1/31
Geschillenkamer
Beslissing ten gronde 73/2020 van 13 november
2020
Dossiernummer : DOS-2018-04368, DOS-2018-06611, DOS-2019-02464, DOS-2019-
04329, DOS-2020-00543 en DOS 2020-00574.
Betreft : Klachten tegen sociale huisvestingsmaatschappij wegens het niet naleven van
meerdere beginselen van gegevensverwerking waaronder die van rechtmatigheid en
transparantie.
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna
WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
.
.
.
Beslissing ten gronde 73/2020 - 2/31
heeft de volgende beslissing genomen inzake:
- De klager : de heer X
- de verweerder: Y Huisvestingsmaatschappij .
1. Feiten en procedure
1. Klager heeft op verschillende momenten in zijn totaliteit zes klachten ingediend tegen
verweerder. Daar de verweerder, tevens de verwerkingsverantwoordelijke, in alle dossiers
de Y Huisvestingsmaatschappij is, worden de klachten gevoegd behandeld. De
Inspectiedienst heeft over de eerste drie klachten een inspectieverslag uitgebracht.
Klacht 1: DOS-2018-04368, Recht op inzage
2. Deze klacht is op 19 november 2018 ingediend en ontvankelijk verklaard door de
Eerstelijnsdienst op 14 januari 2019. De klacht betreft het uitoefenen van het recht op
inzage overeenkomstig artikel 15 AVG door verweerder.
3. Klager heeft op 4 oktober 2018 inzage gevraagd van alle gegevens die verweerder van hem
verwerkt sedert zijn inschrijving als kandidaat-huurder. Daarbij heeft klager een aantal
vragen gesteld aan verweerder. Deze vragen betreffen de doeleinden van de verwerking, de
categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie
de gegevens worden verstrekt en meer bepaald de ontvangers in het buitenland, de
bewaartermijnen, de vraag of het recht om persoonsgegevens te verbeteren of te wissen
bestaat, de bron van gegevens bij onrechtstreekse inzameling van gegevens, en tot slot de
vraag of er sprake is van geautomatiseerde besluitvorming.
4. In antwoord op dit verzoek ontving klager een document genaamd Uittreksel
Persoonsgegevens Kandidaat – huurder Y Huisvesting CVBA. De persoonsgegevens die op
het uittreksel staan vermeld zijn de volgende: naam, adres en woonplaatsgegevens alsmede
het rijksregisternummer, bankrekening, e-mailadres, inkomensgegevens en
telefoonnummer. Op hetzelfde uittreksel valt te lezen dat persoonsgegevens enkel worden
gedeeld met “daartoe geautoriseerde partijen”. In zijn klacht stelt klager zich de vraag wie
die geautoriseerde partijen zijn, welke functie de persoonsgegevens op het uittreksel
hebben en welk doel het uittreksel dient. Verweerder zegt deze gegevens te gebruiken;
echter vraagt klager zich af hoe en voor welke doeleinden de verschillende gegevens
worden verwerkt.
Beslissing ten gronde 73/2020 - 3/31
5. Voorts is klager van mening dat verweerder niet duidelijk en ondubbelzinnig duidelijk maakt
naar betrokkenen toe hoe onder andere het recht op rectificatie en gegevenswissing kan
worden uitgeoefend. Bovendien merkt klager op dat de wetteksten en relevante
documenten moeilijk vindbaar en raadpleegbaar zijn.
Klacht 2 : dos-2018-06611, Website […]
6. De tweede klacht is ingediend op 20 november 2018 en ontvankelijk verklaard op 14 januari
2019. Deze klacht gaat over de website […]. Klager beklaagt zich erover dat de website
geheel niet conform de privacywetgeving is. De website is volgens klager onvoldoende
beveiligd, aangezien er gebruik wordt gemaakt van een http- verbinding in plaats van een
https-verbinding terwijl er volgens klager vertrouwelijke informatie wordt verwerkt. Bij het
gebruiken van een https-verbinding worden volgens klager de data versleuteld bij het
verzenden ervan. Bovendien is een niet beveiligde website (die gebruik maakt van een http-
verbinding) onderhevig aan eventuele aanvallen van buitenaf, aldus klager. Klager vraagt
zich af wat voor mechanismen er door verweerder zijn ingebouwd om eventuele aanvallen
af te wenden. Er wordt volgens klager nergens uitleg of informatie gegeven over hoe de
data worden beveiligd. Het gedeelte van de website waar kan worden ingelogd om te zien
op welke plaats van de wachtlijst de kandidaat-huurder staat gaat eveneens via een
onbeveiligde http-verbinding, aldus klager. Het aanvragen van een nieuw wachtwoord om in
te loggen verloopt via dezelfde http-verbinding en druist volgens klager geheel in tegen de
principes van gegevensbescherming.
7. De formulieren waar gebruik van wordt gemaakt op de website zijn volgens klager eveneens
onbeveiligd. Er zou gebruik gemaakt moeten worden van beveiligde formulieren om alles
overzichtelijker en meer gestroomlijnd te laten verlopen.
8. Er wordt volgens klager nergens duidelijk gemaakt of en in welke mate er gebruik wordt
gemaakt van Google Analytics.
9. Klager stelt dat verweerder ook op de website […] gebruikt maakt van cookies (zie tevens de
afzonderlijke klacht hierover: klacht 3). Volgens klager wordt niet aangegeven waarvoor de
cookies worden gebruikt, met welke inhoud en wie de bestemmelingen ervan zijn.
Bovendien wordt er geen mogelijkheid geboden om de cookies eventueel te weigeren. Er
wordt volgens klager bovendien gebruik gemaakt van “keywords” en “beschrijving” van de
website hetgeen er volgens klager op duidt dat verweerder gevonden wenst te worden via
zoekmachines. Dit zal leiden tot meer bezoekers op een onbeveiligde website.
Beslissing ten gronde 73/2020 - 4/31
10. De privacyverklaring is volgens klager zeer algemeen van aard en er wordt verwezen naar
wetteksten, beraadslagingen etc. zonder aan te geven waar deze te vinden zijn en
geraadpleegd kunnen worden. Verweerder tracht volgens klager de aansprakelijkheid van
zich af te schuiven via een disclaimer door te stellen dat men de website niet dient te
bezoeken indien men het niet eens is met de algemene voorwaarden van verweerder.
11. Wat betreft de bescherming van persoonsgegevens wordt in de privacyverklaring
aangegeven dat de gegevens die worden verzameld worden verwerkt voor een efficiënte en
correcte samenstelling van het dossier en dat deze worden opgeslagen in de bestanden van
de Y Huisvesting en die van de Vlaamse Maatschappij voor Sociaal Wonen. Hier is volgens
klager geen sprake van uniformiteit en consistentie.
12. Klager beklaagt zich voorts over het gegeven dat de informatie op de website van
verweerder geheel niet begrijpelijk en onduidelijk is. Hij wijst erop dat de meeste
(kandidaat) huurders van een sociale huisvestingsmaatschappij als die van verweerder
behoren tot kwetsbare groepen van personen voor wie deze informatie moeilijk te
doorgronden is.
13. Tot slot stelt klager de vraag welke andere persoonsgegevens er nog worden verzameld bij
het bezoeken van de website, via wie dat gebeurt en hoe dat gaat. Klager wijst hierbij nog
eens op “GO4it media group” die de beheerder is van de website van verweerder. Klager
merkt op dat die website wel een beveiligde https-beveiliging gebruikt.
Klacht 3 DOS-2019-02464, Website www.[…].be
14. Klager heeft op 1 juli 2019 een klacht ingediend. De klacht is op 3 juli 2019 ontvankelijk
verklaard door de Eerstelijnsdienst.
15. Klager beklaagt zich over de website […] die wordt gebruikt door verweerder. Volgens klager
is de website niet conform de huidige privacywetgeving. Klager stelt dat het enige dat er is
in functie van gegevensbescherming, een document genaamd “privacy policy” is dat een
zeer summiere tekst bevat. Klager geeft aan dat het een nieuwe bijkomende website van
verweerder betreft. Klager stoort zich eraan dat er geen correcte en volledige
privacyverklaring zou bestaan en dat er evenmin sprake is van een cookiebeleid.
16. Klager stelt dat er middels een webformulier persoonsgegevens worden verzameld. Tevens
dienen een aantal voorkeursthema’s doorgegeven te worden en dient men akkoord te gaan
met de privacyverklaring van verweerder, zo stelt klager. Bovendien wordt volgens klager
gebruik gemaakt van cookies van o.a. Google Analytics. Klager klaagt er bovendien over dat
Beslissing ten gronde 73/2020 - 5/31
er niet wordt aangegeven welke derde partijen er betrokken zijn bij de verwerking van de
inhoud van de webformulieren.
17. De persoonsgegevens worden opgeslagen en volgens klager wordt nergens vermeld hoelang
de gegevens worden bewaard en waarvoor die zullen worden gebruikt. Er wordt volgens
klager evenmin aangegeven hoe en door wie de gegevens verwerkt zullen worden.
Klacht 4 DOS-2019-04329, Verwerking medische gegevens
18. Deze klacht is ingediend op 16 augustus 2019 en ontvankelijk verklaard op 30 september
2019. De klager beklaagt zich erover dat verweerder persoonsgegevens, en in het bijzonder
medische gegevens, verwerkt en deze verwerkingen in strijd met de AVG geschieden. Om in
aanmerking te komen voor een gelijkvloers / aangepaste woning heeft klager medische
informatie verschaft aan verweerder. Uit de bijlagen blijkt dat klager een medisch attest
mailde aan verweerder, zodat zijn woonvoorkeuren konden worden aangepast. Verweerder
reageerde op die e-mail dat de woonvoorkeuren naar aanleiding van het overgelegd
medisch attest zouden worden aangepast naar enkel gelijkvloerse woongelegenheden. Op
de lijst met over te leggen documenten bij inschrijving staan ook medische attesten
vermeld. Het is volgens klager volstrekt onduidelijk wat de verwerkingsdoeleinden zijn.
