1/31
Geschillenkamer
Beslissing ten gronde 86/2026 van 23 april 2026
Dossiernummer : DOS-2023-00535
Betreft : Klacht met betrekking tot de verwerking van het professionele e-mailadres en
de bijhorende mailbox van de klager na beëindiging van de arbeidsrelatie
De Geschillenkamer van de Gegevensbeschermingsautoriteit,
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna WOG1;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”;
De verweerder: Y.NV, met maatschappelijke zetel te […] met ondernemingsnummer[…,]
vertegenwoordigd door mr. Kris Maes, hierna “de verweerder”.
1
De GBA herinnert eraan dat de Wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van
de Gegevensbeschermingsautoriteit (WOG), en het nieuwe reglement van interne orde van de GBA, op 1 juni 2024 in werking
zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten en procedures voor de Geschillenkamer die aanvangen
vanaf deze datum. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen
onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum.
Beslissing ten gronde 86/2026 – 2/31
I. Feiten en procedure
1. Op 24 januari 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder.
2. Het voorwerp van de klacht betreft de verwerking door de verweerder van het professionele
e-mailadres en de bijhorende mailbox van de klager na beëindiging van de arbeidsrelatie,
evenals het uitblijven van een reactie op het verzoek tot gegevenswissing van de klager.
3. Op 21 februari 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 10 maart 2023 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG
dat het dossier gereed is voor behandeling ten gronde.
5. Op 10 maart 2023 worden de betrokken partijen per aangetekende zending in kennis
gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun
verweermiddelen in te dienen.
De partijen werden gevraagd hun verweermiddelen aangaande de volgende vermeende
inbreuken te formuleren:
• Vermeende schending van artikel 5.1.a), artikel 6.1 en artikel 13.1.c) AVG voor wat
betreft de rechtmatigheid van de verwerking, namelijk het actief houden van de
mailbox na beëindiging van de arbeidsrelatie;
• Vermeende schending van artikel 5.1.b), c) en e) AVG voor wat betreft de naleving van
de beginselen van doelbinding, dataminimalisatie en opslagbeperking bij de verwerking
van persoonsgegevens;
• Vermeende schending van artikel 12, lid 2 en lid 3 AVG juncto artikel 17 AVG voor wat
betreft het nalaten een passend gevolg te geven aan het verzoek tot gegevenswissing
van de klager dd. 20 januari 2023;
• Vermeende schending van artikel 5.2, 24.1 en 25.1 AVG voor wat betreft de
verantwoordingsplicht en het treffen van passende technische en organisatorische
maatregelen.
6. Op 21 april 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. De Geschillenkamer ontvangt geen conclusie van repliek van de klager. Op 2
juni 2023 ontvangt de Geschillenkamer de syntheseconclusie van de verweerder, waarin zij
haar argumenten uit haar conclusie van antwoord grotendeels herneemt.
Beslissing ten gronde 86/2026 – 3/31
II. Motivering
II.1. Inhoud van de klacht – standpunt van de klager
7. In zijn klacht dd. 24 januari 2023 verklaart de klager dat hij bij de verweerder tewerkgesteld
was, maar dat hij sinds juni 2021 zijn werkzaamheden heeft neergelegd.
8. De klager stelt dat op het moment van de indiening van zijn klacht het professionele e-
mailadres dewelke hij gebruikte gedurende zijn tewerkstelling nog steeds actief is. Op dit e-
mailadres worden volgens de klager nog steeds e-mails ontvangen die aan hem persoonlijk
zijn gericht, zonder dat er een automatische melding wordt verstuurd waaruit blijkt dat hij
niet langer werkzaam is bij de verweerder. De klager voegt ter staving bewijsstukken toe.
9. De klager voert daarnaast aan dat hij op 20 januari 2023 zijn recht op gegevenswissing ten
aanzien van de verweerder heeft proberen uitoefenen, maar dat zijn verzoek onbeantwoord
is gebleven. Op 20 februari 2023, i.e. één maand na de indiening van zijn verzoek, informeert
de klager de Eerstelijnsdienst van de Gegevensbeschermingsautoriteit dat hij nog steeds
geen antwoord ontving van de verweerder op zijn verzoek om gegevenswissing.
II.2. Rechtmatigheid van de verwerking (artikel 5.1.a) juncto artikel 6.1 AVG)
II.2.1. Standpunt van de verweerder
10. Aangaande de rechtsgrond licht de verweerder toe dat zij als gecertificeerd
accountancykantoor gebonden is door zowel resultaatsverbintenissen, zoals het tijdig
indienen van fiscale aangiften, als door inspanningsverbintenissen, zoals het verlenen van
boekhoudkundig advies aan cliënten. In het licht van deze verbintenissen en de mogelijke
controle op de rechtmatige uitvoering ervan, dient zij rekening te houden met de
toepasselijke wettelijke verjaringstermijnen en fiscale controletermijnen. De verweerder
wijst erop dat een gewone fiscale controletermijn doorgaans 3 jaar bedraagt. Ingeval van
een vermoeden van fraude loopt deze termijn zelfs op tot 10 jaar. Het is volgens de
verweerder derhalve noodzakelijk dat zij, aan de hand van ontvangen communicatie en
bijhorende financiële en fiscale stukken, kan aantonen dat zij zich naar behoren heeft
gekweten van de op haar rustende verbintenissen, en dat zij als gevolmachtigde o.m. een
correcte boekhouding heeft gevoerd overeenkomstig de geldende wettelijke voorschriften
en dat zij niet betrokken is bij fraude. Het is om deze reden dat de verweerder van oordeel is
dat zij een gerechtvaardigd belang heeft om de mailbox van de klager niet onmiddellijk af te
sluiten na de datum van de beëindiging van de arbeidsovereenkomst. Zij dient immers nog
gebeurlijk toegang te hebben tot de bijlagen bij ingekomen e-mails in het e-mailaccount van
de klager.
Beslissing ten gronde 86/2026 – 4/31
11. Gelet op bovenstaande heeft de verweerder in haar arbeidsreglement een afzonderlijke
bijlage toegevoegd die een privacybeleid voor werknemers bevat.2 Verwerkingen inzake “e-
mailing” worden volgens dit beleid gebaseerd op de rechtsgrond van het gerechtvaardigd
belang. Wat de bewaartermijn betreft, wordt het volgende bepaald: “Vanaf het einde van de
arbeidsovereenkomst loopt een termijn gelijk aan de wettelijke bewaartermijn of de
verjaringstermijn die relevant is voor eventuele rechtsvorderingen: max. 3 jaar na einde
overeenkomst”.
12. Daarnaast voorziet bijlage 6 van de arbeidsovereenkomst in informatie omtrent de controle
die de verweerder kan uitvoeren op de elektronische online communicatie van haar
werknemers. Daarin staat opgenomen dat een directe individualisering van controle is
toegestaan met het oog op ”de bescherming van de economische, handels- en financiële
belangen van de onderneming die vertrouwelijk zijn alsook het tegengaan van praktijken die
ermee in strijd zijn”.3 In dit verband stelt de verweerder dat de klager tijdens zijn
tewerkstelling meermaals in gebreke is gebleven om de hem toebedeelde taken correct uit
te voeren, hetgeen geleid heeft tot een overtal aan problemen en klachten van cliënten. De
verweerder zag zich derhalve genoodzaakt om de dossiers van de klager te reviseren en
waar nodig te regulariseren, bijvoorbeeld door nazicht van informatie dewelke hij
rechtstreeks van cliënten in zijn mailbox had ontvangen. Bijgevolg zag de verweerder zich
genoodzaakt om het e-mailaccount van de klager te bewaren. Op het moment van de klacht
was de bovenvermelde maximale bewaartermijn van de mailbox (i.e. 3 jaar na beëindiging
van de arbeidsovereenkomst) nog niet verlopen.
13. Tevens voert de verweerder aan dat de klager zich met het arbeidsregelement en haar
bijlagen akkoord heeft verklaard, waardoor de klager niet ernstig kan voorhouden dat er
overeenkomstig artikel 6 AVG geen toestemming van hem zou zijn verkregen met het nog
tijdelijk behoud van zijn e-mailadres na beëindiging van de arbeidsovereenkomst.
14. Tot slot voert de verweerder aan dat zij op geen enkel ogenblik persoonsgegevens van de
klager aan derden heeft doorgezonden. Zij heeft enkel te goeder trouw, en om te voorkomen
dat de klager naderhand zou worden geconfronteerd met nadelige gevolgen, de klager in
kennis gesteld van enkele ingekomen e-mails van derden. Om die reden stelt de verweerder
het in vraag in welke mate zij nog persoonsgegevens van de klager zou hebben verwerkt na
de beëindiging van de arbeidsrelatie.4
2
Stuk 3 uit de stukkenbundel zoals neergelegd door de verweerder (“Bijlage 8 – addendum arbeidsregelement”)
3
Stuk 2 uit de stukkenbundel zoals neergelegd door de verweerder (“Arbeidsreglement”).
4
Syntheseconclusie verweerder dd. 2 juni 2023, p. 11
Beslissing ten gronde 86/2026 – 5/31
II.2.2. Oordeel van de Geschillenkamer
a. Algemeen - de verwerking van persoonsgegevens in het kader van professionele
mailboxen
15. Vooreerst acht de Geschillenkamer het nuttig toe te lichten waarom het bewaren en
raadplegen van een professionele mailbox een verwerking van persoonsgegevens is in de
zin van de AVG.
16. Nieuwe medewerkers ontvangen bij de aanvang van hun tewerkstelling doorgaans een
professioneel e-mailadres binnen het domein van de organisatie waar zij tewerkgesteld
worden. Het doel van dit e-mailadres is de medewerker in staat te stellen te communiceren
met interne en externe contacten. Door het gebruik van de naam en voornaam in dergelijk
e-mailadres wordt het voor de contacten duidelijk met wie zij communiceren. De
domeinnaam, die in veel gevallen overeenkomt met de naam van de organisatie, maakt het
duidelijk dat de communicatie plaatsvindt in het kader van de professionele activiteiten van
die organisatie. De organisatie treedt in de regel op als verwerkingsverantwoordelijke 5,
aangezien zij zowel de keuze van de mailprovider als de samenstelling van het e-mailadres
bepaalt. Daarnaast stelt zij het doel van de verwerking vast, namelijk het mogelijk maken van
communicatie van de medewerker met interne en externe contacten in naam van de
organisatie.
