1/23
Geschillenkamer
Beslissing ten gronde 99/2026 van 8 mei 2026
Dossiernummer: DOS-2024-02812
Betreft: klacht betreffende het transparantiebeginsel en het recht van inzage
De Geschillenkamer van de Gegevensbeschermingsautoriteit (“GBA”);
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (hierna “AVG”);
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
zoals gewijzigd bij de wet van 25 december 2023 (hierna “WOG”) 1;
Gelet op het Reglement van interne orde, zoals goedgekeurd door het Directiecomité van de
Gegevensbeschermingsautoriteit op 25 april 2024 en gepubliceerd in het Belgisch Staatsblad op
31 mei 2024 (hierna “RIO”)2;
Gelet op de stukken van het dossier, met inbegrip van de conclusies van antwoord en de
syntheseconclusies van de partijen die regelmatig zijn uitgewisseld, en na de partijen te hebben
gehoord tijdens de hoorzitting van 4 december 2025;
Heeft de volgende beslissing genomen inzake:
De klagers: X1 en X2, hierna “de klagers”;
De verweerder: Y, […], ingeschreven in de KBO onder nummer […], vertegenwoordigd door[…],
hierna “de verweerder”.
1
De WOG is de organieke wet van de GBA, dat wil zeggen dat zij de organisatie en de algemene werking van de GBA regelt. De
WOG is hier beschikbaar: link.
2
Het RIO is een aanvulling op de WOG en bevat bepaalde interne gedragsregels die van toepassing zijn op de GBA. Het RIO is
hier beschikbaar: link.
Beslissing ten gronde 99/2026 — 2/23
I. Feiten en procedure
1. Op 5 juni 2024 dienen de klagers een klacht in bij de GBA tegen de verweerder. Het gaat om
een moeder die tevens haar minderjarige dochter vertegenwoordigt.
2. De verweerder is een advocatenkantoor. De moeder was enkele maanden cliënt van de
verweerder, van november 2019 tot begin februari 2020. In het kader van deze contractuele
relatie staat nog een onbetaalde factuur open van ongeveer 3.800 euro.
3. Op 20 januari 2023 dienen de klagers bij de verweerder een verzoek om inzage in, dat zij
herhalen op 23 februari 2023, 15 maart 2023 en 3 april 2023. Dit verzoek heeft betrekking
op de gegevens van de moeder, haar dochter en de vader 3.
4. De verweerder antwoordt respectievelijk op 21 februari 2023, 17 maart 2023 en 5 april
2023. In zijn eerste twee antwoorden reageert de verweerder slechts gedeeltelijk en stelt
hij niet volledig op het verzoek van de klagers te kunnen ingaan omdat de moeder geen
bewijs van haar identiteit verstrekt. In zijn derde en laatste antwoord stelt de verweerder zijn
reactie afhankelijk van de overschrijving van een bedrag van 135 euro op zijn bankrekening,
aangezien de verzoeken van de klagers volgens hem “kennelijk ongegrond of buitensporig”
zijn in de zin van artikel 12.5.a) van de AVG.
5. Op 2 juli 2024 wordt de klacht ontvankelijk verklaard door de Eerstelijnsdienst (hierna “ELD”)
op grond van de artikelen 58 en 60 van de WOG en diezelfde dag worden de klagers hiervan
op de hoogte gesteld overeenkomstig artikel 61 van de WOG.
6. Diezelfde dag wordt de Geschillenkamer gevat op grond van artikel 92, 1°, van de WOG.
7. Op 25 februari 2025 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98
van de WOG dat het dossier gereed is voor behandeling ten gronde.
8. In toepassing van de wet op het gebruik van de talen in bestuurszaken wordt de huidige
beslissing zowel in het Frans als in het Nederlands opgesteld.
3
Die geen deel uitmaakt van de procedure.
Beslissing ten gronde 99/2026 — 3/23
II. Motivering
II.1. Vermeende inbreuk op de artikelen 5.1.a), 12.1 en 13 van de AVG
II.1.1. Standpunt van de klagers
9. De klagers verwijten de verweerder dat hij hen nooit heeft geïnformeerd over de
verwerkingen van hun persoonsgegevens, door middel van een document, contract of
privacyverklaring.
10. Zij verwijten hem bovendien dat hij niet beschikt over een privacybeleid op zijn website en
aldus niet transparant is over de verwerkingen van persoonsgegevens die ten aanzien van
hen worden uitgevoerd.
II.1.2. Standpunt van de verweerder
11. De verweerder voert aan dat zijn website een statische HTML-site is en dat via deze weg
geen verwerking van persoonsgegevens plaatsvindt.
