1/57
Geschillenkamer
Beslissing ten gronde 87/2024 van 3 juni 2024
Dossiernummer : DOS-2022-04748
Betreft: Klacht over het niet naleven van het recht op wissen en bezwaar na ontvangst
van commerciële berichten voor directmarketingdoeleinden
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke
Hijmans, voorzitter, en de heren Romain RobertFrank De Smet, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn
95/46/EG (algemene verordening gegevensbescherming), hierna -"AVG";) ;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna "WOG";
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15
januari 2019;
Gelet op de stukken in het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X , hierna 'de klager' ;
De verweerder: de onderneming Y (hierna 'de verweerder')
Beslissing ten gronde 87/2024 — 2/57
I. Feiten en procedure
1. Op 18 november 2022 dient klager bij de Gegevensbeschermingsautoriteit (hierna: GBA)
een verzoek tot bemiddeling in tegen verweerder, dat op 14 februari 2023 een klacht werd
omdat deze niet reageerde.
2. De klacht betreft de ontvangst van regelmatige ongevraagde commerciële berichten voor
directmarketingdoeleinden van de verweerder, ondanks het feit dat de verweerder zijn
recht op wissen en bezwaar heeft uitgeoefend.
3. Op 30 juni 2022 ontdekt de klager, die de producten van de verweerder bij zijn
vertegenwoordiger had gekocht, op zijn factuur van 31 mei 2022, een onverwachte toeslag
van 1,50 euro in verband met een "energiebijdrage". Omdat de verweerder weigert deze
toeslag terug te betalen, verzoekt de klager al zijn persoonsgegevens te wissen. Hij stuurt
dit verzoek per e-mail naar " ...", om aan te geven dat hij niet langer een klant van de
verweerder wenst te zijn.
4. Op 1 juli 2022 bevestigt de verweerder de ontvangst van de verzoeken van de klager en
bevestigt dat hij deze onmiddellijk zou behandelen.
Ondanks de verzekering van verweerder dat rekening zou worden gehouden met de
verzoeken van 30 juni 2022, blijft de klager reclameberichten van verweerder ontvangen.
5. Op 18 november 2022 verzoekt de klager om een bemiddelingsprocedure bij de
Eerstelijnsdienst (hierna "ELD") van de GBA. In het aanvraagformulier dat naar GBA werd
gestuurd, herhaalt de klager zijn wens om geen nieuwe commerciële betrekkingen met de
verweerder te hebben, waarbij hij het volgende uitlegt : "[...]Ik vroeg daarom om een
terugbetaling, die ik niet kreeg. Ik vroeg toen, op 1 juli, om al mijn gegevens te verwijderen
omdat ik nooit meer bij hen zou bestellen. [...] Vandaag, vier en een halve maand later,
ontvang ik nog steeds reclameberichten»1.
6. Op 24 november 2022 bevestigt de ELD de ontvangst van het bemiddelingsverzoek en
verklaart ze ontvankelijk.
7. Op 7 december 2022 stelt de ELD de verweerder in kennis van het verzoek om bemiddeling
waarbij hij wordt uitgenodigd te reageren op het verzoek van de klager betreffende de
uitoefening van zijn rechten, en een kopie van zijn reactie aan de ELD te sturen.
8. Op 11 januari 2023 vraagt de klager naar de status van het bemiddelingsverzoek en laat hij
de ELD weten dat hij telefoontjes en e-mails van de verweerder blijft ontvangen. Op 13
januari 2023 antwoordt ELD dat de zaak in behandeling is genomen, dat aan verweerder op
1
Stuk 1 - Verzoek om bemiddelingen en bijlagen
Beslissing ten gronde 87/2024 — 3/57
7 december 2022 een brief is gestuurd waarin hij een maand de tijd kreeg om te reageren,
en dat verweerder een herinnering zou ontvangen.
9. Op 17 januari 2023 zendt de ELD een aangetekende brief met ontvangstbevestiging aan
verweerder, waarin hij hem verzoekt te antwoorden op het eerste verzoek van 7 december
2022.
10. Op 14 februari 2023 deelt de ELD, bij gebrek aan een antwoord van de verweerder, aan de
klager mee dat hij zijn bemiddelingsverzoek kan omzetten in een klacht overeenkomstig
artikel 62, §2, lid 4 WOG. De klager verzoekt dezelfde dag nog om deze omzetting.
11. Op 20 februari 2023 stelt de ELD de verweerder ervan op de hoogte dat de bemiddeling is
mislukt omdat hij niet heeft gereageerd, en stuurt vervolgens de klacht van de klager door
naar de Geschillenkamer overeenkomstig artikel 62, § 1 van de WOG.
12. Op 15 mei 2023 beslist de Geschillenkamer op grond van artikel 95, § 1°, en artikel 98 van
de WOG dat het dossier gereed is voor behandeling ten gronde. 2 De betrokken partijen
worden per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel
99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. Op
dezelfde dag bepaalt de Geschillenkamer dat, overeenkomstig het taalbeleid, de procestaal
Frans zou zijn3.
Op 15 en 19 mei 2023 bevestigen de verweerder en de klager de ontvangst van de brief.
De uiterste datum voor ontvangst van de conclusie van antwoord van verweerder wordt
daarbij vastgelegd 26 juni 2023 deze voor de conclusie van repliek van de klager op 17 juli
2023 en deze voor de conclusie van repliek van verweerder op 7 augustus 2023.
13. In september 2023 roept de Geschillenkamer, bij gebreke van opmerkingen van de partijen,
overeenkomstig artikel 52 van de ROI, de betrokken partijen bijeen voor een hoorzitting op
12 oktober 2023, om hen in de gelegenheid te stellen hun argumenten mondeling toe te
lichten. De verweerder bevestigt zijn aanwezigheid op 3 oktober 2023, terwijl de klager in
een e-mail van 11 oktober 2023 laat weten dat hij niet bij de hoorzitting aanwezig kan zijn.
14. Op 12 oktober 2023 wordt de verweerder door de Geschillenkamer gehoord. Tijdens deze
hoorzitting voert verweerder de volgende middelen aan :
a) aanstelling van de functionaris voor gegevensbescherming (hierna 'DPO') de
problemen met de GBA begonnen onder het beheer van de voormalige DPO, de
heer Z1 (hierna 'de voormalige DPO' genoemd). Noch de DPO, de heer Z2 (hierna 'de
huidige DPO'), noch de directie waren op de hoogte van deze problemen. De
2
Artikel 95, § 1, van de voormelde wet van 3 december 2017.
3
Gegevensbeschermingsautoriteit, "Nota talenbeleid gehanteerd door de Geschillenkamer", beschikbaar op
(https://www.gegevensbeschermingsautoriteit.be/publications/nota-talenbeleid-gehanteerd-door-de-geschillenkamer.pdf.
Beslissing ten gronde 87/2024 — 4/57
verweerder rechtvaardigt het uitblijven van een antwoord van de voormalige DPO
door zicht te beroepen op een werk overbelasting en erop te wijzen dat de directie
niet op de hoogte was van deze overbelasting.
b) Ontoereikend postbeheer: de voormalige DPO behandelde de brieven van de GBA
of de klager niet en deelde deze informatie niet intern. De voormalige DPO nam
stappen om de verwerking van de gegevens van de klager te beperken, zonder met
de klager of de GBA te communiceren.
c) De procedure voor het wissen van gegevens: de verweerder beschreef de
procedure voor het wissen van de persoonsgegevens van de klager, legde de fout
van de voormalige DPO uit, vermeldde de verwarring rond de locatie van de
gegevens en de " code 43 ", en beloofde te voldoen aan de AVG door de klager te
informeren over de wissing van zijn gegevens.
d) Verantwoordelijkheid voor de verwerking van persoonsgegevens de
verantwoordelijkheid voor de gegevensverwerking tussen 'Y België' (hierna 'de
verweerder') en 'Y Duitsland' (hierna 'de Duitse verwerker') werd besproken,
waarbij werd verwezen naar een verwerkersovereenkomst.
e) Organisatorische verbeteringen: het contract van de vorige DPO is afgelopen en de
huidige DPO werkt fulltime met een team van twee mensen om de mailbox
'[email protected]' te beheren. De verweerder verbond zich ertoe initiatieven te nemen
om zijn reactievermogen te verbeteren en de beslissingen van GBA na te leven.
15. Op 27 oktober 2023 legt de Geschillenkamer het proces-verbaal van de hoorzitting aan de
partijen voor.
16. Op 3 november 2023 stuurt de verweerder zijn preciseringen op het proces-verbaal naar
de Geschillenkamer, waarmee in deze beslissing rekening zal worden gehouden. De
verweerder vraagt ook dat de Geschillenkamer, gelet op de specifieke omstandigheden
van de zaak, kiest voor een opschorting van de uitspraak, zoals toegestaan door artikel 100,
§ 1, 3° van de WOG, of voor een waarschuwing of berisping in de zin van artikel 100, § 1, 5°
van dezelfde wet.
17. Op 11 november 2023, na afloop van de procedure, deelt verweerder de Geschillenkamer
mee dat hij van de Duitse verwerker een e-mail had ontvangen waarin werd bevestigd dat
de gegevens van klager waren gewist, en dat hij klager een e-mail had gestuurd waarin hij
werd geïnformeerd over de verwijdering.
18. Op 5 april 2024 stelt de Geschillenkamer de verweerder in kennis van haar voornemen om
een administratieve boete op te leggen, alsmede het bedrag daarvan met de bedoeling de
Beslissing ten gronde 87/2024 — 5/57
verweerder de gelegenheid te geven zich te verdedigen voordat de boete effectief wordt
opgelegd.
19. Op 5 april 2024 ontvangt de Geschillenkamer de reactie van de verweerder op het
voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag
daarvan. Dit antwoord is onderzocht door de Geschillenkamer als onderdeel van haar
beraadslagingen.
II. Motivering
II.1. Inleidende opmerkingen
II.1.1. Aangaande de samenvoeging van dossiers
20. Tijdens de hoorzitting wees verweerder erop dat hij werd onderzocht door de
inspectiedienst (hierna 'ID') van GBA in een afzonderlijk dossier. Deze verklaring wordt
herhaald in zijn reactie op het proces-verbaal van de hoorzitting van 3 november 2023 4.
21. Op 5 april 20245 verzoekt verweerder, in zijn antwoord op het sanctieformulier van 15 maart
2024, om het dossier (...) (onderwerp van het ID-onderzoek) samen te voegen met het
huidige dossier dat voor deze beslissing werd voorgelegd.
22. Ten eerste moet de verweerder eraan worden herinnerd dat de ID gebonden is aan de
geheimhouding van het onderzoek, overeenkomstig artikel 64, § 3 van de WOG, dat bepaalt
dat "het onderzoek is geheim, behoudens wettelijke uitzondering, tot het moment van de
neerlegging van het rapport van de inspecteur-generaal bij de geschillenkamer".
23. Ten tweede benadrukt de Geschillenkamer dat zij niet bevoegd is om een onderzoek van
de ID over te nemen. Zij verwijst verweerder naar artikel 92 van de WOG voor de
voorwaarden voor verwijzing. Dit artikel specificeert dat de ID een zaak kan doorverwijzen
naar de Geschillenkamer na het afsluiten van een onderzoek in overeenstemming met
artikel 91, § 2 van de WOG.
24. Ten derde wijst de Geschillenkamer erop dat het sanctieformulier bedoeld is om de
vermeende overtreder, in dit geval de verweerder, in staat te stellen zijn standpunt over het
bedrag van de voorgestelde geldboete kenbaar te maken voordat deze wordt opgelegd en
daadwerkelijk ten uitvoer wordt gelegd. Deze verweerprocedure, voorzien in het
sanctieformulier over het bedrag van de voorgestelde geldboete, leidt niet tot nieuwe
debatten over de bevindingen die al zijn vastgesteld door de Geschillenkamer, aangezien
deze gesloten zijn.
4
In zijn reactie op het proces-verbaal van de hoorzitting van 3 november 2023 en het sanctieformulier van 5 april 2024 heeft
verweerder verklaard dat het dossier van de inspectie overeenkomt met het dossiernummer (...).
5
Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024.
Beslissing ten gronde 87/2024 — 6/57
25. Concluderend wijst de Geschillenkamer het verzoek af om het dossier (...) samen te voegen
met het huidige dossier waarop deze beslissing betrekking heeft.
II.1.2. Aangaande de interpretatie van artikel 21.2 van de AVG
26. In dit geval merkt de Geschillenkamer op dat de klager zijn verzoek tot wissen (volledige
verwijdering van zijn gegevens) op 30 juni 2022 heeft ingediend door zijn toestemming in
te trekken, overeenkomstig artikel 17.1.b) van de AVG. Bovendien blijkt uit het verzoek van
de klager duidelijk dat hij vastbesloten is om alle commerciële betrekkingen met de
verweerder te beëindigen. Voor zover de klager zijn recht op wissen krachtens artikel 17.1.b)
van de AVG heeft uitgeoefend door zijn toestemming in te trekken, had de verweerder het
verzoek tot wissen moeten inwilligen, alle persoonsgegevens van de klager moeten wissen
en moeten stoppen met direct marketing, aangezien de rechtsgrondslag die voor deze
gegevensverwerking wordt ingeroepen de toestemming is.
27. Vervolgens wijst de Geschillenkamer erop dat artikel 21 van de AVG twee verschillende
vormen van het recht van bezwaar omvat. Enerzijds voorziet artikel 21.1 in de mogelijkheid
om bezwaar te maken tegen verwerkingen die zijn gebaseerd op het gerechtvaardigd
belang van de verwerkingsverantwoordelijke of op een taak van algemeen belang van de
verwerkingsverantwoordelijke (algemeen bezwaar onder voorbehoud van
belangenafweging).
28. Bovendien heeft de betrokkene, in overeenstemming met artikel 21.2, de mogelijkheid om
elke verwerking van zijn gegevens voor direct marketing te weigeren ("bezwaar tegen
direct marketing"), waarmee hij aangeeft geen toestemming te geven voor het ontvangen
van reclame. Als het doel van de verwerkingsverantwoordelijke direct marketing is, is het
recht om bezwaar te maken automatisch: de verwerkingsverantwoordelijke mag de
gegevens niet langer verwerken voor dergelijke doeleinden, inclusief profilering, voor zover
dit betrekking heeft op dat doel, wanneer de betrokkene te kennen heeft gegeven dat hij
zich daartegen verzet.
29. De Geschillenkamer is van mening dat artikel 21.2 te allen tijde van toepassing is aangezien
artikel 21.2 de betrokkene een onvoorwaardelijk recht verleent om "te allen tijde" bezwaar
te maken tegen de verwerking van zijn of haar persoonsgegevens voor
directmarketingdoeleinden, met inbegrip van profilering voor zover deze verband houdt
met dergelijke direct marketing. De uitoefening van het recht onder artikel 21.2 is niet
onderworpen aan voorwaarden.6 Dit artikel is van toepassing ongeacht de rechtsgrondslag
6
Zie in die zin WP29, richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van
Verordening (EU) 2016/679, rev. 01, blz. 21 Zanfir-Fortuna dans The EU General Data Protection Regulation (GDPR): A
Commentary, OUP 2000, p. 518.
Beslissing ten gronde 87/2024 — 7/57
voor de verwerking en zonder dat een belangenafweging vereist is. Dit standpunt kan ook
worden afgeleid uit het onderscheid tussen overwegingen 69 en 70 van de AVG.
30. De Geschillenkamer erkent dat een andere lezing van artikel 21.2, volgens welke deze
bepaling beperkt zou zijn tot dezelfde rechtsgrondslagen voor verwerking als artikel 21.1
van de AVG [artikel 6.1.e) en artikel 6.1.f)], niet is uitgesloten. Een dergelijke lezing zou
echter niets veranderen aan de verplichtingen van de verweerder, aangezien de intrekking
van de toestemming op grond van artikel 17.1.b van de AVG impliceert dat alle
verwerkingen moeten worden gestaakt.
31. Uit het bovenstaande blijkt dat het intrekken van toestemming (de rechtsgrondslag die
verweerder aanvoert om direct marketing te rechtvaardigen) en het maken van bezwaar
tegen de verwerking van gegevens voor direct marketing in principe tot hetzelfde resultaat
moeten leiden: de onmiddellijke stopzetting van gegevensverwerking voor
directmarketingdoeleinden en de automatische verwijdering van dergelijke gegevens.
II.2. Aangaande de vermeende inbreuken op de AVG
II.2.1. de mogelijke schendingen van de artikelen 17 en 21 van de AVG.
II.2.1.1. Standpunt van de verweerder
32. De volgende middelen werden enkel ter hoorzitting door verweerder aangevoerd :
a) De verwijdering van de gegevens van de klager verliep in verschillende fasen.
Aanvankelijk klaagde de klager over te hoge energiekosten, maar deze klacht
evolueerde naar een verzoek tot beëindiging van de klantrelatie en het wissen van
gegevens. De voormalige DPO interpreteerde de situatie verkeerd en begreep niet
dat dit een zaak voor de AVG was.
De voormalige DPO beval vervolgens de Duitse verwerker om de gegevens van de
klager te wissen met behulp van 'code 43'. Deze code resulteerde echter niet in de
volledige verwijdering van de gegevens. De huidige DPO gaf toe dat het doel van
"code 43" was om de verwerking te beperken in plaats van gegevens te wissen,
waarmee hij een fout van de vorige DPO erkende.
Ondanks de invoering van 'code 43' om de gegevensverwerking te beperken en de
stopzetting van commerciële berichten aan de klager, werd de verzending van
nieuwsbrieven voortgezet tot december 2022. De verweerder wees erop dat de
klager had ingestemd met het ontvangen van deze nieuwsbrieven, die door een
apart netwerk werden beheerd.
Pas in december 2022 corrigeerde de voormalige DPO de situatie in antwoord op
brieven van de ELD, waardoor de gegevens ontoegankelijk werden voor
Beslissing ten gronde 87/2024 — 8/57
verweerder, maar ze nog steeds aanwezig en toegankelijk waren voor andere
entiteiten, met name voor fiscale controledoeleinden. De huidige DPO betreurde
het dat de voormalige DPO de klager niet van deze rectificatie op de hoogte had
gesteld.
Op de dag van de hoorzitting kon verweerder niet garanderen dat de gegevens
daadwerkelijk waren gewist, bij gebreke van een schriftelijke bevestiging van de
Duitse verwerker in die zin. De huidige DPO bood aan contact op te nemen met de
Duitse verwerker om te controleren of de gegevens van de klager waren
verwijderd.
b) Met betrekking tot de vraag van de huidige DPO over de verplichting om de klager
te informeren over de maatregelen die zijn genomen naar aanleiding van zijn
verzoek om gegevens te wissen, herinnerde de Geschillenkamer aan de bepalingen
van artikel 12 van de AVG. In reactie hierop heeft de verweerder tijdens de
hoorzitting toegezegd de situatie te corrigeren in overeenstemming met artikel 17
van de AVG en de klager te informeren dat zijn gegevens zijn gewist.
c) Wat betreft de locatie van de gegevens van klager en de identificatie van de
verwerkingsverantwoordelijke, voerde verweerder aan dat de ID deze kwesties in
een afzonderlijke zaak onderzocht7. Ten slotte verklaart verweerder dat hij volgens
de informatie waarover hij beschikt, de "enige" verwerkingsverantwoordelijke is.
33. Op 3 november 2023 verduidelijkte verweerder in het kader van zijn reactie op het proces-
verbaal van de hoorzitting (hierna: 'reactie op het proces-verbaal') dat de voormalige DPO
op 11 april 2023 bij de Duitse verwerker om de activering van "code 43" voor de gegevens
van klager had verzocht, een feit dat hij in het kader van de lopende inspectie (zie titel II.1.1)
op 18 april 2023 in correspondentie aan de ID heeft vastgelegd.) De voormalige DPO
verzuimde echter de klager en de ELD op de hoogte te stellen.