17. Gezien een gepersonaliseerd professioneel e-mailadres de voor- en achternaam van de
medewerker bevat, maakt dit een directe identificatie van de betrokkene mogelijk. Bijgevolg
is niet alleen het e-mailadres zelf, maar zijn ook alle gegevens die er rechtstreeks aan gelinkt
zijn (i.e. de inhoud van de mailbox) persoonsgegevens in de zin van artikel 4.1) AVG. In de
mailbox gekoppeld aan het professionele e-mailadres van een medewerker worden
inderdaad tal van werkgerelateerde persoonsgegevens verzameld en opgeslagen. Zo kan
de mailbox bijvoorbeeld informatie bevatten over wanneer de medewerker verlof aanvraagt
of zich ziek meldt, welke opleidingen de medewerker heeft gevolgd of wil volgen, de visie
van de medewerker op een bepaalde werkgerelateerde problematiek, eventuele
communicatie met de vakbond, informatie over afspraken met de vertrouwenspersoon op
de werkvloer, enzovoort.
18. Daarnaast heeft het Europees Hof voor de Rechten van de Mens (hierna, ‘EHRM’) in de
Bărbulescu-zaak geoordeeld dat “communicatie vanuit zowel bedrijfsruimten als vanuit de
woning kan onder de begrippen ‘privéleven’ en ‘correspondentie’ vallen in de zin van artikel
5
Cf. Artikel 4.7) AVG
Beslissing ten gronde 86/2026 – 6/31
8 van het Verdrag”6 en dat “instructies van een werkgever kunnen het privé sociaal leven op
de werkvloer niet tot nul herleiden. Het recht op eerbiediging van het privéleven en van de
vertrouwelijkheid van correspondentie blijft bestaan […]”7. Dit bevestigt dat een werknemer
ook op de werkvloer het recht behoudt op een privéleven en op het aangaan van sociale
contacten binnen de privésfeer. Het gevolg is dat een mailbox gelinkt aan een
gepersonaliseerd e-mailadres niet alleen werkgerelateerde persoonsgegevens bevat, maar
ook persoonsgegevens van privé-aard kan omvatten, zoals bijvoorbeeld persoonlijke
communicatie met collega’s, dringende berichten van een partner of familieleden, maar ook
persoonlijke communicatie of afspraken met derden, zoals met een autogarage, een
bankinstelling of nutsbedrijven.
19. Het staat derhalve buiten kijf dat het e-mailadres van een werknemer en de informatie in de
daaraan gekoppelde mailbox persoonsgegevens vormen in de zin van artikel 4.1) van de
AVG, aangezien deze gegevens werkgerelateerde en persoonlijke informatie omvatten over
een geïdentificeerde natuurlijke persoon. Het staat daarnaast evenzeer vast dat het
verzamelen van persoonsgegevens in een mailbox, en het naderhand bewaren en
raadplegen van die mailbox een “verwerking” van persoonsgegevens is die een
rechtsgrondslag behoeft.8
b. Algemeen – de rechtsgrond voor de verwerking van persoonsgegevens in het
kader van professionele mailboxen
20. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een
rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of
doorgaan met een gegevensverwerking zonder zich te beroepen op één van de
rechtmatigheidscriteria opgesomd in artikel 6.1 AVG9, dat de concretisering vormt van het
rechtmatigheidsbeginsel als bedoeld in artikel 5.1.a) AVG.
6
Eigen vertaling, EHRM (Grote Kamer) 5 september 2027, 61496/08, ECLI:CE:ECHR:2017:0905JUD006149608,
‘Bărbulescu/Roemenië’, §73: “communications from business premises as well as from the home may be covered by the
notions of ‘private life’ and ‘correspondence’ within the meaning of Article 8 of the Convention.”.
7
Eigen vertaling, EHRM (Grote Kamer) 5 september 2027, 61496/08, ECLI:CE:ECHR:2017:0905JUD006149608,
‘Bărbulescu/Roemenië’, §80: “an employer’s instructions cannot reduce private social life in the workplace to zero. Respect for
private life and for privacy of correspondence continues to exist […].”
8
Cf. Artikel 4.2) AVG juncto artikel 6 AVG
9
Artikel 6 AVG
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke
doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek
van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te
beschermen;
Beslissing ten gronde 86/2026 – 7/31
21. De Geschillenkamer beschouwt het gebruik van een gepersonaliseerd professioneel e-
mailadres, alsmede de verwerking van de daaraan gekoppelde persoonsgegevens, als een
wezenlijk onderdeel van de professionele activiteiten van de werknemer. Deze verwerking
wordt derhalve gedurende de duur van de tewerkstelling noodzakelijk geacht voor de
uitvoering van de arbeidsovereenkomst, in overeenstemming met artikel 6.1.b) AVG. Bij
beëindiging van de arbeidsovereenkomst vervalt evenwel de rechtsgrondslag voor de
verdere verwerking van persoonsgegevens in de mailbox van de werknemer. Het is om die
reden dat de Geschillenkamer reeds in eerdere beslissingen10 heeft geoordeeld dat een
werkgever in principe het e-mailadres en de mailbox van een werknemer dient af te sluiten
op het ogenblik van zijn uitdiensttreding. Het is tevens om die reden dat het Comité van
Ministers van de Raad van Europa reeds in 2015 heeft aanbevolen dat de onderneming bij
vertrek van een werknemer de nodige technische en organisatorische maatregelen moet
nemen om de mailbox van de werknemer automatisch te deactiveren en dat eventuele
bedrijfsnoodzakelijke informatie uit de mailbox moet worden gehaald vóór het vertrek van
de werknemer en, wanneer mogelijk, in zijn aanwezigheid.11
22. De Geschillenkamer heeft reeds in het verleden aanvaard 12 dat de onderneming de
persoonsgegevens in de mailbox van de betrokken medewerker nog beperkt kan verder
verwerken op basis van gerechtvaardigd belang, conform artikel 6.1.f) AVG. Dit belang
bestaat erin de correspondenten van de vertrokken medewerker te kunnen informeren dat
deze niet meer werkzaam is voor de onderneming, hetgeen kan gebeuren door het instellen
van een automatisch antwoordbericht op het betrokken e-mailadres. Dit automatisch
bericht is tevens bedoeld om de contactgegevens te vermelden van de persoon die in plaats
van de betrokkene kan worden gecontacteerd. Het belang geldt tevens voor de vertrokken
werknemer zelf, aangezien zijn persoonlijke contacten eveneens van dit vertrek op de
hoogte worden gebracht en dus kunnen stoppen met het delen van hun eigen
persoonsgegevens via het e-mailadres van de vertrokken medewerker op het domein van
zijn werkgever.
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met
name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken
10
Zei o.a. beslissing 64/2020 van 29 september 2020, beslissing 133/2021 van 2 december 2021, beslissing 138/2024 van 19
november 2024, beslissing 134/2025 van 21 augustus 2025, beslissing 01/2026 van 6 januari 2026.
11
Committee of Ministers, 1 april 2015 , Recommendation to Member States on the processing of personal data in the context
of employment, CM/Rec(2015)5, §14.5: “On an employee’s departure from an organisation, the employer should take the
necessary organisational and technical measures to automatically deactivate the employee’s electronic messaging account.
If employers need to recover the contents of an employee’s account for the efficient running of the organisation, they should
do so before his or her departure and, when feasible, in his or her presence.”
12
Zie o.a. beslissing 113/2025 van 1 juli 2025, beslissing 158/2025 van 7 oktober 2025, beslissing 01/2026 van 6 januari 2026.
Beslissing ten gronde 86/2026 – 8/31
23. De Geschillenkamer benadrukt dat dit gerechtvaardigd belang zich niet uitstrekt tot het
raadplegen van de mailbox van de vertrokken werknemer om deze te doorzoeken op
bedrijfsnoodzakelijke of bedrijfsnuttige informatie. Indien blijkt dat er na het vertrek van de
werknemer nog steeds informatie in de mailbox aanwezig is die de werkgever nodig heeft,
dan kan deze informatie enkel worden gerecupereerd mits toestemming van de vertrokken
werknemer, en bij voorkeur in diens aanwezigheid. Het moge duidelijk zijn dat het in het
belang van de bedrijfsvoering van de onderneming is om zo snel mogelijk cruciale,
professionele informatie uit persoonlijke mailboxen te halen en te bewaren op bedrijfseigen
structuren en duidelijke afspraken met de werknemer te maken vóór zijn vertrek.
24. Daarnaast benadrukt de Geschillenkamer dat het gerechtvaardigd belang om de mailbox
van een vertrokken werknemer verder te verwerken zich evenmin uitstrekt voor
onbepaalde duur. De Geschillenkamer heeft reeds in eerdere beslissingen 13 aanvaard dat
een dergelijke maatregel voor één maand lang kan worden aangehouden. Deze periode zou
voldoende moeten zijn om de correspondenten van de vertrokken werknemer te informeren
over diens vertrek, alsook om een passend alternatief aanspreekpunt aan te duiden
teneinde de continuïteit van de communicatie tussen de correspondent en de onderneming
te waarborgen. Deze termijn is verlengbaar met maximaal 2 maanden indien hier een
noodzaak toe bestaat. De verlenging moet echter aangetoond worden met een bijkomende
belangenafweging aangezien het belang van de onderneming om de mailbox van een
vertrokken werknemer te bewaren in principe afneemt met de tijd. Een dergelijke verlenging
zou als gerechtvaardigd kunnen worden beschouwd indien bijvoorbeeld kan worden
aangetoond dat de vertrokken werknemer een grote verantwoordelijkheid binnen het
bedrijf uitoefende. De Geschillenkamer aanvaardt in principe geen termijn die langer is dan
in totaal 3 maanden, aangezien zij er van uitgaat dat de belangen van de vertrokken
werknemer na die overgangsperiode primeren op de belangen van de onderneming. De
Geschillenkamer houdt hierbij in de belangenafweging ook rekening met het feit dat de
vertrokken werknemer vanaf zijn vertrek geen enkele controle meer heeft over de
persoonsgegevens opgenomen in deze mailbox.
25. Na afloop van deze beperkte periode van verdere verwerking dienen zowel het e-mailadres
als de bijhorende mailbox definitief te worden verwijderd, zowel uit de operationele
systemen van de onderneming als uit haar back-upomgevingen. Gelet op de huidige stand
van de techniek, die toelaat dergelijke processen volledig automatisch te laten verlopen,
verdient deze aanpak de voorkeur om het risico op menselijke fouten tot een minimum te
beperken.