Klager stelt dat de verwerking van gezondheidsgegevens in casu in strijd is met de artikelen
5, 6, 12 en 13 AVG. Ook in deze klacht gaat klager in op het algemene privacybeleid van
verweerder waarbij hij opnieuw te kennen geeft dat verweerder de privacywetgeving
schendt met het gevoerde beleid.
Klacht 5 DOS-2020-00543, Gebruik digitale meters
19. De klacht is ingediend op 23 januari 2020 en ontvankelijk verklaard op 4 februari 2020.
Klager heeft op 10 januari 2020 een schrijven ontvangen van verweerder genaamd
“tussentijds overzicht – verbruik gas.” Op het document valt te lezen wat het verbruik aan
verwarming en warm water over de afgelopen twee maanden is geweest. Klager stelt geen
toestemming te hebben gegeven aan verweerder om zijn verbruiksgegevens te verwerken.
Verbruik van gas en elektra wordt door verweerder bijgehouden zonder dat klager daarvan
af wist, laat staan toestemming heeft gegeven, aldus de klager. Het betreft volgens klager
een niet noodzakelijke verwerking daar de klanten de meterstanden zelf kunnen doorgeven.
In een e-mail van 20 januari 2020 afkomstig van het e-mailadres [..], schrijft verweerder dat
de gegevens automatisch worden uitgelezen en via een internetverbinding naar verweerder
worden gestuurd.
Beslissing ten gronde 73/2020 - 6/31
Klacht 6 DOS-2020-00574, Gebruik bewakingscamera’s
20. Klager heeft op 30 januari 2020 een klacht ingediend die op 4 februari 2020 ontvankelijk
werd verklaard door de Eerstelijnsdienst. Klager stelt dat verweerder persoonsgegevens
verwerkt door middel van diverse vaste camera’s in verschillende woonentiteiten. Er zijn
volgens klager 4 bewakingscamera’s geplaatst op het dak, 2 in de gemeenschappelijke
inkomhallen en 1 in de gemeenschappelijke kelderinrit. Over het gebruik van de camera’s
wordt volgens klager in het privacybeleid niets vermeld. De huurovereenkomst bevat
volgens klager enkel melding van het gebruik van bewakingscamera’s. Klager wenst ook van
deze verwerking te weten wat de wettelijke grondslag en het doel is.
Vervolg van de procedure
21. De Inspectiedienst is gevat op 7 juni 2019, aangaande de klachten 1 tot en met 31.
22. Op 9 augustus 2019 heeft de Inspectiedienst een schrijven met vragen gericht aan de
verweerder.
23. De brief bevatte vragen aan verweerder, waarbij de Inspectiedienst mogelijke inbreuken op
de artikelen 5, 6, 12, 13, 15, 24, 37, 38 en 39 van de AVG wenste te onderzoeken en beter
inzicht wenst te verkrijgen in de klachten.
24. De inspectiedienst verzocht in verband met de verweerder de volgende informatie:
a.) De communicatie van verweerder aan klager wat betreft het verzoek tot inzage van
klager, en de adviezen die daaromtrent door de functionaris voor gegevensbescherming
van verweerder waren verstrekt.
b.) Wat betreft het privacybeleid van de website […], een kopie van de beslissingen die
werden genomen inzake het privacybeleid die op de website zijn te raadplegen alsook
kopie van de adviezen van de functionaris voor gegevensbescherming aangaande het
privacybeleid op de website.
c.) Kopie van de beslissingen inzake juridische informatie en de disclaimer op de website
van de verweerder alsook kopie van de adviezen van de functionaris voor
gegevensbescherming over deze informatie en de disclaimer.
1
Betreffende DOS-2018-06611, DOS-2018-04368 en DOS-2019-02464.
Beslissing ten gronde 73/2020 - 7/31
d.) Kopie van het register met verwerkingsactiviteiten.
e.) Een gemotiveerd en met documenten gestaafd antwoord op de vraag of de verweerder
wel of geen functionaris voor gegevensbescherming heeft. Zo ja, wenste de
inspectiedienst een organigram te ontvangen met daarin de plaats van de functionaris
voor gegevensbescherming, zijn titel en de opdrachten die hij uitvoert, waaronder ook
de opdrachten welke geen verband houden met gegevensbescherming.
25. Op 2 juli 2019 ontving de Inspectiedienst antwoord op haar schrijven van 7 juni 2019. Bij
het antwoord was als bijlage gevoegd een schrijven van de verweerder d.d. 25 oktober 2018
als reactie op het verzoek d.d. 4 oktober 2018 van klager om inzage in zijn dossier bij
verweerder te verkrijgen. De reactie bevat als bijlage een uittreksel persoonsgegevens van
de kandidaat-huurder, in casu de klager. Op het uittreksel staan naam, adres en
woonplaatsgegevens alsmede het rijksregisternummer, bankrekening, e-mailadres, inkomen
en telefoonnummer.
26. Bovendien is als bijlage een privacy informatieblad toegevoegd waarop te lezen valt dat er
informatie en persoonsgegevens worden bijgehouden van (kandidaat) huurders om te zien
of iemand recht heeft op een sociale huurwoning. De gegevens die volgens verweerder
worden bijgehouden zijn: identificatiegegevens, rijksregisternummer, adres- en
contactgegevens, gezinssamenstelling, taalkennis, financiële gegevens, eigendomsgegevens,
en in sommige gevallen begeleidende diensten. Er wordt melding van gemaakt dat de
gegevens 10 jaar worden bewaard, conform de Archiefwet.
27. Verweerder geeft te kennen ook een aantal instanties te bevragen teneinde gegevens te
verkrijgen. Deze instanties zijn :
a) Federale Overheidsdienst Financiën: gegevens rond belastbare inkomsten en
eigendomsgegevens;
b) Rijksregister: rijksregisternummer, naam en voornamen, geboortedatum, geslacht,
hoofdverblijfplaats en historiek, de plaats en datum van overlijden, de burgerlijke
staat, samenstelling van het gezin, de nationaliteit en historiek, wettelijke
samenwoning, het register waarin ingeschreven en de handelingsbekwaamheid;
c) Federale Overheidsdienst Sociale Zekerheid: gegevens rond leefloon;
d) Vlaamse Agentschap voor Integratie en Inburgering: gegevens rond inburgering en
taalbereidheid;
Beslissing ten gronde 73/2020 - 8/31
e) VREG (onafhankelijke autoriteit van de Vlaamse energiemarkt): woninggegevens rond
de energetische waarde van sociale woningen.
28. Op 9 juli 2019 heeft de Inspectiedienst, naar aanleiding van de antwoorden die zij op 2 juli
2019 van verweerder ontving op haar vragen, voorlopige vaststellingen geformuleerd en
bijkomende vragen gesteld aan de verweerder. De voorlopige vaststellingen van de
Inspectiedienst waren de volgende :
a. Verweerder beschikt niet over adviezen die door de functionaris voor
gegevensbescherming zijn verstrekt aangaande het verzoek tot inzage van klager;
b. Verweerder beschikt niet over adviezen van de functionaris voor gegevensbescherming
aangaande het privacybeleid op de website […];
c. Verweerder beschikt niet over beslissingen die werden genomen inzake het privacybeleid
op de website;
d. De kopie van het verwerkingsregister vermeldt niet de naam en contactgegevens van de
verwerkingsverantwoordelijke en functionaris voor gegevensverwerking en bevat
evenmin de verwerkingsdoeleinden;
e. Verweerder geeft geen uitleg over de taken en bevoegdheden van de functionaris voor
gegevensbescherming.
29. De Inspectiedienst formuleerde eveneens bijkomende vragen aan verweerder over de
functionaris voor gegevensbescherming. Zo werd gevraagd om een kopie van de
documenten waaruit een verantwoording blijkt voor de keuze van die persoon als
functionaris voor gegevensbescherming, de datum van aanmelding bij de
Gegevensbeschermingsautoriteit van die functionaris voor gegevensbescherming en tot slot
werd om een kopie verzocht van de documenten waaruit de daadwerkelijke uitoefening van
zijn opdracht blijkt, meer in het bijzonder adviezen, correspondentie en dergelijke.
30. Bij e-mail van 8 augustus 2019 maakte verweerder haar reactie op de tijdelijke
vaststellingen van de inspectiedienst over. De reactie bevat een aantal bijlagen waaronder
mailcorrespondentie tussen verweerder en de functionaris voor gegevensbescherming die
werkzaam is bij V. Deze mail wordt aangeduid als advies van de functionaris voor
gegevensbescherming inzake de klacht.
31. Als communicatie inzake het privacybeleid waarnaar de Inspectiedienst heeft gevraagd,
heeft verweerder een e-mail van de Vlaamse Maatschappij voor Sociaal Wonen (VMSW)
bijgevoegd. De mail bevat het bericht dat de VMSW nieuwe privacyverklaringen voor klanten
Beslissing ten gronde 73/2020 - 9/31
van sociale woonmaatschappijen heeft gepubliceerd. Het betreft een mail gericht aan alle
sociale verhuurders. Voorts zijn steeds algemene informatiebladen toegevoegd.
32. Er wordt voorts op gewezen dat het verwerkingsregister werd aangepast naar aanleiding
van de tijdelijke vaststellingen van de Inspectiedienst.