II.2.1.2. Standpunt van de Geschillenkamer
34. Artikel 17 van de AVG stelt het recht op wissen vast waarmee betrokkenen kunnen
verzoeken om verwijdering van hun persoonsgegevens als aan een van de volgende
voorwaarden is voldaan: de gegevens zijn niet langer noodzakelijk voor de doeleinden
waarvoor ze zijn verzameld of verwerkt (art. 17.1.a) van de AVG); de betrokkene trekt de
toestemming waarop de verwerking was gebaseerd in en er is geen andere
rechtsgrondslag voor de verwerking (art. 17.1.b) van de AVG); de betrokkene maakt
bezwaar tegen de verwerking op grond van art. 21. 1, en er is geen dwingende legitieme
reden voor de verwerking (art. 17.1.c) van de AVG); de gegevens zijn onrechtmatig verwerkt
7
Zie punt 21 van deze beslissing.
Beslissing ten gronde 87/2024 — 9/57
(art. 17.1.d) van de AVG); de gegevens moeten worden gewist om te voldoen aan een
wettelijke verplichting (art. 17.1.e) van de AVG); de gegevens zijn verzameld bij een kind in
verband met diensten van de informatiemaatschappij (art. 17.1.f) van de AVG).
Het recht op wissen is echter niet absoluut. Artikel 17.3 van de AVG voorziet in bepaalde
uitzonderingen waarin dit recht niet van toepassing is, met name wanneer de verwerking
van gegevens noodzakelijk is om de uitoefening van het recht op vrijheid van meningsuiting
en informatie te waarborgen (art. 17.3.a) van de AVG), om te voldoen aan een wettelijke
verplichting of om een taak van algemeen belang uit te voeren (of in het kader van de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen) (art. 17.3.b) van de AVG), om een taak uit te voeren die wordt uitgevoerd in het
algemeen belang op het gebied van volksgezondheid (art. 17.3.c) van de AVG), voor
archiefdoeleinden (art. 17.3.d) van de AVG), of om rechtsvorderingen in te stellen, uit te
oefenen of te verdedigen (art. 17.3.e) van de AVG).
35. Op grond van artikel 19 van de AVG is de verwerkingsverantwoordelijke verplicht om elke
ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis te stellen van elke rectificatie
of wissing van persoonsgegevens of elke beperking van de verwerking die is uitgevoerd in
overeenstemming met artikel 16, 17.1 en 18 van de AVG, tenzij een dergelijke
openbaarmaking onmogelijk blijkt of onevenredig veel inspanning zou vergen. De
verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers
indien de betrokkene hierom verzoekt.
36. Artikel 21 AVG regelt het recht van bezwaar van de betrokkenen. Wanneer
persoonsgegevens worden verwerkt ten behoeve van direct marketing 8, heeft de
betrokkene "het recht om te allen tijde bezwaar te maken tegen de verwerking van hem
betreffende persoonsgegevens (...)" (art. 21.2 van de AVG). Wanneer de betrokkene
"bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de
persoonsgegevens niet meer voor deze doeleinden verwerkt. "(art. 21.3 AVG).
Wanneer een persoon bezwaar maakt tegen gegevensverwerking voor
directmarketingdoeleinden (bezwaar tegen direct marketing), hoeft hij geen
rechtvaardiging te geven voor zijn bezwaar 9. Bijgevolg moet het bezwaar onmiddellijk
leiden tot de stopzetting van alle verwerking van persoonsgegevens voor
8
Bij gebrek aan een wettelijke definitie van direct marketing heeft de GBA het als volgt gedefinieerd, elke communicatie in
welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht op de promotie of verkoop
van diensten, producten (al dan niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon
die handelt in een commerciële of niet-commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen
in een privé-of professionele context en die de verwerking van persoonsgegevens met zich meebrengt”. GBA, Aanbeveling nr.
1/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden, blz. 8,
beschikbaar op de GBA website.
9
HvJEU, 13 mei 2014, C-131/12 , Google Spain en Google, ECLI:EU:C:2014:317. HvJEU, Manni, C-398/15, 9 maart 2017. CJUE,
Google), C507/17, 24 september 2019, ECLI:EU:C:2019:772. GBA, Geschillenkamer, Beslissingen 28/2020 van 29 mei 2020,
32/2020 van 16 juni 2020, 19/2021ₒvan 12 februari 2021,ₒ109/2023 van 9 augustus 2023, 157/2023 van 27 november 2023ₒ",
beschikbaar op de website van GBA.
Beslissing ten gronde 87/2024 — 10/57
directmarketingdoeleinden voor de betrokkene, zonder dat verder onderzoek nodig is (zie
titel II.1.2)10.
37. De artikelen 15 tot en met 22 van de AVG zijn onlosmakelijk verbonden met artikel 12 van
de AVG, dat verplichtingen oplegt aan de verwerkingsverantwoordelijke, met name met
betrekking tot de transparantie van informatie en communicatie en de procedures voor de
uitoefening van de rechten van betrokkenen (art. 17 juncto 12 van de AVG en art. 21.2 juncto
12 van de AVG).
De uitoefening van deze rechten, in dit geval het recht op wissen (art. 17 van de AVG) en het
recht van de klager om bezwaar te maken tegen direct marketing (art. 21.2 van de AVG),
evenals de naleving van deze rechten door de verwerkingsverantwoordelijke, die zijn
reactie op de verzoeken van de betrokkenen moet aantonen, moet worden beoordeeld en
onderzocht overeenkomstig de bepalingen van artikel 12 van de AVG.
38. Artikel 12 van de AVG legt de verwerkingsverantwoordelijke de verplichting op om
passende maatregelen te nemen om op beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke wijze, in duidelijke en eenvoudige bewoordingen, alle
informatie11 met betrekking tot de verwerking van gegevens aan de betrokkene mee te
delen, met name wanneer wordt gereageerd op de rechten die zijn vastgelegd in de
artikelen 15 tot en met 22 van de AVG (art. 12.1 van de AVG). Wanneer een betrokkene een
verzoek indient in overeenstemming met de artikelen 15 tot en met 22 van de AVG, is de
verwerkingsverantwoordelijke verplicht om binnen een maand te reageren, met de
mogelijkheid van een verlenging van twee maanden, waarbij de betrokkene wordt
geïnformeerd over de redenen voor de verlenging (art. 12.3 van de AVG). Als er geen reactie
komt op het verzoek van de betrokkene, moet de verwerkingsverantwoordelijke de
betrokkene onverwijld, en uiterlijk binnen een maand na ontvangst van het verzoek, op de
hoogte stellen van de redenen voor het uitblijven van een reactie en van zijn recht om een
klacht in te dienen bij een toezichthoudende autoriteit of een rechtsvordering in te stellen
(art. 12.4 van de AVG).
39. Concluderend kan het niet voldoen door de verwerkingsverantwoordelijke aan een verzoek
op grond van de artikelen 15 tot en met 22 van de AVG, met name het recht op wissen
wanneer aan de voorwaarden van artikel 17 van de AVG is voldaan, of het recht om bezwaar
te maken wanneer aan de voorwaarden van artikel 21.2 van de AVG is voldaan, niet alleen
leiden tot een schending van de artikelen 17 en 21 van de AVG, maar ook van artikel 12 van
de AVG wegens het niet voldoen aan de mededelings- en informatieverplichtingen.
10
Zie Aanbeveling 1/2020 van 17 januari 2020 betreffende de verwerking van persoonsgegevens voor
directmarketingdoeleinden, blz. 53.
11
AVG, artikel 12.1; Deze informatie kan schriftelijk of op een andere manier worden verstrekt, waaronder, indien van toepassing,
elektronisch.
Beslissing ten gronde 87/2024 — 11/57
40. In het onderhavige geval merkt de Geschillenkamer, zoals vermeld in punt II.1.2. van deze
beslissing, op dat de klager zijn verzoek om wissing (volledige verwijdering van zijn
gegevens) op 30 juni 2022 heeft ingediend door zijn toestemming in te trekken,
overeenkomstig artikel 17.1.b), van de AVG. Bovendien blijkt uit het verzoek van de klager
duidelijk dat hij vastbesloten is om alle commerciële betrekkingen met de verweerder te
beëindigen. Naast het verzoek om de volledige verwijdering van zijn gegevens (art. 17.1.b)
van de AVG), maakt de klager krachtig bezwaar tegen de verwerking van zijn gegevens voor
direct marketingdoeleinden (art. 21.2 van de AVG). Om alle twijfels over de vorderingen van
de klager weg te nemen, worden in het op 18 november 2022 ingediende en op 7 december
2022 aan de verweerder meegedeelde verzoek om bemiddeling de eisen van de klager
verduidelijkt. Deze eisen hebben zowel betrekking op het wissen van zijn gegevens op
grond van artikel 17.1. b), van de AVG als op het bezwaar tegen de verwerking van zijn
gegevens op grond van artikel 21, leden 2 en 3, van de AVG, wat kan leiden tot de toepassing
van artikel 17.1.b), van de AVG, zoals gevraagd door de klager.
41. Ten eerste stelt de Geschillenkamer In de onderhavige zaak vast op basis van de
verklaringen van verweerder ter zitting van 12 oktober 2023, dat wil zeggen meer dan een
jaar nadat klager van zijn rechten gebruik heeft gemaakt, vast dat verweerder nog steeds
geen concrete stappen heeft ondernomen om te reageren op het verzoek van klager om te
worden gewist en bezwaar aan te tekenen.
De Geschillenkamer wil erop wijzen dat de verweerder op 11 november 2023 aan klager
heeft laten weten dat hem een e-mail was gestuurd met de mededeling dat zijn gegevens
waren gewist, zonder daar enig bewijs van te leveren of duidelijk aan te geven of het
bezwaarverzoek in behandeling was genomen. De Geschillenkamer besloot deze
informatie niet mee te nemen in haar beraadslagingen omdat de debatten al waren
afgesloten.
42. Ten tweede merkt de Geschillenkamer op dat de toepassing van 'code 43' door verweerder
op 11 april 2023 de toegang tot de gegevens van klager in zijn systeem heeft beperkt, maar
niet heeft geleid tot de verwijdering ervan12. Deze maatregel beperkte bepaalde
verwerkingen, met name telefoongesprekken, maar stopte niet de verzending van
nieuwsbrieven, die doorging tot december 2022. Ten slotte blijft de door de verweerder in
een e-mail van 3 november 202313 gedane toezegging, ook na sluiting van de procedure,
betreffende de verwijdering van de gegevens van klager, onbevredigend in verhouding tot
de verzoeken van klager. Deze maakte uitdrukkelijk bezwaar tegen elke verdere
verwerking van zijn gegevens, met name voor directmarketingdoeleinden, en eiste dat zijn
gegevens in hun geheel zouden worden gewist.
12
E-mail van 03 november 2023 verzonden door verweerder als reactie op het proces-verbaal van de hoorzitting.
13
E-mail van 03 november 2023 verzonden door verweerder als reactie op het proces-verbaal van de hoorzitting.
Beslissing ten gronde 87/2024 — 12/57
43. Ten derde constateert de Geschillenkamer een inconsistentie in de chronologie van de
gebeurtenissen, zoals gepresenteerd op de hoorzitting van 12 oktober 2023 en in de e-mail
naar aanleiding van het proces-verbaal van de hoorzitting. Het lijkt onwaarschijnlijk dat de
verwerking van gegevens voor directmarketingdoeleinden in december 2022 eindigde,
terwijl verweerder stelt dat de 'code 43', die de beperking van de gegevensverwerking
veroorzaakte, pas in april 2023 plaatsvond (zie punt 33). Dit doet veronderstellen dat de
gegevens van de klager ten minste tot april 2023 toegankelijk waren en niet tot december
2022. De Geschillenkamer voegt daaraan toe dat klager op 11 januari 2023, dus na
december 2022, heeft aangegeven dat hij telefoontjes en e-mails van verweerder bleef
ontvangen (zie punt 8).
44. Ten vierde benadrukte de Geschillenkamer dat de voortzetting van de verzending van
nieuwsbrieven, die tot ten minste december 2022 en zelfs tot april 2023 doorging, ondanks
de verzoeken van klager om verwijdering en het bezwaar op 30 juni 2022, onder het
voorwendsel dat er een afzonderlijk systeem bestond voor het beheer van reclamemails,
de voortzetting van de verwerking van de gegevens van klager voor
directmarketingdoeleinden niet kon rechtvaardigen.
45. Ten vijfde begrijpt de Geschillenkamer dat de verweerder zich impliciet beroept op de
uitzondering van artikel 17.3.b) van de AVG, namelijk het bewaren van de gegevens van de
klager in het Duitse IT-systeem om te voldoen aan wettelijke verplichtingen, in dit geval de
'belastingcontrole'14. De Geschillenkamer wijst erop dat het aan verweerder was om een
beroep te doen op een van de uitzonderingen van artikel 17.3 van de AVG, dit beroep te
motiveren en de klager op de hoogte te stellen van de niet-beëindiging juist vanwege deze
uitzondering (artikelen 12.1, 12.3 en 12.4 van de AVG en artikel 17.3 van de AVG), wat hij
destijds niet heeft gedaan. De Geschillenkamer oordeelde echter dat deze uitzondering de
verdere verwerking van de gegevens van de klager voor directmarketingdoeleinden, hetzij
telefonisch hetzij via e-mail, niet kon rechtvaardigen.
46. Uit de bovenstaande informatie blijkt dat de gegevens van de klager ondanks het verzoek
om wissen en bezwaar verder werden verwerkt voor directmarketingdoeleinden. Hieruit
volgt dat de verweerder niet alleen heeft nagelaten de verwerking van de
persoonsgegevens van de klager voor directmarketingdoeleinden te staken, maar ook
duidelijk heeft nagelaten de gegevens van de klager zo snel mogelijk te wissen of hem op
de hoogte te stellen van het resultaat van zijn verzoeken.
47. Gelet op het voorgaande concludeert de Geschillenkamer dat verweerder de artikelen 17
en 21 van de AVG niet heeft nageleefd, en tevens heeft nagelaten te voldoen aan de in de
14
Zie proces-verbaal van de hoorzitting van 12 oktober 2023, B.2. blz. 6.
Beslissing ten gronde 87/2024 — 13/57
artikelen 12.1, 12.3 en 12.4 van de AVG neergelegde verplichtingen om te reageren en
onverwijld, uitdrukkelijk en transparant te communiceren.
II.2.2. Vermeende schending van artikel 5.1.a) van de AVG (beginsel van
rechtmatigheid, behoorlijkheid en transparantie)
II.2.2.1. Standpunt van de verweerder
48. Tijdens de hoorzitting voerde de verweerder aan dat directmarketingactiviteiten en het
verzenden van nieuwsbrieven gebaseerd waren op toestemming van de gebruiker,
verkregen via een opt-in mechanisme met een gemakkelijke afmeldmogelijkheid. Andere
soorten verwerkingen waren voornamelijk gebaseerd op de noodzaak om het contract uit
te voeren.
II.2.2.2. Standpunt van de Geschillenkamer
49. Het rechtmatigheidsbeginsel is een van de hoofdbeginselen van de AVG en is alleen al een
voorwaarde voor de toepassing van de andere beginselen van de AVG in het kader van de
verwerking van persoonsgegevens. Persoonsgegevens moeten worden verwerkt op een
wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Om de
verwerking van persoonsgegevens als rechtmatig te kunnen beschouwen, moet deze
gebaseerd zijn op de toestemming van de betrokkene of op een andere grondslag waarin
artikel 6 van de AVG voorziet15.
50. Artikel 6.1. van de AVG somt zes rechtmatigheidsgronden voor een verwerking op: behalve
de toestemming (art. 6.1.a) kan de verwerking van persoonsgegevens noodzakelijk zijn voor
de uitvoering van een overeenkomst (art. 6.1.b), om te voldoen aan een wettelijke
verplichting (art. 6.1.c), voor het vervullen van een taak van algemeen belang of van een taak
in het kader van de uitoefening van het openbaar gezag (art. 6.1.e), voor de behartiging van
de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde (art.
6.1.f), of om de vitale belangen van de betrokkene te beschermen (art. 6.1.d). Bij het
ontbreken van een passende rechtsgrondslag is de verwerking van persoonsgegevens
strikt verboden.
51. De voortzetting van de verwerking van persoonsgegevens voor
directmarketingdoeleinden, zoals telefonische oproepen of het verzenden van
nieuwsbrieven, ondanks een verzoek tot wissen zonder dat een van de uitzonderingen van
artikel 17.3 van de AVG niet kan worden ingeroepen, of ondanks een verzoek om bezwaar
te maken overeenkomstig de artikelen 21.2 en 21.3 van de AVG, kan leiden tot een
schending van artikel 6 juncto 5.1.a) van de AVG wanneer de gegevensverwerking wordt
15
AVG, art. 5.1, a) ; art. 6 tot 9 ; overweging 40.
Beslissing ten gronde 87/2024 — 14/57
voortgezet zonder rechtmatigheidsgrond. Met andere woorden, het niet voldoen aan
verzoeken tot wissen en/of bezwaar kan verder gaan dan een eenvoudige schending van
artikel 17 en/of 21 van de AVG.
52. Het beginsel van behoorlijkheid en transparantie in artikel 5.1.a) van de AVG is niet beperkt
tot de eenvoudige informatie- en transparantieverplichtingen die in de artikelen van de
AVG worden opgesomd, maar is een algemeen beginsel waarvan de reikwijdte en de
filosofie voor alle verwerkingen moeten worden gerespecteerd. Dit beginsel 16, dat met
name is vastgelegd in artikel 12 van de AVG 17, moet ervoor zorgen dat betrokkenen op
beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze worden
geïnformeerd over de verwerking van hun persoonsgegevens. Daarnaast verplicht het de
verwerkingsverantwoordelijke om passende maatregelen te nemen om effectief te
reageren op verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 van de
AVG. Dit houdt in dat volledige informatie moet worden verstrekt over de verwerking van
hun gegevens, in duidelijke en eenvoudige taal en op een beknopte, gemakkelijk
toegankelijke en gemakkelijk te begrijpen manier 18. Door volledige transparantie in de
verwerking van persoonsgegevens te garanderen, versterkt dit principe het vertrouwen in
de gegevensverwerking en garandeert het de eerbiediging van de fundamentele rechten
inzake gegevensbescherming.
53. Tot slot is de verwerkingsverantwoordelijke, in overeenstemming met artikel 5.2 van de
AVG19, gelezen in samenhang met artikel 24 van de AVG, waarin het
verantwoordingsbeginsel (of "accountability") is vastgelegd, verantwoordelijk voor de
naleving van de beginselen van de bescherming van persoonsgegevens, in dit geval de
beginselen van rechtmatigheid en transparantie. Hij moet passende technische en
organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de
verwerking van persoonsgegevens voldoet aan de wettelijke verplichtingen die zijn
vastgelegd in de AVG; dit betekent dat hij in antwoord op elk verzoek van de
toezichthoudende autoriteiten moet kunnen aantonen dat hij hieraan voldoet.
16
Zie EPDB besluit 01/021, waarin staat het volgende : "Het Comité onderstreept op grond van de bovenstaande overwegingen
dat het transparantiebeginsel zich niet beperkt tot de verplichtingen uit hoofde van de artikelen 12 tot en met 14 AVG, ook al
vormen deze een concretisering van dat beginsel. Het transparantiebeginsel is namelijk een overkoepelend beginsel dat niet
alleen andere beginselen versterkt (d.w.z. billijkheid, verantwoordingsplicht), maar waaruit ook tal van andere bepalingen van
de AVG voortvloeien. Bovendien bevat artikel 83, lid 5, AVG, zoals reeds opgemerkt, de mogelijkheid om een inbreuk op de
transparantieverplichtingen onafhankelijk van de inbreuk op het transparantiebeginsel vast te stellen. In de AVG wordt dus een
onderscheid gemaakt tussen de bredere dimensie van het beginsel en de meer specifieke verplichtingen. Met andere
woorden, met de transparantieverplichtingen wordt niet de volledige werkingssfeer van het transparantiebeginsel
afgebakend". (Vrije vertaling van de Geschillenkamer) EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision
of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR, 28 juli 2021, §192.
