenen veronderstelt immers niet dat de
informatieverstrekking aan de betrokkenen eveneens enkel op onrechtstreekse wijze
dient te geschieden. Integendeel, uit de rechtspraak van het Hof van Justitie alsmede uit de
bepalingen van de AVG vloeit voort dat het uitsluitend aan de
verwerkingsverantwoordelijke die de middelen en doeleinden van de verwerking bepaalt,
toekomt om de betrokkenen op een loyale en transparante wijze te informeren 34. De
Geschillenkamer concludeert bijgevolg dat het te dezen in eerste instantie aan de

33
Pagina 3 van de brief van de verweerder aan de GBA op 15 november 2024
34
Overweging 60 — “Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op
de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De
verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover
de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke
omstandigheden en de context waarin de persoonsgegevens worden verwerkt. […]”; Artikel 14 AVG — “1. Wanneer
persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de
volgende informatie: […]” (de Geschillenkamer onderlijnt). Zie ook HvJEU, 1 oktober 2015, C-201/14, Smaranda Bara e.a. t.
Președintele Casei Naționale de Asigurări de Sănătate (ECLI:EU:C:2015:638), randnr. 31.

Beslissing ten gronde 72/2025- 20/48

verweerder toekomt om de betrokkenen proactief te informeren over de verwerking van
hun persoonsgegevens door de verweerder zelf, in overeenstemming met artikel 14 AVG.
Aangezien de verweerder de gegevens verstrekt aan andere ontvangers, dient zij de
betrokkenen uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden
verstrekt te informeren (artikel 14.3.c) AVG).

62. Betreffende de privacyverklaring van de verweerder stelt de Inspectiedienst vast dat noch
in de versie van 30 maart 2021 noch in de versie van 5 mei 2021 wordt vermeld dat de
persoonsgegevens worden verkregen van Z7. De aangepaste versie van de
privacyverklaring van de verweerder stelt dat de KBO niet de bron is van de gegevens
opgenomen in de database35. In de privacyverklaring ten tijde van de klacht was evenwel
het volgende te lezen: “Alle persoonsgegevens in de database van Y hebben als
uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen.” Op basis
van de rechtstreekse contradictie, die niet wordt verklaard door een feitelijke wijziging van
de bron van de gegevens, concludeert de Geschillenkamer dat de verweerder onjuiste
informatie heeft verstrekt aan de betrokkenen met betrekking tot artikel 14.2.f) AVG. Dit
artikel verplicht de verwerkingsverantwoordelijke om de bron van de persoonsgegevens,
en in voorkomend geval, of deze afkomstig zijn van openbare bronnen, aan de betrokkenen
te communiceren. Voorts merkt de Geschillenkamer op dat de verweerder aanvankelijk
niet voldeed aan artikel 14.2.e) AVG, op basis waarvan de verwerkingsverantwoordelijke
betrokkenen moet informeren dat de betrokkenen het recht hebben klacht in te dienen bij
een toezichthoudende autoriteit. Deze informatie wordt in de huidige versie van de
privacyverklaring wel gecommuniceerd.

63. De Geschillenkamer concludeert dat de verweerder haar transparantie- en
informatieverplichtingen overeenkomstig artikel 12.1, artikel 14.1 en 14.2, artikel 5.2,
artikel 24.1 alsook artikel 25.1 van de AVG niet is nagekomen doordat zij de betrokkenen
niet proactief informeerde binnen de wettelijk verplichte termijn, en doordat de
informatie die zij verstrekte via haar privacyverklaring onvolledig en onjuist was.

III.4. De rechten van de betrokkene (artikel 12.1, 12.2, 12.3 en 12.4 AVG, alsook artikel 15,
artikel 17, artikel 19, artikel 21, artikel 24.1 alsook artikel 25.1 van de AVG)

64. Artikel 12, lid 1 AVG bepaalt dat de verwerkingsverantwoordelijke passende maatregelen
moet nemen opdat de betrokkene de informatie in verband met de verwerking in een
beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en
eenvoudige taal ontvangt. Artikel 12 van de AVG regelt de wijze waarop de betrokkenen
hun rechten kunnen uitoefenen en bepaalt dat de verwerkingsverantwoordelijke de
uitoefening van die rechten door de betrokkene moet faciliteren (artikel 12.2 van de AVG),

35
Syntheseconclusies van de verweerder, stuk 23

Beslissing ten gronde 72/2025- 21/48

en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek
informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn
genomen (artikel 12.3 van de AVG).

65. Artikel 24 AVG vereist dat de verwerkingsverantwoordelijke, rekening houdend met de
aard, de omvang, de context en het doel van de verwerking, passende technische en
organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de
verwerking in overeenstemming met deze verordening wordt uitgevoerd.

66. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 12.1,
12.2, 12.3 en 12.4 AVG, alsook artikel 15, artikel 17, artikel 19, artikel 21, artikel 24.1 alsook
artikel 25.1 van de AVG, vermits de verweerder geen met documenten onderbouwd
antwoord geeft op de vraag van de Inspectiedienst naar hoe betrokkenen concreet worden
ingelicht over de verwerking van hun persoonsgegevens door de verweerder, en hoe hun
rechten worden gewaarborgd overeenkomstig artikelen 12, 15, 17, 19 en 21 van de AVG. De
Inspectiedienst besluit dat de privacyverklaring van de verweerder en de (contractuele)
afspraken tussen de verweerder en haar klanten op zich geen antwoord bieden op de
rechten van de klager voorzien in de voormelde artikelen van de AVG.

III.4.1. Betreffende het recht van inzage

67. De klager probeerde in zijn e-mail van 15 januari 2021 zijn recht van inzage op basis van
artikel 15 AVG uit te oefenen. De verweerder antwoordde op 29 januari 2021 op de e-mail
van de klager, en stelt in haar syntheseconclusies dat zij het verzoek van de klager conform
haar verplichtingen behandelde.

68. In de eerste plaats vroeg de klager om een volledig overzicht van de gegevens die de
verweerder van hem verzameld had. Hij vroeg hierbij om kopieën, back-ups en andere
versies van de gegevens die al dan niet verrijkt waren. Overeenkomstig artikel 15.1 en 15.3
AVG heeft de betrokkene recht op deze informatie en op een kopie van de gegevens. In
haar e-mail op 29 januari 2021 verstrekte de verweerder dan ook een kopie van de
gegevens die zij verwerkt in verband met de klager. Derhalve besluit de Geschillenkamer
dat de verweerder op dit punt de AVG niet heeft geschonden.

69. In de tweede plaats vroeg de klager uitleg over hoe, wanneer, van welke bron, en van welke
tussenpartij(en) de verweerder de gegevens had verkregen. Wanneer de
persoonsgegevens niet bij de betrokkene worden verzameld, zoals in casu het geval is,
bepaalt artikel 15.1.g) AVG dat de betrokkene recht heeft om inzage te verkrijgen in alle
beschikbare informatie over de bron van die gegevens. Aldus was de verweerder verplicht
om in volledigheid te antwoorden op deze vragen. In haar reactie op het verzoek van de
klager antwoordde de verweerder niet specifiek op de voormelde vragen. Zij informeert de

Beslissing ten gronde 72/2025- 22/48

klager niet over hoe, wanneer, van welke bron, noch van welke tussenpartijen zij de
gegevens verkregen had. Zij verwijst echter wel naar de KBO:

“De gegevens die wij hebben geregistreerd zijn uitsluitend de gegevens van uw
organisatie zoals door u geregistreerd bij de KBO. Desalniettemin kunnen
betrokkenen onder de GDPR, bij ons een verzoek doen om bepaalde gegevens te
laten verwijderen. Dit in tegenstelling tot de KBO.”

Hieruit zou de klager kunnen begrijpen dat de KBO de bron van de persoonsgegevens van
de klager was, hetgeen minstens misleidend is aangezien de verweerder in haar
syntheseconclusies aangeeft dat de gegevens niet bij de KBO werden verzameld. In ieder
geval gaf de verweerder geen antwoord op de bovenvermelde vragen, waardoor de
Geschillenkamer besluit dat de verweerder een inbreuk heeft begaan op artikel 15.1.g)
AVG, door niet alle beschikbare informatie over de bronnen van de persoonsgegevens
van de klager mede te delen.