13
Zie o.a. beslissing 113/2025 van 1 juli 2025, beslissing 158/2025 van 7 oktober 2025, beslissing 01/2026 van 6 januari 2026.
Beslissing ten gronde 86/2026 – 9/31
c. Toepassing van de geldende regels op onderhavig geval
26. De Geschillenkamer stelt vast dat de verweerder het e-mailadres en de mailbox van de
klager op het moment van zijn uitdiensttreding in juni 2021 niet heeft gewist, noch heeft
gedeactiveerd. Gelet op stukken 5 en 6 in de stukkenbundel van de verweerder, stelt de
Geschillenkamer vast dat de verweerder het e-mailadres en de mailbox van de klager
minstens tot 19 april 2023 heeft bewaard en actief heeft gehouden. Zoals de verweerder
zelf aangeeft, heeft zij zich gedurende die periode gebeurlijk toegang verschaft tot de
mailbox van de klager.14 Uit de stukken zoals toegevoegd aan het klachtenformulier blijkt
bovendien dat de verweerder zich tevens toegang heeft verschaft tot privécommunicatie
bedoeld voor de klager die ontvangen werd op het betreffende e-mailadres na diens
uitdiensttreding.15
27. Daarnaast toont de verweerder niet aan dat zij op het moment van het vertrek van de klager
een automatisch antwoordbericht op diens e-mailadres heeft geïnstalleerd, hetgeen een
bewaring en het actief houden van het e-mailadres voor een beperkte periode (i.e. maximaal
3 maanden) had kunnen rechtvaardigen. De bewijsstukken zoals aangeleverd door de
verweerder bevatten enkel een automatisch antwoordbericht verstuurd vanuit het
betrokken e-mailadres op 19 april 2023, i.e. ná de datum waarop de conclusiebrief werd
ontvangen.16 De Geschillenkamer oordeelt derhalve dat de verweerder hiermee niet bewijst
dat een automatisch antwoordbericht werd ingesteld uiterlijk op de werkdag volgend op het
vertrek van de klager. Daarnaast blijkt uit de stukken dat dezelfde schuldeiser de klager op
twee verschillende momenten heeft proberen contacteren via het oude e-mailadres: een
eerste keer op 28 april 2022 en een tweede keer op 20 januari 2023. Hieruit lijkt het voor de
Geschillenkamer aannemelijk dat deze correspondent, minstens op 28 april 2022, niet via
een automatisch bericht werd geïnformeerd over het feit dat de klager niet meer op dat e-
mailadres kon worden gecontacteerd.
28. Zoals uitgebreider besproken in punten 10 tot 12 van onderhavige beslissing, stelt de
Geschillenkamer vast dat de verweerder aanvoert dat zij, op basis van haar gerechtvaardigd
belang, het e-mailadres en de mailbox van de klager tot 3 jaar na zijn uitdiensttreding kan
bewaren en consulteren, hetgeen zij heeft opgenomen in een privacybeleid toegevoegd aan
het arbeidscontract van de klager. Deze bewaartermijn zou gerechtvaardigd zijn gelet op het
belang van de verweerder om wettelijke verjaringstermijnen en fiscale controletermijnen na
te leven, alsook om zich te kunnen verantwoorden tegenover cliënten en toezichthouders.
De Geschillenkamer stelt aldus vast dat de verweerder zich beroept op artikel 6.1.f) AVG
14
Syntheseconclusie verweerder dd. 2 juni 2023, p. 3
15
Stukken 1, 2 en 4 zoals toegevoegd aan het klachtenformulier dd. 24 januari 2023.
16
Stuk 6 in de stukkenbundel van de verweerder.
Beslissing ten gronde 86/2026 – 10/31
voor het bewaren en consulteren van het e-mailadres en bijhorende mailbox van de klager
voor de periode na diens uitdiensttreding.
29. Overeenkomstig de rechtspraak van het Hof van Justitie 17 van de Europese Unie (en zoals
uitgelegd in de richtsnoeren van de EDPB18) dient aan drie cumulatieve voorwaarden te zijn
voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op artikel
6.1.f) AVG. De verweerder moet daarom kunnen aantonen dat:
1) de belangen die zij met de verwerking nastreeft als gerechtvaardigd kunnen worden
erkend (de “doeltoets”);
2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de
“noodzakelijkheidstoets”); en
3) de afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en
grondrechten van betrokkenen doorweegt in het voordeel van de
verwerkingsverantwoordelijke of van een derde (de “afwegingstoets”).
30. Inzake de doeltoets herinnert de Geschillenkamer eraan dat de AVG en de rechtspraak een
breed scala aan belangen als gerechtvaardigd erkennen. Het belang dat de
verwerkingsverantwoordelijke met de verwerking nastreeft kan aangemerkt worden als
“gerechtvaardigd” indien dat belang wettig is, duidelijk en concreet omschreven is, en ten
slotte reëel en actueel is op het moment van de verwerking. 19 Aangezien het naleven van
wettelijke verjaringstermijnen en fiscale controletermijnen en de verantwoording ten
aanzien van cliënten en toezichthouders aan bovenvermelde criteria voldoen, oordeelt de
Geschillenkamer dat het belang van de verweerder gerechtvaardigd is, en dat dus aan de
doeltoets is voldaan. Voor wat betreft het consulteren van privécommunicatie van de
klager oordeelt de Geschillenkamer echter dat niet werd voldaan aan de doeltoets.
Dergelijke consultatie is, bij ontstentenis van de toestemming van de betrokkene, met name
onwettig gelet op de omzetting van de ePrivacy-Richtlijn naar Belgisch recht20 en bovendien
strafbaar gesteld in het Belgisch Strafwetboek 21.
17
HvJEU, 4 oktober 2024, Koninklijke Nederlandse Lawn Tennisbond t. Autoriteit Persoonsgegevens, C-621-22, §§47-56;
HvJEU, 4 mei 2017, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas
satiksme” , C-13/16, § 28. Zie ook HvJEU, 11 december 2019, TK t/ Asociaţia de Proprietari bloc M5AScaraA, C-708/18, § 40.
18
EDPB, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR – Version 1.0, 8 oktober 2024
19
EDPB, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR – Version 1.0, 8 oktober 2024, para.
14-18
20
Wet van 13 juni 2005 betreffende de elektronische communicatie, B.S. 20 juni 2005, nr. 28070: “Art. 124. Indien men daartoe
geen toestemming heeft gekregen van alle andere, direct of indirect betrokken personen, mag niemand: 1° met opzet kennis
nemen van het bestaan van informatie van alle aard die via elektronische weg is verstuurd en die niet persoonlijk voor hem
bestemd is; [… ]’.
21
Art. 314bis Sw.: Ҥ1. Met [gevangenisstraf van zes maanden tot twee jaar] en met geldboete van tweehonderd [euro] tot
tienduizend [euro] of met een van die straffen alleen wordt gestraft hij die:
1° [ofwel, opzettelijk, met behulp van enig toestel niet voor publiek toegankelijke communicatie, waaraan hij niet deelneemt,
onderschept of doet onderscheppen, er kennis van neemt of doet van nemen, opneemt of doet opnemen, zonder de
toestemming van alle deelnemers aan die communicatie;]
Beslissing ten gronde 86/2026 – 11/31
31. De noodzakelijkheidstoets houdt in dat de verweerder moet kunnen aantonen dat de
verwerking van persoonsgegevens “noodzakelijk” is om haar nagestreefde belangen te
bereiken. De Geschillenkamer wijst erop dat het begrip “noodzakelijkheid” in het Unierecht
een autonome betekenis kent die moet worden uitgelegd op een wijze die de doelstellingen
van de AVG weerspiegelt.22 In dat verband dient te worden opgemerkt dat de verwerking
niet louter “nuttig” mag zijn om het nagestreefde belang te bereiken. Bij de beoordeling of
een verwerking “noodzakelijk” is, moet worden nagegaan of het nagestreefde
gerechtvaardigde belang in de praktijk niet op een even doeltreffende wijze kan worden
bereikt met middelen die in mindere mate afbreuk doen aan de fundamentele rechten en
vrijheden van betrokkenen. Bestaan er redelijke, even doeltreffende maar minder
ingrijpende alternatieven, dan kan de verwerking niet als noodzakelijk worden aangemerkt. 23
32. De Geschillenkamer stelt vast dat de verweerder op geen enkele wijze motiveert waarom
het bewaren van het e-mailadres en de mailbox van de klager gedurende maximaal drie jaar,
zoals voorzien in haar standaardbeleid, strikt noodzakelijk zou zijn voor de behartiging van
de voornoemde belangen. Zij is met name van oordeel dat de verweerder wettelijke
verjaringstermijnen, fiscale controletermijnen en haar verantwoordingsplicht ten aanzien
van cliënten en toezichthouders kan naleven zonder het e-mailadres en de volledige mailbox
van de klager gedurende een dergelijke termijn te bewaren. De Geschillenkamer oordeelt
dat het openhouden van het e-mailadres of het bewaren van de mailbox van een werknemer
niet kan dienen als vervanging voor een deugdelijk dossier- of archiveringssysteem. Zoals
reeds gesteld in punt 23 hierboven, wijst de Geschillenkamer erop dat de
bedrijfsnoodzakelijke informatie op een passende wijze uit de mailbox van de klager moest
worden gehaald vóór het einde van de arbeidsovereenkomst. Dit zou de verweerder in staat
hebben gesteld de relevante communicatie en documentatie over te brengen naar de
betrokken dossiers in het daartoe bestemde archiefsysteem, in plaats van de volledige
mailbox van de klager gedurende een vooraf bepaalde periode van drie jaar te bewaren en
actief te houden.
33. De Geschillenkamer oordeelt dat, gelet op het feit dat er redelijkerwijs andere middelen
bestaan om de belangen van de verweerder te behartigen die minder ingrijpend zijn voor de
fundamentele rechten en vrijheden van de klager, de verwerking zoals uitgevoerd door de
[…]
§ 2 Met [gevangenisstraf van zes maanden tot drie jaar] en met geldboete van vijfhonderd euro tot twintigduizend euro of met
een van die straffen alleen wordt gestraft hij, die wetens de inhoud van niet voor publiek toegankelijke communicatie of
gegevens van een informaticasysteem die onwettig onderschept of opgenomen zijn of waarvan onwettig kennis genomen is,
onder zich houdt, aan een andere persoon onthult of verspreidt, of wetens enig gebruik maakt van een op die manier verkregen
inlichting.