17
Zie punten 38 tot 40. van deze beslissing.
18
De overwegingen 58 en 60 AVG preciseren dat “overeenkomstig de beginselen van behoorlijke en transparante verwerking
de betrokkene op de hoogte [moet worden] gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden ervan” en
dat “overeenkomstig het transparantiebeginsel informatie die bestemd is voor het publiek of voor de betrokkene beknopt,
eenvoudig, toegankelijk en begrijpelijk [moet] zijn (…)
19
Zie Titel II.2.3 in deze beslissing
Beslissing ten gronde 87/2024 — 15/57
54. In de onderhavige zaak heeft de Geschillenkamer in de eerste plaats rekening gehouden
met de uitleg die verweerder heeft gegeven over zijn directmarketingactiviteiten,
waaronder telefoongesprekken en het verzenden van nieuwsbrieven, die waren gebaseerd
op toestemming van de klant, krachtens artikel 6.1.a) van de AVG. Daarnaast merkte de
Geschillenkamer op dat de verweerder had aangevoerd dat de klager in eerste instantie
toestemming had gegeven door het vakje "toestemming" aan te vinken om
reclameboodschappen te ontvangen, en dat de verzending van nieuwsbrieven onder een
apart beheersysteem viel.
55. De Geschillenkamer stelde vast dat de klager zijn recht op wissen en bezwaar op 30 juni
2022 had uitgeoefend. Tijdens de hoorzitting bevestigde de verweerder dat de klager tot
december 2022 commerciële berichten bleef ontvangen. Paradoxaal genoeg wees
verweerder er ook op dat de beperking op gegevensverwerking met 'code 43' pas op 11
april 2023 werd ingesteld, wat erop wijst dat de gegevens van klager, zij het op beperkte
wijze, ten minste tot april 2023, en niet tot december 2022, werden verwerkt. Als gevolg
daarvan werd de verwerking van de gegevens van de klager voor
directmarketingdoeleinden voortgezet zonder rechtmatigheidsgrond, gezien de intrekking
van de toestemming van de klager. Aangezien deze toestemming door de klager werd
ingetrokken (door zijn recht op wissen en bezwaar uit te oefenen), werd de voortgezette
verwerking van zijn gegevens voor directmarketingdoeleinden uitgevoerd zonder enige
rechtmatigheidsgrond, waardoor het rechtmatigheidsbeginsel van artikel 5.1.a) van de AVG
werd geschonden.
56. Verder vindt de Geschillenkamer het argument van verweerder dat klager commerciële
berichten bleef ontvangen omdat hij aanvankelijk een "toestemmingsvakje" zou hebben
aangevinkt, wat zou duiden op permanente toestemming, niet overtuigend. De klager had
zijn toestemming duidelijk ingetrokken door gebruik te maken van zijn recht op wissen en
bezwaar, en door expliciet te verklaren dat hij de producten van de verweerder niet langer
zou kopen. Als gevolg daarvan had verweerder niet langer een rechtsgrondslag om de
verwerking van de gegevens voor directmarketingdoeleinden te rechtvaardigen nadat
klager zijn recht op bezwaar en op verwijdering van de gegevens had uitgeoefend.
Bovendien kan het argument van verweerder dat de verzending van reclame-e-mails
gerechtvaardigd was door het bestaan van een afzonderlijk beheerssysteem de
Geschillenkamer niet overtuigen, aangezien het aan de verwerkingsverantwoordelijke is
om zich zodanig te organiseren dat hij voldoet aan de verplichtingen van de AVG.
57. Ten tweede merkte de Geschillenkamer op dat de verweerder de klager op de datum van
de hoorzitting nog steeds niet op de hoogte had gesteld van de maatregelen die waren
genomen naar aanleiding van de uitoefening van zijn recht op wissen en bezwaar. Hoewel
de verweerder zich er op 3 november 2023 toe heeft verbonden de situatie te regulariseren
Beslissing ten gronde 87/2024 — 16/57
overeenkomstig artikel 17 van de AVG, bevestigt deze verklaring bovendien dat de
verweerder het transparantiebeginsel van artikel 5.1.a van de AVG heeft geschonden
doordat hij zijn informatie- en communicatieverplichtingen, zoals omschreven in artikel 12
van de AVG, niet is nagekomen. Daarnaast wijst de Geschillenkamer erop dat het bezwaar
nog niet in behandeling is genomen.
58. Gezien de tijd die is verstreken tussen de uitoefening van de rechten in juni 2022 en de
toezegging om klager in november 2023 te informeren, staat vast dat verweerder geen
passende stappen heeft ondernomen om alle informatie met betrekking tot de
gegevensverwerking mee te delen, waaronder antwoorden op de rechten van wissen en
bezwaar, zoals vereist door artikel 12.1 van de AVG. Bovendien heeft verweerder geen
informatie verstrekt over de acties die zijn ondernomen naar aanleiding van de verzoeken
om wissen en bezwaar binnen de in artikel 12.3. van de AVG voorgeschreven termijn van
één maand, noch heeft hij klager enige rechtvaardiging gegeven voor zijn passiviteit, in
tegenstelling tot wat wordt vereist door artikel 12.4 van de AVG.
59. Concluderend kan worden gesteld dat verweerder de gegevens van klager is blijven
verwerken voor directmarketingdoeleinden, hetzij via telefoonoproepen hetzij via
reclamemails, zonder rechtsgrondslag in de zin van artikel 6 van de AVG, gedurende een
periode van zes tot tien maanden nadat klager zijn verzoek tot verwijdering en bezwaar had
ingediend, en in strijd met het rechtmatigheidsbeginsel. Bovendien heeft verweerder niet
geantwoord op het verzoek van klager om wissing en bezwaar, aangezien deze verzoeken
meer dan een jaar en vijf maanden onbeantwoord zijn gebleven wat het verzoek om wissing
betreft, en nog steeds onbeantwoord zijn gebleven wat het verzoek om bezwaar betreft.
60. In het licht van het bovenstaande concludeert de Geschillenkamer dat verweerder de
beginselen van rechtmatigheid en transparantie van artikel 5.1.a) van de AVG heeft
geschonden door niet te voldoen aan de vereisten van de artikelen 6 en 12 van de AVG.
II.2.3. Vermeende schending van de artikelen 5.2 en 24 van de AVG
(verantwoordingsbeginsel)
II.2.3.1. Standpunt van de verweerder
61. De volgende middelen heeft verweerder alleen ter hoorzitting aangevoerd:
a) Wat de voormalige DPO en zijn rol betreft, beschreef verweerder hem als
competent op het gebied van communicatie en arbeidsrecht, maar hij merkte
tekortkomingen op in zijn beheer van de communicatie met de ID, de ELD en de
Geschillenkamer. Deze tekortkomingen zorgden voor problemen en brachten
zwakke plekken aan het licht in zijn beheer van de interne communicatie binnen de
organisatie van de verweerder , wat uiteindelijk leidde tot zijn vervanging.
Beslissing ten gronde 87/2024 — 17/57
b) Wat betreft het verzoek van klager om te worden gewist heeft de voormalige DPO
weliswaar interne maatregelen genomen om de verzoeken van klager te
behandelen, met name door 'code 43' te gebruiken en, volgens verweerder, door
de ID in te lichten in het kader van de inspectie waaraan deze was onderworpen (zie
punt II.1.1), maar hij heeft niet gereageerd op de ELD en klager niet ingelicht. De
voormalige DPO was van mening dat gegevens die onder de categorie 'code 43'
waren geplaatst, leidden tot de wissing van gegevens en niet tot een beperking van
gegevens. Verweerder verklaarde ook dat hij de verwijdering van de gegevens van
de klager door de Duitse verwerker niet kon verifiëren of bevestigen, aangezien
deze laatste geen schriftelijke bevestiging had verstrekt. De verweerder
bevestigde dat hij geen controle meer had over deze gegevens.
Op 3 november 2023 heeft verweerder in antwoord op het proces-verbaal van de
hoorzitting verduidelijkt dat het misverstand met de Duitse verwerker over de
categorisatie van gegevens onder 'code 43' het gevolg was van de onjuiste
overtuiging van de voormalige DPO en de directie dat deze code leidde tot de
verwijdering van persoonsgegevens, terwijl deze code er in feite toe leidde dat deze
gegevens niet toegankelijk waren voor de frontdesk van hun systeem. Deze situatie
wordt momenteel rechtgezet met de hulp van de nieuwe DPO (huidige DPO).
c) Wat de verwerkingsverantwoordelijkheid tussen de Duitse verwerker en hemzelf
betreft, heeft verweerder zijn onzekerheid geuit over de structuur van die
verantwoordelijkheid, waarbij hij heeft opgemerkt dat hij geneigd is zichzelf als de
enige verwerkingsverantwoordelijke te beschouwen.
In antwoord op het PV van de hoorzitting heeft verweerder verduidelijkt dat hij aan
de Duitse verwerker is gebonden door een verwerkersovereenkomst (art. 28 AVG).
d) Wat de exclusieve toegang van de voormalige DPO tot de mailbox "[email protected]"
betreft, verklaarde verweerder dat dit problemen opleverde, met name tijdens
afwezigheid wegens ziekte of verlof, waardoor zijn vermogen om verzoeken
efficiënt te behandelen werd aangetast. Hij wees erop dat de voormalige DPO, die
drie dagen per week in deeltijd werkte, vaak overwerkt was. De verweerder heeft
het einde van het contract van de voormalige DPO na een opzegtermijn
aangekondigd en verklaard dat zijn opvolger sinds 11 juli 2023 voltijds werkt,
ondersteund door twee andere werknemers, voor het gedeelde beheer van de
mailbox met alle e-mails, waaronder die van de DPO. Deze nieuwe organisatie is
bedoeld om een groter reactievermogen te garanderen. De verweerder verbond
zich ertoe de beslissingen van GBA na te leven en klantgegevens niet onnodig te
bewaren.
Beslissing ten gronde 87/2024 — 18/57
In antwoord op het proces-verbaal van de hoorzitting bevestigde verweerder
opnieuw het risico van niet-verwerkte correspondentie te willen verminderen door
administratieve maatregelen te nemen, namelijk door een team van drie personen,
waaronder de nieuwe DPO (de huidige DPO), op te richten om de e-mailbox te
beheren.
II.2.3.2. Standpunt van de Geschillenkamer
62. Met betrekking tot het verantwoordingsbeginsel (art. 5.2 AVG) wijst de Geschillenkamer
erop dat de verwerkingsverantwoordelijke passende technische en organisatorische
maatregelen moet treffen om te waarborgen en te kunnen aantonen dat de verwerking
wordt uitgevoerd in overeenstemming met de AVG en andere wetgeving inzake de
bescherming van persoonsgegevens (art. 24.1 AVG). Die maatregelen worden geëvalueerd
en indien nodig geactualiseerd. Vervolgens bepaalt artikel 24.2 van de AVG : "Wanneer
zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in artikel 24.1, van de
AVG genoemde maatregelen, een passend gegevensbeschermingsbeleid dat door de
verwerkingsverantwoordelijke wordt uitgevoerd"(de Geschillenkamer onderstreept).
63. Overweging 74 van de AVG voegt daaraan toe: "meer bepaald dient de
verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit
te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig de [AVG]
geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen
moet rekening worden gehouden met de aard, de omvang, de context en het doel van de
verwerking en het risico voor de rechten en vrijheden van natuurlijke personen."
64. Op grond van het verantwoordingsbeginsel is het daarom aan de
verwerkingsverantwoordelijke om interne procedures te ontwikkelen die betrokkenen in
staat stellen hun rechten effectief uit te oefenen en om de naleving van de regels van de
AVG te integreren in zijn verwerking en procedures, bijvoorbeeld door het bestaan en de
effectiviteit van procedures voor de behandeling van verzoeken van betrokkenen te
garanderen (art. 25 AVG).
65. De maatregelen die worden geïmplementeerd in overeenstemming met het
verantwoordingsbeginsel, gelezen in samenhang met het transparantiebeginsel (art. 5.1.a)
van de AVG), zijn bedoeld om betrokkenen in staat te stellen controle uit te oefenen op de
verwerking van hun gegevens20.
66. Met betrekking tot de functionaris voor gegevensbescherming (DPO) 21 wijst de
Geschillenkamer erop dat de AVG de verantwoordelijkheden van de
20
Zie overweging 78 van de AVG.
21
Geschillenkamer Beslissing 41/2020 punten 87 en 88.
Beslissing ten gronde 87/2024 — 19/57
verwerkingsverantwoordelijke duidelijk omschrijft, met name in artikel 38.2 van de AVG.
Dit artikel preciseert het volgende "de verwerkingsverantwoordelijke en de verwerker
ondersteunen de functionaris voor gegevensbescherming bij de vervulling van de in artikel
39 bedoelde taken door hem toegang te verschaffen tot persoonsgegevens en
verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen
voor het vervullen van deze taken en het in stand houden van zijn deskundigheid" (de
Geschillenkamer onderstreept).
67. In dit verband is de Geschillenkamer van mening dat met name de volgende aspecten in
aanmerking moeten worden genomen22 :
- De deelname van de DPO of, indien van toepassing, zijn team, in alle
aangelegenheden met betrekking tot gegevensbescherming. Dit omvat het
informeren en raadplegen van de DPO zodra een ontwerp voor
gegevensverwerking wordt overwogen, waardoor naleving van de AVG wordt
bevorderd en een aanpak van gegevensbescherming van bij het ontwerpgn' wordt
aangemoedigd. De DPO moet vanzelfsprekend een centrale contactpersoon
binnen de organisatie worden, bijvoorbeeld door deel te nemen aan werkgroepen
die zich bezighouden met gegevensverwerkingsactiviteiten binnen het bedrijf;
- Erkenning en versterking van de functie van de DPO door het hogere kader
(bijvoorbeeld op directieniveau);
- Het is essentieel dat de DPO voldoende tijd krijgt om zijn taken effectief uit te
voeren. Dit aspect is vooral belangrijk als de DPO zijn functie op deeltijdse basis
uitvoert, hetzij intern of extern aan de organisatie. Het gebrek aan tijd dat de
functionaris voor gegevensbescherming krijgt om zijn taken uit te voeren, kan
leiden tot prioriteitsconflicten en zijn vermogen om zijn taken uit te voeren in
gevaar brengen. Om deze situatie te verhelpen, beveelt de WP29 aan om samen
met de DPO de geschatte tijd te bepalen die nodig is om zijn taken uit te voeren (de
behoefte is groter bij het aanvaarden van de functie). Het kan nuttig zijn om een
werkplan op te stellen met prioriteiten voor de taken van de DPO, zodat hij
voldoende tijd heeft om zich volledig van zijn verantwoordelijkheden te kwijten.
Daarnaast is het essentieel dat de toewijzing van middelen voor de DPO in
verhouding staat tot de omvang, complexiteit, structuur en risico's van de
gegevensverwerkingsactiviteiten. Hoe complexer of gevoeliger de verwerkingen,
hoe meer middelen de DPO krijgt toegewezen;
- Officiële bekendmaking van de benoeming van de DPO aan al het personeel om
ervoor te zorgen dat zijn of haar rol binnen de organisatie algemeen bekend is;
22
WP29 "Richtlijnen voor functionarissen voor gegevensbescherming (DPO"), WP 243 rev.01, 5 april 2017, blz.. 16.
Beslissing ten gronde 87/2024 — 20/57
- Passende ondersteuning op het gebied van financiële middelen (waaronder een
budget voor bewustmakingsactiviteiten of de werving van een tijdelijk of vast
team), infrastructuur (gebouwen, faciliteiten, apparatuur) en personeel, indien van
toepassing;
- Standaard toegang tot juridische documentatie met betrekking tot de verwerking
van persoonsgegevens waarbij de organisatie betrokken is met derden, in het
bijzonder partners en verwerkers;
- Toegang tot interne communicatiemiddelen bij het uitvoeren van haar taken om
het bewustzijn te vergroten en opleidingen te geven over de vereisten van de AVG,
inclusief het vergroten van het bewustzijn van goede praktijken en het beheren van
incidenten zoals frauduleuze e-mails of datalekken;
- Toegang tot andere afdelingen zoals personeelszaken, juridische zaken, IT,
beveiliging, etc., zodat de DPO ondersteuning, input en essentiële informatie van
deze andere afdelingen kan ontvangen. 23 ;
- Voortgezette opleiding om de vakkennis van de DPO up-to-date te houden;
- Al naargelang de omvang en de structuur van het organisme kan het nodig blijken
een team te vormen rond de functionaris. In dergelijke gevallen moeten de interne
structuur van het team en de taken en verantwoordelijkheden van elk lid duidelijk
worden vastgesteld. Wanneer de functie van DPO door een externe dienstverlener
wordt bekleed, kan op dezelfde manier een team van personen die voor die entiteit
werken feitelijk alle taken van de functionaris voor gegevensbescherming als team
uitvoeren, onder de verantwoordelijkheid van een aangestelde
hoofdcontactpersoon van de klant”.
68. Uiteindelijk moet de DPO-functie effectief worden uitgeoefend om effectieve
gegevensbeschermingspraktijken te garanderen die voldoen aan de AVG. De
verwerkingsverantwoordelijke is wettelijk verplicht om de structuren en maatregelen op te
zetten die nodig zijn om het werk van de DPO te vergemakkelijken en de bescherming van
persoonsgegevens te garanderen. Dit betekent dat de DPO moet kunnen beschikken over
voldoende middelen, afhankelijk van de aard van de gegevensverwerking en de
bijbehorende risico's, en dat de tijd en toegang beschikbaar moet zijn die nodig zijn om de
rol binnen de organisatie te vergemakkelijken en te ondersteunen.
69. Op grond van de feitelijke elementen in het dossier stelt de Geschillenkamer de volgende
elementen vast:
23
Bergt, in Kühling, Buchner, DS-GVO BDSG, Article 38 GDPR, margin number 20 (C.H. Beck 2020, 3rd Edition).
Beslissing ten gronde 87/2024 — 21/57
a) Met betrekking tot het verzoek voor wissing en bezwaar, ingediend op 30 juni 2022
:
i. De verweerder beperkte de verwerking van de gegevens met behulp van
'code 43', waardoor de gegevens ontoegankelijk werden vanaf de
frontdesk van hun systeem. Deze maatregel beantwoordt echter niet aan
de oorspronkelijke verzoeken van de klager, die vroeg om zijn gegevens
volledig te wissen en bezwaar maakte tegen elke verdere verwerking voor
directmarketingdoeleinden, wat wijst op een duidelijke tekortkoming in de
bestaande technische en organisatorische maatregelen.
ii. De persoonsgegevens van de klager werden in elk geval tot de datum van
sluiting van de procedure nog steeds bewaard door de Duitse verwerker
van de verweerder, ondanks zijn verzoek tot wissen en bezwaar. Het
onvermogen om de daadwerkelijke wissing van dergelijke gegevens
onomstotelijk te verifiëren of te bevestigen, doet vragen rijzen over de
doeltreffendheid van de interne procedures die momenteel van kracht zijn,
zowel met betrekking tot de wissing van gegevens als tot de coördinatie
tussen de verschillende entiteiten van de verweerder om te voldoen aan de
AVG.
b) Met betrekking tot de antwoorden op de verzoeken van de klager tot wissen en
bezwaar :
i. Tot op de datum van sluiting van de procedure had verweerder nog steeds
niet gereageerd op de verzoeken van klager om wissing en bezwaar,
waaruit blijkt dat hij ernstig heeft verzuimd passende technische en
organisatorische maatregelen te nemen om de eerbiediging van de rechten
van betrokkenen te waarborgen in overeenstemming met de AVG.
ii. Het rechtvaardigen van de ontvangst van nieuwsbrieven op basis van de
toestemming van de klager, zelfs wanneer deze zijn recht op wissen en
bezwaar heeft uitgeoefend, onthult een tekortkoming in de maatregelen
om transparantie, respect voor toestemming en wissen en bezwaar van
gegevens te waarborgen, ook in afzonderlijke entiteiten binnen het
netwerk van verweerder, en is in strijd met de vereisten van de AVG.
c) Wat de DPO en de nieuwe maatregelen van verweerder betreft 24,
i. De verweerder erkende dat de voormalige DPO deeltijds werkte en
overbelast was, waardoor hij verschillende brieven niet goed kon
beantwoorden. Dit is zorgwekkend, aangezien de DPO een essentiële rol
24
Zie ook punten 64 tot en met 70.
