1/6
Geschillenkamer
Beslissing 81/2024 van 24 mei 2024
Dossiernummer : DOS-2023-04145
Betreft : Het voordoen van een gegevenslek op Smartschool en het onrechtmatig
doorsturen van een motivatiebrief/CV
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerder: Y, hierna “de verweerder”
Beslissing 81/2024 — 2/6
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het publiceren van persoonlijke communicatie in
verband met een sollicitatie van de klager via het Smart School systeem dat de verweerder
(een onderwijsinstelling) hanteert en het doorgeven van de motivatiebrief van de klager aan
derden.
2. De klager geeft aan gesolliciteerd te hebben voor een functie bij de verweerder. De klager
werd niet weerhouden voor deze functie, maar zag helaas de weigeringsbeslissing
gepubliceerd worden op Smartschool, waar deze zichtbaar zou zijn geweest voor ca. 150
personeelsleden. Het schoolbestuur heeft op (…) vervolgens een mededeling gedaan,
gericht aan de personeelsleden van Y, die als volgt luidt:
“Mededeling aan het personeel van Y
Op 5 mei oordeelde een interne selectiecommissie, uitsluitend samengesteld uit drie
gemandateerde bestuursleden, op basis van het ingediende CV met motivatie en visienota
om de kandidatuur van X niet in aanmerking te nemen en hem bijgevolg niet uit te nodigen
voor een selectiegesprek. De beoordeling is gebeurd op inhoudelijke gronden, die aan de
kandidaat zijn meegedeeld per mail en met aangetekend schrijven. Er is begrip voor de
ervaren teleurstelling, maar het valt te betreuren dat deze vertrouwelijk aan de kandidaat
gerichte mededeling kennelijk publiek gemaakt en tot commotie aanleiding gaf.
Het bestuur van Z wenst te stellen dat de directie niet deelnam aan de beoordeling en er
generlei invloed heeft op gehad. Met respect voor alle betrokkenen blijft het bestuur bij de
genomen beslissing en kijkt het vooruit naar de werving van een geschikte kandidaat voor de
hernieuwde vacature van directeur Y.”
3. Op 26 augustus 2023 ontvangt de klager een mail van de algemene directeur van de
onderwijsinstelling, die hem aanspreekt over de inhoud van de sollicitatiebrief die de klager
destijds heeft ingediend. Hieruit maakt de klager op dat tijdens de kandidatuurstelling de
selectiecommissie zijn motivatiebrief heeft doorgegeven aan deze derde. Deze is immers
geen lid van de selectiecommissie.
4. Op 24 oktober 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder.
5. Op 24 oktober 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 van de WOG1 en wordt de klacht op grond van artikel 62, § 1
van de WOG overgemaakt aan de Geschillenkamer 2.
1
Overeenkomstig artikel 61 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat de klacht ontvankelijk is
verklaard.
2
Overeenkomstig artikel 95, § 2 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat het dossier naar
aanleiding van deze klacht aan haar is overgedragen.
Beslissing 81/2024 — 3/6
6. Ingevolge artikel 95, § 2, 3° van de WOG alsmede artikel 47 van het reglement van interne
orde van de GBA kunnen de partijen om een afschrift van het dossier verzoeken. Indien één
van beide partijen gebruik wenst te maken van de mogelijkheid tot het raadplegen en het
kopiëren van het dossier, dient deze zich te wenden tot het secretariaat van de
Geschillenkamer, bij voorkeur via [email protected].
II. Motivering
7. Zoals erkend door de verweerder in de 'Mededeling aan het personeel van Y, is
vertrouwelijke communicatie bij vergissing openbaar gemaakt, hetgeen wijst op een
mogelijke “inbreuk in verband met persoonsgegevens”. Door de publicatie van de
weigeringsbeslissing op Smartschool konden andere personeelsleden van de klager
toegang krijgen tot de weigeringsbeslissing, wat resulteerde in een ongeoorloofde
blootstelling van persoonsgegevens aan derden en een schending van de vertrouwelijkheid.
8. Op basis van de gepresenteerde feiten concludeert de Geschillenkamer prima facie dat de
verweerder geen geldige rechtsgrond heeft volgens artikel 6.1 van de AVG voor de
verwerking van de betreffende gegevens. Bovendien heeft deze verwerking vermoedelijk
de vertrouwelijkheid en integriteit aangetast doordat derden toegang kregen tot de
gegevens.