70. Voorts vroeg de klager aan welke partijen de verweerder de gegevens doorgeeft of heeft
doorgegeven.

71. Op basis van artikel 15.1.c) AVG heeft de betrokkene het recht om inzage te verkrijgen in de
ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen
worden verstrekt. In haar reactie op de vragen van de klager verwijst de verweerder naar
artikel 14.1 AVG, waarin wordt bepaald dat wanneer persoonsgegevens niet van de
betrokkene zijn verkregen, de verwerkingsverantwoordelijke de ontvangers of
categorieën van ontvangers van de persoonsgegevens verstrekt, gelezen in samenhang
met artikel 14.5 AVG waarin wordt bepaald dat de leden 1 tot en met 4 van artikel 14.1 niet
van toepassing zijn wanneer en voor zover het verstrekken van die informatie onmogelijk
blijkt of onevenredig veel inspanning zou vergen. Op basis daarvan stelt de verweerder dat
zij niet verplicht is om de ontvangers van de gegevens van de klager te specifiëren, maar
slechts de categorieën van ontvangers, hetgeen zij definieert als “organisaties die belang
hechten aan een kwalitatief hoogwaardige ondersteuning van B2B marketing- en
salesacties, analyses van zakelijke doelgroepen en het actueel houden van zorgvuldig
opgebouwde zakelijke databases”.

72. Om te beginnen wijst de Geschillenkamer erop dat artikel 14.5 AVG een uitzondering
vastlegt in het kader van artikel 14 AVG, en geenszins het recht van inzage op basis van
artikel 15 AVG kan beperken. Het Hof van Justitie heeft bepaalt dat de betrokkene dient te
beschikken over het recht om te weten wie de concrete ontvangers van zijn
persoonsgegevens waren wanneer deze gegevens reeds aan derden zijn meegedeeld.
Enkel wanneer het (nog) niet mogelijk is deze ontvangers te identificeren, is het de
verwerkingsverantwoordelijke toegestaan om de medegedeelde informatie te beperken

Beslissing ten gronde 72/2025- 23/48

tot de betreffende categorieën van ontvangers 36. Tijdens de hoorzitting stelde de
verweerder dat het arrest van het Hof van Justitie nog niet was gepubliceerd ten tijde van
het verzoek van inzage van de klager, en dat zij destijds voldoende reageerde op het
verzoek. Deze redenering kan echter niet worden gevolgd, vermits dat arrest louter duiding
geeft bij een verplichting die rechtstreeks voortvloeit uit artikel 15.1.c) AVG, en die van
tevoren al van toepassing was. De Geschillenkamer herinnert eraan dat deze uitleg van
artikel 15.1.c) AVG ook blijkt uit de richtsnoeren inzake het recht van inzage van de EDPB 37,
alsook in de richtsnoeren inzake transparantie, die in 2017 door de Groep
Gegevensbescherming Artikel 29 werden goedgekeurd en herzien op 11 april 2018 38,
hetgeen ten tijde van het verzoek van inzage reeds beschikbaar was.

73. Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk
heeft begaan op artikel 15.1.c) AVG, door niet alle beschikbare informatie over de
specifieke ontvangers van de persoonsgegevens van de klager mee te delen.

74. Voorts vroeg de klager in zijn verzoek van inzage naar de opslagtermijn van zijn
persoonsgegevens. Artikel 15.1.d) AVG bepaalt dat hij het recht heeft inzage te verkrijgen
in, indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting
zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te
bepalen. De verweerder antwoordde niet op deze vraag.

75. Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk
heeft begaan op artikel 15.1.d) AVG, door niet alle beschikbare informatie over de
opslagtermijn aan de klager mee te delen.

III.4.2. Betreffende het recht op de wissing van persoonsgegevens, het recht van
bezwaar, en de verwerkingsbeperking

76. De klager probeerde in zijn e-mail van 15 januari 2021 ook zijn recht op gegevenswissing op
basis van artikel 17 AVG en zijn recht op beperking van de verwerking op basis van artikel
18 juncto 21 AVG uit te oefenen. De verweerder antwoordde op 29 januari 2021 op de e-
mail van de klager met de bevestiging dat de gegevens van de klager onmiddellijk uit haar
database zouden worden verwijderd, waardoor geen verdere verspreiding meer zou
plaatsvinden en er een verwijderverzoek zou worden doorgegeven aan haar klanten. De

36
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), punt 39, 43 en 48.
37
EDPB – Richtsnoeren 01/2022 over de rechten van betrokkenen – Recht van inzage (v2.0, 28 March 2023), randnrs. 116-
117
38
Groep Gegevensbescherming Artikel 29 – Richtsnoeren inzake transparantie overeenkomstig Verordening (EU)
2016/679 (WP260, rev. 01, 11 april 2018), pp. 43-44: “De (namen van de) feitelijke ontvangers van de persoonsgegevens, of
categorieën persoonsgegevens, moeten worden verstrekt. In overeenstemming met het behoorlijkheidsbeginsel moeten
verwerkingsverantwoordelijken informatie over de ontvangers verstrekken die voor de betrokkenen het meest
betekenisvol is. In de praktijk zullen dit doorgaans met name genoemde ontvangers zijn, zodat betrokkenen precies weten
wie hun persoonsgegevens heeft.”.

Beslissing ten gronde 72/2025- 24/48

verweerder stelt in haar syntheseconclusies dat zij het verzoek van de klager conform de
verplichtingen behandelde.

77. Aangezien de verweerder de persoonsgegevens van de klager tijdig wiste, en de
ontvangers van de gegevens daarvan in kennis bracht, oordeelt de Geschillenkamer dat
de verweerder artikel 17, artikel 18 juncto artikel 21 AVG niet heeft geschonden.

78. De Geschillenkamer merkt echter op dat de klager in dezelfde e-mail verzocht informatie
te krijgen over de ontvangers van de gegevens. Artikel 19, tweede volzin, AVG verleent de
betrokkene uitdrukkelijk het recht om door de verwerkingsverantwoordelijke te worden
geïnformeerd over de concrete ontvangers van de hem betreffende gegevens, in het kader
van de verplichting van deze laatste om alle ontvangers te informeren over de uitoefening
van de rechten waarover deze persoon op grond van artikel 16, artikel 17.1, en artikel 18
AVG beschikt39. Aangezien de verweerder geen informatie verstrekte over de specifieke
ontvangers van de persoonsgegevens, besluit de Geschillenkamer dat de verweerder
een inbreuk heeft begaan op artikel 19 AVG.

III.5. Ten aanzien van de vaststellingen buiten de scope van de klacht

79. Om een doeltreffende en doelmatige handhaving van de rechten van de klager te
waarborgen, beslist de Geschillenkamer om de vaststellingen door de Inspectiedienst
gedaan buiten de reikwijdte van de klacht niet te behandelen in de onderhavige
beslissing. Dit laat evenwel onverlet dat het aan de verweerder is maatregelen te nemen
voor de volledige naleving van alle verplichtingen die uit de AVG voortvloeien.

IV. Over de corrigerende maatregelen en straffen

80. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de
bevoegdheid om:

1° een klacht te seponeren;

2° de buitenvervolgingstelling te bevelen;

3° een opschorting van de uitspraak te bevelen;

4° een schikking voor te stellen;

5° waarschuwingen en berispingen te formuleren;

6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;

7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;

39
HvJEU, 12 januari 2023, C-154/21, RW t. Österreichische Post (ECLI:EU:C:2023:3), punt 41

Beslissing ten gronde 72/2025- 25/48

8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;

9° te bevelen dat de verwerking in overeenstemming wordt gebracht;

10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;

11° de intrekking van de erkenning van certificatie-instellingen te bevelen;

12° dwangsommen op te leggen;

13° administratieve geldboeten op te leggen;

14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;

15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat
haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven;

16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.

IV.1. Corrigerende maatregelen

IV.1.1. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de
verweerder niet aantoont dat haar belang zwaarder weegt dan de belangen en
grondrechten van de betrokkenen, zodat de verwerking niet onder artikel 6.1.f)
AVG kan vallen, en onrechtmatig is wegens een gebrek aan een geldige
rechtsgrond:

81. De Geschillenkamer beslist, ten eerste, om de verweerder krachtens 58.2.g) AVG alsmede
artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van persoonsgegevens
waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een geldige
rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 5.2 AVG. Overeenkomstig Art. 108, §
1, derde lid WOG is dit bevel niet uitvoerbaar bij voorraad.

82. Voorts beslist de Geschillenkamer om de verweerder krachtens 58.2.g) AVG alsmede
artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers van de voornoemde
persoonsgegevens in kennis te brengen van het voorgaande bevel alsmede de
onderhavige beslissing, en te benadrukken dat de aangehaalde rechtsgrond voor de
verwerkingen niet overeenstemt met de AVG.

83. Deze bevelen zijn noodzakelijk om de onrechtmatige verwerking van persoonsgegevens
stop te zetten.

IV.1.2. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1
AVG, doordat de verweerder de betrokkenen niet proactief informeerde binnen de
wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar
privacyverklaring onvolledig en onjuist was:

Beslissing ten gronde 72/2025- 26/48

84. De Geschillenkamer beslist de verweerder krachtens 58.2.d) AVG alsmede artikel 100, § 1,
9° van de WOG te gelasten om de toekomstige verwerkingen van persoonsgegevens in
overeenstemming te brengen met de bepalingen van de AVG, door overeenkomstig
artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, de betrokkenen proactief te
informeren binnen de wettelijk verplichte termijn.