33. De vragen van de Inspectiedienst aan verweerder die gingen over de aanwijzing van de
functionaris voor gegevensbescherming overeenkomstig artikel 37 AVG (buiten de scope)
werden eveneens beantwoord. Er is aangegeven dat de aanstelling van de functionaris voor
gegevensbescherming geschiedde op initiatief van de VMSW, die via aanbesteding een
raamovereenkomst had gesloten met het bedrijf V NV.
34. Verweerder wijst er in dit verband op dat : “De maatschappijen konden op eigen initiatief
inschrijven op de diensten van V NV, die aan al haar medewerkers bovenop een minimum
aan ervaring eveneens verplicht een minimum aantal certificaten te behalen in het
kennisdomein van gegevensbescherming.”
35. De datum van aanmelding van de functionaris voor gegevensbescherming dateert van 25
mei 2018. Verweerder wijst erop een nieuwe aanmelding bij de GBA ingediend te hebben
waarbij een ander persoon werd aangemeld als functionaris. Laatstgenoemde is volgens
verweerder dan ook de daadwerkelijke functionaris voor gegevensbescherming.
36. Op 16 september 2019 maakte de Inspectiedienst haar verslag aan de Geschillenkamer
over, op basis van artikel 92, 3° van de WOG.
37. Het inspectieverslag stelt potentiële inbreuken vast op de artikelen 5, 6, 12, 13, 15, 30, 31,
32 en 37 t/m 39 van de AVG.
38. De Inspectiedienst stelt vast dat verweerder de verplichtingen opgelegd door de artikelen 5
en 6 van de AVG niet heeft nageleefd. De Inspectiedienst is tot die vaststelling gekomen nu
uit de antwoorden van de verweerder geen verantwoording blijkt over welke beslissingen er
werden genomen aangaande de juridische info / legal disclaimer en algemene voorwaarden
op de webpagina […] 2
2
Zie pagina 3 van inspectieverslag DOS-2018-006611 stuk 21.
Beslissing ten gronde 73/2020 - 10/31
39. Verweerder erkent daarenboven dat er geen advies is verstrekt door de functionaris voor
gegevensbescherming aangezien deze advisering volgens verweerder normaal niet onder
het takenpakket van de functionaris valt.
40. Uit de antwoorden van verweerder blijkt evenmin welke beslissingen er werden genomen
inzake de onderdelen van de website […] die het verwerken van persoonsgegevens
faciliteren zoals onder andere de contactpagina.
41. Het privacybeleid Y Huisvesting is volgens de Inspectdiedienst niet transparant en niet
begrijpelijk voor de betrokkenen. Er wordt niet duidelijk gemaakt wat er gebeurt met de
verkregen persoonsgegevens. Het privacybeleid is volgens de Inspectiedienst verwarrend en
bevat allerlei begrippen die voor betrokkenen ongebrijpelijk zijn. Daarenboven wordt in het
beleid vermeld dat in het geval een betrokkene contact met verweerder opneemt en dit doet
via een ander elektronisch medium dan via de website, de privacyverklaring van dat andere
medium voorrang heeft. Dit wijst er volgens de Inspectiedienst eveneens op dat er geen
transparantie is naar de betrokkenen toe.
42. De Inspectiedienst wijst erop dat zij ondanks uitdrukkelijk verzoek daartoe ook geen
adviezen van de functionaris voor gegevensbescherming heeft ontvangen van verweerder.
43. Technisch onderzoek heeft volgens de Inspectiedienst uitgewezen dat er gebruik wordt
gemaakt van cookies op de website […]. Eén daarvan betreft een noodzakelijke technische
cookie genaamd “hs_js” en een ander, een cookie voor marketing genaamd “IDE” afkomstig
van Google-Doubleclick. Voor laatstgenoemde cookie wordt geen toestemming gevraagd
aan de bezoekers van de website. De verwerking van persoonsgegevens die in die context
plaatsvindt, is volgens de Inspectiedienst derhalve onrechtmatig.
44. De Inspectiedienst heeft wat betreft de artikelen 12, 13 en 14 van de AVG eveneens
inbreuken vastgesteld. De dienst komt tot deze vaststellingen aangezien de Bijlage Intern
huurreglement bijlage 11 welke verband houdt met het privacybeleid van verweerder niet
transparant en begrijpelijk is voor de betrokkenen, waardoor een inbreuk op artikel 12.1
AVG wordt vastgesteld door de Inspectiedienst. Er wordt niet duidelijk gemaakt wat moet
worden verstaan onder verschillende begrippen die worden gehanteerd in genoemde bijlage
11. De contactgegevens van de functionaris voor gegevensbescherming van verweerder
ontbreken. De verwerkingsdoeleinden alsook de rechtsgrond voor de verwerking ontbreken.
De betrokkenen worden tot slot niet gewezen op het recht van inzage, zo constateert de
Inspectiedienst.
Beslissing ten gronde 73/2020 - 11/31
45. Per 1 juli 2019 is een aangepast privacybeleid gepubliceerd door verweerder op haar
website.3 Het document dat het privacybeleid van verweerder bevat is volgens de
Inspectiedienst niet transparant en begrijpelijk voor de betrokkenen en voldoet daarmee niet
aan de vereisten van artikel 12.1 AVG. Bovendien wordt niet alle informatie die conform de
artikelen 13 en 14 van de AVG is voorgeschreven ook daadwerkelijk in het privacybeleid
beschreven. Verschillende begrippen worden door elkaar gebruikt en de contactgegevens
van de functionaris voor gegevensbescherming ontbreken, aldus het inspectieverslag.
46. Op het verzoek tot inzage van klager op basis van artikel 15 AVG, heeft verweerder
gereageerd door het verzenden van onder andere een document genaamd “GDPR ”. Ook dit
document is volgens de Inspectiedienst niet transparant en evenmin begrijpelijk voor
betrokkenen, waardoor de verweerder niet voldoet aan de eisen gesteld in artikel 12.1 AVG.
Het antwoord voldoet volgens de Inspectiedienst ook niet aan de eisen van artikel 15.1 AVG.
De verplicht te vermelden informatie, zoals het vermelden van de ontvangers van de
persoonsgegevens, ontbreekt.
47. Een inbreuk op de artikelen 28 en 30 werd eveneens vastgesteld door de Inspectiedienst en
wel om de volgende redenen. Verweerder heeft te kennen gegeven dat een bedrijf genaamd
C-Works de website […] heeft ontworpen. Via die website werden persoonsgegevens van
huurders verzameld en verwerkt. Verweerder beschouwt het bedrijf niet als verwerker. Het
is voor de inspectiedienst gezien de verstrekte informatie niet duidelijk of er sprake is van
een verwerker en of er aldus een verwerkersovereenkomst overeenkomstig artikel 28 AVG
afgesloten had moeten worden.
Aanvullende vaststellingen ( buiten de scope van de klachten )
48. De verplichtingen opgelegd door artikel 37.5 en 37.7 van de AVG zijn volgens de
Inspectiedienst niet nageleefd door verweerder. De verantwoording van de keuze voor de
functionaris voor gegevensbescherming wordt door verweerder niet gegeven. Verweerder
geeft enkel aan dat dit is gegaan op initiatief van VMSW die via een aanbesteding een
raamovereenkomst had met V. De contactgegevens van de functionaris voor
gegevensbescherming worden ook niet bekend gemaakt en dit impliceert een inbreuk op
artikel 37.7 AVG aldus de Inspectiedienst.
49. De Inspectiedienst heeft tot slot vastgesteld dat de verplichtingen van artikel 38.1 en 38.3
AVG eveneens niet worden nageleefd door verweerder. Uit de diverse documenten die de
3
[…]
Beslissing ten gronde 73/2020 - 12/31
Inspectiedienst ontving van verweerder kan de conclusie worden getrokken dat er aan de
functionaris voor gegevensbescherming geen advies werd gevraagd voor onder andere de
verwerking van persoonsgegevens via de website[…].
Behandeling ten gronde door de Geschillenkamer
50. Op 21 maart 2020 stelt de Geschillenkamer partijen ervan in kennis dat de zes afzonderlijk
ingediende klachten gevoegd zullen worden behandeld en beslist de Geschillenkamer op
grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten
gronde. Tevens worden partijen op grond van art. 99 WOG in kennis gesteld van de
termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de
conclusie van antwoord van de verweerder werd daarbij vastgelegd op 26 maart 2020, deze
voor de conclusie van repliek van de klager op 27 april 2020 en deze voor de conclusie van
repliek van de verweerder op 27 mei 2020.
51. Op 26 maart 2020 diende de functionaris voor gegevensbescherming, die werkzaam is bij
het bedrijf V, namens verweerder per e-mail de conclusies van verweerder in, waarin hij ook
te kennen geeft gehoord te willen worden.
52. Op 19 augustus 2020 werden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 23 september 2020.
53. Op 23 september 2020 worden de partijen gehoord door de Geschillenkamer.
54. Op 29 september 2020 wordt het proces-verbaal van de hoorzitting aan partijen voorgelegd.
55. Op 2 oktober 2020 heeft de functionaris voor gegevensbescherming namens verweerder een
reactie op het proces-verbaal aan de Geschillenkamer doen toekomen, waarbij werd
verzocht om een aantal correcties aan het proces-verbaal.4
56. Op 8 oktober 2020 heeft klager per e-mail gereageerd op het proces-verbaal. Klager heeft in
zijn reactie op het proces-verbaal uitvoerig zijn eerdere argumenten herhaald. De
Geschillenkamer wijst er in dit verband op dat, zoals reeds tijdens de hoorzitting gemeld,
geen nieuwe feiten nog kunnen worden toegevoegd aangezien de debatten reeds waren
gesloten. Het proces-verbaal wordt enkel verzonden om te zien of alles correct is
4
Zie e-mail van 2 oktober 2020 met feedback op proces-verbaal van DPO Z namens verweerder aan de Geschillenkamer.