[…]”
22
HvJEU, 16 december 2008, Heinz Huber t. Bundesrepublik Deutschland, C-524/07, §52
23
HvJEU, 4 juli 2023, Meta t. Bundeskartellamt, C-252/21, para. 108; EDPB, Guidelines 1/2024 on processing of personal data
based on Article 6(1)(f) GDPR – Version 1.0, 8 oktober 2024, para. 29
Beslissing ten gronde 86/2026 – 12/31
verweerder verder gaat dan wat strikt noodzakelijk is. De Geschillenkamer herhaalt dat het
bewaren en actief houden van het professionele e-mailadres en bijhorende mailbox van een
voormalige werknemer slechts kan steunen op artikel 6.1.f) indien het gerechtvaardigd
belang van de verwerkingsverantwoordelijke erin bestaat de correspondenten van de
vertrokken medewerker te informeren dat deze niet meer werkzaam is voor de
onderneming. Dit kan gebeuren door een automatisch antwoordbericht op het betrokken e-
mailadres in te stellen voor een periode van maximaal 3 maanden. De verwerking kan
derhalve niet steunen op artikel 6.1.f) AVG indien de verwerkingsverantwoordelijke de
mailbox wil bewaren en consulteren met het oog op verzamelen of overzetten van
bedrijfsnoodzakelijke informatie, gezien zij in staat moet zijn dit te realiseren vóór het
vertrek van de werknemer, en liefst in diens aanwezigheid. Daarnaast stelt de
Geschillenkamer vast dat de mailbox van de klager niet alleen onnodig lang werd bewaard,
maar ook dat de verweerder gedurende die periode zich toegang heeft verschaft tot
inkomende privécommunicatie bedoeld voor de klager, hetgeen in geen geval kan worden
beschouwd als noodzakelijk voor de behartiging van haar gerechtvaardigd belang. De
Geschillenkamer oordeelt derhalve dat niet werd voldaan aan de noodzakelijkheidstoets
ex artikel 6.1.f) AVG.
34. Aangezien de drie voorwaarden waaraan moet worden voldaan opdat een
verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op artikel 6.1.f) AVG
cumulatief zijn, en aangezien de noodzakelijkheid van de verwerkingen in casu niet werd
aangetoond, oordeelt de Geschillenkamer dat de verweerder zich niet kan baseren op het
aangevoerde gerechtvaardigd belang.
35. Daarnaast oordeelt de Geschillenkamer dat de verweerder voor de litigieuze
verwerkingen ook niet kon steunen op artikel 6.1.a) AVG, aangezien de ondertekening van
het arbeidscontract door de klager niet kan gelden als een geldige toestemming in de zin
van artikel 4.11) en 7 AVG. In dit verband wijst Geschillenkamer in het bijzonder op
overweging 43 AVG, die preciseert dat de toestemming wordt verondersteld niet vrijelijk te
zijn gegeven indien er sprake is van een duidelijke wanverhouding tussen de betrokkene en
de verwerkingsverantwoordelijke. De Geschillenkamer oordeelt dat de relatie tussen een
werknemer en zijn werkgever, zoals in casu het geval was, een zodanige duidelijke
wanverhouding betreft. Hieruit volgt dat een werknemer bij de ondertekening van het
arbeidscontract, i.e. aan het begin van zijn tewerkstelling, geen vrije en geïnformeerde
toestemming kan geven voor de verwerking van zijn mailbox na de beëindiging van de
arbeidsovereenkomst.
36. Bovendien geeft het privacybeleid zoals toegevoegd aan het arbeidscontract van de klager
duidelijk aan dat verwerkingen inzake “e-mailing” steunen op het gerechtvaardigd belang,
en niet op toestemming. De loutere ondertekening van het arbeidscontract kan in dat geval
Beslissing ten gronde 86/2026 – 13/31
onmogelijk worden gezien als een vrije, geïnformeerde en ondubbelzinnige toestemming in
de zin van artikel 4.11) en 7 AVG.
37. Aangezien de verweerder overigens niet over een andere verwerkingsgrond beschikt om
het e-mailadres en de mailbox van de klager te bewaren of anderszins te verwerken na diens
uitdiensttreding, stelt de Geschillenkamer een inbreuk vast op de artikel 5.1.a) juncto
artikel 6.1. AVG.
II.3. Betreft de vermeende schendingen op artikel 5.1.b), c) en e) en artikel 13.1.c) AVG.
38. Aangezien de verwerking van persoonsgegevens van de klager niet rechtmatig was en
bijgevolg niet mocht plaatsvinden, alsook het feit dat met name het beginsel van minimale
gegevensverwerking in rekening wordt genomen voor de noodzakelijkheidstoets ex artikel
6.1.f) AVG, zal de Geschillenkamer niet meer ingaan op de beoordeling van de andere
beginselen die werden aangehaald in de uitnodiging tot conclusies, i.e. het beginsel van
doelbinding (artikel 5.1.b) AVG) en opslagbeperking (artikel 5.1.e) AVG). Om dezelfde reden
acht de Geschillenkamer het niet opportuun om verder in te gaan op de beoordeling van een
schending van artikel 13.1.c) AVG.
II.4. Het recht op gegevenswissing van de klager (artikel 17.1 AVG en artikel 12, lid 2 en 3
AVG)
Standpunt van de verweerder
39. In haar syntheseconclusie legt de verweerder uit dat de klager akkoord is gegaan met de
verwerking van zijn persoonsgegevens en ook al eerder op de hoogte was van het feit dat
zijn mailbox nog werd bewaard. Toch heeft de klager pas op 20 januari 2023 gevraagd om
zijn oude e-mailadres te laten blokkeren.
40. Daarnaast benadrukt de verweerder dat de klager noch in zijn e-mail van 20 januari 2023,
noch in zijn klachtenformulier heeft aangegeven op basis van welke redenen hij
overeenkomstig artikel 17 AVG van oordeel is dat zijn e-mailaccount onmiddellijk diende
stopgezet te worden en het gerechtvaardigde belang van de verweerder zonder meer
terzijde moet worden geschoven.
Oordeel van de Geschillenkamer
41. De Geschillenkamer stelt vast dat de verweerder op 20 januari 2023 een e-mail ontving op
het voormalige e-mailadres van de klager, waarin een derde de klager informeerde over een
verschuldigde betaling. Aangezien deze e-mail kennelijk bestemd was voor de klager, besluit
de verweerder de e-mail door te sturen naar de klager en verzoekt zij de klager om zijn e-
Beslissing ten gronde 86/2026 – 14/31
mailadres bij de afzender te laten aanpassen. De klager antwoordde op 20 januari 2023 als
volgt: “[…] Ik heb dit reeds gecommuniceerd aan [naam afzender]. Ik begrijp niet waarom dit
bericht bij jullie terechtkomt. Ik vraag me af waarom mijn e-mailadres nog steeds als actief
staat geregistreerd bij [naam verweerder]. Kunnen jullie dit e-mailadres laten blokkeren?
[…]”. De Geschillenkamer stelt vast dat de klager op 20 februari 2023 de Eerstelijnsdienst
informeert over het feit dat hij geen antwoord ontving op zijn verzoek krachtens artikel 17
AVG.
42. De Geschillenkamer wijst op artikel 17.1.a) AVG, dat bepaalt dat elke betrokkene het recht
heeft van de verwerkingsverantwoordelijke wissing van de hem betreffende
persoonsgegevens te verkrijgen indien zij niet langer nodig zijn voor de doeleinden waarvoor
zij werden verzameld of anderszins verwerkt. Overeenkomstig artikel 17.1.d) AVG geldt
hetzelfde voor persoonsgegevens die onrechtmatig verwerkt zijn. De
verwerkingsverantwoordelijke is in deze gevallen verplicht zonder onredelijke vertraging
deze persoonsgegevens te wissen. De Geschillenkamer wijst erop dat een verzoek om
gegevenswissing onder artikel 17 niet onderhevig is aan enige vormvereiste en de
betrokkene zijn verzoek niet hoeft te motiveren. Het opleggen van een motiveringsplicht
aan de betrokkene zou immers in strijd zijn met artikel 12.2 AVG, dat bepaalt dat de
verwerkingsverantwoordelijke het verzoek om uitoefening van rechten van de betrokkene
moet faciliteren. Het is bovendien de taak van de verwerkingsverantwoordelijke om, op het
moment van ontvangst van een verzoek om gegevenswissing, na te gaan of één of
meerdere verwijderingsgronden uit artikel 17.1 AVG van toepassing zijn. Overigens bestaat
er geen verplichting in hoofde van de betrokkene om binnen een bepaalde termijn zijn of
haar recht op gegevenswissing uit te oefenen, waardoor de in punt 39 aangehaalde
opmerking irrelevant is.
43. Daarnaast verplicht artikel 12.3 AVG de verwerkingsverantwoordelijke om onverwijld en in
ieder geval binnen een maand na ontvangst van het verzoek krachtens artikel 17 informatie
te verstrekken aan de betrokkene over het gevolg dat aan het verzoek is gegeven.
Afhankelijk van de complexiteit van het verzoek kan die termijn maximaal met twee
maanden verlengd worden. De verwerkingsverantwoordelijke stelt de betrokkene binnen
één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. De
Geschillenkamer wijst de verweerder erop dat, indien zij van mening was dat geen gevolg
moest gegeven worden aan het verzoek van de klager, zij tevens gehouden is om de klager
hierover te informeren binnen één maand na ontvangst van het verzoek, tezamen met de
redenen waarom het verzoek zonder gevolg is gebleven (artikel 12.4 AVG).
44. Gelet op voorgaande en op het feit dat de klager overeenkomstig artikel 17.1.a) en d) AVG
het recht had op wissing van de hem betreffende persoonsgegevens, oordeelt de
Geschillenkamer dat werd aangetoond dat de verweerder artikel 17 AVG heeft
Beslissing ten gronde 86/2026 – 15/31
geschonden. Bovendien heeft de verweerder het verzoek van de klager niet gefaciliteerd
en heeft zij de klager niet binnen de maand geïnformeerd over het gevolg dat zij aan het
verzoek heeft gegeven, waardoor de Geschillenkamer tevens een inbreuk op artikel 12.2
en 12.3 AVG vaststelt.
II.5. Wat betreft de verantwoordingsplicht en het treffen van passende en
organisatorische maatregelen (artikel 5.2 AVG, 24.1 AVG en 25.1 AVG).