12. Tijdens de hoorzitting verklaart de verweerder dat hij de meerwaarde niet inziet van een
document waarin wordt bevestigd dat hij persoonsgegevens van betrokkenen verwerkt
overeenkomstig de AVG, aangezien de naleving van de AVG inherent is aan het statuut van
advocaat en het beroepsgeheim. Hij voegt daaraan toe dat het met de moeder gesloten
contract geen bepaling bevatte met betrekking tot de verwerking van persoonsgegevens;
zijn huidige contracten bevatten dergelijke bepalingen wel.
II.1.3. Beoordeling door de Geschillenkamer
13. Artikel 5.1.a) van de AVG bepaalt dat persoonsgegevens moeten worden “verwerkt op een
wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is
(„rechtmatigheid, behoorlijkheid en transparantie”)”.
14. Artikel 12.1 van de AVG bepaalt het volgende: “De verwerkingsverantwoordelijke neemt
passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie
en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met
de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke
vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie
specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen,
met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de
betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op
voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.”
Beslissing ten gronde 99/2026 — 4/23
15. Artikel 13 van de AVG bepaalt dat de verwerkingsverantwoordelijke op het moment van de
verzameling van de gegevens alle volgende informatie aan de betrokkene moet
verstrekken:
“a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in
voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor
gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de
rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde,
indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de
persoonsgegevens;
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de
persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er
al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel
46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of
geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen
worden geraadpleegd.”
16. De Geschillenkamer merkt vooreerst op dat de website van de verweerder, volgens diens
eigen verklaringen, een statische HTML-site is waarop geen verwerking van
persoonsgegevens plaatsvindt. Niets in het dossier geeft aanleiding om hieraan te twijfelen.
Bijgevolg is elke vraag die daaruit voortvloeit in het onderhavige geval niet relevant.
17. Niettemin houdt dit antwoord geen verband met de door de klagers aangevoerde grieven.
Zij verwijten de verweerder immers niet dat hij hen niet naar behoren heeft geïnformeerd
over de verzameling van persoonsgegevens die via zijn website plaatsvindt, maar wel dat hij
hen in het algemeen niet naar behoren heeft geïnformeerd over de verzameling van hun
persoonsgegevens. De verwijzing naar de website van de verweerder diende enkel om te
wijzen op het ontbreken van een privacybeleid op die website, dat hen informatie had
kunnen verschaffen over de verwerking van hun persoonsgegevens.
18. De Geschillenkamer stelt bovendien vast dat de verweerder niet kan aantonen dat hij de
klagers op passende wijze heeft geïnformeerd op het ogenblik dat hij hun
persoonsgegevens verzamelde. Integendeel, hij voert aan, zoals hij heeft gedaan tijdens de
hoorzitting van 4 december 2025 voor de Geschillenkamer, dat hij de meerwaarde niet inziet
Beslissing ten gronde 99/2026 — 5/23
van een document waaruit blijkt dat hij persoonsgegevens van betrokkenen verwerkt in
overeenstemming met de AVG, en dat het met de moeder gesloten contract geen enkele
bepaling bevatte met betrekking tot de verwerking van haar persoonsgegevens en die van
haar dochter. Dit stemt evenwel niet meer overeen met zijn huidige praktijk, waarmee
rekening moet worden gehouden bij de sancties en corrigerende maatregelen die zullen
worden opgelegd.
19. Bijgevolg merkt de Geschillenkamer op dat de verweerder de artikelen 5.1.a), 12.1 en 13 van
de AVG heeft geschonden.
II.2. Vermeende inbreuk op de artikelen 12.2, 12.4 en 15 van de AVG
II.2.1. Standpunt van de klagers
20. De klagers verwijten de verweerder dat hij heeft geweigerd hun verzoek om inzage te
behandelen wegens twijfels over de identiteit van de moeder, en dat hij alles in het werk
heeft gesteld om de beantwoording te vertragen.
21. Volgens de klagers zijn de twijfels van de verweerder over de identiteit van de moeder
tegenstrijdig, aangezien hij in het kader van een andere procedure heeft verwezen naar hun
verzoek om inzage. Bovendien heeft de verweerder in zijn e-mail van 4 april 2023, op basis
van artikel 12.5.a) van de AVG, een bedrag van 135 euro gevraagd om het verzoek om inzage
te behandelen, zonder nog melding te maken van problemen met betrekking tot de identiteit
van de moeder. In elk geval verwijten de klagers de verweerder dat hij hun niet heeft
meegedeeld op welke manier de moeder haar identiteit kon aantonen, hoewel zij hem daar
uitdrukkelijk om had verzocht.
22. Volgens de klagers blijkt uit deze elementen dat de verweerder niet naar behoren met hen
heeft samengewerkt.
II.2.2. Standpunt van de verweerder
23. De verweerder is van mening dat hij geen fout heeft begaan door geen gevolg te geven aan
het verzoek om inzage van de klagers, aangezien de moeder haar identiteit niet heeft
aangetoond zoals vereist door artikel 12.6 van de AVG, gelezen in samenhang met
overweging 64 van de AVG.