Beslissing ten gronde 73/2020 - 13/31
weergegeven. Derhalve zullen de aangevoerde argumenten na sluiting van de debatten niet
worden meegenomen in de beslissing.5
57. In haar conclusies van 26 maart 2020 erkent verweerder dat er omtrent de juridische info /
legal disclaimer geen adviezen zijn uitgebracht door de functionaris voor
gegevensbescherming. Daarbij wordt erop gewezen dat het document zal worden
verwijderd aangezien er geen voorwaarden in vermeld staan die op de uitwisseling van
persoonsgegevens van toepassing zijn.
58. Wat betreft de bevindingen van de Inspectiedienst aangaande de website […] reageert
verweerder als volgt : “Inzake het technische onderzoek dat werd gevoerd op de website
[…] berust Y Huisvesting zich in het feit dat vaststellingen gemaakt door de Inspectiedienst
correct zijn en een marketing cookie weldegelijk werkzaam was op de webpagina. Gelet op
het eenmalig event dat georganiseerd werd en het kortstondige gebruik van de website is Y
Huisvesting te goeder trouw voortgegaan op toelichting van de websitebouwer (Go4IT), een
e-mail om dit te staven werd als stuk aan het vorige dossier gevoegd, dat geen cookies
actief waren op de website. Y Huisvesting erkent dat het niet onderwerpen van de website
aan een test hierop een laakbare omissie kan uitmaken en leert hieruit de nodige lessen
voor de toekomst. “
59. Verweerder geeft voorts aan nota te hebben genomen van de vaststellingen van de
Inspectiedienst inzake de vaststelling inzake transparante informatie, communicatie en
nadere regels voor de uitoefening van de rechten van de betrokkene (artikelen 12 en 13
AVG). Verweerder geeft aan de privacyverklaringen te zullen aanpassen.
60. Wat betreft de vaststellingen aangaande het recht op inzage van artikel 15 AVG reageert
verweerder als volgt. Verweerder geeft aan dat zij steeds tracht op transparante en
duidelijke wijze informatie te geven op vragen die ze ontvangt van haar (kandidaat-)
huurders. Verweerder stelt vervolgens dat zij “naar beste vermogen de nodige documentatie
heeft bezorgd, n.a.v. de uitoefening van het recht tot inzage van betrokkene, erkent de
maatschappij dat enkele elementen van dit document mogelijks niet volledig helder zijn na
de eerste lezing ervan. Als bescheiden kmo is het de eerste keer dat Y Huisvesting
geconfronteerd werd met dergelijk verzoek. De organisatie erkent dat verbeterpunten en
efficiëntiewinsten mogelijk zijn wanneer dergelijk verzoek zich opnieuw zou voordoen.”
5
E-mail van klager aan de Geschillenkamer van 8 oktober 2020 n.a.v. proces-verbaal van de hoorzitting.
Beslissing ten gronde 73/2020 - 14/31
61. Verweerder wijst erop te allen tijde open te staan voor vragen van en communicatie met
(kandidaat) huurders. Verweerder verkeerde in onwetendheid over de omstandigheid dat
het document onduidelijkheden bevatte en zou eerder verwachten dat klager daarover eerst
naar verweerder toe had gecommuniceerd alvorens een klacht in te dienen.
62. Verweerder geeft aan nota te hebben genomen van vaststellingen van de Inspectiedienst
betreffende het register van verwerkingsactiviteiten. Het register is inmiddels aangepast
volgens verweerder.
63. Verweerder sluit haar conclusie als volgt af :
“Om te concluderen benadrukt Y Huisvesting dat de nodige inspanningen om in
overeenstemming te zijn met de AVG weldegelijk geleverd zijn. Voorts erkent Y Huisvesting
het belang van de bescherming van persoonsgegevens en de rol die de
Gegevensbeschermingsautoriteit hierin te spelen heeft. Desalniettemin heeft Y Huisvesting
de laatste weken en maanden deze procedure vooral moeten ondergaan. Hoewel Y
Huisvesting steeds tracht haar (kandidaat-)huurders op de meeste pasbare manier te
bedienen, hierbij ook de nodige wetgeving naleeft en tevens zoveel mogelijk in contact te
treden met belanghebbendenorganisaties, is gebleken dat het als bescheiden sociale
huurmaatschappij een bovenmatig grote werklast, en financiële inspanning, vereiste om
deze administratieve procedure tot op het nodige detailniveau te behandelen. Met deze
consideratie wenst Y Huisvesting nogmaals het belang te benadrukken om gehoord te
worden in deze zaak.”
64. Per e-mail van 23 oktober 2020 stelt de Geschillenkamer de verweerder in kennis van het
voornemen tot het opleggen van een administratieve geldboete alsook het bedrag van de
boete en de mogelijkheid van de verweerder zijn verweermiddelen terzake over te maken.
65. Op 30 oktober 2020 reageert verweerder per e-mail op het voornemen tot opleggen van een
geldboete. De Geschillenkamer wijst er in dit verband op dat er geen nieuwe feiten kunnen
worden toegevoegd aangezien de debatten reeds waren gesloten. De reactie van
verweerder houdt samengevat het volgende in: Het boetebedrag is volgens verweerder te
hoog. Verweerder geeft aan dat het op financieel vlak zware tijden voor hen zijn. Daardoor
zou verweerder onder andere genoodzaakt geweest zijn woningen te verkopen, teneinde
voort te kunnen blijven bestaan. Dit heeft directe gevolgen voor hun doelgroep, namelijk de
zwakkeren in de maatschappij, aldus verweerder. Verweerder deelt het standpunt van de
Geschillenkamer over de (on)bereikbaarheid van de functionaris voor gegevensbescherming
Beslissing ten gronde 73/2020 - 15/31
niet. De functionaris is volgens verweerder bereikbaar op de wijze als voorgeschreven door
de AVG. Verweerder geeft te kennen dat het positief resultaat van 528.355 EUR zoals
opgenomen in het boeteformulier onjuist is en voegt andere cijfers toe. Wat betreft de
vastgestelde inbreuken inzake de bewakingscamera’s, geeft verweerder te kennen zich
grotendeels in het oordeel van de Geschillenkamer te kunnen vinden, echter met de
toevoeging dat de beelden niet werden geraadpleegd door verweerder maar enkel werden
bewaard.
2. Motivering Geschillenkamer
66. De Geschillenkamer beoordeelt, gezien het aantal en de omvang van de ingediende
klachten, om redenen van proceseconomie, de mate van gegrondheid van de klachten aan
de hand van het thema van de klacht. Derhalve zullen de klachten 1 tot en met 6 niet in die
volgorde worden behandeld maar worden deze geschaard onder de thema’s waartoe deze
behoren. De thema’s die het onderwerp van de verschillende klachten uitmaken en
waarover de Geschillenkamer haar oordeel zal vellen zijn de volgende:
- privacybeleid & het inzagerecht conform artikel 15 AVG (sectie 2.1)
- functionaris voor gegevensverwerking (sectie 2.2)
- cookiebeleid (sectie 2.3)
- verwerking van gezondheidsgegevens (sectie 2.4)
- camerawet (sectie 2.5)
- verwerkingen d.m.v. digitale meters (2.6)
67. De Geschillenkamer wijst er op dat de verwerkingsverantwoordelijke ingevolge de artikelen
5.2 en 24 AVG passende technische en organisatorische maatregelen moet treffen om te
waarborgen en te kunnen aantonen dat de verwerkingen van persoonsgegevens in
overeenstemming met de AVG worden uitgevoerd. Daarbij vereist de AVG dat onder meer
rekening wordt gehouden met de aard en de omvang van de verwerkingen alsmede met de
risico’s voor de betrokkenen. Bij de beoordeling van de vraag of en in welke omvang
sancties moeten worden opgelegd zullen deze elementen een belangrijke rol spelen.
2.1 Privacybeleid & het inzagerecht conform artikel 15 AVG
Beslissing ten gronde 73/2020 - 16/31
68. Wat betreft het recht op inzage van artikel 15 AVG en de door klager (vooral in klacht 1)
aangedragen vermeende inbreuken, redeneert de Geschillenkamer als volgt.
69. Het document genaamd “Uittreksel Persoonsgegevens Kandidaat – Huurder Y Huisvesting
CVBA” bevat verschillende gegevens waaronder het rijksregisternummer, naam, adres en
woonplaats gegevens alsook nationaliteit, emailadres, geslacht, geboortedatum en
gezinsinkomen van (kandidaat) huurders. Naast het uittreksel is een document aan klager
overgemaakt genaamd: “Privacy : welke informatie heeft Y Huisvesting?”. Dit infoblad bevat
de volgende openingsparagraaf : “Via Y Huisvesting kunt u een sociale woning huren. Wij
houden daarom in lijsten en dossiers informatie over u bij om na te kijken of u ergens recht
op hebt. Of om u beter te helpen. “6
Artikel 13.1 en 13.2 AVG bepalen als volgt:
1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden
verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van
de persoonsgegevens al de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in
voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor
gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de
rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde,
indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de
persoonsgegevens;
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de
persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er
al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in
artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de
passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar
ze kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de
betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie
om een behoorlijke en transparante verwerking te waarborgen:
6
Zie bijlage bij e-mail van 4 oktober 2018 van klager aan GBA
Beslissing ten gronde 73/2020 - 17/31
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien
dat niet mogelijk is, de criteria ter bepaling van die termijn;
b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde,
indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om
inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem
betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het
recht op gegevensoverdraagbaarheid;
d) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is
gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken,
zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de
toestemming vóór de intrekking daarvan;
e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende
autoriteit;
f) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is
dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de
betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen
zijn wanneer deze gegevens niet worden verstrekt;
g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22,
leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over
de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking
voor de betrokkene.