Standpunt van de verweerder
45. De verweerder voert aan dat zij ingevolge de klacht van de klager voornemens is de
volgende maatregelen te nemen, dewelke zij ook in het arbeidsreglement zal
implementeren:
- ‘’Het ontvangen, verzenden en consulteren van e-mails buiten het kader van de
tewerkstelling (dus voor privédoeleinden) bij concludente zal nog louter via de
browser worden toegestaan en niet meer via de mailbox met extensie […];
- Op de eerstvolgende werkdag na de laatste dag van tewerkstelling bij concludente
zal er hoe dan ook een automatisch antwoord op de mailbox van de werknemer die
het kantoor verlaat worden geïnstalleerd;
- Aan de vertrekkende werknemer/subcontractor zal zijn instemming gevraagd
worden om in het kader van het gerechtvaardigd belang de mailbox nog gedurende
een beperkte tijd op te volgen;
- Aan de vertrekkende werknemer/subcontractor zal conform bijlage 8 van het
arbeidsreglement ook zijn instemming gevraagd worden om in het kader van het
gerechtvaardigd belang de (bijlagen bij) e-mails gedurende een zekere termijn te
bewaren.”
46. De verweerder zal daarnaast met haar beroepsinstituut, het Institute for Tax Advisors &
Accountants, overleg plegen teneinde duidelijke richtlijnen of gedragscodes te verkrijgen
aangaande de verwerking van persoonsgegevens van ex-werknemers.
47. Tot slot voert de verweerder aan dat zij intussen een nieuw document24 heeft opgesteld
welke zij in de toekomst als leidraad zal aanwenden ingeval van vertrek van een werknemer
waarmee de samenwerking wordt stopgezet.
24
Stuk 18 in de stukkenbundel van de verweerder.
Beslissing ten gronde 86/2026 – 16/31
Oordeel van de Geschillenkamer
48. De Geschillenkamer wijst op de in artikel 5.2 AVG neergelegde verantwoordingsplicht,
waaruit volgt dat iedere verwerkingsverantwoordelijke verantwoordelijk is voor de naleving
van de beginselen inzake gegevensbescherming en die naleving ook moet kunnen
aantonen. Deze verantwoordingsplicht vindt onder meer haar concretisering in artikel 24.1
en 25.1 AVG. Deze artikelen verplichten de verwerkingsverantwoordelijke om passende
technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen
aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd (artikel 24.1
AVG), alsook dat de gegevensbeschermingsbeginselen, zoals minimale
gegevensverwerking, op een doeltreffende manier worden uitgevoerd en de nodige
waarborgen in de verwerking worden ingebouwd met het oog op de naleving van de AVG
(artikel 25.1 AVG).
49. De Geschillenkamer stelt vast dat de verweerder een beleid heeft gehanteerd waarbij zij
stelselmatig het e-mailadres en de mailbox van werknemers voor maximaal 3 jaar actief
houdt en de inhoud ervan bewaart, en indien zij dit nodig acht, raadpleegt. De
Geschillenkamer heeft geoordeeld dat zulks geen rechtmatige rechtsgrondslag heeft. Zij
heeft er tevens op gewezen dat het raadplegen van privécommunicatie van de klager wijst
op een inbreuk op artikel 124 van de wet betreffende de elektronische communicatie 25 en
artikel 314bis van het Strafwetboek26.
50. De Geschillenkamer oordeelt dat de verweerder bijgevolg niet aantoont dat zij de passende
technische en organisatorische maatregelen heeft genomen met betrekking tot de
verwerkingen die in dit geschil aan de orde zijn. De Geschillenkamer wijst de verweerder
erop dat zij maatregelen dient te nemen die het mogelijk maken om, vóór het vertrek van de
werknemer en indien mogelijk in zijn aanwezigheid, de bedrijfsnoodzakelijke informatie uit
de persoonlijke mailbox van de werknemer te halen zodat deze kunnen worden opgeslagen
in de bedrijfseigen structuren van de verweerder, waarna het e-mailadres en de mailbox van
25
Wet van 13 juni 2005 betreffende de elektronische communicatie, B.S. 20 juni 2005, nr. 28070: “Art. 124. Indien men daartoe
geen toestemming heeft gekregen van alle andere, direct of indirect betrokken personen, mag niemand: 1° met opzet kennis
nemen van het bestaan van informatie van alle aard die via elektronische weg is verstuurd en die niet persoonlijk voor hem
bestemd is; [… ]’.
26
Art. 314bis Sw.: Ҥ1. Met [gevangenisstraf van zes maanden tot twee jaar] en met geldboete van tweehonderd [euro] tot
tienduizend [euro] of met een van die straffen alleen wordt gestraft hij die:
1° [ofwel, opzettelijk, met behulp van enig toestel niet voor publiek toegankelijke communicatie, waaraan hij niet deelneemt,
onderschept of doet onderscheppen, er kennis van neemt of doet van nemen, opneemt of doet opnemen, zonder de
toestemming van alle deelnemers aan die communicatie;]
[…]
§ 2 Met [gevangenisstraf van zes maanden tot drie jaar] en met geldboete van vijfhonderd euro tot twintigduizend euro of met
een van die straffen alleen wordt gestraft hij, die wetens de inhoud van niet voor publiek toegankelijke communicatie of
gegevens van een informaticasysteem die onwettig onderschept of opgenomen zijn of waarvan onwettig kennis genomen is,
onder zich houdt, aan een andere persoon onthult of verspreidt, of wetens enig gebruik maakt van een op die manier verkregen
inlichting.
[…]”
Beslissing ten gronde 86/2026 – 17/31
de vertrekkende werknemer, bij voorkeur op automatische wijze, definitief worden
verwijderd.
51. Daarnaast stelt de Geschillenkamer vast dat de verweerder niet aantoont welke technische
en organisatorische maatregelen zijn getroffen om te kunnen waarborgen dat gevolg wordt
gegeven aan verzoeken tot gegevenswissing van betrokkenen, en in het bijzonder die van
de klager, binnen de door de AVG vastgestelde termijnen.
52. Gelet op voorgaande, besluit de Geschillenkamer dat de verweerder een inbreuk pleegde
op de artikelen 5.2, 24.1 en 25.1 van de AVG.
53. De Geschillenkamer benut de gelegenheid om de door de verweerder voorgenomen
maatregelen te beoordelen, inclusief het door de verweerder opgestelde document 27, die zij
als leidraad zal gebruiken voor toekomstige verwerkingen van persoonsgegeven van ex-
werknemers. Aangezien dit document geen deel uit maakt van hetgeen aan de verweerder
is ten laste gelegd, geschiedt deze beoordeling louter ten overvloede.
54. De Geschillenkamer stelt vast dat het voormelde document een in te vullen
modelovereenkomst omvat, bestemd voor ondertekening door de werknemer. Daarin zijn
de volgende bepalingen opgenomen:
" 1. Werknemer X heeft gedurende zijn tewerkstelling bij de Vennootschap gebruik
gemaakt van een in regel zuiver professionele mailbox.
" 2. Werknemer X bevestigt dat, voor zover hij zijn mailbox toch occasioneel heeft
gebruikt voor het versturen of ontvangen van eventuele privé e-mails of é-mails met
een private inhoud, hij alle persoonlijke inhoud van zijn mailbox, heeft kunnen
recupereren en dat de Vennootschap zodoende niet meer kan interfereren in
eventuele privé e-mails of é-mails met een private inhoud. ”
55. De Geschillenkamer benadrukt nogmaals dat het de verantwoordelijkheid is van de
werkgever om, als verwerkingsverantwoordelijke, passende technische en
organisatorische maatregelen te treffen die waarborgen dat persoonsgegevens van de
werknemer na diens uitdiensttreding niet onrechtmatig verder worden verwerkt. Deze
verantwoordelijkheid kan niet worden afgewenteld op de betrokkene door hem
contractueel te verplichten zijn eigen persoonsgegevens uit de mailbox te verwijderen, dan
wel deze mailbox uitsluitend voor professionele activiteiten te gebruiken.
56. Overigens bepaalt voornoemde modelovereenkomst:
" 5. Gelet op de graad van verantwoordelijkheid die werknemer X had, de aard van de
door hem uitgevoerde arbeidsprestaties in rechtstreeks contact en communicatie
met de klanten en de door deze laatsten aan hem verstrekte financiële en fiscale
27
Stuk 18 in de stukkenbundel van de verweerder.
Beslissing ten gronde 86/2026 – 18/31
gegevens alsook rekening gehouden met de verplichte bewaartermijnen die zijn
voorgeschreven door de dwingende fiscale en andere wetgevingen gaat werknemer
X er uitdrukkelijk mee akkoord om de termijn voor het aanhouden en het bewaren
van de professionele informatie en de hieraan gerelateerde documenten ontvangen
in zijn mailbox te verlengen tot een termijn van (1 of 3) maanden.
" 6. Werknemer X geeft hierbij aan de Vennootschap zijn uitdrukkelijke toestemming
voor de redelijke raadpleging van zijn mailbox en opgeslagen e-mails met het oog op
het waarborgen van de continuïteit en de werking van de Vennootschap op
voorwaarde dat deze laatste zijn privacy naar derden toe op geen enkele wijze
schendt en het voorwerp van zijn mailbox louter om professionele redenen, en enkel
indien nodig, raadpleegt en gebruikt.”.
57. De Geschillenkamer benadrukt opnieuw dat, krachtens artikelen 4.11) en 7 AVG, samen
gelezen met overweging 43 AVG, het gebruik van toestemming als rechtsgrond voor de
verwerking van persoonsgegevens hoogstwaarschijnlijk onrechtmatig is indien er een
duidelijke wanverhouding bestaat tussen de verwerkingsverantwoordelijke en de
betrokkene. Een dergelijke wanverhouding doet zich voor binnen de arbeidsrelatie tussen
werkgever en werknemer. Gelet op de ondergeschikte positie van de werknemer, die druk
kan ervaren om met de verwerking in te stemmen, kan derhalve worden aangenomen dat
diens toestemming niet vrijwillig is verleend.
III. Corrigerende maatregelen en sancties
58. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° de klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten
uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of
verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
Beslissing ten gronde 86/2026 – 19/31
10° de rechtzetting, de beperking of de verwijdering van gegevens en de
kennisgeving ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere
Staat of een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings van
Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de
website van de Gegevensbeschermingsautoriteit.