Beslissing ten gronde 87/2024 — 22/57
speelt bij het waarborgen van de naleving van de AVG. In overeenstemming
met de AVG moet de verwerkingsverantwoordelijke de DPO alle
noodzakelijke middelen ter beschikking stellen om hem in staat te stellen
zijn taken en verplichtingen adequaat uit te voeren in overeenstemming
met artikel 38 van de AVG (zie punten 66 tot en met 68). Het feit dat de
voormalige DPO deeltijds werkte en overbelast was, wijst erop dat er geen
passende organisatorische maatregelen zijn genomen om naleving van de
AVG te waarborgen.
ii. De Geschillenkamer merkt op dat het besluit van verweerder om een
nieuwe voltijdse DPO in dienst te nemen, werd genomen na de inspectie
door de ID (zie Titel II.1.1). Deze corrigerende maatregelen naar aanleiding
van het onderzoek van de ID (zie titel II.1.1) wijzen op een schending van het
verantwoordingsbeginsel dat voortvloeit uit artikel 5,.2 juncto 24 van de
AVG. Dergelijke maatregelen hadden al moeten zijn genomen voordat de
GBA ingreep om te waarborgen dat de AVG voortdurend wordt nageleefd.
iii. Ondanks de communicatieproblemen van de voormalige DPO, het
uitblijven van een reactie op ELD-verzoeken en het onderzoek van de ID (zie
titel II.1.1), heeft verweerder niet voor een meer voorzichtige aanpak
gekozen door passende stappen te ondernemen om zijn processen te
verbeteren en de naleving van de AVG te waarborgen, zowel voor vroegere
als toekomstige verzoeken van betrokkenen. Het zou bijvoorbeeld een
goed idee zijn geweest om de nieuwe DPO, die op 11 juli 2023 is
aangenomen en wordt bijgestaan door twee beheerders, te vragen om alle
e-mails te raadplegen die nog in de mailbox "[email protected]" staan, om
eventuele onopgeloste verzoeken af te handelen. Zich verschuilen achter
een vermeend gebrek aan kennis van de inhoud van de eerdere e-mails en
de voormalige DPO de schuld geven, ontslaat verweerder geenszins van
aansprakelijkheid, vooral omdat hij volgens de verklaringen van verweerder
voorwerp was van een onderzoek door de ID en dus op de hoogte was van
de problemen van de voormalige DPO. Hoewel verweerder bepaalde
stappen heeft ondernomen om de situatie te verhelpen, waaronder het
aannemen van een nieuwe voltijdse DPO en het versterken van het team,
blijven deze maatregelen in de ogen van de Geschillenkamer ontoereikend.
Op grond van het verantwoordingsbeginsel had verweerder, gelet op de
omstreden context en de noodzaak om aan de bepalingen van de AVG te
voldoen, proactief stappen moeten ondernemen om zijn processen te
verbeteren en de naleving van de AVG te waarborgen.
Beslissing ten gronde 87/2024 — 23/57
70. Daarnaast kan het ontbreken van technische of organisatorische maatregelen - zoals het
ontbreken van maatregelen om het onnodig bewaren van gegevens te beperken of
onbekendheid met de codes die worden gebruikt in verzoeken om gegevens te wissen of
bezwaar te maken - de vertrouwelijkheid en veiligheid van de persoonsgegevens van
betrokkenen in gevaar brengen. Bijgevolg vestigt de Geschillenkamer de aandacht van
verweerder op de noodzaak om het in artikel 5.1.f van de AVG, gelezen in samenhang met
artikel 32 van de AVG, neergelegde beginsel van veiligheid en vertrouwelijkheid in acht te
nemen. Ten slotte moedigt de Geschillenkamer de verweerder ten zeerste aan om zich te
blijven inspannen om maatregelen te treffen om de functie van de DPO doeltreffend te
ondersteunen.
71. Gelet op het voorgaande concludeert de Geschillenkamer dat verweerder de artikelen 5.2
en 24 van de AVG niet heeft nageleefd.
II.2.4. Vermeende schending van artikel 31 van de AVG (medewerking met de
toezichthoudende autoriteit
II.2.4.1. Standpunt van de verweerder
72. Tijdens de hoorzitting voerde de verweerder verschillende argumentne aan:
a) De problemen met de GBA begonnen onder het beheer van de voormalige DPO.
Noch de huidige DPO, noch de directie werden op de hoogte gesteld van de
verzoeken van de GBA (zie Titel II.2.3).
b) De huidige DPO ontdekte de correspondentie van de Geschillenkamer pas twee
weken voor de hoorzitting en alleen de voormalige DPO was op de hoogte van de
correspondentie van de GBA.
c) De verweerder wees erop dat de voormalige DPO de informatie, waaronder de
uitnodiging tot sluiting en de door de ELD verzonden bemiddelingsmails, niet intern
had doorgegeven, waardoor een passende reactie onmogelijk was.
d) De voormalige DPO had de brieven van de GBA of van klager niet naar behoren
verwerkt en had deze informatie niet intern gedeeld vanwege zijn werkoverlast (zie
Titel II.2.3).
e) Ondanks maatregelen om de verwerking van de gegevens van de klager te
beperken, werd er geen contact opgenomen met de klager of de GBA en bleven de
e-mails van de GBA onverwerkt in de mailbox "[email protected]".
73. In antwoord op de motivering stelde verweerder dat de voormalige DPO niet had
gereageerd op de mededelingen van GBA vanwege zijn overbelasting van het werk van
december 2022 tot maart 2023, een motivering die afkomstig was van de voormalige DPO
Beslissing ten gronde 87/2024 — 24/57
zelf, en niet van verweerder. Bovendien zou de voormalige DPO hebben nagelaten het
management op de hoogte te stellen van deze werkdruk. Ditzelfde argument van niet-
reageren werd ook aangevoerd om het uitblijven van reacties op berichten van de ID in deze
periode te rechtvaardigen.
II.2.4.2. Standpunt van de Geschillenkamer
74. Artikel 31 van de AVG stelt dat de verwerkingsverantwoordelijke de verwerker en, in
voorkomend geval, hun vertegenwoordigers, desgevraagd samenwerken met de
toezichthoudende autoriteit bij het vervullen van haar taken. Deze samenwerking is van
cruciaal belang om de toezichthoudende autoriteit in staat te stellen haar plichten en taken
op het gebied van gegevensbescherming effectief uit te voeren. In dit verband moet artikel
31 van de AVG worden gelezen in combinatie met de artikelen 57 en 58 van de AVG 25,
waarin de taken en onderzoeksbevoegdheden van de toezichthoudende autoriteit worden
beschreven.
75. De algemene plicht tot samenwerking uit artikel 31 van de AVG wordt versterkt door artikel
83.4.a) van de AVG, waarin deze samenwerking wordt beschreven als een "verplichtingen
van de verwerkingsverantwoordelijke en de verwerker". Het niet naleven van deze
verplichting tot samenwerking is op zichzelf ook een schending van de AVG, zoals
uiteengezet in artikel 83 van de AVG:
" De Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan
administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de
totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is: a) de
verplichtingen van de verwerkingsverantwoordelijke en de verwerker overeenkomstig de
artikelen 8, 11, 25 tot en met 39, en 42 en 43; [...]".
76. Artikel 83 van de AVG bepaalt ook de criteria die worden gebruikt om te beslissen of een
geldboete wordt opgelegd en de hoogte van de boete. Het is veelzeggend dat de mate van
medewerking expliciet wordt genoemd als een van de elf criteria die van invloed zijn op de
vaststelling van deze sancties (art. 83, lid 2, AVG).
77. Overweging 82 van de AVG versterkt ook deze verplichting tot samenwerking door met
name het bijhouden van registers van de verwerkingsactiviteiten voor te schrijven, evenals
de verplichting om deze registers op verzoek aan de toezichthoudende autoriteit ter
beschikking te stellen. Het doel van deze overweging is om de toezichthoudende autoriteit
25
Artikel 57 van de AVG beschrijft de uitgebreide taken die aan de toezichthoudende autoriteiten zijn toegewezen, terwijl
artikel 58 van de AVG de uitgebreide onderzoeksbevoegdheden specificeert die krachtens de verordening aan hen zijn
toegekend.
Beslissing ten gronde 87/2024 — 25/57
in staat te stellen verwerkingen te controleren en te monitoren en haar taken uit te voeren
in overeenstemming met artikel 57 van de AVG.
78. De Geschillenkamer wijst erop dat zowel verwerkingsverantwoordelijken als verwerkers
rechtstreeks verantwoording verschuldigd zijn aan de toezichthoudende autoriteiten
krachtens hun verplichtingen om op verzoek passende documenten bij te houden en te
verstrekken, om mee te werken aan onderzoeken en om te voldoen aan administratieve
bevelen. Meer in het bijzonder houdt de algemene plicht tot samenwerking 26 in dat de
verwerkingsverantwoordelijke en de verwerker :
a) Reageren op verzoeken van de toezichthoudende autoriteit: Wanneer de
toezichthoudende autoriteit, zoals de GBA, informatie, gegevens of antwoorden
vraagt met betrekking tot de verwerking van persoonsgegevens, moeten de
verwerkingsverantwoordelijke en de verwerker deze informatie volledig en tijdig
verstrekken;
b) Actief samenwerken : De verwerkingsverantwoordelijke en de verwerker moeten
nauw samenwerken met de toezichthoudende autoriteit om haar te helpen haar
taken uit te voeren, met name door informatie te verstrekken over de
gegevensverwerkingspraktijken en stappen te ondernemen om inbreuken op de
AVG te verhelpen;
c) Voldoen aan de instructies van de toezichthoudende autoriteit: Als de
toezichthoudende autoriteit specifieke instructies geeft voor de naleving van de
AVG, moeten de verwerkingsverantwoordelijke en de verwerker deze op de juiste
manier opvolgen.
Het is belangrijk op te merken dat deze lijst niet bedoeld is om volledig te zijn.
79. Kortom, het fundamentele doel van deze algemene plicht tot samenwerking die aan elke
verwerkingsverantwoordelijke en verwerker wordt opgelegd, is te zorgen voor een
doeltreffend toezicht en een nauwgezette naleving van de regels inzake
gegevensbescherming. Verwerkingsverantwoordelijken en verwerkers moeten actief
samenwerken en volledig samenwerken met de toezichthoudende autoriteit om naleving
van de bepalingen van de AVG te waarborgen en de rechten van betrokkenen met
betrekking tot persoonsgegevens te beschermen. Deze verplichting, in combinatie met het
verantwoordingsbeginsel van artikel 5.2 van de AVG, versterkt de rol van de
toezichthoudende autoriteit bij de uitoefening van haar bevoegdheden om de effectieve
toepassing van de regels inzake gegevensbescherming te waarborgen.
26
EDPB, Richtsnoeren 07/2020 over de begrippen 'verwerkingsverantwoordelijke' en 'verwerker' in de AVG, versie 2.0,
aangepast op 7 juli 2021, punt 9.
Beslissing ten gronde 87/2024 — 26/57
80. Niet-naleving van deze verplichting kan leiden tot afzonderlijke administratieve geldboetes
in overeenstemming met artikel 83.4.a) van de AVG. Ten slotte kan een schending van deze
verplichting tot samenwerking ook worden beschouwd als een schending van het
verantwoordingsbeginsel (art. 5.2 AVG).
81. In deze zaak merkte de Geschillenkamer op dat de ELD de verweerder had benaderd met
het oog op bemiddeling. Meer in het bijzonder heeft de ELD twee verzoeken van 7
december 2022 en 17 januari 2023 verzonden, waarop verweerder niet heeft geantwoord.
Bovendien nam de ELD het verzoek van de klager op in het verzoek om bemiddeling,
waardoor verweerder werd herinnerd aan zijn plicht om het recht op wissen van de klager
te respecteren. Ondanks deze stappen moest de ELD echter op 20 februari 2023
kennisgeving doen van het mislukken van de bemiddeling, omdat verweerder niet
reageerde, zowel op de bemiddeling als op het verzoek van klager (zie de punten 4 tot en
met 11).
82. Met betrekking tot de e-mails en brieven van de ELD die aan verweerder zijn gestuurd,
merkt de Geschillenkamer op dat er geen technische en organisatorische maatregelen zijn
die verweerder in staat zouden stellen om een overzicht te hebben van de AVG-
gerelateerde kwesties die door de voormalige DPO zijn behandeld en/of om de correcte
verwerking te controleren van verzoeken die naar de voormalige DPO zijn gestuurd,
hetgeen de nalatigheid van verweerder benadrukt (zie Titel II.2.3).
83. Enerzijds merkt de Geschillenkamer op dat deze nalatigheid voornamelijk lijkt voort te
vloeien uit verwarring als gevolg van het feit dat verweerder was onderworpen aan een
inspectie door de ID (zie Titel II.1.1), die geheim blijft overeenkomstig artikel 63.3 van de
WOG. In dit verband benadrukt de Geschillenkamer dat de verweerder verplicht is om met
alle diensten van de GBA samen te werken. Het niet reageren op een brief van een van de
diensten van de GBA, in dit geval een uitnodiging om mee te werken aan bemiddeling door
de ELD, kan worden geïnterpreteerd als een weigering om mee te werken en mogelijk
worden beschouwd als een schending van artikel 31 van de AVG.
84. Anderzijds merkt de Geschillenkamer op dat verweerder zijn verantwoordelijkheid
probeert te ontlopen door de nalatigheid om niet te reageren op mededelingen van de ELD,
de ID, de Geschillenkamer en de klager toe te schrijven aan zijn voormalige DPO.
Verweerder stelt dat hij niet op de hoogte was van de buitensporige werklast van
laatstgenoemde, die zijn vermogen om gunstig te reageren op de verzoeken van GBA en
de klager zou hebben belemmerd.
De AVG bevat een aantal artikelen waarin de verplichtingen van een
verwerkingsverantwoordelijke of verwerker worden uiteengezet, waaronder de artikelen
5, 6, 9, 25, 32, 33, 37 en 38 van de AVG. Op grond van het verantwoordingsbeginsel (zie
Titel II.2.3) moet de verwerkingsverantwoordelijke aantonen dat hij de bepalingen van de
Beslissing ten gronde 87/2024 — 27/57
AVG naleeft door passende technische en organisatorische maatregelen te nemen om de
rechten en vrijheden van natuurlijke personen te beschermen. Als de
verwerkingsverantwoordelijke een DPO aanstelt voor zijn juridische afdeling of een
algemeen e-mailadres gebruikt zoals "[email protected]" om te reageren op verzoeken van
betrokkenen, is het de verantwoordelijkheid van de verwerkingsverantwoordelijke om
ervoor te zorgen dat e-mails die naar dit adres worden gestuurd regelmatig worden
geraadpleegd en verwerkt, zelfs als een persoon die op de betreffende afdeling heeft
gewerkt en/of de DPO ontslag neemt of als de werklast van de DPO buitensporig wordt.
Wat dit laatste punt betreft, wijst de Geschillenkamer erop dat het aan de
verwerkingsverantwoordelijke is om te voldoen aan de bepalingen van artikel 38 van de
AVG.
85. Gelet op de bijzondere context van de huidige inspectie (zie Titel II.1.1) en de werkdruk
waarmee de voormalige DPO werd geconfronteerd, stelt de Geschillenkamer vast dat
verweerder de behandeling van de aan de voormalige DPO gerichte verzoeken niet naar
behoren heeft gecontroleerd. Hoewel er stappen waren ondernomen, zoals uitbreiding van
het personeelsbestand en vervanging van de voormalige DPO, leken deze niet volledig
effectief te zijn, met name met betrekking tot het onderzoeken van alle eerdere GBA-
verzoeken, waaronder die van klager, die onbeantwoord bleven, evenals mogelijk andere
eerdere verzoeken. Om deze situatie te verhelpen, had verweerder kunnen overwegen
aanvullende maatregelen te nemen, zoals een opfriscursus met het nieuwe
gegevensbeschermingsteam, waarbij de nadruk werd gelegd op de noodzaak om de inhoud
van bovengenoemd e-mailadres te bekijken, teneinde eventuele tekortkomingen van de
voormalige DPO te corrigeren en een passend antwoord op alle verzoeken van
betrokkenen te waarborgen. In elk geval is naleving van de AVG de verantwoordelijkheid
van de verwerkingsverantwoordelijke en niet de bevoegdheid en het takenpakket van een
DPO.
86. Wat het niet indienen van conclusies betreft, is de Geschillenkamer van mening dat de
verweerder vrij is om te kiezen of hij zich wil verdedigen, zijn argumenten naar voren wil
brengen en zijn standpunt op een formele en gestructureerde manier wil ondersteunen.
Zonder deze conclusies zou de Geschillenkamer gedwongen kunnen worden om bij verstek
uitspraak te doen. In dit geval kreeg de verweerder de gelegenheid om zijn argumenten
mondeling toe te lichten tijdens een hoorzitting.
87. Gelet op het voorgaande heeft verweerder tijdens de bemiddelingsprocedure niet volledig
meegewerkt met de GBA, in het bijzonder met de ELD. De Geschillenkamer heeft echter
niet kunnen vaststellen of dit gebrek aan reactie het gevolg was van verwarring als gevolg
van de lopende inspectie (zie Titel II.1.1), dan wel het gevolg was van opzet of grove
Beslissing ten gronde 87/2024 — 28/57
nalatigheid bij het niet verlenen van medewerking, hetgeen tot de conclusie leidt dat er
geen sprake is van een inbreuk op artikel 31 van de AVG.
III. Over de corrigerende maatregelen en straffen
III.1. Corrigerende maatregelen en sancties
88. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° een opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan
aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die
het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
89. In bovengenoemd artikel 100 wordt de lijst van sancties van artikel 58, lid 2, van de AVG
gespecificeerd.
Beslissing ten gronde 87/2024 — 29/57
90. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de
artikelen 83 van de AVG en de artikelen 100, 13°, en 101 van de WOG, bepaalt artikel 83
van de AVG:
"1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit
hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op
deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete
geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j),
bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening
gehouden met het volgende:
a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of
het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de
omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de
door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is
gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd
overeenkomstig de artikelen 25 en 32;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te
verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk,
met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de
inbreuk heeft gemeld;
i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten
aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot
dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van
goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
Beslissing ten gronde 87/2024 — 30/57
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of
verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan
niet rechtstreeks uit de inbreuk voortvloeien."
III.2. 2.2 Vastgestelde inbreuken
91. De Geschillenkamer oordeelde dat er in deze zaak sprake was van ernstige schendingen
van de grondrechten van de betrokkenen (zie Titel II.2). Meer in het bijzonder stelde de
Geschillenkamer schendingen vast van de hierna volgende bepalingen van de AVG, die alle
kunnen worden toegeschreven aan het unieke gedrag van de verweerder 27:
a) Schendingen van de artikelen 17 en 21 van de AVG (zie Titels II.1.2 en II.2.1)
De verweerder heeft de artikelen 17 en 21 van de AVG geschonden door niet binnen
de gestelde termijn te reageren op een verzoek om persoonsgegevens te wissen
en bezwaar te maken tegen de verwerking van dergelijke gegevens voor
directmarketingdoeleinden28 meer dan een jaar nadat de klager zijn rechten had
uitgeoefend. Opgemerkt moet worden dat deze gegevens ten tijde van de
hoorzitting nog steeds op de servers van verweerder stonden, met inbegrip van de
gegevens die voor directmarketingdoeleinden werden verwerkt.
b) Schending van artikel artikel 5.1. a) van de AVG (zie Titel II.2.2)
De verweerder heeft de klager niet geïnformeerd over de maatregelen die zijn
genomen in antwoord op zijn verzoeken om wissen en bezwaar, zoals vereist door
zijn informatie- en communicatieverplichtingen als bedoeld in artikel 12 van de
AVG, wat in strijd is met het transparantiebeginsel van artikel 5.1.a) van de AVG 29.