85. Dit bevel is noodzakelijk om de verweerder in conformiteit te brengen met de
informatieverplichtingen.

IV.1.3. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, aangezien de
verweerder niet alle beschikbare informatie over de specifieke ontvangers, de
bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in
het antwoord op zijn verzoek tot inzage; en betreffende de inbreuk op artikel 19
AVG

86. De Geschillenkamer beslist om de verweerder krachtens 58.2.c) AVG alsmede artikel 100,
§ 1, 6° WOG te bevelen dat binnen een termijn van 30 dagen na de kennisgeving van de
onderhavige beslissing wordt voldaan aan de verzoeken van de klager om zijn rechten
uit te oefenen:

i. door overeenkomstig artikel 15.1.c) alsook 19, tweede volzin, AVG, alle
beschikbare informatie over de specifieke ontvangers van de
persoonsgegevens aan de klager mee te delen;

ii. door overeenkomstig artikel 15.1.d) AVG, alle beschikbare informatie over de
opslagtermijn van zijn persoonsgegevens aan de klager mee te delen;

iii. door overeenkomstig artikel 15.1.g) AVG, alle beschikbare informatie over de
bronnen van de persoonsgegevens aan de klager mee te delen.

87. Y stelt in haar reactie op het sanctieformulier dat zij zich in het mate van het mogelijke zal
inspannen om te voldoen aan de verzoeken van de klager om zijn rechten uit te oefenen,
maar dat zij de gegevens – in navolging van het verzoek van de klager – reeds verwijderd
heeft in februari 2021. De Geschillenkamer oordeelt dat dit bevel niettemin noodzakelijk is
om de rechten van de klager te waarborgen. De verweerder dient aldus te voldoen aan de
verzoeken van de klager door alle beschikbare informatie te verstrekken.

IV.2. Administratieve geldboetes

88. Naast de corrigerende maatregelen, beslist de Geschillenkamer tot het opleggen van drie
administratieve geldboetes met het oog op een krachtige handhaving van de regels van

Beslissing ten gronde 72/2025- 27/48

deze verordening. Zoals duidelijk blijkt uit overweging 148 AVG 40, stelt de AVG immers
voorop dat bij elke inbreuk — dus ook bij een eerste vaststelling van een inbreuk — straffen,
met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen
worden opgelegd.

89. De Geschillenkamer wiist er ook op dat het haar soevereine verantwoordelijkheid als
onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen
van de AVG en de WOG — om de passende corrigerende maatregelen en sancties vast te
stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof heeft in haar
rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de
Geschillenkamer benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals
onder meer in zijn arresten van 7 juli 2021 en 6 september 2023 41.

90. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op
de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de
Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt
de administratieve geldboete op in toepassing van artikel 58.2.i) AVG. Het instrument van
administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe voorzien
de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen
genoemd in artikel 100, § 1, 8° en 9° WOG.

91. Artikel 83.3 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening moet
worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met
de zwaarte van de inbreuken, de duur van de inbreuken, en het nodige afschrikwekkende
effect om toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van
elke factor herhaald word, verwijst de Geschillenkamer naar de beoordeling hieronder,
waarin het opleggen van een administratieve geldboete en de hoogte ervan samen worden
beoordeeld.

92. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen, wordt
van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes

40
Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd.
Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een
natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te
worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met
schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze
waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die
werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met
alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve
geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van
het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.”
41
Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2021/AR/320, pp. 37-47; Hof van
Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2020/AR/1160, p. 34.

Beslissing ten gronde 72/2025- 28/48

aanpassen en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor
de berekening van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld
op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van
de boete, afhankelijk van de omstandigheden van de zaak. De toepassing van deze
Richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te
waarborgen. Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboeten
voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen 42.
Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De
Geschillenkamer herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet van
toepassing zijn43.

IV.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 AVG

93. De Geschillenkamer beslist geldboeten op te leggen wegens de volgende inbreuken:

i. Inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet
aantoont dat haar belang zwaarder weegt dan de belangen en
grondrechten van de betrokkenen, zodat de verwerking niet onder
artikel 6.1.f) AVG kan vallen, en onrechtmatig is wegens een gebrek aan een
geldige rechtsgrond;

ii. Inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, doordat
de verweerder de betrokkenen niet proactief informeerde binnen de
wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via
haar privacyverklaring onvolledig en onjuist was;

iii. Inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, aangezien de verweerder
niet alle beschikbare informatie over de specifieke ontvangers, de bronnen
en de opslagtermijn van de persoonsgegevens aan de klager meedeelde in
het antwoord op zijn verzoek tot inzage.

94. Als eerste stap stelt de Geschillenkamer vast dat er sprake is van een en dezelfde inbreuk
makende gedraging. De verwerking van persoonsgegevens zonder geldige
rechtsgrondslag, zonder de betrokkenen proactief te informeren, en zonder volledig in te
gaan op de verzoeken van de klager om inzage, vormen in het kader van de verwerking een
reeks verwerkingsactiviteiten die uit één enkele wil worden verricht en die contextueel, in
ruimte en tijd met elkaar samenhangen. Zij moeten als “daarmee verband houdend” en als
één enkele gedraging worden beschouwd.

42
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 9
43
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 6

Beslissing ten gronde 72/2025- 29/48

95. De Geschillenkamer oordeelt evenwel dat deze gedraging drie verschillende inbreuken
opleverde, en dat deze inbreuken naast elkaar kunnen worden toegerekend bij het
berekenen van de geldboetes. De bepalingen waarop inbreuken werden gemaakt streven
namelijk onafhankelijke doelen na (het beginsel van rechtmatigheid, de informatieplicht, en
het recht van betrokkenen om inzage te verkrijgen in het verwerken van hun
persoonsgegevens), waarbij de ene bepaling niet wordt uitgesloten of omvat door de
toepasbaarheid van de andere, hetgeen het opleggen van afzonderlijke geldboeten
rechtvaardigt. De Geschillenkamer verwijst als voorbeeld naar het Bindend besluit 1/2021
van de EDPB: “Wat betreft de betekenis van artikel 83, lid 3, AVG, merkt het Comité [EDPB]
op dat rekening houdend met de standpunten van de betrokken toezichthoudende
autoriteiten in geval van meerdere inbreuken meerdere bedragen kunnen worden
vastgesteld. De totale geldboete mag echter niet hoger zijn dan een maximumbedrag dat,
in abstracto, door de AVG wordt voorgeschreven”44.

96. Voorts bepaalt artikel 83.3 AVG dat indien een verwerkingsverantwoordelijke opzettelijk
of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende
verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening,
het totale bedrag van de geldboete niet hoger mag zijn dan het toegestane
maximumbedrag voor de zwaarste inbreuk45.

97. Samenvattend oordeelt de Geschillenkamer in casu dat zij drie afzonderlijke geldboetes
dient op te leggen, en dat de totale geldboete niet hoger kan zijn dan het maximumbedrag
voor de zwaarste inbreuk.

IV.2.2. Uitgangsbedrag voor de berekening

98. De berekening van administratieve geldboeten begint bij een geharmoniseerd
uitgangsbedrag op basis van de Richtsnoeren 04/2022 van de EDPB 46. Hierbij wordt
rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel
83, leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de onderneming.

Indeling van inbreuken volgens hun aard op grond van artikel 83, leden 4 tot en met 6, AVG

99. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die
strafbaar zijn onder artikel 83.4 van de AVG enerzijds en de inbreuken die strafbaar zijn
onder artikel 83.5 en 83.6 van de AVG anderzijds. Op de eerste categorie inbreuken staat
een maximumboete van 10 miljoen EUR of 2% van de totale wereldwijde jaaromzet in het

44
Bindend besluit 1/2021 van de EDPB over het geschil dat is ontstaan over het ontwerpbesluit van de Ierse
toezichthoudende autoriteit betreffende WhatsApp Ireland op grond van artikel 65, lid 1, onder a), van de AVG, vastgesteld
op 28 juli 2021, Par. 324
45
Zie ook EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24
mei 2023), p. 17
46
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
p. 18

Beslissing ten gronde 72/2025- 30/48

voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een
boete van maximaal 20 miljoen EUR of 4% van de van de totale wereldwijde jaaromzet in
het voorgaande boekjaar, indien dit cijfer hoger is.

i. Voor de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, bedraagt de zwaarste
administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot
20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is;

ii. Voor de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1
AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig
artikel 83.5.b) AVG tot 20 000 000 EUR of tot 4 % van de totale
wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is;

iii. Voor de inbreuk op artikelen 15.1.c), 15.1.d) en 15.1.g) AVG, bedraagt de
zwaarste administratieve geldboete overeenkomstig artikel 83.5.b) AVG
tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is.