III.1. Corrigerende maatregelen en sancties
59. Nu de Geschillenkamer heeft vastgesteld dat de verweerder geen rechtsgrond had om de
persoonsgegevens van de klager te verwerken na diens uitdiensttreding, geen gevolg heeft
gegeven aan het verzoek van de klager om zijn persoonsgegevens te wissen, alsook niet kan
aantonen dat zij passende technische en organisatorische maatregelen in de zin van artikel
24.1 en 25.1 AVG heeft genomen, is het aan de orde om corrigerende maatregelen en
sancties te nemen ten laste van de verweerder.
60. In het kader van een effectieve rechtsbescherming onder artikel 47 van het Handvest van
de Europese Unie en de effectieve handhaving die de wetgever met de AVG nastreeft, is het
volgens de Geschillenkamer aan de orde om:
1. De verweerder conform artikel 58.2.f) AVG en artikel 100, §1, 8° WOG te
bevelen dat de verwerking van het e-mailadres en de bijhorende mailbox van de
klager wordt stopgezet. De Geschillenkamer acht dit bevel noodzakelijk om de
onrechtmatige verwerking van persoonsgegevens van de klager stop te zetten.
Bij het opleggen van deze corrigerende maatregel houdt de Geschillenkamer
rekening met het feit dat de verweerder gedurende de procedure op geen enkel
moment heeft bevestigd dat het e-mailadres en de bijhorende mailbox van de
klager inmiddels werden gedeactiveerd.
2. De verweerder conform artikel 58.2.c) AVG en artikel 100, §1, 6° WOG te
bevelen het e-mailadres van de klager en de inhoud van de bijhorende mailbox
definitief worden verwijderd. De Geschillenkamer acht dit bevel noodzakelijk
zodat wordt voldaan aan het verzoek van de klager om zijn recht op
Beslissing ten gronde 86/2026 – 20/31
gegevenswissing uit te oefenen. Bij het opleggen van deze corrigerende
maatregel houdt de Geschillenkamer rekening met het feit dat de verweerder
gedurende de procedure op geen enkel moment heeft bevestigd dat het e-
mailadres en de bijhorende mailbox van de klager inmiddels werden verwijderd.
61. De Geschillenkamer gelast dat de verwezenlijking van deze corrigerende maatregelen moet
worden aangetoond aan de Geschillenkamer binnen een termijn van 30 dagen na de
kennisgeving van de onderhavige beslissing. Zij beveelt het bewijs hiervan binnen
voornoemde termijn per e-mail over te maken aan de Geschillenkamer via
[email protected].
62. Tevens beslist de Geschillenkamer om de verweerder conform artikel 58.2.b) AVG en
artikel 100, §1, 5° WOG te berispen omwille van de inbreuken op artikel 5.2, 24.1 en 25.1
AVG.
III.2. Administratieve geldboete
63. Met het oog op een krachtige handhaving van de regels van de AVG, beslist de
Geschillenkamer naast voormelde corrigerende maatregelen en berisping ook tot het
opleggen van een administratieve geldboete. Zoals duidelijk blijkt uit overweging 148 AVG28,
stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling
van een inbreuk – straffen, met inbegrip van administratieve geldboetes, naast of in plaats
van passende corrigerende maatregelen worden opgelegd.
64. Het feit dat het in onderhavig geval een eerste vaststelling van door de verweerder
gepleegde inbreuken op de AVG betreft, doet geenszins afbreuk aan de mogelijkheid voor
de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer
benadrukt daarbij haar soevereine verantwoordelijkheid om, als onafhankelijke
administratieve autoriteit, de passende corrigerende maatregelen en sancties te bepalen.
Deze bevoegdheid volgt rechtstreeks uit artikel 83 AVG, en wordt bevestigd door de
rechtspraak van het Marktenhof, dat het bestaan van een ruime discretionaire
28
Overw. 148 AVG : “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met
inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van
passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het
gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk
persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden
met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende
maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter
kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de
verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of
verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan
passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder
een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigen onderlijning]
Beslissing ten gronde 86/2026 – 21/31
beoordelingsmarge van de Geschillenkamer met betrekking tot zowel de keuze van de
sanctie als de vaststelling van de hoogte ervan heeft erkend.29
65. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.i)
AVG. Zij motiveert het opleggen van een administratieve geldboete, alsook de vaststelling
van het bedrag ervan met in achtneming van de criteria vervat in artikel 83 AVG. Om te
vermijden dat de beoordeling van elk criterium herhaald wordt, verwijst de Geschillenkamer
naar de beoordeling hieronder, waarin het opleggen van een administratieve geldboete en
de hoogte ervan samen worden beoordeeld.
66. Een geldboete moet in elk geval doeltreffend, evenredig en afschrikwekkend zijn. De
Geschillenkamer legt geldboetes op met in achtneming van de EDPB Richtsnoeren 04/2022
voor de berekening van administratieve geldboeten krachtens de AVG 30. De toepassing van
voormelde richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te
waarborgen. Overeenkomstig voormelde richtsnoeren worden administratieve geldboeten
voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen.31
Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De
Geschillenkamer herinnert eraan dat zij niet verplicht is de criteria te onderzoeken die niet
van toepassing zijn in onderhavig geval.32
67. De Geschillenkamer wijst er ten overvloede op dat zij in eerdere gevallen betreffende het
niet afsluiten van mailboxen geen geldboete heeft opgelegd, in de meeste gevallen vanwege
de beperkte ernst en omvang van de overtreding, anders dan in de onderhavige zaak.
III.2.1. Betreffende de samenloop van inbreuken
Één inbreuk makende gedraging
68. Als eerste stap oordeelt de Geschillenkamer dat er in casu sprake is van één en dezelfde
inbreuk makende gedraging. Zij oordeelt met name dat de verwerkingsactiviteiten van de
verweerder die aanleiding hebben gegeven tot de vastgestelde inbreuken met elkaar
verband houden omdat zij werden verricht uit één enkele wil en contextueel, in ruimte en in
tijd zo nauw met elkaar samenhangen dat zij, objectief gezien, als één coherente gedraging
kunnen worden beschouwd. De vastgestelde inbreuken vloeien namelijk voort uit de
beslissing van de verweerder om het e-mailadres en de mailbox van de klager voor maximaal
3 jaar na zijn uitdiensttreding actief te houden en te bewaren, overeenkomstig het door haar
29
Zie hieromtrent ook Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2021/AR/320, pp. 37-
47; Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2020/AR/1160, p. 34.
30
EDPB, Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, Versie 2.1, 29 juni 2023
31
Ibid, para. 17
32
Ibid, para. 6
Beslissing ten gronde 86/2026 – 22/31
vastgestelde beleid dat aan het arbeidscontract van de klager werd toegevoegd. Zowel de
onrechtmatige verwerking, alsook het nalaten gevolg te geven aan het verzoek om
gegevenswissing van de klager vloeien hieruit voort en moeten derhalve als één inbreuk
makende gedraging worden beschouwd.
Samenloop van inbreuken
69. De Geschillenkamer heeft op basis van voornoemde gedraging verschillende inbreuken op
de AVG weerhouden, met name op de artikelen 5.1.a), 5.2, 6.1, 12.2, 12.3, 17, 24.1 en 25.1 AVG.
70. De Geschillenkamer besluit dat het in casu niet doeltreffend noch evenredig zou zijn om een
boete op te leggen voor de inbreuken op artikel 12.2, 12.3 en 17 AVG, gelet op het feit dat zij
van oordeel is dat de uitvoering van de reeds opgelegde corrigerende maatregel zoals
bedoeld in artikel 100, §1, 6° WOG, in dit specifieke geval voldoende zou remediëren aan die
inbreuken.
71. De Geschillenkamer oordeelt daarnaast dat, in onderhavig geval, artikel 5.2, 24.1 en 25.1
dezelfde belangen beschermen als artikel 5.1.a) AVG juncto artikel 6.1 AVG, met name het
waarborgen dat persoonsgegevens uitsluitend worden verwerkt op basis van een geldige
rechtsgrond in overeenstemming met het beginsel van rechtmatigheid. De Geschillenkamer
oordeelt dat het hier gaat om een samenloop van inbreuken. Gelet op het
subsidiariteitsbeginsel is zij van oordeel dat enkel de schending van artikel 5.1.a) juncto
artikel 6.1 AVG kan worden beboet, wat in dit geval de meer specifieke inbreuk betreft.
72. Samenvattend oordeelt de Geschillenkamer dat zij in casu één enkele geldboete dient op te
leggen.
III.2.2. Uitgangsbedrag voor de berekening van de administratieve boete
73. Overeenkomstig de rechtspraak van het Hof van Justitie en de EDPB Richtsnoeren
04/2022, dient de berekening van administratieve geldboeten krachtens de AVG gebaseerd
te worden op een geharmoniseerd uitgangsbedrag. Dit uitgangsbedrag vormt het begin
voor de verdere berekening, waarbij alle omstandigheden van de zaak in aanmerking worden
genomen en afgewogen, die resulteert in het uiteindelijke bedrag van de geldboete die moet
worden opgelegd aan de verweerder. Om het uitgangsbedrag te bepalen neemt de
Geschillenkamer drie elementen in acht: (A) de indeling van de inbreuken op grond van
artikel 83, leden 4 t.e.m. 6 AVG, (B) de zwaarte van de inbreuk en (C) de omzet van de
verweerder.
Beslissing ten gronde 86/2026 – 23/31
A. Indeling van inbreuken op grond van artikel 83, leden 4 t.e.m. 6 AVG
74. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die
strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder
artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een
maximumboete van 10 000 000 EUR of 2% van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete
van maximaal 20 000 000 EUR of 4% van de van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is.
75. Voor de inbreuk op artikelen 5.1.a) AVG juncto artikel 6.1 AVG, bedraagt de zwaarste
administratieve geldboete overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of
maximaal 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit
cijfer hoger is.
B. Zwaarte van de inbreuk
76. Aangaande de beoordeling van de zwaarte van de inbreuk op artikel 5.1.a) AVG juncto artikel
6.1 AVG, houdt de Geschillenkamer rekening met de aard, ernst en duur van de inbreuk
(artikel 83.2.a) AVG), de opzettelijke of nalatige aard van de inbreuk (artikel 83.2.b) AVG), en
de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83.2.g)
AVG).
i. Artikel 83.2.a) AVG – De aard, ernst en duur van de inbreuk
Betreffende de aard van de inbreuk oordeelt de Geschillenkamer dat het beginsel van
rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG
gewaarborgd wordt, en tevens opgenomen is in artikel 8.2 van het Handvest van de
Grondrechten van de Europese Unie. De Geschillenkamer oordeelt derhalve dat de
inbreuk in casu, qua aard, een zwaarwegende inbreuk vormt.