24. Hij meent evenmin een fout te hebben begaan door haar geen informatie te verstrekken
over de persoonsgegevens van haar dochter en haar echtgenoot, aangezien zij geen
volmacht heeft overgelegd noch enige wettelijke bevoegdheid heeft aangetoond om inzage
te verkrijgen in deze gegevens. Daarnaast omvatten de gegevens met betrekking tot haar
dochter gevoelige gegevens (gezondheid), waarvoor de AVG een verhoogde bescherming
Beslissing ten gronde 99/2026 — 6/23
biedt. Artikel 15.4 bepaalt bovendien dat rekening moet worden gehouden met de rechten
en vrijheden van derden in het kader van de kopie bedoeld in het derde lid van datzelfde
artikel.
25. Ten slotte stelt de verweerder dat hij niet precies begrijpt welke informatie de klagers
wensen te verkrijgen.
II.2.3. Beoordeling door de Geschillenkamer
26. De Geschillenkamer merkt op dat de klagers hun recht overeenkomstig artikel 15 van de
AVG hebben uitgeoefend op 20 januari 2023, welk verzoek werd herhaald op 23 februari
2023, 15 maart 2023 en 3 april 2023. Het verzoek had betrekking op: (i) alle informatie over
de verwerking van persoonsgegevens betreffende de moeder, haar dochter en haar
echtgenoot; (ii) een toelichting bij het ontbreken van een privacybeleid op de website; (iii) de
niet-vertrouwelijke delen van het register van de verwerkingsactiviteiten, en; (iv) informatie
over de beveiligingsmaatregelen die worden toegepast bij de verwerking van
persoonsgegevens, de rechtmatigheidsgrond daarvan en de doorgifte van gegevens. Op 21
februari 2023 verstrekte de verweerder slechts een beperkt antwoord op de gevraagde
informatie. Hij beroept zich op drie argumenten om te weigeren meer gedetailleerd op het
verzoek van de klagers in te gaan: (i) de moeder heeft haar identiteit niet aannemelijk
gemaakt, (ii) het verzoek betreft informatie over derden waarvoor de moeder geen volmacht
of wettelijke bevoegdheid heeft aangetoond, en (iii) de gevraagde informatie wordt
beschermd door het beroepsgeheim en de deontologische code.
27. Het recht van inzage bestaat uit drie componenten. Ten eerste heeft de betrokkene,
krachtens artikel 15.1 van de AVG, het recht om van de verwerkingsverantwoordelijke
uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens.
Ten tweede heeft de betrokkene, wanneer persoonsgegevens worden verwerkt, het recht
om inzage te verkrijgen van die persoonsgegevens en van een reeks inlichtingen die in
artikel 15.1.a)–h) worden opgesomd. Ten derde heeft de betrokkene, krachtens artikel 15.3
van de AVG, bovendien het recht om een kopie te verkrijgen van de persoonsgegevens die
worden verwerkt. Dit recht mag echter geen afbreuk doen aan de rechten en vrijheden van
anderen.
28. De nadere regels voor dit recht zijn vastgelegd in artikel 12 van de AVG. In het bijzonder dient
aandacht te worden besteed aan lid 2, dat het volgende bepaalt: “De
verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene
uit hoofde van de artikelen 15 tot en met 22. [...]”, aan lid 4, dat het volgende stelt: “Wanneer
de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene,
deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek
mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de
Beslissing ten gronde 99/2026 — 7/23
mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de
rechter in te stellen.”, aan lid 5, dat het volgende bepaalt: “[...] Wanneer verzoeken van een
betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve
karakter, mag de verwerkingsverantwoordelijke ofwel: a) een redelijke vergoeding
aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de
gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen
gepaard gaan; [...] Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde
of buitensporige aard van het verzoek aan te tonen.”, en aan lid 6, dat het volgende stelt:
“Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft
om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als
bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter
bevestiging van de identiteit van de betrokkene.”
29. Overweging 64 van de AVG bepaalt het volgende: “De verwerkingsverantwoordelijke dient,
met name met betrekking tot onlinediensten en online-identificatoren, alle redelijke
maatregelen te nemen om de identiteit te controleren van een betrokkene die om inzage
verzoekt. Een verwerkingsverantwoordelijke mag persoonsgegevens niet uitsluitend
bewaren om op eventuele verzoeken te kunnen reageren.”
30. In het onderhavige geval heeft de verweerder de voormelde bepalingen niet nageleefd om
de volgende redenen.