100. Aangezien de hogere boetes van toepassing zijn, overeenkomstig artikelen 83.5.a) en
83.5.b) van de AVG, kan de Geschillenkamer per inbreuk een administratieve boete
opleggen van maximaal 20 000 000 EUR of maximaal 4% van de totale wereldwijde
jaaromzet in het voorgaande boekjaar, indien dit hoger is.

IV.2.3. Zwaarte van de inbreuken in elk individueel geval

101. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder niet
aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten van de
betrokkenen, zodat de verwerking niet onder artikel 6.1.f) AVG kan vallen, en onrechtmatig
is wegens een gebrek aan een geldige rechtsgrond:

i. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard
van de inbreuk merkt de Geschillenkamer op dat het beginsel van rechtmatigheid
(artikel 5.1.a) en 6 AVG) een fundamenteel beginsel is van de bescherming die door
de AVG gewaarborgd wordt. Dit beginsel is eveneens opgenomen in artikel 8.2 van
het Handvest van de Grondrechten van de Europese Unie. Inbreuken op dit
kernbeginsel vormen derhalve zwaarwegende inbreuken. Met betrekking tot de
ernst van de inbreuk merkt de Geschillenkamer op dat de litigieuze verwerking
plaatsvond in het kader van de zakelijke activiteiten van de verweerder. Deze
laatste specialiseert zich in het beschikbaar stellen van gegevens tegen betaling.
Bovendien merkt de Geschillenkamer op dat de verwerking omvangrijk is, en dat de
verweerder in mei 2021 de conclusie bereikt dat zij persoonsgegevens op een grote

Beslissing ten gronde 72/2025- 31/48

schaal verwerkt47. Wegens deze redenen moet de inbreuk ernstiger beoordeeld
worden. Ten derde, betreffende de duur van de inbreuk, merkt de Geschillenkamer
op dat W, de moedervennootschap van de verweerder, een
datalicentieovereenkomst is aangegaan met Z7 op 21 november 2017. De
Geschillenkamer begrijpt dat de verweerder sindsdien de betreffende gegevens
ter beschikking stelt aan haar klanten, waardoor de Geschillenkamer concludeert
dat de gegevensinbreuk reeds meerdere jaren duurt.

ii. Artikel 83.2.b) AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er
volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de
verweerder om met opzet artikelen 5.1.a), 6.1 en 5.2 AVG te overtreden door
ongeldig beroep te maken op artikel 6.1.f) AVG als rechtsgrond, doch minstens
sprake van een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van
de rechtspraak van het Hof van Justitie van de EU. 48 De Geschillenkamer merkt op
dat de verwerking wellicht voortvloeit uit een verkeerde interpretatie vanwege de
verweerder van artikelen 2 en 4.1 AVG, en overweging 14 AVG, waardoor zij de
betreffende persoonsgegevens niet beschouwde als zijnde persoonsgegevens.
Hoewel de verweerder verantwoordelijk is voor de naleving van de AVG, neemt de
Geschillenkamer in overweging dat de inbreuk hierdoor onopzettelijk lijkt te zijn.
Niettemin merkt de Geschillenkamer op dat de verweerder deze
persoonsgegevens verwerkt heeft in het kader van haar professionele activiteiten,
waarbij de verwerking van persoonsgegevens de kernactiviteit uitmaakt. De
Geschillenkamer is dan ook van oordeel dat de verweerder op de hoogte had
moeten zijn van het feit dat de litigieuze verwerking persoonsgegevens betrof, en
dat het een onrechtmatige verwerking was, voortvloeiend uit ernstige nalatigheid.
Bijgevolg kent de Geschillenkamer meer gewicht toe aan deze factor.

iii. Artikel 83.2.g) AVG – de categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft: De litigieuze verwerking betreft het e-mailadres dat de klager in
het kader van een beroepsactiviteit gebruikt, en aan de hand waarvan hij direct
identificeerbaar is. Hoewel dergelijke persoonsgegevens prima facie niet van
gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij niettemin
behoren tot categorieën van persoonsgegevens waarvan betrokkenen doorgaans
niet redelijkerwijs zouden verwachten dat die onrechtstreeks verzameld bij en
nadien verwerkt worden door derde partijen. Dit categorie wordt als neutraal
beoordeeld.

47
Bijlage 14 bij de brief van de verweerder aan de GBA op 5 mei 2021
48
Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.

Beslissing ten gronde 72/2025- 32/48

102. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG,
doordat de verweerder de betrokkenen niet proactief informeerde binnen de wettelijk
verplichte termijn, en doordat de informatie die zij verstrekte via haar privacyverklaring
onvolledig en onjuist was:

i. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard
van de inbreuk merkt de Geschillenkamer op dat de transparantie en
informatieplichten fundamentele beginselen vormen van de AVG. Zij maken
immers voor de betrokkenen de uitoefening mogelijk van de andere rechten die de
AVG toekent, zoals het recht om bezwaar te maken en het recht om gegevens te
laten wissen. Inbreuken op deze kernbeginselen vormen derhalve zwaarwichtige
inbreuken, die met de hoogste administratieve boetes waarin de AVG voorziet
kunnen worden bestraft. Betreffende de ernst en duur van de inbreuk verwijst de
Geschillenkamer naar de bovenstaande vaststellingen dat de verweerder
gedurende een periode van meerdere jaren financiële winst boekte door het
verwerken van persoonsgegevens zonder een geldige rechtsgrond. Het feit dat zij
dit deed zonder de betrokkenen proactief te informeren over de verwerking is in
die context een ernstige inbreuk. Wanneer betrokkenen niet geïnformeerd worden
over de verwerking van hun persoonsgegevens wordt hen de mogelijkheid
ontnomen om hun rechten uit te oefenen en ontstaat er en een onevenwichtigheid
in de relatie met de verwerkingsverantwoordelijke en ontvangers van de gegevens.
Dit zet de deur open voor misbruik en onrechtmatige verwerkingen.

ii. Artikel 83.2.b) AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er
volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de
verweerder om met opzet inbreuk te maken op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 en
artikel 25.1 AVG, doch wel een ernstige nalatigheid, waarmee wordt voldaan aan de
vereisten van de rechtspraak van het Hof van Justitie van de EU 49. De verweerder
was van mening dat zij niet gehouden was om proactief informatie te verstrekken
aan de betrokkenen omdat deze betrokkenen reeds geïnformeerd zouden zijn
geweest door een afzonderlijke verwerkingsverantwoordelijke over de verwerking
van de gegevens. De verweerder had echter haar eigen, afzonderlijke, plicht om
informatie te verstrekken aangezien zij zelf een verwerkingsverantwoordelijke was
die de gegevens verwerkte voor haar eigen doeleinden en met haar eigen middelen.
Daarnaast informeerde de verweerder in haar privacyverklaring de betrokkenen
het volgende: “Alle persoonsgegevens in de database van Y hebben als
uiteindelijke bron de Kruispuntbank van Ondernemingen of openbare bronnen”.
Aangezien blijkt dat de ware bron van de persoonsgegevens Z7 is, kan de

49
Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.

Beslissing ten gronde 72/2025- 33/48

Geschillenkamer alleen tot de conclusie komen dat hier sprake is van ernstige
nalatigheid bij het correct informeren van de betrokkenen.

iii. Artikel 83.2.g) AVG – de categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft: Zie hierboven.

103. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, aangezien de verweerder
niet alle beschikbare informatie over de specifieke ontvangers, de bronnen en de
opslagtermijn van de persoonsgegevens aan de klager meedeelde in het antwoord op zijn
verzoek tot inzage:

i. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk: Betreffende de aard
van de inbreuk merkt de geschillenkamer op dat het recht op inzage de
toegangspoort vormt voor de uitoefening van andere rechten waarin de AVG
voorziet, zoals het recht om bezwaar te maken tegen de verwerking van
persoonsgegevens (artikel 21 AVG) en het zogenaamde recht op vergetelheid
(artikel 17 AVG). Het is derhalve van uiterst belang dat betrokkenen die hun recht
van inzage uitoefenen daadwerkelijk inzage verkrijgen van alle persoonsgegevens
die hen betreffen en door de verwerkingsverantwoordelijke zijn verzameld, alsook
beknopte, transparante en begrijpelijke informatie ontvangen over de
omstandigheden waarin hun persoonsgegevens verwerkt worden. Door geen
volledige en voldoende gedetailleerde informatie te verstrekken aan de klager,
ontneemt de verwerkingsverantwoordelijke hem de mogelijkheid om een
passende mate van controle uit te oefenen over zijn eigen persoonsgegevens.
Betreffende de ernst en duur van de inbreuk verwijst de Geschillenkamer naar de
bovenstaande vaststellingen dat de verweerder gedurende een periode van
meerdere jaren financiële winst boekte door het verwerken van persoonsgegevens
zonder een geldige rechtsgrond en zonder de betrokkenen er proactief over te
informeren. Het feit dat zij daarbij weigerde het recht van inzage van de klager te
respecteren vormt in deze context een ernstige inbreuk.

ii. Artikel 83.2.b) AVG – de opzettelijke of nalatige aard van de inbreuk: In casu is er
volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de
verweerder om met opzet inbreuk te maken op artikel 15.1.c), 15.1.d) en 15.1.g) AVG,
doch wel een ernstige nalatigheid, waarmee wordt voldaan aan de vereisten van de
rechtspraak van het Hof van Justitie van de EU. 50 De klager vroeg expliciet om de
informatie in de voornoemde artikelen te ontvangen, en artikel 15.1 AVG legt
onmiskenbaar de plicht vast om deze informatie te verstrekken. Door enkel de
categorieën van ontvangers te vermelden ofschoon de verweerder over de

50
Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, pt 78.