Bovendien vormt de voortgezette verwerking van gegevens voor
directmarketingdoeleinden zonder passende rechtsgrondslag, zoals vereist door
de AVG, een inbreuk op het rechtmatigheidsbeginsel van artikel 5.1.a) van de AVG.
In dit geval beriep de verweerder zich op toestemming als rechtsgrondslag. Zodra
deze toestemming echter door de klager is ingetrokken (door zijn recht op bezwaar
27
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf.
28
Zie punten 5 en 40 in deze beslissing.
29
Werkgroep 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260Rev260, blz. 260,
punten 1, 7 en 54; Deze richtlijnen van de artikel 29 werkgroep (G29) bieden praktische richtsnoeren en hulp bij de interpretatie
van de nieuwe transparantieverplichting die van toepassing is op de verwerking van persoonsgegevens onder de Algemene
Verordening Gegevensbescherming (hierna de "AVG"). Transparantie is een algemene verplichting in de zin van de AVG die
van toepassing is op drie centrale gebieden: 1) het verstrekken van informatie aan betrokkenen over de eerlijke verwerking
van hun gegevens; 2) hoe verwerkingsverantwoordelijken communiceren met betrokkenen over hun rechten onder de AVG;
en 3) hoe verwerkingsverantwoordelijken het voor betrokkenen gemakkelijker maken om hun rechten uit te oefenen. Deze
richtsnoeren beschrijven de algemene beginselen met betrekking tot de uitoefening van de rechten van betrokkenen in plaats
van in te gaan op de specifieke details van elk van deze rechten van betrokkenen onder de AVG. Met andere woorden, ze
bieden een leidraad voor de onderliggende concepten en beginselen die moeten worden nageleefd bij het uitoefenen van de
rechten van de betrokkenen, in plaats van gedetailleerde instructies te geven over hoe elk specifiek recht op een praktische
manier moet worden uitgeoefend.
Beslissing ten gronde 87/2024 — 31/57
en op wissing uit te oefenen), is de verdere verwerking van zijn of haar gegevens
voor directmarketingdoeleinden onwettig, en dus in strijd is met het in artikel 5.1.a)
van de AVG bekrachtigde rechtmatigheidsbeginsel.
c) Schending van de artikelen 5.2 juncto 24 van de AVG (zie de Titels II.2.3 en II.2.4)
Voor zover verweerder niet binnen de voorgeschreven termijnen heeft gereageerd
op de verzoeken om persoonsgegevens te wissen en om bezwaar te maken tegen
de verwerking van dergelijke gegevens voor directmarketingdoeleinden, heeft dit
geleid tot de voortzetting van de verwerking van de persoonsgegevens van klager
zonder dat de beginselen inzake gegevensbescherming van artikel 5.1 van de AVG
werden nageleefd (zie hierboven). Dit verzuim benadrukt het slechte beheer van
verzoeken van betrokkenen, met name met betrekking tot het recht van de klager
op wissen en bezwaar. Bovendien wordt deze tekortkoming in het beheer van de
verzoeken van de betrokkenen versterkt door de ontoereikendheid van de door
verweerder genomen maatregelen, zoals het gebruik van 'code 43' om de
verwerking van gegevens te beperken, die ontoereikend werden geacht om te
reageren op de oorspronkelijke verzoeken van klager. Deze situatie benadrukt ook
een gebrek aan beheersing van de codes die worden gebruikt om te reageren op
verzoeken van de betrokken personen. Bovendien wijzen het voortbestaan van de
gegevens op de servers van verweerder en de problemen met de DPO erop dat de
technische en organisatorische maatregelen die nodig zijn om aan de AVG te
voldoen, niet ten uitvoer zijn gelegd. Dit onthult een lacune in de technische en
organisatorische procedures. Verweerder heeft derhalve artikel 5.2. juncto 24
van de AVG geschonden.
III.3. Corrigerende Maatregelen en sancties opgelegd door de Geschillenkamer
92. Als onafhankelijke administratieve autoriteit heeft de Geschillenkamer de exclusieve
bevoegdheid om de gepaste corrigerende maatregelen en sancties te bepalen in
overeenstemming met de relevante bepalingen van de AVG en de WOG. Deze bevoegdheid
vloeit specifiek voort uit de artikelen 58 en 83 van de AVG, zoals bevestigd door de
rechtspraak van het Marktenhof in zijn arresten van 7 juli 2021, 6 september 2023 en 20
december 202330, waarin de omvang van de discretionaire bevoegdheid van de
Geschillenkamer met betrekking tot de keuze en de reikwijdte van sancties duidelijk naar
voren kwam.
93. Daartoe zal de Geschillenkamer rekening houden met alle relevante omstandigheden van
de zaak, met inbegrip van - binnen de hieronder in Titel III.3.2 vastgestelde grenzen - de
30
Marktenhof, 2021/KB/320, p. 37-47; 2020/AR/1160, blz. 34; 2023/AR/817, blz. 57, 61 en 62.
Beslissing ten gronde 87/2024 — 32/57
reactie van verweerder van 5 april 2024 op de voorgestelde sancties die hem zijn
meegedeeld door middel van het sanctieformulier van 15 maart 2024 31.
De Geschillenkamer wijst er echter op dat het sanctieformulier bedoeld is om de
vermeende overtreder, in dit geval de verweerder, in staat te stellen zich te verdedigen
tegen het bedrag van de voorgestelde geldboete voordat deze wordt opgelegd en
daadwerkelijk ten uitvoer wordt gelegd. Deze verweerprocedure, voorzien in het
sanctieformulier over het bedrag van de voorgestelde geldboete, leidt niet tot nieuwe
debatten over de bevindingen die al zijn vastgesteld door de Geschillenkamer, aangezien
deze gesloten zijn. Bovendien vormt de brief met het sanctieformulier geen beslissing
waartegen beroep kan worden aangetekend bij het Marktenhof krachtens artikel 108 van
de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit.
94. In overeenstemming met deze uitleg nodigt de Geschillenkamer verweerder uit om
afdeling "Titel II.1.1" van deze beslissing te raadplegen voor meer gedetailleerde uitleg en
herhaalt dat zij het verzoek afwijst om het dossier (...) samen te voegen met het huidige
dossier waarop deze beslissing betrekking heeft. Evenzo verwerpt de Geschillenkamer de
overwegingen in de punten 2.2.1 tot en met 2.2.4 van het antwoord van verweerder op het
op 5 april ingediende sanctieformulier, met het betoog dat de procedure is beëindigd en dat
de voorgenomen en gelaste corrigerende maatregelen in concreto in overeenstemming
zijn. Met deze overwegingen zal echter rekening worden gehouden bij de berekening van
de geldboete, aangezien het sanctieformulier bedoeld is om de verweerder in staat te
stellen het bedrag van de voorgestelde geldboete te betwisten.
III.3.1. Corrigerende maatregelen
95. In antwoord op het sanctieformulier stelt verweerder dat hij de gegevens heeft gewist en
de betrokken ontvangers, waaronder de Duitse verwerker, op de hoogte heeft gebracht; hij
stelt ook dat hij verwerkingsactiviteiten opzet in overeenstemming met de bepalingen van
de AVG. Zij verzoekt daarom de uitgebrachte waarschuwing in te trekken. De
Geschillenkamer wijst verweerder er echter op dat deze kennisgevingen zijn ontvangen op
11 november 202432 of 5 april 2024, na sluiting van de procedure. Bijgevolg kan de
Geschillenkamer de juistheid van de door verweerder aangevoerde argumenten niet
controleren en ziet zij zich genoodzaakt deze argumenten te verwerpen, aangezien de
procedure is gesloten.
96. De Geschillenkamer neemt de volgende corrigerende maatregelen:
31
Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024.
32
Sanctieformulier van 15 maart 2024 ; antwoord van verweerder op sanctieformulier van 5 april 2024.
Beslissing ten gronde 87/2024 — 33/57
a) Overeenkomstig artikel 58.2. c) van de AVG en artikel 100, § 1, 6° van de WOG,
verweerder gelasten om, wegens schending van de artikelen 17 en 21 van de
WOG, binnen 30 dagen na kennisgeving van deze beslissing te voldoen aan de
verzoeken tot wissing en bezwaar van klager.
b) Overeenkomstig artikel 58.2. g) van de AVG en artikel 100, §1, 10° van de WOG,
de verweerder te bevelen de gegevens te wissen en de ontvangers van de
gegevens in kennis te stellen, overeenkomstig artikel 19 van de AVG.
c) Overeenkomstig artikel 58.2. d) van de WOG en artikel 100, § 1, 9° van de WOG,
verweerder bevelen om, wegens de schending van artikel 5.1 a) alsook artikel 5.2
juncto 24 van de AVG, de verwerkingen in overeenstemming te brengen met de
bepalingen van de AVG.
d) In overeenstemming met artikel 58.2. a) van de AVG en artikel 100, § 1, 5° van de
WOG, een waarschuwing te geven aan verweerder, wegens de schending van de
artikelen 17, 21, 5.1. a), 5.2 juncto 24 van de AVG, gericht op het verbeteren van het
beheer van de toekomstige verwerking van verzoeken van betrokkenen die zijn
gedaan op grond van de artikelen 15 tot en met 22 van de AVG.
III.3.2. Administratieve boeten
97. Artikel 83 van de AVG voorziet in de bevoegdheid van toezichthouders om boetes op te
leggen. Deze bevoegdheid wordt uitgelegd in de EDPB-richtsnoeren33.
98. Overeenkomstig overweging 148 van de AVG 34 kunnen naast of in plaats van passende
maatregelen in geval van een ernstige inbreuk sancties worden opgelegd, waaronder
administratieve geldboetes, zelfs in het geval van een eerste vaststelling van een inbreuk 35.
33
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1,punten 15, 20,
69, 84, 144. Zie ook het arrest van 7 december 2023, SCHUFA Holding C-26/22 en C-64/22, ECLI:EU:C:2023:958), de conclusie
van advocaat-generaal Pikamae in zaak TR (C-768/21, EU:C:2024:291), evenals "Richtsnoeren voor de toepassing en
vaststelling van administratieve geldboeten ten behoeve van de [AVG]" van de Groep gegevensbescherming artikel 29,
aangenomen op 3 oktober 2017, blz. 5 (hierna de "Richtsnoeren inzake de toepassing en vaststelling van administratieve
geldboeten voor de toepassing van de [AVG]").
34
Overweging 148 AVG bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen
straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in
plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd.
Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een
natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden
gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met
schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze
waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden
genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere
verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet
onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het
Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling” (de Geschillenkamer
onderstreept).
35
HvJEU 2023, 5 december 2023, C-807/21, Deutsche Wohnen (ECLI:EU:C:2023:950), punt 38ₒ:« […]. de in de AVG
neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht zijn tot de „verwerkingsverantwoordelijken”, die
—ₒzoals in overweging 74 van de AVG wordt beklemtoondₒ— verantwoordelijk zijn voor elke door of namens hen uitgevoerde
verwerking van persoonsgegevens en die daarom niet alleen passende en doeltreffende maatregelen moeten treffen, maar
Beslissing ten gronde 87/2024 — 34/57
Het feit dat dit een eerste vaststelling van een inbreuk is, belet de Geschillenkamer dus niet
om een administratieve geldboete op te leggen, in overeenstemming met artikel 58.2. i) van
de AVG. De administratieve geldboete is niet bedoeld om een einde te maken aan
inbreuken36, maar om ervoor te zorgen dat de regels van de AVG strikt worden nageleefd.
99. De AVG vereist dat elke toezichthoudende autoriteit ervoor zorgt dat de opgelegde
administratieve geldboetes in elk individueel geval doeltreffend, evenredig en
afschrikkend zijn (art. 83.1 van de AVG). Bovendien moet de toezichthoudende autoriteit bij
het bepalen van het bedrag van de geldboete in elk afzonderlijk geval rekening houden met
een aantal specifieke factoren, zoals "de aard, de ernst en de duur van de inbreuk, rekening
houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het
aantal getroffen betrokkenen en de omvang van de door hen geleden schade" (art. 83.2. .a)
van de AVG) en de opzettelijke of nalatige aard van de schending (art. 83.2. .b) van de AVG)
en de categorieën persoonsgegevens waarop de schending betrekking heeft (art. art. 83.2.
g) van de AVG). Dienovereenkomstig bepaalt artikel 83.2 dat een autoriteit bij de beslissing
of zij een administratieve geldboete oplegt en bij de beslissing over de hoogte van de
administratieve geldboete, rekening moet houden met alle factoren die zijn opgenomen in
artikel 83.2.a) tot en met k), zonder het wettelijk maximumbedrag dat is opgenomen in de
artikelen 83.4 tot en met 83.6 van de AVG te overschrijden.37
III.3.2.1. Redenen voor het opleggen van een geldboete
100. In de Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten voor
de toepassing van Verordening (EU) 2016/679 38 wordt benadrukt dat, om een
geharmoniseerde aanpak van sancties te waarborgen, de toezichthoudende autoriteiten
moeten beoordelen of het passend is een boete op te leggen op basis van een reeks criteria
die zijn gespecificeerd in artikel 83.2 van de AVG. In de richtsnoeren staat dat
administratieve geldboetes "corrigerende maatregelen" zijn die tot doel kunnen hebben
"de naleving van de regels te herstellen of onwettig gedrag te bestraffen (of beide)".
101. Zoals het HvJ-EU benadrukte in zijn arrest in zaak C-311/18 (Facebook Ierland en Schrems),
"is de keuze van het passende en noodzakelijke middel een zaak van de toezichthoudende
tevens moeten kunnen aantonen dat hun verwerkingsactiviteiten in overeenstemming zijn met de AVG, wat onder meer
inhoudt dat de door hen getroffen maatregelen doeltreffend zijn om die overeenstemming te waarborgen. Wanneer een in
artikel 83, leden 4 tot en met 6, van deze verordening bedoelde inbreuk is begaan, vormt deze verantwoordelijkheid de
grondslag om overeenkomstig dat artikel 83 een administratieve geldboete op te leggen aan de
verwerkingsverantwoordelijke”.
36
Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel
100, §1, 5° en 9° van de WOG.
37
In twee arresten van 5 december 2023 beantwoordt het HvJ-EU deze vragen door de voorwaarden te verduidelijken
waaronder nationale toezichthoudende autoriteiten een administratieve geldboete kunnen opleggen aan een of meer
verwerkingsverantwoordelijken : Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, en Nacionalinis visuomenės sveikatos
centras, C-683/21, ECLI:EU:C:2023:949.
38
WP29 Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU)
2016/679 (WP253, 3 oktober 2017), (hierna "richtsnoeren WP253), blz. 6.
Beslissing ten gronde 87/2024 — 35/57
autoriteit", die deze keuze moet maken met inachtneming van alle omstandigheden van het
specifieke geval, wat de Geschillenkamer doet in haar gehele uitwerking in titel III.3 van
deze beslissing.
102. In het arrest Deutsche Wohnen oordeelde het HvJ-EU als volgt:
"Het bestaan van een sanctieregeling die het mogelijk maakt om een administratieve
geldboete op grond van artikel 83 AVG op te leggen wanneer de specifieke omstandigheden
van het concrete geval dit rechtvaardigen, zet verwerkingsverantwoordelijken en
verwerkers ertoe aan om die verordening na te leven. Door hun afschrikkende werking
dragen administratieve geldboeten bij tot de versterking van de bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens, zodat zij een
sleutelelement vormen om de eerbiediging van de rechten van die personen te waarborgen,
overeenkomstig de met de AVG nagestreefde doelstelling om natuurlijke personen een
hoog niveau van bescherming te bieden in verband met de verwerking van
persoonsgegevens".39
103. In hetzelfde arrest oordeelde HvJ-EU dat "op grond van artikel 83 AVG geen
administratieve geldboete wegens een in de leden 4 tot en met 6 van deze verordening
bedoelde inbreuk kan worden opgelegd indien er niet is aangetoond dat de
verwerkingsverantwoordelijke deze inbreuk opzettelijk of uit nalatigheid heeft begaan, en
dat het voor de oplegging van een dergelijke geldboete een voorwaarde is dat de inbreuk
in kwestie verwijtbaar is begaan".40
104. In zijn conclusie in de zaak Land Hessen legt advocaat-generaal Pikamae uit dat de AVG
toezichthoudende autoriteiten toestaat om geldboetes op te leggen die zeer hoog kunnen
zijn en die een effectief onderdeel vormen van hun arsenaal om naleving van de
verordening af te dwingen, naast de andere corrigerende maatregelen waarin artikel 58.2
van de AVG voorziet. Op deze manier heeft de toezichthoudende autoriteit enige
manoeuvreerruimte en is zij vrij om uit deze maatregelen te kiezen om de door haar
vastgestelde schending te corrigeren. 41
39
HvJEU, 5 december 2023, C-807/21, Deutsche Wohnen (ECLI:EU:C:2023:950), punt 73.
40
Paragraaf 75 van het arrest.
41
Conclusie van advocaat-generaal Pikamäe in de zaak Land Hessen, C-768/21, ECLI:EU:C:2024:291. De advocaat-generaal
benadrukt dat wanneer een toezichthoudende autoriteit tijdens het onderzoek van een klacht kennis krijgt van een schending
van persoonsgegevens, zij verplicht is in te grijpen om het legaliteitsbeginsel in acht te nemen en passende corrigerende
maatregelen vast te stellen om de schending ongedaan te maken. Deze verplichting is in overeenstemming met artikel 57.1 a)
van de AVG, dat de autoriteit verantwoordelijk maakt voor het toezicht op de toepassing van de verordening en het
waarborgen van de naleving ervan. Het negeren van een vastgestelde inbreuk zou onverenigbaar zijn met dit mandaat. Ook
wordt erop gewezen dat de toezichthoudende autoriteit handelt in het belang van de persoon of entiteit wiens rechten zijn
geschonden (§41). Om schendingen effectief aan te pakken, voorziet artikel 58.2 van de AVG in een " catalogus van
corrigerende maatregelen die de autoriteit moet gebruiken om een situatie weer in overeenstemming te brengen met het
recht van de Unie, ongeacht de ernst van de schending (§42). De advocaat-generaal wijst erop dat artikel 58.2 van de AVG
moet worden uitgelegd in het licht van overweging 129 van die verordening, waarin staat dat "Elke maatregel dient met name
passend, noodzakelijk en evenredig te zijn met het oog op naleving van deze verordening en rekening houdend met de
omstandigheden van elk individueel geval". Met andere woorden, de bevoegdheid van de toezichthoudende autoriteit om
corrigerende maatregelen te nemen is onderworpen aan de voorwaarde dat de maatregel "passend" is, d.w.z. dat de maatregel
een situatie moet kunnen herstellen die in overeenstemming is met het recht van de Unie (§45). De advocaat-generaal wijst er
Beslissing ten gronde 87/2024 — 36/57
105. Hoewel de Geschillenkamer niet kon vaststellen dat de inbreuken meerdere van de
betrokken personen betroffen, benadrukte zij dat de nalatigheid van verweerder het
opleggen van een geldboete rechtvaardigde.