70. Verweerder geeft tijdens de hoorzitting te kennen dat de privacyverklaring op de website is
gepubliceerd na te zijn nagekeken en bekrachtigd door de raad van bestuur. Het is een
privacyverklaring die is ontleend aan het voorbeeld van de VMSW, aldus verweerder.
71. De Geschillenkamer stelt vast dat voornoemde privacyverklaring - ook in de vorm van een
informatieblad nadat de verklaring een aanpassing heeft ondergaan en in werking is
getreden op 1 juli 2019 - niet voldoet aan de eisen die gesteld worden aan een verwerking
volgens de artikelen 12 en 13 AVG. Een dergelijk privacy informatieblad zou ertoe moeten
dienen de betrokkene volledig te informeren over wat er nu daadwerkelijk met zijn
persoonsgegevens wordt gedaan en in het kader waarvan die gegevens worden verwerkt.
Iedere verwerking van persoonsgegevens dient rechtmatig, behoorlijk en transparant te
gebeuren. De betrokkenen dienen duidelijk op de hoogte te worden gebracht welke
gegevens er worden verwerkt, hoe die verwerking gebeurt en waarom de persoonsgegevens
worden verwerkt. Uit het privacyblad kan niet worden opgemaakt waarvoor exact de
persoonsgegevens worden gebruikt.
Beslissing ten gronde 73/2020 - 18/31
72. Het privacyblad bevat de volgende paragraaf aangaande verwerking van persoonsgegevens:
“Via Y Huisvesting kunt u een sociale woning huren. Wij houden daarom in lijsten en
dossiers informatie over u bij. We gebruiken deze informatie om na te kijken of u ergens
recht op hebt. Of om u beter te kunnen helpen.”
73. De Geschillenkamer is van oordeel dat bovenstaande een zeer vage, algemene en
onduidelijke tekst betreft waaruit geenszins kan worden afgeleid waarvoor de verzamelde
persoonsgegevens daadwerkelijk worden gebruikt. Deze tekst is niet conform de AVG. Het is
bijvoorbeeld absoluut onduidelijk wat wordt bedoeld met “we gebruiken deze informatie om
te kijken of u ergens recht op heeft. Of om u beter te kunnen helpen.” Er dient in heldere
en duidelijke taal te worden gecommuniceerd naar betrokkenen toe.
74. De vereisten inzake transparantie liggen vast in de AVG en zijn nader uitgelegd in de
Richtsnoeren Inzake transparantie overeenkomstig Verordening (EU) 2016/679 van de
Groep gegevensbescherming artikel 29 waarin is bepaald : “Een van de kernelementen van
het transparantiebeginsel zoals bedoeld in deze bepalingen is dat betrokkenen van tevoren
de reikwijdte en de gevolgen van de verwerking moeten kunnen bepalen en later niet
verrast worden door andere manieren waarop hun persoonsgegevens zijn gebruikt.” 7 Het
specifieke belang in kwestie moet worden geïdentificeerd ten behoeve van de betrokkene.
75. De informatie en communicatie betreffende de privacy dient bovendien te voldoen aan het
transparantiebeginsel, dat wil zeggen dat de informatie eenvoudig, toegankelijk en
begrijpelijk dient te zijn conform artikel 12.1 AVG. Onder “begrijpelijk” wordt verstaan dat
het bericht onder andere een bepaald niveau van taalgebruik dient te bevatten, namelijk
“duidelijke en eenvoudige taal”. Bovendien dient het taalgebruik te worden aangepast aan
de doelgroep8. Dit betekent dat er in duidelijke en eenvoudige taal gecommuniceerd dient te
worden naar de betrokkenen toe.9 Verweerder zou zich, (te meer) nu het gaat om
(kandidaat) huurders van een sociale huisvestingsmaatschappij, begrijpelijker en duidelijker
moeten opstellen. Immers, het gaat om huurders met lage inkomens en over het algemeen
7
Richtsnoeren inzake transparantie p.8.
8 Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259,
p. 4.; Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260, p. 7: “De vereiste dat informatie
“begrijpelijk” moet zijn betekent dat de informatie begrepen moet kunnen worden door een gemiddeld lid van het beoogde
publiek. Begrijpelijkheid houdt nauw verband met de vereiste om duidelijke en eenvoudige taal te gebruiken. Een
verwerkingsverantwoordelijke die het beginsel van de verantwoordingsplicht in acht neemt zal beschikken over kennis van de
personen van wie informatie wordt verzameld en kan deze kennis gebruiken om te bepalen wat de doelgroep waarschijnlijk zal
begrijpen. Zo kan een verwerkingsverantwoordelijke die persoonsgegevens van werkende professionals verzamelt ervan uitgaan
dat zijn of haar doelgroep een hoger niveau van begrip heeft dan de doelgroep van een verwerkingsverantwoordelijke die
persoonsgegevens van kinderen verzamelt. […]”.
9
Overweging 39 bij AVG.
Beslissing ten gronde 73/2020 - 19/31
(uitzonderingen daargelaten) een laag opleidingsniveau waardoor een begrijpelijker beleid
des te meer noodzakelijk is.
76. Naast bovengenoemde inbreuken is het privacybeleid van verweerder nog moeilijker te
begrijpen nu er op verschillende plaatsen en verschillende keren, diverse begrippen zoals
“persoonsgegevens”, “informatie” en “gegevens” door elkaar worden gebruikt in het
privacyblad. Daarnaast worden er verwijzingen gedaan zonder daarbij een verklarende
woordenlijst of duidelijke uitleg te geven. De verstrekte informatie is veelal niet actueel. Als
voorbeeld kan worden gegeven de doorverwijzing naar de website van de toezichthoudende
autoriteit, daarbij wordt bijvoorbeeld, zoals zowel klager als de Inspectiedienst ook terecht
opmerkten, verwezen naar www.privacycommission.be terwijl de huidige website sinds mei
2018 www.gegevensbeschermingsautoriteit.be is.
77. De Geschillenkamer stelt voorts vast dat het privacybeleid van verweerder onvolledig is,
daar het niet de verplicht te vermelden informatie zoals neergelegd in artikel 13 AVG bevat.
De privacy informatie dient volgens artikel 12 AVG “ beknopt” te zijn; dit betekent geenszins
dat er afbreuk mag worden gedaan aan het vermelden van de verplichte informatie conform
artikel 13 AVG.
78. Het privacybeleid van verweerder bevat deze verplichte informatie conform artikel 13.1 sub
b) AVG, zoals de contactgegevens van de functionaris voor gegevensbescherming niet op
een wijze die voldoet aan de wetgeving en de richtsnoeren van de Werkgroep 2910 inzake de
functionaris voor gegevensbescherming. Teneinde te voldoen aan het vereiste van het
verstrekken van voorafgaande informatie dienen deze contactgegevens wel degelijk
opgenomen te worden in het privacybeleid.
79. Zoals terecht opgemerkt door de Inspectiedienst, is het e-mailadres […] vermeld op het
privacyblad, volgens de door verweerder aangeleverde “Toelichting organogram” gelinkt aan
de mailbox van de IT- beheerder van verweerder terwijl de functie van
gegevensbeschermingsfunctionaris volgens verweerder is uitbesteed aan een derde partij in
het kader van een raamcontract van VMSW. 11 De functionaris voor gegevensbescherming
blijkt bij deze derde partij, in casu het bedrijf V, werkzaam te zijn. Het e-mailadres van de
functionaris is […], zo blijkt uit verschillende stukken en mailcorrespondentie tussen
verweerder en de functionaris. Derhalve beschikken betrokkenen over onjuiste gegevens
van de functionaris voor gegevensbescherming en kunnen zij zich in geval van noodzaak
10
Groep gegevensbescherming, WP243 rev.01, Guidelines on Data Protection Officers p.12.
11
Stuk 10 van dos-2018-06611.
Beslissing ten gronde 73/2020 - 20/31
niet wenden tot de juiste persoon. De Geschillenkamer stelt naar aanleiding van deze
opgesomde vaststellingen vast dat er sprake is van een inbreuk op artikel 13.1 sub b)
AVG. Het feit dat per 1 september 2020 een nieuwe functionaris voor de
gegevensbescherming is aangetreden, neemt niet weg dat de inbreuk tot die datum
voortduurde en een nieuwe aanstelling de gepleegde inbreuk niet retroactief ongedaan
maakt.
80. De Geschillenkamer leidt uit de hierboven opgesomde vaststellingen van inbreuken af dat de
verweerder zijn transparantieverplichtingen uit artikel 12 AVG en zijn informatieverplichting
uit artikel 13 AVG niet is nagekomen. Verweerder erkent dit in zijn conclusie. Daarmee heeft
verweerder verwijtbaar onzorgvuldig gehandeld in strijd met zijn verantwoordingsplicht zoals
bepaald in artikel 5.2 en 24 van de AVG. Deze informatie dient in overeenstemming te zijn
met de artikelen 12 en 13 van de AVG.
81. Artikel 15 AVG waarin het recht van inzage van de betrokkene is neergelegd luidt als volgt :
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het
al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te
verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden
verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden
opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens
worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt
beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie
over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4,
bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica,
alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
Beslissing ten gronde 73/2020 - 21/31
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale
organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen
overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die
worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de
verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding
aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling
verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden
van anderen.