Beslissing ten gronde 72/2025- 34/48

specifieke identiteit van deze ontvangers moet beschikken; door de reële bronnen
niet mede te delen; en door geen informatie betreffende de opslagtermijn te
verstrekken, acht de Geschillenkamer het voldoende bewezen dat de inbreuk op
artikel 15 AVG wegens ernstige nalatigheid werd gepleegd.

iii. Artikel 83.2.g) AVG – de categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft: Zie hierboven.

104. Op basis van een beoordeling van de bovenstaande factoren wordt de zwaarte van elke
inbreuk als geheel bepaald:

i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, neemt de
Geschillenkamer in aanmerking dat het een ernstige, omvangrijke en
langdurige inbreuk betreft van een fundamenteel beginsel van de AVG in
het kader van de kernactiviteit van de verweerder, die met ernstige
nalatigheid werd gepleegd. De Geschillenkamer concludeert dat het gaat
om een inbreuk van gemiddelde zwaarte. Overeenkomstig par. 60 van de
EDPB Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de
verdere berekening vaststellen op een punt tussen de 10 en 20 % van het
toepasselijke wettelijke maximumbedrag51. De Geschillenkamer zal het
uitgangsbedrag voor de verdere berekening vaststellen op 15% van het
wettelijke maximumbedrag dat is opgenomen in artikel 83.5 AVG;

ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel
25.1 AVG, neemt de Geschillenkamer in aanmerking dat het een ernstige,
omvangrijke en langdurige inbreuk betreft van een fundamenteel beginsel
van de AVG in het kader van de kernactiviteit van de verweerder, die met
ernstige nalatigheid werd gepleegd, waardoor de Geschillenkamer
concludeert dat het gaat om een inbreuk van gemiddelde zwaarte.
Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de
Geschillenkamer het uitgangsbedrag voor de verdere berekening
vaststellen op een punt tussen de 10 en 20 % van het toepasselijke
wettelijke maximumbedrag52. De Geschillenkamer zal het uitgangsbedrag
voor de verdere berekening vaststellen op 15% van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG;

iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, neemt de
Geschillenkamer in aanmerking dat het een ernstige inbreuk betreft van

51
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60
52
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60

Beslissing ten gronde 72/2025- 35/48

een fundamenteel beginsel van de AVG in het kader van de kernactiviteit
van de verweerder, die met ernstige nalatigheid werd gepleegd, waardoor
de Geschillenkamer concludeert dat het gaat om een inbreuk van
gemiddelde zwaarte. Overeenkomstig par. 60 van de EDPB Richtsnoeren
dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening
vaststellen op een punt tussen de 10 en 20 % van het toepasselijke
wettelijke maximumbedrag53. De Geschillenkamer zal het uitgangsbedrag
voor de verdere berekening vaststellen op 15% van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG.

105. In haar reactie op het sanctieformulier stelt de verweerder dat uit het sanctieformulier
blijkt dat er geen sprake is van opzet of manifeste grove nalatigheid. Zij stelt dat zij steeds
te goeder trouw handelde, maatregelen nam en een beleid implementeerde om haar
verplichtingen in de AVG na te leven en dat zij haar medewerking verleende aan zowel de
klager als de Gegevensbeschermingsautoriteit. Dit zou zich echter niet vertalen in de
berekening van de boetes. De Geschillenkamer merkt op dat de verweerder zich niet
verweert tegen de vaststelling dat de drie inbreuken van “gemiddelde zwaarte” waren,
waardoor het uitgangsbedrag werd vastgesteld op 15% van het wettelijk maximumbedrag.
Verder worden er geen materiële bewijzen of elementen naar voren gebracht op basis
waarvan de vaststelling van “gemiddelde zwaarte” zou moeten worden aangepast.

IV.2.4. De omzet van de verweerder als relevant element om rekening mee te houden
met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige
geldboete op grond van artikel 83.1 AVG

106. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de
administratieve geldboeten die worden opgelegd doeltreffend, evenredig en afschrikkend
zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de omvang van de
onderneming tot uiting komen.

107. Artikelen 83.4 tot 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het
voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve
geldboete. Hieromtrent geldt dat de term “voorgaande” in overeenstemming met de
rechtspraak van het Hof van Justitie in het mededingingsrecht geïnterpreteerd moet
worden, zodat de relevante gebeurtenis voor de berekening het boetebesluit van de
toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding 54.

108. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het
sanctieformulier d.d. 19 februari 2025 nog niet beschikte over de omzetcijfers voor het jaar

53
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60
54
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 131

Beslissing ten gronde 72/2025- 36/48

2024 en dus bijgevolg de omzetcijfers van 2023 in aanmerking moest nemen. Aangezien
de omzetcijfers niet opgenomen werden in de jaarrekening van de verweerder van 2023,
diende de Geschillenkamer de brutomarge van 2023 zoals opgenomen in de jaarrekening
als alternatief te hanteren. Deze brutomarge bedraagt 52 404 EUR. De Geschillenkamer
nodigde de verweerder uit om de omzetcijfers van het boekjaar 2023 over te maken aan
de Geschillenkamer.

109. In haar reactie op het sanctieformulier stelde Y dat zij haar toekomstige financiële
draagkracht niet kan inschatten. Zij verstrekt bovendien geen aanvullende omzetcijfers. De
Geschillenkamer dient daarom uit te gaan van de beschikbare gegevens.

110. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4% van de totale
wereldwijde jaaromzet in het voorgaande boekjaar 2 096,16 EUR bedraagt, hetgeen lager
is dan 20 000 000 EUR. Aldus bedraagt de maximale administratieve geldboete
overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR. In concreto leidt dit tot de
volgende uitgangsbedragen:

i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG stelde de
Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op
15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5
AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR;

ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel
25.1 AVG, stelde de Geschillenkamer het uitgangsbedrag voor de verdere
berekening vast op 15% van het wettelijke maximumbedrag dat is
opgenomen in artikel 83.5 AVG. Dit leidt in casu tot een uitgangsbedrag
van 3 000 000 EUR;

iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, stelde de
Geschillenkamer het uitgangsbedrag voor de verdere berekening vast op
15% van het wettelijke maximumbedrag dat is opgenomen in artikel 83.5
AVG. Dit leidt in casu tot een uitgangsbedrag van 3 000 000 EUR;

111. Overeenkomstig de Richtsnoeren van de EDPB55, kan de Geschillenkamer voor
ondernemingen met een jaaromzet van minder dan 2 miljoen EUR overwegen om de
berekening voort te zetten op basis van een bedrag tussen de 0,2 en 0,4 % van het
vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is, hetgeen
leidt tot de volgende aangepaste bedragen:

55
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 65

Beslissing ten gronde 72/2025- 37/48

i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG wordt het
uitgangsbedrag van 3 000 000 EUR verlaagd naar 6 000 EUR (0,2% van
het uitgangsbedrag);

ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel
25.1 AVG, wordt het uitgangsbedrag van 3 000 000 EUR verlaagd naar 6
000 EUR (0,2% van het uitgangsbedrag);

iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, wordt het
uitgangsbedrag van 3 000 000 EUR verlaagd naar 6 000 EUR (0,2% van
het uitgangsbedrag).