106. Overeenkomstig de verplichting van artikel 83.2 van de AVG heeft de Geschillenkamer alle
factoren van artikel 83.2.a) tot en met k), onderzocht om zowel de geldboete als het bedrag
ervan te rechtvaardigen. Dit gedetailleerde onderzoek wordt gepresenteerd in Titel III.3.2.2
van dit besluit. Voor de duidelijkheid en leesbaarheid verwijst de Geschillenkamer de
verweerder naar deze Titel, met de vermelding dat de resultaten van dit onderzoek niet
alleen het bedrag van de geldboete rechtvaardigen, maar ook de beslissing om de
verweerder een geldboete op te leggen. De Geschillenkamer vat hierna de redenen voor
haar beslissing om een geldboete op te leggen samen en verwijst verweerder naar de Titels
II.2 en III.3.2.2 van deze beslissing.
a) Aard, ernst en duur van de schending (art. 83.2. a) van de AVG): De zaak die aan
de Geschillenkamer is voorgelegd betreft een langdurige schending van de
essentiële bepalingen van de AVG, die van invloed is op de fundamentele rechten
van de klager op het gebied van gegevensbescherming.
i. Meer dan een jaar nadat de klager zijn rechten had uitgeoefend, was er nog
steeds geen gehoor gegeven aan het verzoek tot wissen en het bezwaar,
waardoor de artikelen 17 en 21 van de AVG werden geschonden.
ii. Omdat de klager niet op deze verzoeken reageerde, verwerkte de
verweerder de gegevens van de klager om gedurende een periode van ten
minste zes maanden reclamemails te versturen.
iii. Ondanks het feit dat de verweerder geen conclusies heeft ingediend, heeft
de Geschillenkamer de verweerder opgeroepen voor een hoorzitting,
waarop hij zijn aanwezigheid heeft bevestigd. De verweerder was op de
hoogte van de zaak en kon niet onwetend zijn geweest van de verzoeken
van de klager, die werden herhaald in de door de Geschillenkamer
verzonden uitnodiging voor de hoorzitting. Zodra de verweerder de
dagvaarding had ontvangen, had hij proactief moeten handelen door zijn e-
mailbox met alle uitwisselingen te raadplegen, de status van de verzoeken
te controleren en erop te reageren. De Geschillenkamer wijst erop dat de
verweerder ter zitting heeft verklaard dat hij toegang had tot het e-
mailaccount van de voormalige DPO, dat sindsdien door de nieuwe DPO
wordt beheerd, en dat hij alle door de GBA verzonden e-mails in zijn bezit
had. Op de dag van de hoorzitting had de verweerder echter nog steeds niet
ook op dat artikel 58.2 van de AVG slechts bepaalt dat elke toezichthoudende autoriteit "bevoegd is" om alle opgesomde
corrigerende maatregelen vast te stellen.
Beslissing ten gronde 87/2024 — 37/57
gereageerd op de verzoeken van de klager en twijfelde hij zelfs aan de
noodzaak om te reageren, waarbij hij uiteindelijk beloofde dit zo snel
mogelijk te doen. Deze aanpak wordt door de Geschillenkamer
geïnterpreteerd als een bewijs van flagrante nalatigheid, in strijd met de
artikelen 17 en 21 van de AVG. Dankzij deze dagvaarding had de verweerder
extra tijd om te reageren op de verzoeken van de klager en om te proberen
aan te tonen, zelfs te laat, dat hij voldeed aan de bepalingen van de AVG.
b) Nalatigheid of opzettelijke aard van de schending (art. 83.2. b) van de AVG): er
zijn verschillende elementen die aantonen dat de verweerder duidelijk nalatig is
geweest bij het beheren van de verzoeken van de betrokkenen. Deze nalatigheid
wordt verergerd door de langdurige niet-inwilliging van de verzoeken van klager om
gegevens te wissen en bezwaar aan te tekenen, het ongepaste gebruik van 'code
43' om de gegevensverwerking te beperken en de langdurige voortzetting van de
verwerking van de gegevens van klager voor directmarketingdoeleinden, zelfs na
zijn verzoeken om gegevens te wissen en bezwaar aan te tekenen. Ten tijde van de
hoorzitting had de verweerder nog steeds geen passende maatregelen genomen
om de situatie te verhelpen, wat wijst op de ernst en het voortduren van de
schending. Deze duidelijke nalatigheid komt voort uit ontoereikende interne
procedures en onwetendheid over de verplichtingen van de AVG, met name door
de voormalige DPO de schuld te geven.
c) Mate van verantwoordelijkheid van de verweerder met het oog op de technische
en organisatorische maatregelen die zijn geïmplementeerd in overeenstemming
met artikel 25 (art. 83.2. d) van de AVG) : de verweerder is volledig
verantwoordelijk voor het beheer van de verzoeken van betrokkenen, met inbegrip
van de verzoeken van de klager tot wissen en bezwaar.
i. De verweerder geeft de schuld aan de voormalige DPO, wat geenszins de
langdurige niet-naleving van een verzoek om wissen en bezwaar
rechtvaardigt, noch de niet-naleving van de bepalingen van de AVG meer in
het algemeen. Deze houding doet ernstige vragen rijzen over het beheer
van de verantwoordelijkheden en het interne bestuur van de verweerder.
ii. De Geschillenkamer wijst erop dat een verwerkingsverantwoordelijke zich
niet aan zijn verplichtingen kan onttrekken door zich te beroepen op de
verantwoordelijkheid van de DPO om schendingen van de AVG te
rechtvaardigen. Zelfs indien de Geschillenkamer het betoog van
verweerder zou volgen, wijst zij erop dat verweerder tweemaal op de
situatie is gewezen: ten eerste door een onderzoek van de ID (in verband
met een andere zaak), en ten tweede door de uitnodiging voor de
Beslissing ten gronde 87/2024 — 38/57
hoorzitting van de Geschillenkamer. In een dergelijke context doet het
blijven beweren dat de DPO verantwoordelijk is, ernstige twijfels rijzen over
het beheer door de verweerder van zijn verplichtingen krachtens de AVG
en roept het twijfel op over zijn vermogen om aan die verplichtingen te
voldoen.
iii. Door 'code 43' te gebruiken, gaf verweerder blijk van een gebrek aan
beheersing van zijn eigen codes en nomenclaturen, wat leidde tot een
beperking van de verwerking in plaats van passend te reageren op de
verzoeken van klager tot wissen en bezwaar. Zo'n gebrek aan controle is
zorgwekkend. Bovendien was verweerder niet in staat om de relatie tussen
hem en de Duitse verwerker vast te stellen alvorens te concluderen dat er
sprake was van een verwerkersovereenkomst. Deze verwarring over de rol
van de verwerker en het onvermogen om te bepalen of gegevens zijn
gewist, doet twijfels rijzen over het beheer van toekomstige verzoeken van
betrokkenen en de naleving van de artikelen 15 tot en met 22 van de AVG.
d) Andere verzwarende en verzachtende omstandigheden (art. 83.2. k) van de
AVG): ten tijde van de hoorzitting had de verweerder nog steeds niet gereageerd
op de verzoeken van de klager, ondanks de verplichting om binnen een maand te
antwoorden.
Voor het overige, in het bijzonder de categorieën persoonsgegevens waarop de schending
betrekking heeft (art. 83.2. g) van de AVG) of de maatregelen die zijn genomen om de
schade van klager te beperken (art. 83.2. c) van de AVG), verwijst de Geschillenkamer
verweerder naar de Titels II.2 en III.3.2.2 van deze beslissing, alsmede naar de samenvatting
in afdeling III.3.2.7. Alle in artikel 83.2. a) tot en met k), genoemde factoren werden
onderzocht en het resultaat van dit onderzoek bleek in het onderhavige geval van
toepassing te zijn, om het opleggen van de geldboete en het bedrag ervan te
rechtvaardigen.
107. De verweerder heeft zich aldus schuldig gemaakt aan gedrag dat aanleiding heeft gegeven
tot verschillende schendingen van de bepalingen van de AVG (art. 83.3 van de AVG), waarbij
deze schendingen specifiek worden genoemd in artikel 83.5 van de AVG 42 : Het
gedurende een aanzienlijke periode niet inwilligen van de verzoeken van de klager tot
wissen en bezwaar, resulterend in de voortzetting van de verwerking van zijn
persoonsgegevens voor directmarketingdoeleinden, zelfs na zijn verzoeken tot wissen
en bezwaar ; en het benadrukken van het gebrek aan waarborgen om de naleving van de
fundamentele beginselen van de AVG te waarborgen.
42
HvJEU Arrest van 5 december 2023, Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, blz. 61 tot en met 79.
Beslissing ten gronde 87/2024 — 39/57
108. Deze factoren rechtvaardigen ten volle het opleggen van een administratieve geldboete
om ervoor te zorgen dat de rechten van de betrokkenen worden gerespecteerd en om het
afschrikkende effect van de sancties waarin de AVG voorziet, te versterken.
III.3.2.2. Uitgangsbedrag voor berekening
109. Bij het bepalen van het bedrag van de geldboete in de onderhavige zaak wijst de
Geschillenkamer erop dat zij rekening houdt met de richtsnoeren van de EDPB voor de
berekening van administratieve geldboeten43.
110. Om in ieder geval een doeltreffende, evenredige en afschrikkende geldboete op te leggen,
wordt van de toezichthoudende autoriteiten, waarvan de Geschillenkamer deel uitmaakt,
verwacht dat zij de administratieve geldboetes aanpassen en daarbij binnen de
bandbreedte blijven die in de EDPB-richtsnoeren is vastgesteld, tot het wettelijk
maximumbedrag. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de
geldboete, afhankelijk van de omstandigheden van de zaak.
III.3.2.2.1. Classificatie van schendingen op grond van artikel 83.4 en 83.5
van de AVG
111. De AVG maakt onderscheid tussen twee categorieën schendingen : de schendingen die
strafbaar zijn volgens artikel 83.4 van de AVG enerzijds en de schendingen die strafbaar
zijn volgens artikel 83.5 en 83.6 van de AVG anderzijds. Op de eerste categorie
schendingen staat een maximale geldboete van EUR 10 miljoen of 2% van de jaarlijkse
omzet van het bedrijf, afhankelijk van welk bedrag hoger is. De tweede categorie kan leiden
tot een geldboete van maximaal 20 miljoen euro of 4% van de jaarlijkse omzet van het
bedrijf, afhankelijk van wat het hoogste is.
112. In het onderhavige geval en op grond van de in Titel III.2 van deze beslissing genoemde
schendingen oordeelt de Geschillenkamer dat de hoogste geldboete van toepassing is
overeenkomstig artikel 83.5 van de AVG. In het geval van een schending van de
grondbeginselen van de verwerking op grond van artikel 5 van de AVG en van de rechten
van betrokkenen op grond van de artikelen 17 en 21 van de AVG, kan de Geschillenkamer
een administratieve geldboete opleggen van maximaal EUR 20.000.000 of, in het geval
van een bedrijf, maximaal 4% van de totale wereldwijde jaaromzet voor het voorgaande
boekjaar, afhankelijk van welk bedrag hoger is, zoals bepaald in artikel 83.5. a) en b) van de
AVG.
43
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
met name punten 49 en 50.
Beslissing ten gronde 87/2024 — 40/57
III.3.2.2.2. Ernst van de schending in deze zaak
113. Aard, ernst en duur van de schending (art. 83.2.a) van de AVG) - De aan de
Geschillenkamer voorgelegde zaak betreft een langdurige schending van de essentiële
bepalingen van de AVG, die tot doel hebben de grondrechten van natuurlijke personen met
betrekking tot de verwerking van hun persoonsgegevens te beschermen. De AVG biedt
een solide kader voor de verantwoordelijkheid van verwerkingsverantwoordelijken, met
name in hoofdstuk III, dat gewijd is aan de rechten van betrokkenen. Deze rechten, die zijn
vastgelegd in de artikelen 15 tot en met 22, geven personen directe controle over hun
persoonsgegevens en garanderen zo een doeltreffende bescherming van hun privacy.
Schendingen van de artikelen 17 en 21 van de AVG zijn bijzonder ernstig omdat ze de
fundamentele rechten van personen op de bescherming van hun persoonsgegevens
aantasten.
114. Ondanks de door de klager uitgeoefende rechten, die uitdrukkelijk verzocht om de
verwijdering van zijn persoonsgegevens en bezwaar maakte tegen de verwerking voor
directmarketingdoeleinden, heeft verweerder gedurende meer dan een jaar geen gevolg
gegeven aan deze verzoeken, waardoor hij zijn in de AVG vastgelegde verplichtingen niet
is nagekomen. Dit gedrag resulteerde in de voortdurende verwerking van de gegevens van
de klager voor direct-marketingdoeleinden, via telefoongesprekken of reclamemails,
gedurende een periode van zes tot tien maanden, zelfs na zijn verzoeken om wissen en
bezwaar, waardoor de beginselen van artikel 5.1.a) van de AVG werden geschonden.
115. In reactie op het sanctieformulier, en dus na sluiting van de procedure, wees verweerder
erop dat klager "artikel 21 van de AVG niet expliciet had genoemd in zijn verzoek". Op dit
punt verwijst de Geschillenkamer enerzijds verweerder naar punt 34 van haar huidige
beslissing en voegt zij anderzijds toe dat het buitensporig zou zijn om van een betrokkene
te verlangen dat hij de artikelen van de AVG uitdrukkelijk vermeldt, aangezien dit het voor
personen die niet vertrouwd zijn met juridische terminologie moeilijker zou kunnen maken
om hun rechten uit te oefenen. Het belangrijkste is dat het verzoek op een duidelijke en
begrijpelijke manier wordt geformuleerd, die een verwerkingsverantwoordelijke, of zijn
DPO, in geval van twijfel moet kunnen verduidelijken, en het verzoek dus in
overeenstemming met de bepalingen van de AVG moet verwerken.
Vervolgens wijst verweerder erop dat wanneer eenmaal aan het verzoek om wissing op
grond van artikel 17(a), (b) en (c) van de AVG is voldaan, er geen aanvullende verplichting is
om de betrokkene in kennis te stellen van het latere gebruik van de gegevens voor direct
marketingdoeleinden. Helaas reageerde verweerder, zoals de Geschillenkamer opmerkt,
traag op het verzoek van klager om de gegevens te wissen, waardoor de gegevens nog
geruime tijd voor direct-marketingdoeleinden konden worden verwerkt, in weerwil van zijn
verzoek om bezwaar te maken.
Beslissing ten gronde 87/2024 — 41/57
Zelfs als we de redenering van de verweerder volgen, volgens welke de klager alleen een
verzoek tot wissen heeft gedaan zonder expliciet artikel 21 van de AVG te noemen,
betreffende het recht om bezwaar te maken tegen de verwerking van gegevens voor
directmarketingdoeleinden, wijst de Geschillenkamer erop dat het recht op wissen meer
dan een jaar lang is genegeerd, wat heeft geleid tot een voortdurende schending van de
rechten van de klager. Dit is van cruciaal belang, want zelfs zonder een expliciete verwijzing
naar artikel 21 had de verwerking van gegevens voor directmarketingdoeleinden - net als
voor andere doeleinden - moeten worden stopgezet zodra het verzoek om wissing was
ontvangen. Bijgevolg maakt de voortgezette verwerking van de gegevens van d klager
voor direct-marketingdoeleinden - zelfs na de argumenten van de verweerder dat deze
periode slechts 2 weken bedroeg (zie punt 118) - inbreuk op de rechten van klager. Voor het
overige verwijst de Geschillenkamer de verweerder naar punt 36 van deze beslissing.
116. De Geschillenkamer wijst erop dat direct marketing van cruciaal belang is voor de
kernactiviteit van de verweerder, namelijk de verkoop van zijn producten op nationale
schaal. De verwerking van gegevens voor directmarketingdoeleinden is daarom een
essentieel onderdeel van het bedrijfsmodel, dat rechtstreeks van invloed is op de
klantenrelaties en dus op de verkoop. Het niet respecteren van de rechten die zijn
vastgelegd in de AVG, zoals het recht op wissen en het recht op bezwaar, kan nadelige
gevolgen hebben voor de privacy van betrokkenen. Dit betekent blootstelling aan
doelgerichte en opdringerige reclame, maar ook verstoring van hun dagelijks leven door
ongewenste telefoontjes of e-mails.
117. Uit de hoorzitting bleek dat het gebruik van onjuiste codes systematisch was en niet
beperkt leek te zijn tot de klager. Het aantal mensen van wie de gegevens werden verwerkt
in schending van de bovengenoemde bepalingen (zie Titel II.2) blijft echter onbekend. Als
gevolg hiervan kan de Geschillenkamer het exacte aantal betrokkenen niet vaststellen, wat
het systemische karakter van de bovengenoemde schendingen had kunnen bevestigen en
de ernst ervan had kunnen vergroten. De Geschillenkamer is dus beperkt tot het
onderzoeken van de zaak van de klager, de enige persoon van wie is vastgesteld dat hij
wordt getroffen door de schending van de bepalingen in kwestie.
In antwoord op het sanctieformulier bevestigt de verweerder dat de schending slechts één
betrokken persoon betrof en beperkt was tot één grondgebied, in dit geval België.
118. Met betrekking tot de duur van de schending (zie Titel II en punt 61 van deze beslissing)
merkt de Geschillenkamer op dat de schending gedurende een aanzienlijke periode heeft
voortgeduurd, hetgeen de ernst van de schending verhoogt.
In antwoord op het sanctieformulier benadrukte verweerder dat de gevolgen voor de
betrokkene in deze periode zeer beperkt waren, aangezien de klager slechts enkele
reclameboodschappen per e-mail en een beperkt aantal telefonische contactpogingen
Beslissing ten gronde 87/2024 — 42/57
heeft ontvangen, namelijk "+/- 5 gedurende een zeer beperkte periode van maximaal 2
weken (24.11.2022 - 7.12.2022)"44. De Geschillenkamer verwijst verweerder naar de punten
8, 21, 30, 31, 33 en 42 van deze beslissing en wijst erop dat verweerder slechts op 3
november heeft toegezegd te zullen reageren op de verzoeken van klager van 30 juni
2022. Deze periode van stilzwijgen is ontegenzeggelijk lang en voldoet niet aan de termijn
van één maand die is vastgesteld in artikel 12 van de AVG. Tot slot merkt de
Geschillenkamer op dat de verweerder 'code 43' om de gegevens van klager te wissen pas
op 11 april 2023 heeft toegepast (zie punt 33). Dit wijst erop dat de gegevens van de klager
niet werden gewist, maar toegankelijk bleven en werden verwerkt, zij het op beperkte wijze,
ten minste tot april 2023, en niet tot december 2022 (zie de punten 32, 33, 40, 43 en 42).
In deze context blijft de vraag naar de duur van de schending feitelijk objectief, waardoor
de Geschillenkamer kan concluderen dat de periode van schending aanzienlijk is.
119. Nalatigheid of opzettelijke aard van de schending (art. 83.2.b) van de AVG) - Een aantal
factoren wijst op duidelijke nalatigheid van de verweerder bij het beheren van de verzoeken
van de betrokkenen. Enerzijds blijkt uit het langdurige verzuim om gehoor te geven aan de
verzoeken van de klager om verwijdering en bezwaar, met name door niet binnen de
voorgeschreven termijnen te antwoorden, en het oneigenlijke gebruik van 'code 43', dat tot
een beperking van de verwerking leidde, niet alleen dat de interne procedures ongeschikt
zijn, maar ook dat er sprake is van onwetendheid over de rechten die zijn vastgelegd in de
artikelen 15 tot en met 22 van de AVG en over de verplichtingen die op de
verwerkingsverantwoordelijke rusten.
120. Deze nalatigheid wordt nog verergerd door de voortdurende verwerking van de gegevens
van de klager voor directmarketingdoeleinden, zelfs na zijn verzoeken om wissing en
bezwaar. Ten tijde van de hoorzitting had verweerder nog steeds geen passende
maatregelen genomen om de situatie te verhelpen en te reageren op het verzoek van
klager om verwijdering en bezwaar, waaruit de ernstige en aanhoudende aard van de
schending blijkt.
121. Alles bij elkaar illustreren deze elementen grove nalatigheid bij het beheer van de verzoeken
van de klager, wat erop wijst dat de schending van de artikelen 17, 21, 5.1.a) en 5.2 juncto 24
van de AVG inderdaad het gevolg is van nalatigheid van de kant van de verweerder.
122. In antwoord op het sanctieformulier benadrukte de verweerder dat hij niet nalatig was
geweest omdat hij vertrouwen had gehad in zijn DPO, die hem niet op de hoogte had
gesteld van zijn capaciteitsproblemen. Aangezien bovendien alleen de DPO toegang had
tot de e-mailbox en de verweerder niet de ontvanger was van de oorspronkelijke
correspondentie die per e-mail aan de voormalige DPO was gezonden, is hij van mening dat
44
Reactie van de verweerder op het sanctieformulier d.d. 5 november 2024, Blz.7.