82. Het privacybeleid van verweerder bevat meerdere verplichte elementen uit artikel 15.1 AVG niet. Uit
het privacy document blijkt niet wat de exacte verwerkingsdoeleinden zijn van de gegevens die
verweerder aan (kandidaat) huurders verzoekt. Er dient nauwkeurig te worden omschreven waarvoor
ieder ingezameld gegeven precies wordt gebruikt. Als er wordt gevraagd om gegevens omtrent de
gezondheid dan zal daarbij vermeld moeten worden dat die gegevens bijvoorbeeld worden verwerkt
met als doeleinde na te kunnen gaan of op basis van een bepaalde gezondheidssituatie een
aangepaste woning kan worden toegekend. Er wordt ook niet aangegeven wie de ontvangers en
categorieën van ontvangers zijn. Daarbij komt ook dat er geen melding wordt gemaakt van het recht
dat de betrokkene heeft om te verzoeken zijn gegevens te rectificeren en / of te verwijderen conform
artikel 15.1 sub e. Er wordt evenmin aangegeven dat de verwerking van de persoonsgegevens zal
worden beperkt. Hiermee acht de Geschillenkamer ook een schending van artikel 15.1 bewezen.
83. Klager stelt daarenboven dat hij geen inzage heeft gekregen in al zijn persoonsgegevens die door
verweerder worden verwerkt. Het gaat volgens klager om een blad met enkel algemene informatie uit het
Rijksregister. Er is geen indicatie of de verstrekte informatie volledig is, aldus klager.
84. De Geschillenkamer doet eraan herinneren dat artikel 15 AVG betrokkene “het recht geeft om de
persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke
tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid
daarvan kan controleren.”12
Uit al het hierboven besprokene blijkt dat de door verweerder verschafte informatie over de door hen
verwerkte gegevens van klager niet voldoet aan de vereisten van artikel 15. Klager heeft terecht opgemerkt
12
Inleidende overweging 63 bij AVG.
Beslissing ten gronde 73/2020 - 22/31
dat hij zijn recht op inzage niet naar behoren heeft kunnen uitoefenen. Tussen de persoonsgegevens van
klager die door verweerder worden verwerkt en deze waar klager inzage in heeft gehad, bevonden zich
bijvoorbeeld niet de medische attesten die klager, zoals hieronder in sectie 2.4 zal blijken, aan verweerder
had overgelegd.
2.2 Functionaris voor gegevensbescherming
85. In het Inspectieverslag zijn ook aanvullende vaststellingen gedaan met betrekking tot de
functionaris voor gegevensbescherming, die buiten de scope van de klacht liggen. De
Inspectiedienst heeft geconstateerd dat verweerder heeft gehandeld in strijd met artikel 37.5 en
artikel 37.7 AVG. Op grond van artikel 37.5 dient de functionaris aangewezen te worden, onder
meer, op grond van zijn deskundigheid op het vlak van de wetgeving en de praktijk inzake de
gegevensbescherming. In artikel 37.7 is bepaald dat de contactgegevens van de functionaris bekend
gemaakt moeten worden en meegedeeld moeten worden aan de toezichthoudende autoriteit.
86. Uit de antwoorden van verweerder aan de Inspectiedienst over de aanstelling van de functionaris
voor gegevensbescherming blijkt namelijk dat die aanstelling op initiatief van de VMSW verliep via
een bedrijf waar deze een raamovereenkomst mee had. De Geschillenkamer stelt vast dat
verweerder niet voldoet aan de plicht om de keuze voor de functionaris voor gegevensbescherming
te verantwoorden. Verweerder verwijst enkel naar zeer algemene informatie en communicatie van
de VMSW aan verweerder. Bovendien haalt verweerder meerdere malen aan dat er een
raamovereenkomst werd gesloten tussen de VMSW en V NV als DPO. De Geschillenkamer wijst erop
dat verweerder eindverantwoordelijke is en de plicht heeft te voldoen aan artikel 37.5 AVG waarin is
bepaald dat de functionaris voor gegevensbescherming wordt aangewezen op grond van zijn
professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en
de praktijk inzake gegevensbescherming. Dit geeft blijk van een tekort aan verantwoording voor de
keuze van de functionaris door verweerder. Daarenboven zijn de gegevens van de functionaris niet
bekend gemaakt zoals voorgeschreven in artikel 37.7 AVG. Hiermee stelt de Geschillenkamer
inbreuken vast op artikel 37.5 en 37.7 AVG.
87. De Geschillenkamer verwijst naar de richtsnoeren van de Werkgroep 29 voor functionarissen voor
gegevensbescherming waarin het volgende is bepaald aangaande externe functionarissen: “ Met het
oog op juridische transparantie en goede organisatie en om belangenconflicten bij de leden van het
team te vermijden, wordt in de Richtlijnen aangeraden om de taken binnen het team van de externe
functionaris voor gegevensbescherming duidelijk in een dienstverleningsovereenkomst vast te
Beslissing ten gronde 73/2020 - 23/31
leggen, alsook voor de klant één enkele persoon als hoofdcontactpersoon en "verantwoordelijke"
aan te stellen.”13
88. Tijdens de hoorzitting stelde de huidige functionaris voor gegevensbescherming, die sinds 1
september 2020 de functionaris is, dat de wijze waarop zij als nieuwe functionaris voor
gegevensbescherming zijn aangesteld, in lijn is met de richtsnoeren van de WP29 over de rol van de
functionaris voor gegevensbescherming. In essentie komt het erop neer dat de functionaris voor
gegevensbescherming beschikbaar moet zijn voor de verwerkingsverantwoordelijke. Dat sommige
correspondentie eerst bij de IT-beheerder van verweerder binnenkwam en werd doorgestuurd naar
de functionaris voor gegevensbescherming was volgens de functionaris voor gegevensbescherming
correct.14 De Geschillenkamer wijst erop dat volgens de Richtsnoeren van de Werkgroep 29, de
vereisten om de contactgegevens van de functionaris te openbaren, tot doel hebben te verzekeren
dat zowel betrokkenen (zowel binnen als buiten de organisatie) als toezichthoudende autoriteiten
gemakkelijk en direct met de functionaris voor gegevensbescherming contact kunnen opnemen. De
toegang dient direct te zijn, zonder daarbij een ander deel van de organisatie te moeten
contacteren. In casu verliep het contact via de IT-verantwoordelijke van verweerder, hetgeen
indruist tegen de bedoeling van de regelgever. Vertrouwelijkheid is even belangrijk: zo kunnen
werknemers afkerig zijn om bij de functionaris voor gegevensbescherming een klacht in te dienen
als de vertrouwelijkheid van hun mededelingen niet gegarandeerd is.
89. Artikel 38.1 en artikel 38.3 AVG schrijven voor dat de verwerkingsverantwoordelijke er zorg voor
draagt dat de functionaris voor gegevensbescherming wordt betrokken bij alle aangelegenheden die
verband houden met de bescherming van persoonsgegevens. De functionaris voor
gegevensbescherming mag geen instructies krijgen in de uitvoering van die taken. De
Inspectiedienst stelde naar aanleiding van de antwoorden en de documenten die verkregen werden
vast dat er geen advies werd gevraagd aan de functionaris voor gegevensbescherming omtrent
privacy aangelegenheden. De Geschillenkamer constateert dat inderdaad geen verantwoording van
de verwerkingsverantwoordelijke is overgelegd over de beslissingen die werden genomen voor de
website[…] ,over juridische informatie en algemene voorwaarden. Er zijn geen adviezen van de
functionaris voor gegevensbescherming wat betreft de verwerking van gegevens via deze website.
Verweerder erkent bovendien in haar conclusie inderdaad geen advies te hebben gevraagd aan de
functionaris voor gegevensbescherming. De Geschillenkamer stelt dan ook vast dat verweerder
artikel 38.1 AVG heeft geschonden.
2.3 Cookiebeleid
13
Richtsnoeren voor functionarissen voor gegevensbescherming van de Werkgroep 29 p.28.
14
Pagina 5 van het Proces verbaal van de hoorzitting d.d. 23 september 2020.
Beslissing ten gronde 73/2020 - 24/31
90. Klager stelt, zoals reeds hierboven vermeld, dat verweerder gebruik maakt van cookies op de
website[…]. en […]. Er wordt volgens klager geen toestemming gevraagd voor het gebruik van de
cookies. De Inspectiedienst heeft middels een technisch rapport vastgesteld dat er op de website
[…] gebruik werd gemaakt van cookies. Het betreft, zoals eerder aangegeven, een noodzakelijke
technische cookie genaamd “hs_js” van verweerder zelf en een cookie genaamd “IDE” afkomstig
van Google-Doubleclick.net. Voor deze laatstgenoemde “IDE” cookie werd geen toestemming
gevraagd aan bezoekers van de website, aldus het Inspectieverslag. 15
91. Verweerder heeft tijdens de hoorzitting erkend dat de website dateert van het jaar 2010 en derhalve
niet voldoet aan de huidige regelgeving. Er is geen sprake van onwil; echter de technische
beperkingen laten niet toe om bijvoorbeeld een pop-up te tonen voor het gebruik van cookies. Ook
een veilige verbinding opzetten via https-domeinnaam is niet mogelijk op de huidige website, aldus
verweerder. Momenteel wordt er gewerkt aan een nieuwe website. Deze zal volgens verweerder
hoogstwaarschijnlijk eind dit jaar af zijn.
92. Het Hof van Justitie heeft in het arrest Planet49 geoordeeld dat er voor het plaatsen van cookies
informatie gegeven moet worden door de verwerkingsverantwoordelijke. 16 Uit de gegeven
informatie moet blijken hoelang de cookies actief zullen blijven en of derde partijen ook toegang
kunnen hebben tot die cookies. Dit is nodig om behoorlijke en transparante informatie te
waarborgen.