IV.2.5. Verzwarende en verzachtende omstandigheden

112. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft
gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard
van de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking
heeft (zie hierboven), rekening houden met de overige verzwarende en verzachtende
factoren zoals genoemd in artikel 83.2 AVG 56.

i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, aangezien de verweerder
niet aantoont dat haar belang zwaarder weegt dan de belangen en grondrechten
van de betrokkenen, zodat de verwerking niet onder artikel 6.1.f) AVG kan vallen, en
onrechtmatig is wegens een gebrek aan een geldige rechtsgrond:

a. 83.2.c) AVG – de door de verwerkingsverantwoordelijke of de
verwerker genomen maatregelen om de door betrokkenen geleden
schade te beperken: Niet van toepassing.

b. 83.2.d) AVG – de mate waarin de verwerkingsverantwoordelijke of de
verwerker verantwoordelijk is gezien de technische en
organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32: Niet van toepassing.

c. 83.2.e) AVG – eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker: De Geschillenkamer
houdt rekening met het gegeven dat de verweerder niet schuldig werd
verklaard aan eerdere overtredingen op de AVG. Deze factor kan dus als
neutraal beschouwd worden.

d. 83.2.f) AVG – de mate waarin er met de toezichthoudende autoriteit is
samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve

56
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
randnummer 70

Beslissing ten gronde 72/2025- 38/48

gevolgen daarvan te beperken: De Geschillenkamer merkt op dat de
verweerder zich coöperatief heeft opgesteld ten opzichte van haar.
Overeenkomstig de richtsnoeren van de EDPB beschouwt de
Geschillenkamer de gewone verplichting tot samenwerking als neutraal
gelet op de algemene verplichting tot medewerking ex artikel 31 AVG.

e. 83.2.h) AVG – de wijze waarop de toezichthoudende autoriteit kennis
heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft
gemeld: Niet van toepassing.

f. 83.2.i) AVG – de naleving van de in artikel 58, lid 2, genoemde
maatregelen, voor zover die eerder ten aanzien van de
verwerkingsverantwoordelijke of de verwerker in kwestie met
betrekking tot dezelfde aangelegenheid zijn genomen: Niet van
toepassing.

g. 83.2.j) AVG – het aansluiten bij goedgekeurde gedragscodes
overeenkomstig artikel 40 of van goedgekeurde
certificeringsmechanismen overeenkomstig artikel 42: Niet van
toepassing.

h. 83.2.k) AVG – elke andere op de omstandigheden van de zaak
toepasselijke verzwarende of verzachtende factor, zoals gemaakte
financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks
uit de inbreuk voortvloeien: De verweerder maakte gedurende een
periode van meerdere jaren financiële winst door het verwerken van
persoonsgegevens zonder een geldige rechtsgrond, hetgeen als een
verzwarende omstandigheid wordt beoordeeld.

ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG,
doordat de verweerder de betrokkenen niet proactief informeerde binnen de
wettelijk verplichte termijn, en doordat de informatie die zij verstrekte via haar
privacyverklaring onvolledig en onjuist was:

a. 83.2.c) AVG – de door de verwerkingsverantwoordelijke of de
verwerker genomen maatregelen om de door betrokkenen geleden
schade te beperken: De Geschillenkamer merkt op dat de verweerder
haar privacyverklaring heeft aangepast. Zij heeft echter geen indicatie
ontvangen dat de verweerder de betrokkenen ook proactief informatie
verstrekt. Deze factor wordt als neutraal beschouwd.

Beslissing ten gronde 72/2025- 39/48

b. 83.2.d) AVG – de mate waarin de verwerkingsverantwoordelijke of de
verwerker verantwoordelijk is gezien de technische en
organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32: Niet van toepassing.

c. 83.2.e) AVG – eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker: Zie hierboven.

d. 83.2.f) AVG – de mate waarin er met de toezichthoudende autoriteit is
samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve
gevolgen daarvan te beperken: Zie hierboven.

e. 83.2.h) AVG – de wijze waarop de toezichthoudende autoriteit kennis
heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft
gemeld: Niet van toepassing.

f. 83.2.i) AVG – de naleving van de in artikel 58, lid 2, genoemde
maatregelen, voor zover die eerder ten aanzien van de
verwerkingsverantwoordelijke of de verwerker in kwestie met
betrekking tot dezelfde aangelegenheid zijn genomen: Niet van
toepassing.

g. 83.2.j) AVG – het aansluiten bij goedgekeurde gedragscodes
overeenkomstig artikel 40 of van goedgekeurde
certificeringsmechanismen overeenkomstig artikel 42: Niet van
toepassing.

h. 83.2.k) AVG – elke andere op de omstandigheden van de zaak
toepasselijke verzwarende of verzachtende factor, zoals gemaakte
financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks
uit de inbreuk voortvloeien: Niet van toepassing betreffende deze
inbreuk.

iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG, aangezien de
verweerder niet alle beschikbare informatie over de specifieke ontvangers, de
bronnen en de opslagtermijn van de persoonsgegevens aan de klager meedeelde
in het antwoord op zijn verzoek tot inzage:

a. 83.2.c) AVG – de door de verwerkingsverantwoordelijke of de
verwerker genomen maatregelen om de door betrokkenen geleden
schade te beperken: Niet van toepassing.

Beslissing ten gronde 72/2025- 40/48

b. 83.2.d) AVG – de mate waarin de verwerkingsverantwoordelijke of de
verwerker verantwoordelijk is gezien de technische en
organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32: Niet van toepassing.

c. 83.2.e) AVG – eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker: Zie hierboven.

d. 83.2.f) AVG – de mate waarin er met de toezichthoudende autoriteit is
samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve
gevolgen daarvan te beperken: Zie hierboven.

e. 83.2.h) AVG – de wijze waarop de toezichthoudende autoriteit kennis
heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft
gemeld: Niet van toepassing.

f. 83.2.i) AVG – de naleving van de in artikel 58, lid 2, genoemde
maatregelen, voor zover die eerder ten aanzien van de
verwerkingsverantwoordelijke of de verwerker in kwestie met
betrekking tot dezelfde aangelegenheid zijn genomen: Niet van
toepassing.

g. 83.2.j) AVG – het aansluiten bij goedgekeurde gedragscodes
overeenkomstig artikel 40 of van goedgekeurde
certificeringsmechanismen overeenkomstig artikel 42: Niet van
toepassing.

h. 83.2.k) AVG – elke andere op de omstandigheden van de zaak
toepasselijke verzwarende of verzachtende factor, zoals gemaakte
financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks
uit de inbreuk voortvloeien: Niet van toepassing betreffende deze
inbreuk.

113. De Geschillenkamer stelt vast dat de verweerder gedurende een periode van meerdere
jaren financiële winst maakte door het verwerken van persoonsgegevens zonder een
geldige rechtsgrond, hetgeen als een verzwarende omstandigheid wordt beoordeeld met
betrekking tot de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG. Bijgevolg besluit zij om het
boetebedrag voor deze inbreuk met 2 000 EUR te verhogen naar 8 000 EUR.

114. In haar reactie op het sanctieformulier stelt Y dat het feit dat de betrokken gegevens
voornamelijk gegevens gerelateerd aan bedrijven zijn, in rekening dient te worden
genomen bij het beschouwen van het nastreven van financiële winst als een verzwarende

Beslissing ten gronde 72/2025- 41/48

omstandigheid. De Geschillenkamer oordeelt dat louter het feit dat persoonsgegevens ook
bedrijven betreffen, niet afdoet van het feit dat het maken van financiële winst een
verzwarende omstandigheid is bij het onrechtmatig verwerken van persoonsgegevens.

IV.2.6. Afstemming met maximumbedragen

115. De maximumbedragen voor de boetes in het onderhavige geval werden hierboven reeds
berekend. Ter herinnering:

i. Voor de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG, bedraagt de zwaarste
administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot
20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is;

ii. Voor de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1
AVG, bedraagt de zwaarste administratieve geldboete overeenkomstig
artikel 83.5.b) AVG tot 20 000 000 EUR of tot 4 % van de totale
wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is;

iii. Voor de inbreuk op artikelen 15.1.c), 15.1.d) en 15.1.g) AVG, bedraagt de
zwaarste administratieve geldboete overeenkomstig artikel 83.5.b) AVG
tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is.

116. De Geschillenkamer beschikt ten tijde van de verzending van het sanctieformulier d.d. 19
februari 2025 nog niet over de omzetcijfers voor het jaar 2024, en neemt bijgevolg de
omzetcijfers van 2023 in aanmerking. Aangezien de omzetcijfers niet opgenomen werden
in de jaarrekening van de verweerder van 2023, dient de Geschillenkamer de brutomarge
van 2023 zoals opgenomen in de jaarrekening als alternatief te hanteren. Deze
brutomarge bedraagt 52.404 EUR. De verweerder wordt uitgenodigd om de omzetcijfers
van het boekjaar 2023 over te maken aan de Geschillenkamer.

117. Op basis van het voorgaande stelt de Geschillenkamer dat 4% van de totale wereldwijde
jaaromzet in het voorgaande boekjaar 2.096,16 EUR bedraagt, hetgeen lager is dan 20 000
000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig
artikel 83.5.b) AVG tot 20 000 000 EUR voor elk van de drie vastgestelde inbreuken.

118. Overeenkomstig artikel 83.3 AVG mag de totale geldboete niet hoger zijn dan die voor de
zwaarste inbreuk. In casu is de Geschillenkamer voornemens de volgende geldboetes op
te leggen:

i. Betreffende de inbreuk op artikelen 5.1.a), 6.1 en 5.2 AVG: 8 000 EUR;

ii. Betreffende de inbreuk op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel
25.1 AVG: 6 000 EUR;

Beslissing ten gronde 72/2025- 42/48

iii. Betreffende de inbreuk op artikel 15.1.c), 15.1.d) en 15.1.g) AVG: 6 000 EUR.