9. Dienaangaande is de Geschillenkamer van oordeel dat, gelet op het feit dat de publicatie op
Smartschool wellicht een vergissing betrof, het geenszins de bedoeling was om de
weigeringsbeslissing algemeen bekend te maken. Dit vloeit immers voort uit de aard van een
vergissing zelf. Een dergelijke vergissing kan echter wel wijzen op het ontbreken van
technische en organisatorische maatregelen die het risico op onrechtmatige verwerkingen
als gevolg van een menselijke vergissing uitsluiten.
10. Daarnaast vermoedt de Geschillenkamer dat interne, "vertrouwelijke" documenten (i.e.
motivatiebrief en/of CV van de klager) naar derden die niet betrokken waren bij het
selectieproces voor de vacature zouden zijn doorgestuurd. De klager beweert dat deze
derde geen deel uitmaakt van de selectiecommissie. De exacte betrokkenheid van deze
derde bij het proces kan op dit moment echter niet worden geverifieerd door de
Geschillenkamer. De ‘Mededeling aan het personeel van Y geeft aan dat “de directe niet
deelnam aan de beoordeling”, wat de beweringen van de klager lijkt te bevestigen en
suggereert dat de algemene directeur inderdaad geen deel uitmaakte van de
selectiecommissie.
11. Op basis van deze analyse concludeert de Geschillenkamer dat de verweerder mogelijk
inbreuk heeft gemaakt op de AVG. Dit rechtvaardigt het nemen van een beslissing op grond
Beslissing 81/2024 — 4/6
van artikel 95, §1, 4°, van de WOG, namelijk het uitreiken van een waarschuwing aan de
verweerder.
12. Prima facie kan de Geschillenkamer vaststellen dat er onvoldoende zorgvuldigheid is
betracht bij de verwerking van persoonsgegevens van de klager. De Geschillenkamer stelt
vast dat de volgende inbreuken vermoedelijk zijn gepleegd:
a. Het beginsel inzake rechtmatigheid werd geschonden omdat het publiceren van de
weigeringsbeslissing ten aanzien van de klager naar de verkeerde bestemmelingen
niet was gebaseerd op een rechtsgrond uit artikel 6, lid 1, van de AVG;
b. Het beginsel inzake integriteit en vertrouwelijkheid zoals in artikel 5.1.f) van de AVG
werd geschonden omdat de verweerder door de verzending van
persoonsgegevens van de klager naar verkeerde bestemmelingen de
vertrouwelijkheid van die persoonsgegevens heeft in het gedrang gebracht; en
c. Uit de verzending van de persoonsgegevens van de klager naar een verkeerde
bestemmeling lijkt voort te vloeien dat de verweerder niet de nodige technische en
organisatorische maatregelen overeenkomstig artikel 25 van de AVG heeft
genomen om te waarborgen en te kunnen aantonen dat de verwerking heeft
plaatsgevonden conform de AVG.
13. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klager ingediende klacht,
in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 3 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
De Geschillenkamer heeft aldus beslist om op grond van artikel 58.2.a) AVG en
artikel 95, § 1, 4°, van de WOG, de verweerder te een waarschuwing op te leggen.
14. Onderhavige beslissing heeft tot doel de verweerder in kennis te stellen van het feit dat deze
mogelijk een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de
mogelijkheid te stellen zich alsnog te conformeren met voornoemde bepalingen, of
dergelijke inbreuken in de toekomst te vermijden.
15. Indien de verweerder niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren die
tot een nieuwe beslissing zouden kunnen leiden, kan zij een verzoek tot heroverweging
indienen bij de Geschillenkamer volgens de procedure vastgesteld in de artikelen 98 juncto
99 van de WOG, bekend als een “behandeling ten gronde”. Dit verzoek moet worden
gestuurd naar het e-mailadres [email protected] binnen een termijn van 30
3
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
Beslissing 81/2024 — 5/6
dagen na kennisgeving van dit prima facie besluit. Indien van toepassing, wordt de uitvoering
van dit besluit opgeschort gedurende de bovengenoemde periode.
16. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 van de
WOG uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten
bij het dossier te voegen. De onderhavige beslissing wordt desgevallend definitief
opgeschort.
17. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 van de
WOG4.
18. Overeenkomstig artikel 57 van de WOG en gelet op de taal waarin de klacht werd ingediend
wordt het Nederlands gehanteerd als proceduretaal.
III. Publicatie van de beslissing
19. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
4
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het
gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.