Betreffende de ernst van de inbreuk, neemt de Geschillenkamer volgende elementen
in rekening:
• Aard van de verwerking: de verwerking in casu betreft het bewaren en actief
houden van het professionele e-mailadres en de mailbox van de klager, na diens
uitdiensttreding. Op basis van de stukken in het dossier heeft de Geschillenkamer
vastgesteld dat de klager tevens persoonlijke e-mails op het betreffende e-
mailadres ontving, zoals e-mails van schuldeisers. De Geschillenkamer stelt vast
dat de verweerder inzage heeft genomen in bepaalde persoonlijke e-mails, met het
oog op het doorsturen daarvan naar de klager.
Beslissing ten gronde 86/2026 – 24/31
• Omvang van de verwerking: de klacht en derhalve ook de inbreuk hebben slechts
betrekking op de verwerking van één e-mailadres en bijhorende mailbox, namelijk
die van de klager.
• Doel van de verwerking: de verweerder heeft de verwerking uitgevoerd met het
oog op de naleving van wettelijke verjaringstermijnen en fiscale controletermijnen,
alsook om verantwoording te kunnen afleggen ten aanzien van cliënten en
toezichthouders. De Geschillenkamer houdt er rekening mee dat niet de
verwerking zelf, doch wel het doel waarvoor ze werd uitgevoerd, binnen de
kernactiviteiten van de verweerder valt. De Geschillenkamer herhaalt dat de
onrechtmatigheid van de verwerking juist volgt uit het feit dat de verweerder
bovenvermelde doelen, die verband houden met haar kernactiviteiten, via andere
middelen moet kunnen realiseren die minder ingrijpend zijn voor de klager.
• Aantal betrokkenen: de Geschillenkamer houdt rekening met het feit dat slechts
voor één betrokkene, de klager, werd aangetoond dat deze gevolgen heeft
ondervonden door de onrechtmatige verwerking. Zij houdt evenwel rekening met
het feit dat, gelet op het beleid van de verweerder dat aan het arbeidscontract van
haar werknemers werd toegevoegd, de inbreuk systemisch van aard is.
Vermoedelijk werden andere voormalige werknemers van de verweerder
getroffen.
• Omvang van de schade: de Geschillenkamer stelt vast dat de schade immaterieel
is. De onrechtmatige verwerking heeft gezorgd voor een aantasting van de
controle van de klager over zijn persoonsgegevens en heeft mogelijks een gevoel
van inmenging in de persoonlijke levenssfeer teweeggebracht. De
Geschillenkamer houdt rekening met het feit dat niet werd aangetoond dat de
klager lichamelijke of financiële schade heeft geleden, noch dat zijn gegevens
werden bekendgemaakt aan derden.
Gelet op al deze factoren, oordeelt de Geschillenkamer dat de ernst van de inbreuk als
gemiddeld moet worden beschouwd.
Betreffende de duur van de inbreuk werd door de klager aangevoerd dat hij zijn
werkzaamheden feitelijk heeft neergelegd sinds juni 2021, hetgeen niet werd betwist
door de verweerder. De klacht van de klager werd ingediend op 24 januari 2023, op
welk moment de verwerking nog voortdurend plaatsvond. Gelet op stukken 6 en 7 in
de stukkenbundel van de verweerder, blijkt dat de verwerking nog voortdurend
plaatsvond op 19 april 2023. De Geschillenkamer stelt vast dat de onrechtmatige
verwerking derhalve minstens 21 maanden heeft geduurd. Er is evenwel geen enkel
document overgelegd waaruit blijkt dat de verweerder de onrechtmatige verwerking
inmiddels heeft gestaakt, waardoor het mogelijk is dat deze voortduurt tot het
Beslissing ten gronde 86/2026 – 25/31
ogenblik van bekendmaking van deze beslissing. Gezien de Geschillenkamer van
oordeel is dat de mailbox van de klager slechts gedurende een beperkte periode kon
worden bewaard, die in beginsel niet langer dan 1 maand bedraagt, acht de
Geschillenkamer de duur van de inbreuk een zwaarwegend element.
ii. Artikel 83.2.b) AVG – De opzettelijke of nalatige aard van de inbreuk
77. De Geschillenkamer heeft vastgesteld dat het beleid van de verweerder inzake
gegevensbescherming van toepassing op haar werknemers als bijlage werd toegevoegd bij
het arbeidscontract van de klager. Dit beleid bepaalt dat de mailboxen van werknemers voor
maximaal 3 jaar na de beëindiging van de arbeidsovereenkomst kunnen worden bewaard
met het oog op het gerechtvaardigd belang van de verweerder. De Geschillenkamer
oordeelt dat dit beleid inherent blijk geeft van minachting voor de bepalingen van de AVG,
en met name per definitie een onrechtmatige verwerking van persoonsgegevens tot gevolg
heeft. Zoals de Geschillenkamer hierboven uitvoerig heeft uiteengezet 33, kan een algemene
bewaartermijn van 3 jaar na de uitdiensttreding van de werknemer, gedurende dewelke de
mailbox actief blijft en wordt geraadpleegd 34, immers niet steunen op artikel 6.1.f) AVG. Het
feit dat de verweerder haar beleid heeft vastgelegd in een document dat werd toegevoegd
aan de te ondertekenen arbeidsovereenkomst van de klager, wijst erop dat de
onrechtmatige verwerking het gevolg is van een weloverwogen keuze van de verweerder.
Bovendien heeft de Geschillenkamer geconstateerd dat de verweerder de klager op
meerdere tijdstippen — met name op 28 april 2022 en 20 januari 2023 — heeft aangemaand
om bij derden zijn e-mailadres te laten wijzigen in plaats van zelf de nodige maatregelen te
nemen om het betreffende e-mailadres te blokkeren en te verwijderen, hetgeen de duur van
de inbreuk heeft verlengd.
78. Om deze redenen oordeelt de Geschillenkamer dat de inbreuk het gevolg is van ernstige
nalatigheid zijdens de verweerder, waardoor wordt voldaan aan de vereisten van de
rechtspraak van het Hof van Justitie van de EU voor het opleggen van een administratieve
geldboete.35 Geschillenkamer oordeelt dat de verweerder niet onkundig kon zijn van het feit
dat de verwerking een inbreuk oplevert op artikel 5.1.a) juncto 6.1 AVG, ongeacht of zij er zich
van bewust was dat zij die bepalingen schond. 36
33
Punten 20 t.e.m. 34 van onderhavige beslissing.
34
Hoewel het beleid zoals toegevoegd aan het arbeidscontract van de klager niet specifieert wat er met de mailbox kan
gebeuren, maar louter een bewaartermijn bepaalt, heeft de verweerder zelf toegelicht in haar syntheseconclusie dat zij
gebeurlijk de mailbox van de klager heeft geraadpleegd en dat deze nog actief was, hetgeen ook blijkt uit stukken 5 t.e.m. 10,
13 en 14 uit de stukkenbundel van de verweerder.
35
Zie HvJEU, 5 december 2023, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, C-807/21, ECLI:EU:C:2023:950, §78
36
Cfr. Ibid, §76
Beslissing ten gronde 86/2026 – 26/31
iii. Artikel 83.2.g) AVG – De categorieën van persoonsgegevens waarop de inbreuk
betrekking heeft
79. Tot slot, voor haar oordeel omtrent de zwaarte van de inbreuk, houdt de Geschillenkamer
tevens rekening met de categorieën van persoonsgegevens waarop de inbreuk betrekking
heeft. In onderhavig geval stelt de Geschillenkamer vast dat onder andere de naam, het e-
mailadres, alsook financiële gegevens van de klager werden verwerkt. De verweerder heeft
immers enkele betalingsherinneringen afkomstig van een schuldeiser van de klager
geraadpleegd en naar hem doorgestuurd. Daarnaast oordeelt de Geschillenkamer dat de
categorieën van verwerkte persoonsgegevens niet limitatief bepaalbaar zijn, gezien een
mailbox potentieel correspondentie bevat van uiteenlopende aard, waardoor mogelijk een
brede waaier aan (categorieën van) persoonsgegevens onrechtmatig worden verwerkt.
iv. Conclusie
80. Op basis van bovenvermelde factoren wordt de zwaarte van de inbreuk op artikel 5.1.a)
juncto 6.1 AVG als een inbreuk van hoge zwaarte beschouwd. Overeenkomstig de EDPB
Richtsnoeren dient de Geschillenkamer het uitgangsbedrag voor de verdere berekening
vast te stellen op een punt tussen de 20% en 100% van het toepasselijke wettelijke
maximumbedrag37. De Geschillenkamer oordeelt dat in onderhavig geval 20% van het
wettelijke maximumbedrag moet worden gebruikt als uitgangsbedrag voor de verdere
berekening.
C. De omzet van de onderneming met het oog op het opleggen van een doeltreffende,
afschrikkende en evenredige boete
81. Overeenkomstig artikel 83.1 AVG dient de Geschillenkamer ervoor te zorgen dat de
administratieve geldboete die wordt opgelegd doeltreffend, evenredig en
afschrikwekkend is. Aldus moet de omvang van de onderneming tot uiting komen in het
bepalen van het uitgangsbedrag.
82. Artikelen 83.4 t.e.m. 83.6 AVG bepalen dat de totale wereldwijde jaaromzet van het
voorgaande boekjaar moet worden gebruikt voor de berekening van de administratieve
geldboete. Conform de rechtspraak van het Hof van Justitie is het referentietijdstip het
ogenblik van het besluit van de toezichthoudende autoriteit tot het opleggen van de
geldboete, en niet het tijdstip van de inbreuk op de AVG.
83. De Geschillenkamer preciseert dienaangaande dat zij ten tijde van de verzending van het
sanctieformulier dd. 3 april 2026 niet beschikte over de omzetcijfers voor het jaar 2025. De
verweerder werd derhalve uitgenodigd om tegen uiterlijk 16 april 2026 om 13 uur
37
EDPB, Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, Versie 2.1, 29 juni
2023, §60
Beslissing ten gronde 86/2026 – 27/31
bewijsstukken over te leggen waaruit de wereldwijde jaaromzet van het boekjaar 2025
blijkt. Daarbij werd de verweerder geïnformeerd dat bij gebrek aan inzage in die cijfers de
Geschillenkamer zich voor de berekening zal baseren op de brutomarge van het boekjaar
2024 zoals opgenomen in de gepubliceerde jaarrekening van de verweerder. Aangezien de
verweerder heeft nagelaten om binnen de gestelde termijn deze bewijsstukken over te
leggen, zal de Geschillenkamer derhalve de brutomarge van de verweerder van het
boekjaar 2024 hanteren, zijnde 1 457 547 EUR.
84. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4% van de butomarge van
het boekjaar 202438 neerkomt op een bedrag van 58 301,88 EUR, hetgeen lager is dan 20
000 000 EUR. Aldus bedraagt de maximale administratieve geldboete overeenkomstig
artikel 85.5 AVG tot 20 000 000 EUR. Voor de inbreuk op artikel 5.1.a) juncto 6.1 AVG,
waarvoor het uitgangsbedrag voor de verdere berekening door de Geschillenkamer op
20% van het wettelijke maximumbedrag werd vastgesteld, leidt dit in concreto tot een
uitgangsbedrag van 4 000 000 EUR.
85. Overeenkomstig de Richtsnoeren van de EDPB, kan de Geschillenkamer voor
ondernemingen met een jaaromzet van minder dan 2 000 000 EUR overwegen om de
berekening voort te zetten op basis van een bedrag tussen de 0,2% en 0,4% van het
vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is gelet op
de grootte van de verweerder. Dit leidt ertoe dat het uitgangsbedrag van 4 000 000 EUR
verlaagd wordt naar 8000 EUR (0,2% van het uitgangsbedrag).
III.2.3. Verzwarende en verzachtende omstandigheden
86. De Geschillenkamer dient, nadat zij een beoordeling heeft gemaakt van de aard, de ernst
en de duur van de inbreuk, de opzettelijke of nalatige aard van de inbreuk en de categorieën
van persoonsgegevens waarop de inbreuk betrekking heeft, tevens rekening te houden de
overige verzwarende en verzachtende factoren zoals opgesomd in artikel 83.2 AVG.
• Artikel 83.2.c) AVG - de door de verweerder genomen maatregelen om de door de
klager geleden schade te beperken: De Geschillenkamer stelt vast dat de
verweerder, voorafgaand aan haar tussenkomst, heeft nagelaten enige maatregel
te treffen ter beperking van de door de klager geleden schade. Integendeel, zij
constateert dat de verweerder de klager op meerdere tijdstippen — met name op
28 april 2022 en 20 januari 2023 — heeft aangemaand om bij derden zijn e-
mailadres te laten wijzigen in plaats van zelf de nodige maatregelen te nemen om
het betreffende e-mailadres te blokkeren en te verwijderen.
38
Ter vervanging van 4% van de wereldwijde omzet van het boekjaar 2025
Beslissing ten gronde 86/2026 – 28/31
• Artikel 83.2.d) AVG – de mate waarin de verweerder verantwoordelijk is gezien de
technische en organisatorische maatregelen die zij heeft uitgevoerd
overeenkomstig artikelen 25 en 32 AVG: De Geschillenkamer stelt vast dat,
voorafgaand aan haar tussenkomst, de verweerder heeft nagelaten enige
technische of organisatorische maatregel te implementeren die de
rechtmatigheid van de betrokken verwerking op positieve wijze kon waarborgen
of versterken. Integendeel, zij constateert dat de uitvoering van het beleid van de
verweerder dat aan het arbeidscontract van de klager werd toegevoegd, heeft
geleid tot de inbreuk op de rechtmatigheid. Gelet hierop oordeelt de
Geschillenkamer dat de verweerder een grote verantwoordelijkheid draagt voor
het ontstaan van de vastgestelde inbreuk.
• Artikel 83.2.e) AVG – eerdere relevante inbreuken door de verweerder: De
Geschillenkamer stelt vast dat er geen eerdere relevante inbreuken werden
vastgesteld.
• Artikel 83.2.f) AVG – de mate waarin er met de Gegevensbeschermingsautoriteit
is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen
daarvan te beperken: De Geschillenkamer stelt vast dat de verweerder op 19 april
2023 een automatisch antwoordbericht heeft geactiveerd voor het betrokken e-
mailadres, waarin toekomstige correspondenten worden geïnformeerd dat de
klager niet langer werkzaam is bij de verweerder en via dit e-mailadres niet meer
kan worden bereikt. Hoewel laattijdig, heeft dit mogelijk negatieve gevolgen
beperkt. De verweerder voert gedurende de procedure voor de
Gegevensbeschermingsautoriteit echter nergens aan dat de onrechtmatige
verwerking ondertussen werd stopgezet.
• Artikel 83.2.h) AVG – de wijze waarop de Gegevensbeschermingsautoriteit kennis
heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verweerder
de inbreuk heeft gemeld: De Gegevensbeschermingsautoriteit werd in kennis
gesteld van de inbreuk aan de hand van een klacht die werd ingediend bij de
Eerstelijnsdienst.
87. De Geschillenkamer oordeelt dat de criteria opgenomen in artikel 83.2.i) t.e.m. k) AVG niet
van toepassing zijn op onderhavige zaak.
88. In het licht van het ontbreken van toereikende maatregelen om de onrechtmatige
verwerking te voorkomen dan wel te beëindigen, alsook om de daaruit voortvloeiende
schade voor de klager en andere nadelige gevolgen te beperken, stelt de Geschillenkamer
vast dat er sprake is van verzwarende omstandigheden.
Beslissing ten gronde 86/2026 – 29/31
89. In het licht hiervan beslist de Geschillenkamer het totale bedrag van de administratieve
geldboete te verhogen met 500 EUR, zodat deze wordt vastgesteld op 8.500 EUR.
III.2.4. Afstemming van het maximumbedrag
90. Het maximumbedrag voor de boete in het onderhavige geval werd hierboven reeds
berekend. Deze bedraagt overeenkomstig artikel 83.5.a) AVG tot 20 000 000 EUR of tot
4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger
is.
91. De Geschillenkamer stelt vast dat 4 % van de brutomarge in het voorgaande boekjaar 1 457
547 EUR bedraagt, hetgeen lager is dan 20 000 000 EUR. Aldus bedraagt de maximale
administratieve geldboete overeenkomstig artikel 83.5 AVG tot 20 000 000 EUR.
92. In casu bedraagt de geldboete 8500 EUR, hetgeen onder de maximale boete van
20 000 000 EUR ligt.
III.2.5. Doeltreffendheid, evenredigheid en afschrikkend effect
93. Met betrekking tot de doeltreffendheid oordeelt de Geschillenkamer dat een boete van
8500 EUR geschikt is om de fundamentele beginselen waarop inbreuk werd gemaakt door
de verweerder te handhaven.
94. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet
onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde boete
evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name
de ernst ervan. In casu heeft de Geschillenkamer beoordeeld dat de inbreuk waarvoor zij
een boete oplegt van hoge zwaarte is, waardoor zij een uitgangsbedrag van 20% van het
wettelijke maximumbedrag heeft vastgesteld. Daarbij heeft zij voornamelijk rekening
gehouden met het feit dat de verweerder zich onrechtmatig toegang heeft verschaft tot
de inhoud van privé-e-mails van de klager (aard van de verwerking), alsook met de duur van
de inbreuk. De Geschillenkamer heeft echter ook rekening gehouden met de omzet van de
verweerder, waardoor zij slechts 0,2% van het uitgangsbedrag gebruikte voor de
berekening van de boete. Tot slot heeft de Geschillenkamer bepaalde gedragingen van de
verweerder in rekening genomen als verzwarende omstandigheden, hetgeen haar heeft
gebracht tot een verhoging van het boetebedrag met 500 EUR. Aldus oordeelt de
Geschillenkamer dat een boete van 8500 EUR evenredig is.
95. Met betrekking tot het afschrikkend effect oordeelt de Geschillenkamer dat het bedrag
van de boete, alsook het feit dat de boete wordt opgelegd, zowel een individueel als
algemeen afschrikwekkend effect heeft. Het bedrag van 8500 EUR heeft immers een
voldoende afschrikkend effect om te voorkomen dat de verweerder de inbreuk op de AVG
Beslissing ten gronde 86/2026 – 30/31
herhaalt. Daarnaast weerhoudt het andere ondernemingen soortgelijke inbreuken te
plegen.
III.2.6. Reactie van de verweerder op de voorgenomen administratieve boete
96. Het sanctieformulier, waarin de verweerder werd geïnformeerd over het voornemen van
de Geschillenkamer om een administratieve geldboete op te leggen, werd verzonden op 3
april 2025. De verweerder kreeg de gelegenheid om uiterlijk op 16 april 2026 om 13.00 uur
per e-mail op dit formulier te reageren. De Geschillenkamer heeft geen reactie van de
verweerder ontvangen binnen de gestelde termijn.
IV. Publicatie van de beslissing
97. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om:
- Op grond van artikel 58.2.f) AVG en artikel 100, §1, 8° WOG de verweerder omwille van
de inbreuken op artikel 5.1.a) juncto 6.1 AVG, te bevelen dat de verwerking van het e-
mailadres en de bijhorende mailbox van de klager wordt stopgezet;
- Op grond van artikel 58.2.c) AVG en artikel 100, §1, 6° WOG de verweerder omwille van
de inbreuken op artikel 5.1.a) juncto 6.1 AVG, artikel 12, lid 2 en 3 AVG en artikel 17.1 AVG,
te bevelen het e-mailadres van de klager en de inhoud van de bijhorende mailbox
definitief te verwijderen;
De Geschillenkamer gelast dat de verwezenlijking van deze corrigerende maatregelen moet
worden aangetoond binnen een termijn van 30 dagen na kennisgeving van de onderhavige
beslissing. Zij beveelt het bewijs hiervan binnen voornoemde termijn per e-mail over te
maken aan de Geschillenkamer via [email protected].
- Op grond van artikel 58.2.b) AVG en artikel 100, §1, 5° WOG ten aanzien van de
verweerder een berisping te formuleren omwille van de inbreuken op artikel 5.2, 24.1 en
25.1 AVG;
- Op grond van artikel 58.2.i) AVG en artikel 100, §1, 13° WOG, samen gelezen met artikel
101 WOG, de verweerder omwille van de inbreuken op artikel 5.1.a) juncto 6.1 AVG, een
administratieve boete van 8500 EUR op te leggen.
Beslissing ten gronde 86/2026 – 31/31
Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de
kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van
beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de
in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 39. Het
verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof
overeenkomstig artikel 1034quinquies van het Ger.W.40, dan wel via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
39
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of
ondernemingsnummer;
3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
40
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.