119. Aldus bedraagt de totale geldboete 20 000 EUR, hetgeen ruim onder de maximale boete
van 20 000 000 EUR is.

IV.2.7. Doeltreffendheid, evenredigheid en afschrikkend effect

Doeltreffendheid

120. Overweging 148 AVG benadrukt dat administratieve geldboeten moeten worden opgelegd
“[m]et het oog op een krachtiger handhaving van de regels van deze verordening”. De
opgelegde geldboete moet daarom hoog genoeg zijn om deze doelstelling te
verwezenlijken.

121. De Geschillenkamer overweegt dat de geldboetes van 8 000, 6 000 en 6 000 EUR geschikt
zijn om de fundamentele beginselen waarop inbreuk werd gemaakt krachtig te handhaven.

Evenredigheid

122. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet
onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde
geldboete evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van
met name de ernst ervan.

123. In casu werden de drie betreffende inbreuken als van gemiddelde zwaarte beoordeeld.
Overeenkomstig par. 60 van de EDPB Richtsnoeren dient de Geschillenkamer, bij
inbreuken van gemiddelde zwaarte, het uitgangsbedrag voor de verdere berekening vast
te stellen op een punt tussen de 10 en 20 % van het toepasselijke wettelijke
maximumbedrag57. De Geschillenkamer merkt op dat de financiële winst die de
verweerder maakte uit het verwerken van persoonsgegevens zonder rechtsgrond,
proactieve informatieverstrekking en naleving van het recht van inzage werd gemaakt,
hetgeen daadkrachtig ontmoedigt dient te worden. Daarom stelde de Geschillenkamer de
uitgangsbedragen voor de verdere berekening vast op 15% van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 AVG.

124. De Geschillenkamer houdt echter ook rekening met de omzet van de verweerder, waardoor
zij slechts 0,2% van de uitgangsbedragen gebruikte voor de berekening van de boetes (zie
hierboven). Bovendien nodigde de Geschillenkamer de verweerder uit om informatie te
verstrekken indien zij van oordeel is dat de onderhavige boetes haar levensvatbaarheid
onherroepelijk in gevaar zouden brengen. De verweerder verstrekte echter geen materieel
bewijsmateriaal dat dit zou kunnen bevestigen.

57
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
par 60

Beslissing ten gronde 72/2025- 43/48

Afschrikkend effect

125. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de
specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete
een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en
regelingen te schenden.

126. Het afschrikkende karakter van de boete moet twee dimensies hebben. Het moet de
persoon aan wie de boete wordt opgelegd ervan weerhouden de inbreuk in de toekomst te
herhalen, maar het moet ook andere personen ervan weerhouden het inbreukmakende
gedrag van de eerste persoon te herhalen.

127. Verschillende factoren bepalen de afschrikkende werking van een boete: de aard en het
bedrag van de boete en de waarschijnlijkheid dat de boete wordt opgelegd, zijn in dit
opzicht doorslaggevend. Een boete moet hoog genoeg zijn om een aanzienlijke financiële
impact te hebben op de onderneming die de inbreuk pleegt, terwijl de boete in verhouding
moet staan tot de ernst van de inbreuk. Met andere woorden, het criterium van afschrikking
overlapt met dat van doeltreffendheid.

128. In het onderhavige geval wordt het totale bedrag van de boete verminderd naar 20 000
EUR. Dit bedrag blijft evenwel voldoende afschrikkend om te voorkomen dat verweerster
haar inbreuk op de regels van de AVG herhaalt. Bovendien is het ook bedoeld om andere
ondernemingen ervan te weerhouden soortgelijke inbreuken te plegen. Deze boete, die
evenredig is aan de ernst van de inbreuk en rekening houdt met de omzet van de
verweerder, is bedoeld om zowel een specifieke als een algemene afschrikkende werking
te hebben.

Reactie van Y:

129. Y kreeg de gelegenheid om te reageren op de voorgenomen geldboeten. Zij deed dit op 13
maart 2025.

130. Om te beginnen stelt Y dat er sprake is van bijzondere omstandigheden. Ten eerste houden
de inbreuken, volgens haar, in zeer beperkte mate rekening met de context waarbinnen zij
onderneemt. Zij stelt specifiek dat het ernaar uitziet dat alle gegevens onder de zelfde
noemer van persoonsgegeven worden geplaatst, terwijl een groot deel van de gegevens
die door Y worden verwerkt niet als dusdanig dienen te worden gekwalificeerd. Op deze
wijze zou er van een zwaardere inbreuk uitgegaan worden dan in realiteit voorhanden zou
zijn. De Geschillenkamer oordeelt dat deze bezorgdheid niet pertinent is omdat zij wel
degelijk een analyse heeft gemaakt van de aard van de gegevens die Y verwerkt (zie deel
III.1.1. Kwalificatie van de gegevens). Verder stelt Y dat het feit dat de gegevens bedrijven
betreffen zich zou moeten vertalen in de berekening van de geldboete. De Geschillenkamer

Beslissing ten gronde 72/2025- 44/48

oordeelt dat louter het feit dat persoonsgegevens ook bedrijven betreffen, geen
verzachtende omstandigheid kan zijn.

131. Voorts stelt Y dat zij maatregelen heeft genomen om ervoor te zorgen dat gegevens op een
correcte manier worden verwerkt. Met name zou zij contractuele garanties hebben
gesloten, zou zij het aantal gegevens dat ter beschikking van haar klanten wordt gesteld
hebben beperkt, en zou zij de gegevens actualiseren en verwijderen. De Geschillenkamer
neemt akte van deze maatregelen, maar oordeelt dat zij deel uitmaken van de wettelijke
verplichtingen waartoe Y is gebonden, en dat zij aldus geenszins “bijzondere
omstandigheden” uitmaken. Het naleven van wettelijke verplichtingen is, zoals eerder
opgenomen met verwijzing naar richtsnoeren van de EDPB, een neutrale omstandigheid.

132. Verder meent Y dat de totale administratieve boete onevenredig zou zijn in het licht van
artikel 83.1 en 83.2 AVG. Zij onderbouwt dit punt met verwijzing naar beslissing 07/2024
van 16 januari 2024 van de Geschillenkamer, waarin de Geschillenkamer Z6
administratieve geldboetes oplegde. Volgens Y zou de sanctie die aan Y opgelegd wordt
aanzienlijk zwaarder zijn in verhouding met de sanctie opgelegd aan Z6. De
Geschillenkamer oordeelt dat deze twee afzonderlijke dossiers verschillend zijn en niet
vergeleken kunnen worden. Dit werd bevestigd door de kortgedingrechter in beschikking
2025/25/C, waarin de voorzitter van de rechtbank oordeelde dat de situatie van andere
vennootschappen, en specifiek Z6, niet vergelijkbaar is met die van Y.

133. Bovendien stelt Y dat de voorgenomen inbreuken zeer geringe feitelijke impact hebben op
de rechten van de betrokkenen. Deze gegevens zouden namelijk bedrijven betreffen, en
zouden publiekelijk beschikbaar zijn. Betreffende de laatste bewering, dat de gegevens
publiekelijk beschikbaar zijn, concludeert de Geschillenkamer dat dit niet werd aangetoond
door de verweerder. Y stelde uitdrukkelijk dat de bron van de gegevens niet de KBO was,
en levert geen overig bewijs van het feit dat de gegevens telkens publiekelijk beschikbaar
zouden zijn. Betreffende de feitelijke impact op betrokkenen herinnert de Geschillenkamer
aan het feit dat de verwerking een groot aantal betrokkenen betreft. Voorts herinnert de
Geschillenkamer eraan dat deze betrokkenen geen informatie ontvingen van Y betreffende
de verwerking van hun gegevens. Zij bevinden zich dus in een situatie waarin hun
persoonsgegevens onrechtmatig, en zonder hun medeweten, herhaaldelijk worden
verhandeld. Dit kan het gevoel opwekken dat zij controle verliezen over hun gegevens, en
raakt de kern van het recht op gegevensbescherming.

134. In conclusie oordeelt de Geschillenkamer dat Y geen nieuwe elementen aanvoert in haar
reactie op het sanctieformulier op basis waarvan de administratieve geldboetes aangepast
dienen te worden.

IV.2.8. Besluit

Beslissing ten gronde 72/2025- 45/48

135. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de
omstandigheden eigen aan deze zaak, acht de Geschillenkamer het passend om op grond
van artikel 83.2 AVG, artikel 100, §1, 13° en artikel 101 WOG ingevolge de overtreding van
het beginsel van rechtmatigheid (5.1.a), 6.1 en 5.2 AVG) een administratieve boete van 8
000 EUR op te leggen aan de verweerder.

136. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de
omstandigheden eigen aan deze zaak, acht de Geschillenkamer het passend om op grond
van artikel 83.2 AVG, artikel 100, §1, 13° en artikel 101 WOG ingevolge de overtreding van
de informatie en transparantieplichten (artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1
AVG) bij het verwerken van persoonsgegevens een administratieve boete van 6 000 EUR
op te leggen aan de verweerder.

137. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de
omstandigheden eigen aan deze zaak, acht de Geschillenkamer het passend om op grond
van artikel 83.2 AVG, artikel 100, §1, 13° en artikel 101 WOG ingevolge de overtreding van
de informatie en transparantieplichten (artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1
AVG) bij het verwerken van persoonsgegevens een administratieve boete van 6 000 EUR
op te leggen aan de verweerder.

V. Uitvoerbaarheid bij voorraad

138. In haar reactie op het sanctieformulier verzocht Y om de uitvoerbaarheid bij voorraad van
de sancties op te schorten.

139. Betreffende het bevel op grond van artikel 100, § 1, 10° van de WOG (het bevel om
persoonsgegevens te verwijderen waarvoor Y niet kan aantonen dat zij voor de verwerking
ervan over een geldige rechtsgrond beschikt) herinnert de Geschillenkamer eraan dat deze
niet uitvoerbaar is bij voorraad op basis van Art. 108, § 1, WOG.

140. Betreffende de overige beslissingen op basis van artikel 100 WOG, weigert de
Geschillenkamer de verzoeken tot opschorting van de uitvoerbaarheid bij voorraad om de
volgende redenen.

141. Ten eerste is de uitvoerbaarheid bij voorraad voor de nationale wetgever de
standaardsituatie. De Europese wetgever heeft bevoegdheden tot het nemen van
maatregelen aan de autoriteit verleend: het is dus de autoriteit die beslist welke
(corrigerende) maatregel het meest gepast is om – waar nodig – in te zetten resp. op te
leggen aan de verwerende partij58.

58
Arrest HvJEU van 7 december 2023, UF en AB t. Land Hessen (Schufa), gevoegde zaken C-26/22 en C-64/22,
ECLI:EU:C:2023:958, specifiek §68; Dit betreft uiteraard het initiële oordeel omtrent zulke maatregelen, en gaat niet om de
kwestie betreffende de volle rechtsmacht in het geval een voorziening wordt ingesteld.

Beslissing ten gronde 72/2025- 46/48

142. Dat er een voorziening in rechte mogelijk is bij een rechterlijke instantie nadat enige
beslissing ter zake is genomen, doet geen afbreuk aan de bevoegdheden van de autoriteit.
In het licht van de scheiding der machten dient de rechterlijke macht a posteriori te
beoordelen of de toezichthoudende autoriteit binnen het wettelijk kader en binnen haar
discretionaire bevoegdheden heeft gehandeld. Wanneer de rechter gebruik maakt van
haar eigen bevoegdheid om de uitvoerbaarheid op te schorten, is dat een beslissing die tot
haar beoordelingsbevoegdheid behoort.

143. Het kan – in het licht van de geloofwaardigheid van de bevoegdheden die de Europese en
nationale wetgevers aan de autoriteit hebben verleend – niet de standaardsituatie zijn dat
de uitvoerbaarheid van de beslissingen en maatregelen die een autoriteit neemt, wordt
opgeschort van zodra een partij daarom verzoekt. Mocht dit immers de standaardsituatie
zijn, holt dit het volledige opzet van de wetgever uit om doortastend en effectief te kunnen
optreden in een gedigitaliseerde samenleving. Dit past niet in de teleologische opzet van
de aan de autoriteit verleende bevoegdheden onder de AVG.

144. In die zin is het dus wel degelijk de opzet, zowel van de Europese als van de Belgische
wetgever, dat een partij ten aanzien van dewelke de Geschillenkamer maatregelen neemt
zich zonder onnodige vertraging schikt naar de beschikkingen van de beslissing van de
autoriteit. Nogmaals wijst de Geschillenkamer er daarbij op dat dit niet wil zeggen dat de
opschorting niet kan, maar dan wel maar als daar zwaarwichtige gronden voor bestaan.

145. Ten tweede, waar de uitvoerbaarheid bij voorraad niet wordt opgeschort en de beslissing
nadien alsnog als gebrekkig zou worden beoordeeld, is rechtsherstel in elk geval mogelijk,
nu de arresten van het Marktenhof het finaal inhoudelijk oordeel uitmaken in de betrokken
zaken. Er is in casu geen enkele aanwijzing dat dergelijk rechtsherstel moeilijk of onmogelijk
zou zijn.

VI. Publicatie van de beslissing

146. In Beschikking 2025/25/C oordeelde de voorzitter van de rechtbank dat de discussie in het
onderhavige dossier een ruimere impact blijkt te hebben en ook de rechten en belangen
van derden blijkt te raken. Bovendien blijkt uit het inspectieverslag dat de verweerder een
groot aantal gegevens verwerkt. Gelet op het belang van transparantie met betrekking tot
de besluitvorming van de Geschillenkamer, het algemeen belang en de rechten van derden,
wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.

Beslissing ten gronde 72/2025- 47/48

OM DEZE REDENEN,

beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:

- de verweerder krachtens 58.2.c) AVG alsmede artikel 100, § 1, 6° WOG te bevelen dat binnen
een termijn van 30 dagen na de kennisgeving van de onderhavige beslissing wordt voldaan aan
de verzoeken van de betrokkene om zijn rechten uit te oefenen door overeenkomstig artikel
15.1.c) alsook 19, tweede volzin, AVG, alle beschikbare informatie over de specifieke
ontvangers van de persoonsgegevens aan de klager mee te delen; door overeenkomstig artikel
15.1.d) AVG, alle beschikbare informatie over de opslagtermijn van zijn persoonsgegevens aan
de klager mee te delen; en door overeenkomstig artikel 15.1.g) AVG, alle beschikbare informatie
over de bronnen van de persoonsgegevens aan de klager mee te delen;
- de verweerder op grond van artikel 100, § 1, 10° van de WOG, de verwijdering te bevelen van
persoonsgegevens waarvoor zij niet kan aantonen dat zij voor de verwerking ervan over een
geldige rechtsgrond beschikt overeenkomstig 5.1.a), 6.1 en 5.2 AVG;
- de verweerder op grond van artikel 100, § 1, 10° van de WOG te gelasten om alle ontvangers
van de voornoemde persoonsgegevens in kennis te brengen van de onderhavige beslissing
alsmede het voorgaande bevel, en te benadrukken dat de aangehaalde rechtsgrond voor de
verwerkingen niet overeenstemt met de AVG;
- de verweerder op grond van artikel 100, § 1, 9° van de WOG te gelasten om de verwerking van
persoonsgegevens in overeenstemming te brengen met de bepalingen van de AVG, door
overeenkomstig artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, de betrokkenen
proactief te informeren binnen de wettelijk verplichte termijn;
- Krachtens artikel 58.2.i) AVG alsmede artikel 100, § 1, 13° WOG juncto 101 WOG, een
administratieve geldboete ter hoogte van 8000 EUR op te leggen aan de verweerder wegens
de inbreuken op artikelen 5.1.a), 6.1, en 5.2 AVG, voor wat betreft de onrechtmatige verwerking
van persoonsgegevens;
- Krachtens artikel 58.2.i) AVG alsmede artikel 100, § 1, 13° WOG juncto 101 WOG, een
administratieve geldboete ter hoogte van 6000 EUR op te leggen aan de verweerder wegens
de inbreuken op artikelen 12.1, 14.1, 14.2, 5.2, 24.1 alsook artikel 25.1 AVG, voor wat betreft het
verwerken van persoonsgegevens zonder de betrokkenen proactief te informeren, en
onvolledige en onjuiste informatie te verstrekken via haar privacyverklaring;
- Krachtens artikel 58.2.i) AVG alsmede artikel 100, § 1, 13° WOG juncto 101 WOG, een
administratieve geldboete ter hoogte van 6000 EUR op te leggen aan de verweerder wegens
de overtreding van artikel 15.1.c), 15.1.d) en 15.1.g) AVG voor wat betreft de afhandeling van het
verzoek van de klager tot uitoefening van zijn recht van inzage.
- De verweerder te bevelen de Gegevensbeschermingsautoriteit (Geschillenkamer) per e-mail
via het e-mailadres [email protected] op de hoogte te stellen van het gevolg dat

Beslissing ten gronde 72/2025- 48/48

aan deze beslissing wordt gegeven binnen de termijn van 30 dagen te rekenen vanaf de
kennisgeving van deze beslissing.

Tegen deze beslissing kan op grond van art. 108, § 1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als de verweerder.

(Get). Hielke HIJMANS

Voorzitter van de Geschillenkamer