93. In artikel 129 van de Wet betreffende de elektronische communicatie is bepaald dat de gebruiker
zijn toestemming moet hebben gegeven voor het plaatsen en raadplegen van cookies op zijn
eindapparatuur. Het toestemmingsvereiste geldt niet voor de technische opslag van informatie. Ook
wanneer het plaatsen van cookies noodzakelijk is voor de levering van een uitdrukkelijk door de
abonnee of eindgebruiker gevraagde dienst geldt het toestemmingsvereiste niet. 17
94. De Geschillenkamer wijst nog op de volgende overwegingen uit het eerder genoemde arrest
Planet49: “In verordening 2016/679 wordt nu dus uitdrukkelijk actieve toestemming
voorgeschreven. In dit verband moet worden opgemerkt dat volgens overweging 32 van deze
verordening de toestemming met name kan worden uitgedrukt door te klikken op een vakje bij een
bezoek aan een website. Daarentegen sluit deze overweging uitdrukkelijk uit dat „stilzwijgen, het
15
Inspectieverslag, p5.
16
Arrest van het Hof van Justitie van 1 oktober 2019, C-673/17, ECLI:EU:C:2019:801.
17
Zie hierover ook beslissing nr. 12/2019 d.d. 17 december 2019 van de Geschillenkamer.
Beslissing ten gronde 73/2020 - 25/31
gebruik van reeds aangekruiste vakjes of inactiviteit” als toestemming mogen gelden . Hieruit volgt
dat de toestemming van artikel 2, onder f), en artikel 5, lid 3, van richtlijn 2002/58, gelezen in
samenhang met artikel 4, punt 11, en artikel 6, lid 1, onder a), van verordening 2016/679, niet
rechtsgeldig is verleend wanneer de opslag van informatie of het verkrijgen van toegang tot
informatie die reeds is opgeslagen in de eindapparatuur van de gebruiker van een website, wordt
toegestaan door middel van een standaard aangevinkt selectievakje dat de gebruiker moet uitvinken
ingeval hij weigert zijn toestemming te verlenen.”18.
95. De toestemming moet bovendien “specifiek” zijn. De Geschillenkamer verwijst naar de Richtsnoeren
inzake toestemming overeenkomstig Verordening 2016/679 19 die door de EDPB zijn bekrachtigd:
“Artikel 6, lid 1, onder a) bevestigt dat de toestemming van de betrokkene verleend moet worden met
betrekking tot "een of meer specifieke" doeleinden, en dat een betrokkene een keuze heeft ten aanzien van
elk van deze doeleinden”20. Dit betekent “dat een verwerkingsverantwoordelijke die toestemming wil krijgen
voor een aantal verschillende doeleinden, voor elk doel een afzonderlijke opt-in moet aanbieden om gebruikers
in staat te stellen om specifieke toestemming te verlenen voor specifieke doeleinden.”.21
96. De Geschillenkamer stelt aan de hand van het technisch rapport dat door de inspectie werd
aangevraagd vast dat door verweerder op de websites niet is gevraagd om toestemming van klager
voor het plaatsen van een cookie met marketingdoeleinden, namelijk de “IDE” cookie. Daarenboven
beantwoordde verweerder de vraag van de Inspectiedienst of er gebruik werd gemaakt van cookies
op de websites ontkennend. Verweerder is op het voorgaande teruggekomen door bij conclusie te
erkennen gebruik te hebben gemaakt van cookies waarvoor toestemming was vereist. Verweerder
geeft te kennen het cookiebeleid te hebben aangepast en voortaan wel te vragen naar toestemming
van de gebruikers.22
97. Gezien bovenstaande feiten en vaststellingen, acht de Geschillenkamer de verwerking van
persoonsgegevens door middel van het plaatsen van cookies, zonder geldige rechtsgrond van
toestemming conform artikel 6.1 AVG te hebben, onrechtmatig.
98. De verwerkingsverantwoordelijke moet ingevolge de artikelen 5.2 en 24 AVG passende technische
en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de
18
Arrest Planet49, ro. 62 en 63.
19
Groep gegevensbescherming, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, p. 4.
20
Ibid., p. 14.
21
Ibid., p. 14.
Beslissing ten gronde 73/2020 - 26/31
verwerking van persoonsgegevens aan de hand van cookies in overeenstemming met artikelen 12
en 13 AVG wordt uitgevoerd. De verweerder erkent in zijn conclusie dat bepaalde verplichte
vermeldingen zoals de verwerkingsdoeleinden in de oorspronkelijke privacyverklaring van de website
ontbraken.
2.4 Gezondheidsgegevens
99. Klager stelt dat verweerder eveneens medische gegevens verwerkt. Klager geeft aan zijn medische
attesten te hebben bezorgd aan verweerder. Volgens klager verwerkt verweerder op systematische
wijze onrechtmatig medische gegevens. Klager is van mening dat het niet de taak van verweerder is
om inhoudelijk te oordelen over de gezondheidssituatie van een (kandidaat) huurder.
100. Als bijlagen bij de klacht zijn mailuitwisselingen tussen klager en verweerder gevoegd. Uit de
verschillende e-mails blijkt in ieder geval het volgende. In een e-mail van 30 augustus 2016 schreef
verweerder aan klager het attest van de arts te hebben ontvangen, maar geen zekerheid te kunnen
geven dat er positief zal worden beslist op het verzoek van klager om kandidaten die hoger op de
lijst staan voor toekenning van een woning voorbij te steken. Klager heeft derhalve verzocht om een
hogere plaats op de lijst. Uit een andere e-mail van 6 februari 2019 van klager aan verweerder blijkt
dat klager uit eigen beweging een e-mail stuurde aan verweerder waarin hij verweerder op de
hoogte stelde van zijn veranderde medische toestand. Klager sloot de e-mail af met “ Aanvullend
kan nogmaals in een medisch attest voorzien worden, mocht u wederom twijfels hebben of er een
eigen mening op na houden wat betreft mijn medische toestand. Ik vraag u dus met aandrang
terdege rekening te willen houden met mijn medische fysieke beperkingen en een woonst nabij het
ziekenhuis te willen vooropstellen. Omwille van de ernst van de problematiek van (…) vraag ik u om
een woonst in een drukke woonomgeving absoluut te vermijden.”
101. Tijdens de hoorzitting gaf verweerder aan dat er enkel werd verzocht om een medisch attest in het
geval de (kandidaat) huurder vraagt om speciale woonvoorkeuren zoals in casu het geval is.
Verweerder geeft aan dat in de medische attesten geen diagnoses worden gesteld. Klager spreekt
dit niet tegen. De arts vraagt om rekening te houden met de situatie van de betrokkene en vraagt
dan bijvoorbeeld om een woning met lift of een woning in een rustige omgeving. De medische
attesten dienen er enkel toe om een juiste toewijzing te kunnen doen, aldus verweerder.
102. Op grond van het bovenstaande beslist de Geschillenkamer dat er geen sprake is van een
onrechtmatige verwerking van gezondheidsgegevens. Deze verwerking is immers noodzakelijk en
kan worden gestoeld op artikel 9 sub h) de verwerking is noodzakelijk voor doeleinden van
Beslissing ten gronde 73/2020 - 27/31
preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de
werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of
behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en
diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een
gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen, nu er geen
diagnoses in de medische attesten staan. Uit de mailwisselingen blijkt bovendien dat klager uit eigen
beweging aan verweerder liet weten wat zijn gezondheidssituatie is, en aangeeft dat hij verweerder
eventueel van nog een medisch attest kan voorzien.
2.3 Camerabewaking
103. Klager stelt dat er sprake is van camerabewaking in verschillende woonentiteiten van het
appartement. Het privacybeleid vermeldt volgens klager niets over camerabewaking. Klager wenst
ook van deze verwerking te weten wat de wettelijke grondslag en het doel is.
104. Uit de ingebrachte stukken blijkt dat onder punt 11 van de huurovereenkomst melding wordt
gemaakt van de bewakingscamera’s die op het dak, in de gemeenschappelijke inkomhallen en de
gemeenschappelijke kelderinrit zijn opgehangen. Buiten deze informatie is niets bekend over het
gebruik van camera’s.
105. Tijdens de hoorzitting gaf verweerder desgevraagd te kennen dat de bewakingscamera’s in 2012
op vraag van bewoners in kelders en gangen zijn opgehangen voor de veiligheid. De camera’s zijn
wettelijk geregistreerd en worden gehanteerd als een soort afschrikmiddel, aldus verweerder. Er zou
verder niets met de beelden worden gedaan. Anderhalf jaar geleden zijn de camerabeelden volgens
verweerder één keer geraadpleegd. De camera’s zijn volgens verweerder moeilijk te beheren omdat
er te weinig budget is voor het onderhoud ervan. Er is momenteel geen onderhoudscontract voor de
bewakingscamera’s. Verweerder geeft aan de beelden te kunnen raadplegen en
verwerkingsverantwoordelijke te zijn voor de beelden. De functionaris voor gegevensbescherming
wijst erop dat de Camerawet de wettelijke grondslag vormt voor de verwerking van de
camerabeelden.