Beslissing ten gronde 87/2024 — 43/57
hem geen nalatigheid kan worden verweten. De Geschillenkamer herinnert de verweerder
er echter aan dat hij een aangetekende brief van 17 januari 2023 heeft ontvangen (zie punt
9). Vervolgens verwees de Geschillenkamer de verweerder naar de punten 54 tot en met
57 van deze beslissing, alvorens daaraan toe te voegen dat verweerder, overeenkomstig
artikel 38.b) van de AVG, dat bepaalt "de functionaris voor gegevensbescherming brengt
rechtstreeks verslag uit aan de hoogste leidinggevende van de
verwerkingsverantwoordelijke of de verwerker", het probleem of de problemen had
kunnen identificeren en oplossen in plaats van blind vertrouwen te stellen in de DPO.
Bijgevolg kan de Geschillenkamer het om voormelde redenen niet eens zijn met de door
verweerder aangevoerde argumenten (Titel II.I.3, met name de punten 55 en 57.c) van deze
beslissing). De Geschillenkamer bevestigt dat grove nalatigheid in het beheer van de
verzoeken van klager is vastgesteld, wat erop wijst dat de schending van de artikelen 17,
21, 5.1.a) en 5.2 juncto 24 van de AVG inderdaad voortvloeit uit de nalatigheid van
verweerder.
123. Categorieën persoonsgegevens waarop de schending betrekking heeft (artikel 83.2.g)
van de AVG). De gegevens in kwestie betreffen de contactgegevens van de klager,
waaronder naam, voornaam, postadres, telefoonnummer en e-mailadres. Hoewel deze
informatie niet wordt beschouwd als "gevoelige gegevens" in de zin van artikel 9 van de
AVG, maakt het wel mogelijk om een specifieke persoon te identificeren of contact met
hem op te nemen.
124. Classificatie van de ernst van de schending en vaststelling van het passende
uitgangsbedrag - Aan de hand van de beoordeling van bovengenoemde elementen -
namelijk de aard, de ernst en de duur van de schending, alsook de opzettelijke of nalatige
aard van de schending en de categorieën van de betrokken persoonsgegevens - kan de
ernst van de schending als geheel worden vastgesteld. Afhankelijk van deze beoordeling
kan de ernst van de schending worden omschreven als laag, middelmatig of hoog 45.
a) Bij de berekening van de administratieve geldboete voor inbreuken van geringe
ernst, zal de toezichthoudende autoriteit het uitgangsbedrag voor verdere
berekening vaststellen op een bedrag tussen 0 en 10% van het toepasselijke
wettelijke maximum.
b) Bij het berekenen van de administratieve geldboete voor inbreuken van
middelmatige ernst zal de toezichthoudende autoriteit het basisdrag voor verdere
berekening vaststellen op een bedrag tussen 10 en 20% van het toepasselijke
wettelijke maximum.
45
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
voetnoot 60.
Beslissing ten gronde 87/2024 — 44/57
c) Bij de berekening van de administratieve geldboete voor inbreuken met een hoge
ernstgraad zal de toezichthoudende autoriteit het startbedrag voor verdere
berekening vaststellen op een bedrag tussen 20 en 100% van het toepasselijke
wettelijke maximum.
125. In dit geval wordt de ernst van de schending als "middelmatig" beschouwd om de hieronder
samengevatte redenen: het recht van de klager op wissen en bezwaar is niet nageleefd; het
beginsel van artikel 5.1.a) van de AVG is niet nageleefd; de schending gedurende een
langere periode van ten minste een jaar heeft voortgeduurd; uit verschillende elementen46
blijkt dat de verweerder kennelijk nalatig is geweest, waardoor de ernst van de schending
wordt verergerd; hoewel de gegevens in kwestie niet als gevoelig worden beschouwd, gaat
het om identificatie- of contactgegevens.
126. In deze context is het moeilijk te beweren dat de mate van schending "laag" is, maar eerder
" middelmatig" of "hoog". Het is ook belangrijk om rekening te houden met het feit dat
slechts één persoon getroffen wordt door deze schending. Uit deze omstandigheid kan de
Geschillenkamer afleiden dat de schending van " middelmatige" ernst is.
127. In antwoord op het sanctieformulier verzoekt de verweerder om de schendingen als "laag"
in plaats van " middelmatig" te classificeren. Bovendien wijst hij erop dat de voormalige
DPO actie heeft ondernomen en in april 2023 contact heeft opgenomen met de GBA:
Blijkbaar was de voormalige DPO er - ten onrechte - van overtuigd dat zijn briefwisseling in
het kader van de inspectie waaraan hij was onderworpen (zie Titel II.1.1), zou worden
opgenomen in het dossier dat momenteel door de Geschillenkamer wordt behandeld. De
Geschillenkamer kan niet instemmen met het argument dat een antwoord aan de ID zou
kunnen worden geïnterpreteerd als een antwoord op verzoeken op grond van de artikelen
15 tot en met 22 van de AVG, zoals wordt voorgeschreven door artikel 12 van de AVG,
waarin wel degelijk sprake is van een rechtstreeks antwoord aan betrokkenen. Omgekeerd,
kan een schending worden hersteld in afwachting van een verwijzing van een mogelijke
schending naar een toezichthoudende autoriteit door middel van een klacht of op eigen
initiatief. Deze conclusie is niet alleen juridisch onjuist, maar zou ook de uitoefening van
rechten door betrokkenen zinloos maken. In deze context is het voor de Geschillenkamer
moeilijk om de schending als "laag" te classificeren, wat nogmaals de 'middelmatige' aard
van de schending bevestigt.
128. Bijgevolg moet de Geschillenkamer voor schendingen die voortvloeien uit de enkele
gedraging van de verweerder (die valt onder artikel 83.5 van de AVG, met een
middelmatige ernst) een theoretisch uitgangsbedrag voor de daaropvolgende berekening
van de administratieve geldboete van tussen de €2.000.000 en €4.000.000 toepassen.
46
Zie Titel II.3.2.2.2 in deze beslissing.
Beslissing ten gronde 87/2024 — 45/57
129. Rekening houdend met de omstandigheden beoordeeld in het licht van artikel 83.2.a), b) en
g) van de AVG besluit de Geschillenkamer uit te gaan van een theoretisch uitgangsbedrag
van EUR 2.000.000.
III.3.2.2.3. Omzet van de verwerkingsverantwoordelijke en aanvullende
overwegingen waarmee de Geschillenkamer rekening houdt bij het bepalen
van het bedrag van de geldboete
130. De AVG vereist dat elke toezichthoudende autoriteit ervoor zorgt dat de opgelegde
administratieve geldboetes in elk individueel geval doeltreffend, evenredig en
afschrikkend zijn (art. 83.1 van de AVG).
131. Daartoe dienen de toezichthoudende autoriteiten de definitie van een onderneming toe te
passen zoals die door het Hof van Justitie van de Europese Unie (hierna 'HvJ-EU') is
vastgesteld voor de toepassing van de artikelen 101 en 102 VWEU, namelijk dat een
onderneming wordt opgevat als een economische eenheid die kan bestaan uit de
moedermaatschappij en alle relevante dochterondernemingen. In overeenstemming met
de EU-wetgeving en de rechtspraak moet een bedrijf daarom worden beschouwd als een
economische eenheid die commerciële/economische activiteiten uitvoert, ongeacht de
rechtsvorm47. Het doel is om ervoor te zorgen dat sancties passen bij de grootte en
economische macht van het bedrijf.
132. De toezichthoudende autoriteiten worden geacht de administratieve geldboetes aan te
passen aan de ernst van de schending, met inachtneming van de in de EDPB-richtsnoeren
vastgestelde marge tot het wettelijk maximumbedrag. Dit kan leiden tot aanzienlijke
verhogingen of verlagingen van de geldboete, afhankelijk van de omstandigheden van de
zaak in kwestie.
133. Bovendien bepalen de artikelen 83.4, 83.5 en 83.6 van de AVG dat de totale wereldwijde
jaaromzet van het vorige boekjaar moet worden gebruikt om de administratieve geldboete
te berekenen. Hieromtrent geldt dat de term “voorafgaande” in overeenstemming met de
rechtspraak van het HvJEU in het mededingingsrecht geïnterpreteerd moet worden, zodat
de relevante gebeurtenis voor de berekening het boetebesluit van de toezichthoudende
autoriteit is, en niet het tijdstip van de gesanctioneerde overtreding 48.
47
Overweging 150 van de AVG; Richtsnoeren WP253, blz. 6-7. De rechtspraak van het HvJ-EU geeft de volgende definitie: “het
begrip onderneming omvat elke eenheid die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze
waarop zij wordt gefinancierd” (HvJEU, C-41/90, Höfner en Elser/Macrotron, (ECLI:EU:C:1991:161, punt 21). Onder het begrip
onderneming “moet worden verstaan een economische eenheid, ook al wordt deze economische eenheid uit juridisch
oogpunt gevormd door verschillende natuurlijke of rechtspersonen” (HvJEU, C-217/05, Confederación Española de
Empresarios de Estaciones de Servicio, ECLI:EU:C:2006:784, punt 40); HvJEU, 10 september 2009, C-97/08 P, Akzo Nobel nv
et al. t. Commissie, ECLI:EU:C:2009:536), randnrs. 60-61.
48
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
paragraaf 131.
Beslissing ten gronde 87/2024 — 46/57
134. Bijgevolg is de Geschillenkamer, in overeenstemming met het voorgaande, van oordeel dat
zij zich kan baseren op de geconsolideerde omzet van verweerder voor het boekjaar 2023,
dat wil zeggen meer dan 50 000 000 EUR 49 om het bedrag van de administratieve
geldboete te bepalen die zij voornemens is aan verweerder op te leggen. De
Geschillenkamer verwijst hierbij naar de jaarrekeningen van verweerder (vennootschap Y)
zoals neergelegd bij de Nationale Bank van België (NBB) op 25 september 2023, waaruit
een omzet blijkt van meer dan 50.000.000 EUR voor het boekjaar 2023.
135. Rekening houdende met de in de richtsnoeren vastgestelde minimum en
maximumbedragen per niveau, enerzijds, en de relevante jaaromzet van de
verwerkingsverantwoordelijke, anderzijds, besluit de Geschillenkamer in concreto om het
uiteindelijk uitgangsbedrag voor de tweede categorie van inbreuken (vallend onder artikel
83.5 van de AVG, met middelmatige ernstgraad) te verlagen naar een aangepast
uitgangsbedrag van 245.000 EUR
III.3.2.2.4. Verzwarende en verzachtende omstandigheden
136. Gelet op artikel 83 van de AVG50 moet de Geschillenkamer het opleggen van een
administratieve geldboete en de hoogte ervan ook concreet motiveren, rekening houdend
met andere verzwarende of verzachtende omstandigheden die in artikel 83.2 van de AVG
worden opgesomd.
a) Maatregelen die zijn genomen om de schade voor de klager te beperken (art.
83.2.c) van de AVG)
i. Wat de maatregelen betreft die zijn genomen om de door de klager geleden
schade te beperken, erkent de Geschillenkamer de inspanningen die de
verweerder heeft geleverd om de problemen met de voormalige DPO te
verhelpen, met name door te reageren op diens passiviteit of
onbekwaamheid. Dit heeft geresulteerd in de oprichting van een nieuw
team dat zich bezighoudt met het afhandelen van verzoeken van
betrokkenen en alle vragen met betrekking tot gegevensbescherming. Het
doel van dit initiatief is het reactievermogen van de verweerder op het
gebied van gegevensbescherming te verbeteren en ervoor te zorgen dat hij
de AVG naleeft.
ii. Niettemin moet worden opgemerkt dat de Geschillenkamer erop wijst dat
de verweerder een jaaromzet van meer dan 50 000 000 EUR had voor het
49
Jaarrekening voor het boekjaar 2023 beschikbaar op de website : https://consult.cbso.nbb.be/consult-enterprise.
50
Arrest Marktenhof 2020/1471 van 19 februari 2020.
Beslissing ten gronde 87/2024 — 47/57
boekjaar 202351, wat illustreert dat hij over de financiële middelen
beschikte om een team van meer dan één persoon op te richten en in te
richten dat zich bezighield met het beheer van verzoeken van betrokkenen
en alle kwesties op het gebied van gegevensbescherming. Ook had het
bedrijf met deze financiële middelen sneller kunnen reageren op de
incompetentie van zijn voormalige DPO.
iii. Daarnaast houdt de Geschillenkamer rekening met de toezegging van
verweerder tijdens de hoorzitting, waarin deze zich ertoe verbond de
situatie te regulariseren in overeenstemming met artikel 17 van de AVG en
klager op de hoogte te stellen van de verwijdering van zijn gegevens. De
Geschillenkamer wijst erop dat deze verbintenis slechts betrekking had op
een deel van de verzoeken van de klager (ter herinnering, een verzoek tot
wissen en bezwaar), wat vragen oproept over de totale bereidheid van de
verweerder om de rechten van de betrokkenen volledig te respecteren.
iv. Hoewel er stappen zijn ondernomen om eerdere problemen met de
voormalige DPO te verhelpen en de situatie te regulariseren, blijven er
tekortkomingen bestaan in de reactie van verweerder op de verzoeken van
klager.
b) Mate van verantwoordelijkheid van de verweerder met het oog op de technische
en organisatorische maatregelen die zijn ingevoerd in overeenstemming met
artikel 25 (art. 83.2.d) van de AVG)
i. Bij de beoordeling van de mate van verantwoordelijkheid van de
verweerder oordeelde de Geschillenkamer dat deze volledig
verantwoordelijk was voor het beheer van de verzoeken van de
betrokkenen, met inbegrip van de verzoeken van de klager om wissing en
bezwaar.
ii. Deze verantwoordelijkheid omvat verschillende aspecten, waaronder de
effectieve uitvoering van verzoeken, de definitie van specifieke codes om
passend te reageren op verzoeken op grond van de artikelen 15 tot en met
22 van de AVG, en het begrijpen en implementeren van duidelijke en
effectieve procedures door alle medewerkers, van directeuren tot interne
medewerkers.
51
De jaarrekeningen van bedrijf Y, gedeponeerd bij de Nationale Bank van België (NBB), laten een omzetstijging zien: ([.. EUR]
EUR op 29 februari 2020, [.. EUR] op 28 februari 2021 [.. EUR] op 28 februari 2022. Met een omzet van nog steeds meer dan 50
miljoen euro in deze periode is het duidelijk dat de verweerder de financiële middelen had om een team of afdeling (met
inbegrip van verschillende werknemers en/of DPO) op te zetten die zich bezighield met het beheer van verzoeken van
betrokkenen en kwesties op het gebied van gegevensbescherming. ; Jaarrekening beschikbaar op de website :
https://consult.cbso.nbb.be/consult-enterprise.
Beslissing ten gronde 87/2024 — 48/57
iii. Door 'code 43' te gebruiken, gaf de verweerder blijk van een gebrek aan
beheersing van zijn eigen codes en nomenclaturen, wat resulteerde in een
beperking van de verwerking in plaats van passend te reageren op de
verzoeken van de klager tot wissen en bezwaar. Bovendien is het uitblijven
van een reactie op de verzoeken van de klager gedurende meer dan een
jaar nadat hij zijn rechten had uitgeoefend, een bewijs van een buitensporig
lange wachttijd voor de afhandeling van verzoeken, maar bovenal leidt dit
ertoe dat verweerder gegevens verwerkt in strijd met de fundamentele
beginselen van de AVG, zoals uiteengezet in artikel 5 van de AVG.
c) Andere verzwarende en verzachtende omstandigheden (art. 83.2.k) van de AVG)
i. Wat de verzwarende omstandigheden betreft, merkt de Geschillenkamer
op dat de verweerder ten tijde van de hoorzitting nog steeds niet had
gereageerd op de verzoeken van klager, ondanks het feit dat hij op de
hoogte was van de verplichting om binnen een maand te reageren op alle
verzoeken op grond van de artikelen 15 tot en met 22 van de AVG,
overeenkomstig artikel 12 van de AVG en de beginselen van transparantie
en behoorlijkheid van artikel 5.1.a. van de AVG. Verder wijst de
Geschillenkamer erop dat verweerder alleen heeft toegezegd de situatie te
regulariseren overeenkomstig artikel 17 van de AVG, zonder melding te
maken van artikel 21 van de van de AVG, dat betrekking heeft op het recht
om bezwaar te maken tegen de verwerking van persoonsgegevens. Deze
nalatigheid doet twijfels rijzen over de bereidheid van de verweerder om de
rechten van betrokkenen volledig te eerbiedigen, zoals vereist door de
AVG.
137. De beoordeling van de in artikel 83.2 van de AVG opgesomde elementen - d.w.z. de
maatregelen die zijn genomen om de door de klager geleden schade te beperken; de mate
van verantwoordelijkheid en eventuele andere verzwarende of verzachtende
omstandigheden - is niet van dien aard dat het bedrag van de administratieve geldboete
wordt verhoogd of verlaagd.
III.3.2.2.5. Doeltreffend, evenredig en afschrikkend karakter
138. De EDPB-richtsnoeren herhalen dat de administratieve geldboete voor schendingen van
de AVG als bedoeld in artikel 83.4 tot en met 83.6 in elk specifiek geval doeltreffend,
evenredig en afschrikkend moet zijn. De toezichthoudende autoriteiten moeten
controleren of het bedrag aan deze criteria voldoet en het zo nodig aanpassen.
Beslissing ten gronde 87/2024 — 49/57
139. Doeltreffendheid - een geldboete wordt als doeltreffend beschouwd als ze de
doelstellingen bereikt waarvoor ze werd opgelegd, zoals het herstellen van de naleving van
de regels, het bestraffen van onwettig gedrag of beide52. In dit geval fungeert de geldboete
als een essentieel instrument om de naleving van de AVG-regels te herstellen, door het
nalatige en ernstige gedrag van de verweerder te bestraffen. Bovendien is het de bedoeling
om soortgelijke schendingen in de toekomst te ontmoedigen53. De langdurige schending
van de grondrechten van klager, ondanks zijn verzoeken tot wissing en bezwaar, toont aan
daat een krachtige reactie van de Geschillenkamer noodzakelijk is. Een geldboete van
245.000 euro is daarom een doeltreffende maatregel om deze doelstellingen te bereiken,
rekening houdend met de ernst van de schending.
140. Evenredigheid - het evenredigheidsbeginsel, zoals gedefinieerd in de AVG, stelt dat de
genomen maatregelen niet verder mogen gaan dan wat passend en noodzakelijk is om de
legitieme doelstellingen van de betreffende verordening te bereiken. In het geval van
geldboetes betekent dit dat het bedrag ervan niet onevenredig mag zijn aan de
nagestreefde doelen54, de ernst van de schending en de omvang en financiële draagkracht
van de betrokken onderneming 55. Bijgevolg moeten de toezichthoudende autoriteiten
ervoor zorgen dat het bedrag van de geldboete in verhouding staat tot de schending, als
geheel beoordeeld, rekening houdend met verschillende factoren zoals de financiële
draagkracht van het bedrijf.
141. In bepaalde uitzonderlijke omstandigheden kan een vermindering van de geldboete worden
overwogen indien het opleggen van de geldboete de economische levensvatbaarheid van
de betrokken onderneming onherroepelijk in gevaar zou brengen. Dit is mogelijk als er
objectief bewijs is van betalingsonmacht. Daarnaast is het essentieel om de risico's te
analyseren in het licht van de specifieke sociale en economische context.
142. In het onderhavige geval wijzen verschillende criteria, zoals de financiële draagkracht van
de verweerder en de economische en sociale context waarin hij actief is, erop dat de
voorgestelde geldboete evenredig is 56 :
a) Economische levensvatbaarheid en financiële draagkracht van de onderneming:
met een geconsolideerde jaaromzet van meer dan 50.000.000 EUR voor het
boekjaar 202357 heeft de verweerder voldoende financiële draagkracht om de
52
Richtsnoeren WP253, blz. 6.
53
Zie de bespreking van "afschrikking" in deze beslissing, vanaf punt 145.