106. De Geschillenkamer stelt aan de hand van de stukken die beschikbaar zijn in het dossier en
hetgeen tijdens de hoorzitting naar voren is gekomen vast dat er zeer veel onduidelijkheden zijn wat
betreft het gebruik van de bewakingscamera’s. Als verwerkingsdoeleinde wordt allereerst het
voorkomen van overlast genoemd. Vervolgens geeft verweerder tijdens de zitting aan dat er ook wel
eens gevraagd wordt de beelden te raadplegen in verband met sluikstorten. De Geschillenkamer is
van mening dat verweerder niet geheel duidelijk voor ogen heeft waar de camera’s werkelijk toe
Beslissing ten gronde 73/2020 - 28/31
dienen. Bovendien kan volgens de Geschillenkamer uit de elementen die voorhanden zijn
onvoldoende worden opgemaakt of de Camerawet juist wordt nageleefd door verweerder. In artikel
6 § 2 van de Camerawet is bepaald dat de verwerkingsverantwoordelijke een register met
beeldverwerkingsactiviteiten van de bewakingscamera’s bijhoudt en dit register op verzoek
beschikbaar stelt aan de Gegevensbeschermingsautoriteit en de politiediensten. Een dergelijk
register wordt door verweerder niet bijgehouden. Bovendien blijkt uit hetgeen verweerder ter zitting
heeft verklaard dat ook de bewaartermijn van artikel 6 § 3 niet wordt nageleefd nu uit dit artikel
blijkt dat als “de beelden geen bijdrage kunnen leveren tot het bewijzen van een misdrijf, van
schade of van overlast”, deze in beginsel na een maand verwijderd dienen te worden. De
Geschillenkamer stelt hiermee inbreuken vast op artikel 30 AVG (bijhouden van register van
verwerkingsactiviteiten) en artikel 5.1 onder e AVG (opslagbeperking).
2.4 Digitale verbruikmeters
107. Klager klaagt erover dat verweerder gebruik maakt van digitale verbruikmeters en op die manier
het verbruik van de huurders bijhoudt en gegevens over dat verbruik onrechtmatig zonder geldige
rechtsgrondslag verwerkt. Klager geeft aan geen toestemming te hebben gegeven voor de
verwerking van de gegevens aangaande zijn verbruik van gas en elektra.
108. Verweerder gaf tijdens de hoorzitting aan dat de digitale meters worden gekoppeld aan het adres.
Op die manier wordt afgelezen hoeveel er is verbruikt op een bepaald adres. Deze gegevens worden
ook doorgegeven aan een derde (lokaal bedrijf) waarmee er een verwerkingsovereenkomst is. Die
firma leest het verbruik uit. Verweerder krijgt daar een lijst van en koppelt het aan de
huurdersbestanden, aldus verweerder.
109. Op basis van artikel 6 van de AVG dient de verwerkingsverantwoordelijke voor de verwerking van
persoonsgegevens te beschikken over een rechtsgrond opdat de verwerking rechtmatig zou zijn. Op
basis van de artikelen 24 en 25 van de AVG dient verweerder derhalve passende technische en
organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de
verwerking plaatsvindt conform de AVG. De verwerkingsverantwoordelijke moet daarbij de
beginselen van gegevensbescherming doeltreffend uitvoeren, de rechten van de betrokkenen
beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel
van de verwerking. Op basis van voorliggende feiten en documenten stelt de Geschillenkamer vast
dat verweerder niet heeft kunnen aantonen dat er enig privacybeleid is ontwikkeld ten aanzien van
het digitaal op afstand aflezen van meterstanden. Het is bovendien onduidelijk op basis van welke
rechtsgrond conform artikel 6 AVG de gegevens worden verwerkt. Hiermee staat een inbreuk op
artikel 6 AVG vast. Klager geeft te kennen geen toestemming te hebben gegeven voor de
Beslissing ten gronde 73/2020 - 29/31
verwerking. Verweerder beroept zich niet op enige andere rechtsgrond voor de verwerking.
Bovendien stelt de Geschillenkamer in casu een schending van artikel 5.1 a) AVG vast nu uit
bovenstaande blijkt dat de persoonsgegevens niet op een rechtmatige, behoorlijke en transparante
wijze worden verwerkt. Verweerder geeft aan dat een derde partij de gegevens omtrent het
verbruik uitleest en aan verweerder doorstuurt. De Geschillenkamer wijst erop dat volgens artikel
28.3 AVG de verwerking door een verwerker dient te worden geregeld in een overeenkomst tussen
de verwerkingsverantwoordelijke en de verwerker.
Op te leggen sanctie
De Geschillenkamer zal gezien het bovenstaande overgaan tot oplegging van twee sancties namelijk:
1. bevelen dat de verwerking in overeenstemming wordt gebracht conform artikel 100 § 1, 9°;
2. een administratieve geldboete opleggen conform artikel 100 § 1, 13°.
Rekening houdend met artikel 83 AVG en de rechtspraak van het Marktenhof, motiveert de Geschillenkamer
het opleggen van een administratieve boete geldboete in concreto:
- De ernst van de inbreuk: uit de voorgaande motivering blijkt de ernst van de inbreuk.
- De duur van de inbreuk: verweerder heeft bepaalde inbreuken getracht recht te zetten en te voldoen aan
de privacyregels; echter duren vele van de vastgestelde inbreuken thans nog voort.
- De nodige afschrikwekkende werking om verdere inbreuken te voorkomen. Wat de aard en de ernst van de
inbreuk betreft (art. 83.2 a) AVG) benadrukt de Geschillenkamer dat het nakomen van de beginselen bepaald
in art. 5 AVG – in voorliggend geval inzonderheid het rechtmatigheidsbeginsel – essentieel is, aangezien het
fundamentele beginselen van gegevensbescherming betreft. De Geschillenkamer beschouwt de inbreuk van
de verweerder op het rechtmatigheidsbeginsel dat wordt gepreciseerd in art. 6 AVG, dan ook als een ernstige
schending. De Geschillenkamer stelt vast dat artikel 83.7 AVG het volgende bepaalt: “Onverminderd de
bevoegdheden tot het nemen van corrigerende maatregelen van de toezichthoudende autoriteiten
overeenkomstig artikel 58, lid 2, kan elke lidstaat regels vaststellen betreffende de vraag of en in hoeverre
administratieve geldboeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties en
overheidsorganen. De AVG geeft geen verdere uitleg over de draagwijdte van wat onder overheidsinstanties
en overheidsorganen” dient te worden begrepen. Het staat volgens de Geschillenkamer echter vast dat deze
uitzonderingsbepaling strikt moet worden geïnterpreteerd.
De Geschillenkamer acht het in dit geval bijzonder noodzakelijk om een strikte interpretatie te geven aan de
(facultatieve) vrijstelling van administratieve geldboete die in artikel 83.7 AVG is voorzien voor
“overheidsinstanties en overheidsorganen”. Om deze reden dient ook artikel 221, § 2, Wet
Gegevensbescherming, dat artikel 83.7 AVG implementeert, strikt te worden uitgelegd. Artikel 83.7 AVG laat
de lidstaten bovendien niet toe om het begrip “overheidsinstanties en overheidsorganen” te definiëren. Het
Beslissing ten gronde 73/2020 - 30/31
gaat derhalve om een Unierechtelijk begrip dat een autonome en uniforme betekenis moet krijgen. Het komt
daarom enkel aan de instellingen van de Unie, met name aan het Hof van Justitie, toe om de grenzen van
dat begrip vast te leggen.
Naar het oordeel van de Geschillenkamer valt een privaatrechtelijke organisatie als de Y
Huisvestingsmaatschappij hier niet onder, ook al voert deze organisatie taken uit in het openbaar belang op
het gebied van sociaal wonen.23
De Geschillenkamer stelt vast dat er sprake is van ernstige toerekenbare tekortkoming aan de kant van
verweerder. De Geschillenkamer heeft zoals hierboven uitgebreid uiteengezet, een aanzienlijke reeks aan
tekortkomingen vastgesteld. Onder die tekortkomingen zijn inbreuken op fundamentele beginselen van
gegevensbescherming vastgesteld. De vastgestelde inbreuken rechtvaardigen naar het oordeel van de
Geschillenkamer reeds op zichzelf een hoge geldboete. Bij het bepalen van de administratieve geldboete
houdt de Geschillenkamer echter rekening met een aantal matigende factoren, waaronder de getoonde
bereidheid van verweerder om bepaalde zaken aan te passen, het aanstellen van een deskundige
functionaris voor gegevensbescherming en een nieuwe website die volgens verweerder AVG-conform zal
zijn. Bovendien houdt de Geschillenkamer er bij het vaststellen van de hoogte van de boete rekening mee
dat het hier gaat om een sociale huisvestingsmaatschappij zonder winstoogmerk. Ook het feit dat
verweerder in haar reactie op het boeteformulier te kennen geeft het financieel niet goed te stellen, en dit
met cijfers onderbouwd wordt, wordt door de Geschillenkamer meegenomen in de beslissing.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om :
op grond van art. 100, §1, 9° WOG, de verweerder te bevelen dat de verwerking in
overeenstemming wordt gebracht met art. 5.1.a) en b), art. 5.2., art. 6.1., art. 12.1, art.
13.1. b) en c) , art. 13.2. b), art. 15.1, art. 25.2, art. 37.5, art. 37.7, art. 38.1, art. 38.3 en
art. 39 AVG en dit uiterlijk drie maanden na de kennisgeving van deze beslissing, en binnen
dezelfde termijn, aan de Gegevensbeschermingsautoriteit (Geschillenkamer) per e-mail (via
het e-mailadres: [email protected] ) mee te delen dat het bovengenoemde bevel
uitgevoerd werd.
23
Zie overweging 52 van uitspraak 31/2020 van 16 juni 2020 van de Geschillenkamer
Beslissing ten gronde 73/2020 - 31/31
- op grond van art. 100 § 1, 13° en art. 100 WOG een administratieve geldboete op
te leggen van 1.500 EUR.
Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een
termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof, met de
Gegevensbeschermingsautoriteit als verweerder.
(get.) Hielke Hijmans
Voorzitter van de Geschillenkamer