54
Zaak T-704/14, Marine Harvest/Commissie, punt 580, verwijzing van de zaak T-332/09, Electrabel/Commissie, punt 279.
55
Zie in dit verband zaak C-387/97, Commissie/Griekenland, punt 90, en zaak C-278/01, Commissie/Spanje, punt 41, waarin de
geldboete "enerzijds passend moet zijn gezien de omstandigheden en anderzijds evenredig aan de vastgestelde inbreuk en
het vermogen van de lidstaat om deze te betalen".
56
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1), punt 140.
57
Ter herinnering, de jaarrekeningen van bedrijf Y, gedeponeerd bij de Nationale Bank van België (NBB), laten een omzetstijging
zien: [... EUR] op 29 februari 2020, [.. EUR] op 28 februari 2021 [.. EUR] op 28 februari 2022. Met een omzet van nog steeds meer
dan 50 miljoen euro in deze periode is het duidelijk dat de verweerder de financiële middelen had om een team of afdeling
(met inbegrip van verschillende werknemers en/of DPO) op te zetten die zich bezighield met het beheer van verzoeken van
Beslissing ten gronde 87/2024 — 50/57
voorgestelde geldboete te dragen zonder zijn economische levensvatbaarheid in
gevaar te brengen. Bijgevolg blijft een geldboete van 245.000 EUR evenredig met
deze financiële draagkracht. Deze maatregel blijft dus een voldoende
afschrikmiddel zonder de economische integriteit van het bedrijf in gevaar te
brengen.
b) Bewijs van waardevermindering : er zijn geen aanwijzingen dat het opleggen van
de geldboete de levensvatbaarheid van de onderneming in gevaar zou brengen, wat
zou leiden tot een aanzienlijk waardeverlies van haar activa of een bedreiging zou
vormen voor haar vermogen om haar activiteiten voort te zetten. Er moet een
rechtstreeks verband zijn tussen de geldboete en dit waardeverlies, en het wordt
niet automatisch aanvaard dat een faillissement of insolventie tot een dergelijk
verlies leidt. Bij gebrek aan dergelijk tastbaar bewijs dat deze correlatie aantoont, is
een vermindering van de geldboete mogelijk niet gerechtvaardigd.
c) Economische en sociale context: de verweerder is actief in de sector " ..."
producten in België Bovendien distribueert verweerder zijn producten over het
hele land, wat erop wijst dat hij niet alleen afhankelijk is van de plaatselijke
economische situatie. Deze nationale aanwezigheid vermindert ook de
afhankelijkheid van lokale arbeidskrachten. Bijgevolg is het onwaarschijnlijk dat de
betaling van de geldboete een aanzienlijke impact zal hebben op de economie of
het sociale weefsel, aangezien de verweerder op nationale schaal actief is en niet
volledig gebonden is aan een specifieke regio.
143. In antwoord op het sanctieformulier verzoekt verweerder om een vermindering van het
bedrag van de geldboete wegens de uitzonderlijke omstandigheden waarmee hij de
afgelopen vijf jaar werd geconfronteerd en die te wijten zijn aan externe factoren waarop
hij geen invloed had. Deze omstandigheden hebben de omzet, kosten en rentabiliteit
beïnvloed.
144. Vervolgens schetst verweerder zijn financiële ontwikkeling van 2019 tot 2022, die wordt
gekenmerkt door een negatieve groei van de omzet en de verliezen in 2019, een stijging in
2020 ondanks stijgende kosten, een daling van de omzet en de verliezen in 2021, en een
verdere verslechtering in 2022 als gevolg van de economische crisis, met een verdere
daling van de omzet en de financiële verliezen tot gevolg. Voor het lopende boekjaar 2023-
2024 voorspelt de verweerder nog steeds een aanzienlijk financieel verlies, met het
vooruitzicht van een moeilijk financieel herstel tot 2026-2027. Gezien deze moeilijke
financiële situatie zou een geldboete van 245.000 euro desastreuze gevolgen hebben voor
de verweerder. Dit zou de uitvoering van de reorganisatiemaatregelen die nodig zijn om de
betrokkenen en kwesties op het gebied van gegevensbescherming. ; Jaarrekening beschikbaar op de website :
https://consult.cbso.nbb.be/consult-enterprise.
Beslissing ten gronde 87/2024 — 51/57
levensvatbaarheid van het bedrijf in de toekomst te garanderen in gevaar brengen,
waardoor de banen van 400 mensen op de tocht zouden komen te staan en de activiteiten
in België zelfs zouden moeten worden stopgezet.
145. Gelet op al deze omstandigheden is de Geschillenkamer het ermee eens dat een verlaging
van het bedrag van de geldboete passend lijkt om verweerder te steunen en te voorkomen
dat de banen van 400 personen en de continuïteit van haar activiteiten in België in gevaar
komen.
146. Om tot deze conclusie te komen, lijkt het passend dat de Geschillenkamer rekening houdt
met twee essentiële elementen: enerzijds het gebruik van de aandeelhoudersbijdrage;
anderzijds de beoordeling van cumulatieve verliezen over een periode van drie jaar (2023-
2024, 2024-2025, 2025-2026) om het bedrag van de aanvankelijke geldboete te
verminderen. Deze aanpak is bedoeld om naar behoren rekening te houden met de
werkelijke financiële draagkracht van de verweerder om de administratieve sanctie te
dragen.
147. De Geschillenkamer merkt op dat de aandeelhouders een inbreng in contanten hebben
gedaan van meer dan 3 000 000 EUR, een bedrag dat is vastgesteld rekening houdend
met verliezen uit het verleden, het heden en de toekomst, alsmede met andere financiële
verplichtingen waaraan verweerder zal moeten voldoen, teneinde het voor 2026-2027
geplande financiële herstel te waarborgen58. Daarnaast wijst de Geschillenkamer erop dat
verweerder het risico van een mogelijke geldboete lijkt te hebben voorzien, zoals de
Accountant in de volgende bewoordingen aangeeft: "wij vestigen de aandacht op de noot
VOL - inb 6. 19 van de jaarrekening ('risico's') waarin de onzekerheid wordt beschreven die
verbonden is aan de uitkomst van het GBA-onderzoek. De uitkomst van dit onderzoek kan
een aanzienlijke invloed hebben op de financiële positie van de onderneming ».
148. Ten tweede acht de Geschillenkamer het passend om de gecumuleerde verliezen over een
periode van drie jaar (2023-2024, 2024-2025, 2025-2026) te beoordelen, aangezien de
aandeelhouders een bijdrage in contanten van meer dan 3 000 000 EUR hebben gedaan
op basis van een in oktober 2023 gepresenteerd strategisch meerjarenplan (zie punt 147),
gericht op het waarborgen van het voor 2026-2027 geplande financiële herstel. Het is
belangrijk op te merken dat de verwachte verliezen voor de jaren 2024-2025 en 2025-
2026 hypothetisch zijn en dat het jaar 2024-2025 het hoogste verlies sinds 2019
registreert (...EUR).
149. In deze context acht de Geschillenkamer het, zoals hierboven in punt 145 vermeld, passend
om het bedrag van de geldboete te verminderen door het resterende percentage van de
58
De verweerder vermeldt in zijn e-mail van 5 april 2024 dat in oktober 2023 een strategisch meerjarenplan aan de
aandeelhouders is gepresenteerd, wat in februari 2024 heeft geleid tot een bijdrage in contanten van meer dan EUR
3.000.000 van de aandeelhouders. Zie pagina 5 van de e-mail die hun Raad stuurde als reactie op het sanctieformulier.
Beslissing ten gronde 87/2024 — 52/57
meer dan 3 000 000 EUR die door de aandeelhouders is ingebracht, toe te passen na
uitsluiting van de verliezen die over een periode van drie jaar met betrekking tot deze
inbreng zijn geaccumuleerd, perioden voor het grootste deel hypothetisch. Deze aanpak is
erop gericht de verlaging van de aanvankelijke geldboete af te stemmen op de financiële
situatie van de verweerder. Bijgevolg is de Geschillenkamer van oordeel dat zij de financiële
gevolgen van de geldboete correct heeft beoordeeld in verhouding tot de door de
aandeelhouders ingebrachte middelen, en is zij van oordeel dat een vermindering met ten
minste 30% van de oorspronkelijke geldboete rekening houdt met de werkelijke financiële
draagkracht van de verweerder om de administratieve geldboete aan te kunnen.
150. Op grond van bovenstaande redenering heeft de Geschillenkamer de geldboete objectief
verlaagd van 245 000 EUR naar 172 431 EUR: Het verlies voor 2023-2024 is [-... EUR],
terwijl de prognose voor 2024-2025 [-... EUR], en de prognose voor 2025-2026 is [-..EUR].
Als we deze verliezen bij elkaar optellen, bedraagt het cumulatieve verlies voor het jaar
2023-2024 en de verwachte verliezen voor de jaren 2024-2025 en 2025-2026 in totaal
meer dan 1 000 000 EUR [(-... EUR)] + [(-... EUR)] + [(-... EUR)] = meer dan 1 000 000 EUR. Het
percentage van het cumulatieve verlies over een periode van drie jaar, d.w.z. 2023-2024,
2024-2025 en 2025-2026 (waarbij de laatste twee jaren hypothetisch zijn) ten opzichte
van de aandeelhoudersbijdrage is +-30% [(meer dan EUR 1.000.000 / meer dan EUR
3.000.000) * 100 = +-30%]. Na aftrek van het cumulatieve verlies over een periode van drie
jaar wordt vastgesteld dat de verweerder nog steeds +-70% bezit van de meer dan EUR
3.000.000 die door de aandeelhouders is ingebracht.
151. Bijgevolg besluit de Geschillenkamer het percentage van het cumulatieve verlies over een
periode van drie jaar (2023-2024, 2024-2025 en 2025-2026, waarbij de laatste twee jaar
hypothetisch zijn) toe te passen als procentuele vermindering van het oorspronkelijke
bedrag van de geldboete om het nieuwe bedrag te bepalen.
Rekening houdend met alle specifieke omstandigheden met betrekking tot de
economische levensvatbaarheid en financiële draagkracht van de verweerder, komt dit
neer op +- 30% van het bedrag van 245.000 euro, dat wil zeggen een vermindering met
meer dan 70.000 euro. Het nieuwe bedrag van de geldboete is dus 172.431 EUR, een
vermindering van ongeveer 30% ten opzichte van het oorspronkelijke bedrag. Daarnaast
wijst de Geschillenkamer erop dat het effect van deze geldboete op een
aandeelhoudersbijdrage op basis van prognoses tot 2026-2027 (zie put 148) minimaal is,
namelijk slechts 4%.
Gelet op deze factoren is de Geschillenkamer van oordeel dat de verlaging van de
geldboete van 245 000 EUR tot 172 431 EUR een evenredige maatregel is om de in deze
zaak vastgestelde schendingen te bestraffen.
Beslissing ten gronde 87/2024 — 53/57
152. Afschrikkende werking - de afschrikkende werking van geldboetes is cruciaal om ervoor te
zorgen dat de regels in de EU-wetgeving worden nageleefd, met name in de AVG. Dit
afschrikkend effect kan twee vormen aannemen: algemene afschrikking, die tot doel heeft
andere verwerkingsverantwoordelijken ervan te weerhouden dezelfde schending in de
toekomst te begaan, en specifieke afschrikking, die tot doel heeft de
verwerkingsverantwoordelijken die door de geldboete worden getroffen ervan te
weerhouden de regels in de toekomst opnieuw te overtreden. Een geldboete moet
voldoende afschrikkend zijn voor verwerkingsverantwoordelijken om te vrezen dat de
toezichthoudende autoriteiten daadwerkelijk boetes zullen opleggen bij een schending van
de AVG.
153. Er zijn verschillende factoren die het afschrikkende karakter van een boete bepalen : de
aard en het bedrag van de geldboete, evenals de waarschijnlijkheid dat deze wordt
opgelegd, zijn in dit verband doorslaggevende factoren. Een geldboete moet hoog genoeg
zijn om een aanzienlijke financiële impact te hebben op het overtredende bedrijf, maar
moet wel in verhouding staan tot de ernst van de schending. Met andere woorden, het
criterium van afschrikking overlapt met dat van effectiviteit.
154. Als een toezichthoudende autoriteit van mening is dat een geldboete onvoldoende
afschrikt, kan zij overwegen deze te verhogen. In sommige gevallen kan het zelfs een
afschrikkingsmultiplicator toepassen om het afschrikkend effect te versterken. Deze
multiplicator kan naar goeddunken van de toezichthoudende autoriteit worden aangepast
om ervoor te zorgen dat de doelstellingen van afschrikking volledig worden bereikt.
155. In het onderhavige geval is de geldboete van 172 431 EUR die aan verweerder is opgelegd,
bedoeld om verweerder ervan te weerhouden de regels van de AVG opnieuw te schenden.
Het is ook bedoeld om andere bedrijven ervan te weerhouden soortgelijke schendingen te
begaan. Deze geldboete, die in verhouding staat tot de ernst van de inbreuk 59 en rekening
houdt met de omzet van de verweerder, is bedoeld om zowel een specifiek als een
algemeen afschrikkend effect te hebben.
156. Rekening houdend met al deze factoren lijkt de geldboete van 172 431 EUR het
noodzakelijke afschrikmiddel te zijn om naleving van de AVG te waarborgen.
III.3.2.2.6. Samenvattend
157. Ten eerste merkt de Geschillenkamer op dat de verweerder, met een omzet van meer dan
50.000.000 euro, gedurende een aanzienlijke periode geen gehoor heeft gegeven aan de
verzoeken van een klager tot verwijdering en bezwaar, met als gevolg dat zijn
persoonsgegevens verder werden verwerkt voor directmarketingdoeleinden, en dat er
59
Zie Titel III.3.2.2.2 . in deze beslissing.
Beslissing ten gronde 87/2024 — 54/57
geen waarborgen waren voor de naleving van de fundamentele beginselen van de AVG,
waardoor inbreuk werd gemaakt op de artikelen 17, 21, 5.1.a) en 5.2 juncto 24 van de AVG.
158. Na analyse van alle relevante omstandigheden van de zaak op grond van artikel 83.2.a), b)
en g) van de AVG oordeelde de Geschillenkamer vervolgens dat de schending van
middelmatige60 ernst was. Om het uitgangsbedrag te bepalen, wordt de schending van de
artikelen 5, 17 en 21 van de AVG opgesomd in artikel 83.5, a) en b) van de AVG, waarin staat
dat het maximale wettelijke bedrag EUR 20 miljoen (EUR 20.000.000) of 4% van de totale
wereldwijde jaaromzet van het vorige boekjaar is. Aangezien de omzet van de verweerder
minder dan 500 miljoen euro bedraagt, zijn in dit geval het maximumbedrag en de vaste
marge van toepassing. Een uitgangsbedrag tussen 10% en 20% van het toepasselijke
wettelijke maximum, d.w.z. tussen 2 miljoen en 4 miljoen euro, wordt daarom overwogen.
Aangezien de schending als matig wordt beschouwd, beslist de Geschillenkamer dat het op
basis van de ernst van de schending vastgestelde uitgangsbedrag 2.000.000 Euro (EUR 2
miljoen) zal bedragen.
159. Het in stap 1 vastgestelde uitgangsbedrag wordt vervolgens aangepast aan de grootte van
het bedrijf. De verweerder heeft een jaaromzet van meer dan 50.000.000 euro voor het
boekjaar 2023, in de orde van grootte van 50 tot 100 miljoen euro. Dit resulteert in een
aanpassing van het uitgangsbedrag tussen 8% en 20%. Aangezien de omzet van
verweerder binnen deze marge hoog is, besluit de Geschillenkamer dat een aanpassing van
maximaal 12,25% van het in stap 1 vastgestelde uitgangsbedrag gerechtvaardigd is,
waardoor het aangepaste uitgangsbedrag in dit geval uitkomt op EUR 245.000.
160. Om ervoor te zorgen dat dit uitgangsbedrag na aanpassing voldoet aan de richtsnoeren,
wordt het vergeleken met de marges in de toepasselijke tabel in de EDPB-richtsnoeren61.
Aangezien artikel 83.5 van de AVG van toepassing is, de verweerder een omzet heeft
tussen 50 miljoen EUR en 100 miljoen EUR en de mate van ernst middelmatig is, moet het
uitgangsbedrag tussen 160.000 EUR en 800.000 EUR liggen. De Geschillenkamer
concludeert dat een uitgangsbedrag van EUR 245.000 binnen deze marge valt en dus
voldoet aan de richtsnoeren.
161. Gelet op artikel 83 van de AVG62 moet de Geschillenkamer het opleggen van een
administratieve geldboete ook concreet motiveren, rekening houdend met andere
verzwarende of verzachtende omstandigheden die zijn opgesomd in artikel 83.2 van de
AVG. De beoordeling van deze factoren rechtvaardigt echter geen verhoging of verlaging
van het bedrag van de administratieve geldboete 63. Bovendien moet de Geschillenkamer
60
Zie Titel III.3.2.2.2 in deze beslissing.
61
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
zie bijlagen (blz. 52).
62
Arrest Marktenhof 2020/1471 van 19 februari 2020
63
Zie Titel 3.2.2.4. in deze beslissing.
Beslissing ten gronde 87/2024 — 55/57
het opleggen van deze administratieve geldboete ook rechtvaardigen in overeenstemming
met de richtsnoeren van de EDPB, die benadrukken dat boetes voor schendingen van de
AVG in elk specifiek geval doeltreffend, evenredig en afschrikkend moeten zijn, in
overeenstemming met artikel 83.4 tot en met 83.6 van de AVG. De beoordeling van deze
factoren rechtvaardigt een vermindering tussen de initiële geldboete en het nieuwe bedrag
van ongeveer 30%. Rekening houdend met alle bovenstaande factoren is de verlaging van
de geldboete van EUR 245.000 tot EUR 172.431 een doeltreffende, evenredige en
afschrikkende maatregel die nodig is om naleving van de AVG te waarborgen 64.
III.3.2.2.7. De beslissing om een administratieve geldboete op te leggen
162. Alle bovenstaande factoren rechtvaardigen een doeltreffende, evenredige en
afschrikkende sanctie krachtens artikel 83 van de AVG, rekening houdend met de daarin
vastgestelde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria van
artikel 83.2 van de AVG in dit geval niet van aard zijn dat zij leiden tot een andere
administratieve geldboete dan deze die de Geschillenkamer in het kader van deze
beslissing heeft vastgesteld.
163. De Geschillenkamer is van mening dat het gerechtvaardigd is om een administratieve
geldboete op te leggen, rekening houdend met de specifieke omstandigheden en het
standpunt dat verweerder heeft ingenomen met betrekking tot de manier waarop de
verzoeken van klager zijn behandeld, om dit gedrag op passende wijze te bestraffen en
verweerder aan te moedigen om in de toekomst niet meer op deze manier te reageren op
verzoeken tot uitoefening van rechten die zijn toegekend op grond van de AVG.
164. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de
omstandigheden eigen aan deze zaak, acht de Geschillenkamer het passend om krachtens
artikel 58.2.i) van de AVG evenals artikelen 100, § 1, 13° van de WOG en 101 van de WOG,
overeenkomstig artikel 83.2 van de AVG een administratieve geldboete van 172.431 EUR
op te leggen aan de verweerder.
165. De Geschillenkamer is van mening dat het bedrag van deze geldboete, die ruim onder het
maximumbedrag van de toegestane marge blijft, evenredig is aan de ernst van de
inbreuken die bij de gedragingen in kwestie zijn vastgesteld.
IV. Publicatie van de beslissing
166. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
64
Zie Titel 3.2.2.5. in deze beslissing.
Beslissing ten gronde 87/2024 — 57/57
interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend
overeenkomstig artikel 1034 quinquies van het Ger.W. 66, of via het informatiesysteem e-Deposit
van het Ministerie van Justitie (artikel 32 ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn
rijksregisternummer of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
de handtekening van de verzoeker of van zijn advocaat.
66
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van de gerecht of ter griffie neergelegd.