31. Allereerst merkt de Geschillenkamer op dat de verweerder tot tweemaal toe heeft
geweigerd gevolg te geven aan het verzoek om inzage van de klagers op grond dat de
moeder onvoldoende waarborgen bood met betrekking tot haar identiteit. Hoewel artikel
12.6 van de AVG erkent dat de verwerkingsverantwoordelijke in bepaalde situaties redenen
kan hebben om te twijfelen aan de identiteit van een persoon die zijn rechten uit hoofde van
de artikelen 15 tot en met 21 van AVG uitoefent, verleent deze bepaling hem niet de
bevoegdheid om een verzoek van een betrokkene louter en alleen om die reden te weigeren.
Integendeel, deze bepaling stelt de verwerkingsverantwoordelijke juist in staat om de
betrokkene om aanvullende informatie te vragen teneinde diens identiteit te verifiëren. De
verweerder heeft de moeder evenwel niet om aanvullende informatie verzocht aan de hand
waarvan hij haar identiteit had kunnen vaststellen. De Geschillenkamer merkt bovendien op
dat de klager de verweerder juist heeft verzocht haar uit te leggen hoe zij haar identiteit kon
aantonen.
32. Voorts dienen met betrekking tot de personen op wie het verzoek om inzage betrekking
heeft enkele opmerkingen te worden gemaakt. Het verzoek om inzage en de herinneringen
werden ingediend door de moeder. Het recht van inzage heeft betrekking op de
persoonsgegevens van een welbepaalde betrokkene. Een betrokkene kan geen inzage
vragen in persoonsgegevens die betrekking hebben op een derde. Een betrokkene kan
Beslissing ten gronde 99/2026 — 8/23
evenwel het recht van inzage uitoefenen in naam en voor rekening van een derde. In het
onderhavige geval heeft de verweerder terecht geweigerd om aan de moeder
persoonsgegevens van haar echtgenoot mee te delen, aangezien zij daartoe geen volmacht
heeft voorgelegd. Dit ligt anders voor de dochter. Aangezien de dochter op het ogenblik van
de feiten minderjarig was en niets in het dossier dit in twijfel trekt, moet ervan worden
uitgegaan dat de moeder, overeenkomstig de algemene regels, samen met haar echtgenoot
het ouderlijk gezag over de dochter uitoefent. In dit kader stelt de Geschillenkamer vast dat
de klagers klant geweest zijn van de verweerder en dat de verweerder dus niet onwetend
kon zijn over de band tussen beide. Bijgevolg was de moeder bevoegd om een verzoek om
inzage in naam en voor rekening van haar minderjarige dochter in te dienen, en was de
verweerder gehouden daaraan gevolg te geven.
33. Vervolgens stelt de Geschillenkamer vast dat de verweerder de moeder heeft verzocht een
bedrag van 135 euro over te schrijven toen zij voor de derde keer aandrong op de inwilliging
van haar verzoek om inzage. De verweerder beroept zich in dit verband op artikel 12.5.a) van
de AVG, dat bepaalt dat de verwerkingsverantwoordelijke, wanneer verzoeken van een
betrokkene “kennelijk ongegrond of buitensporig” zijn, “een redelijke vergoeding [mag]
aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de
gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen
gepaard gaan”. Hij is van oordeel dat het verzoek van de klagers misbruik van recht betreft,
aangezien het volgens hem deel uitmaakt van een ruimere strategie om de betaling van de
door de moeder nog verschuldigde factuur te betwisten. Bovendien wijst hij op de herhaalde,
onjuiste en incoherente verzoeken van de klagers, die volgens hem aantonen dat deze
kennelijk ongegrond zijn.
34. Het komt derhalve aan de Geschillenkamer toe te beoordelen of de verweerder terecht een
beroep heeft gedaan op deze uitzonderingsregeling.
35. De Geschillenkamer herinnert er vooreerst aan dat, teneinde de beginselen van
transparantie en kosteloze rechten van de betrokkenen te eerbiedigen, deze uitzonderingen
strikt moeten worden geïnterpreteerd4.
36. Een verzoek wordt als “kennelijk ongegrond” beschouwd wanneer het niet voldoet aan de
objectieve voorwaarden die eraan ten grondslag liggen. De verweerder slaagt er niet in aan
te tonen dat het verzoek om inzage van de klagers niet aan de objectieve voorwaarden
voldeed.
4
EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen – Recht van inzage, versie 2.1, vastgesteld op 28 maart 2023,
punt 175.
Beslissing ten gronde 99/2026 — 9/23
37. Ook wordt een verzoek als “kennelijk buitensporig” beschouwd wanneer het met name een
repetitief karakter vertoont. De AVG definieert overigens niet wat onder deze begrippen
moet worden verstaan en geeft evenmin voorbeelden van andere gevallen waarin een
verzoek als “kennelijk buitensporig” kan worden aangemerkt. Evenwel, en in elk geval, heeft
een betrokkene het recht om meer dan eenmaal een verzoek in te dienen in de zin van de
artikelen 15 tot en met 22 van de AVG.
38. In het onderhavige geval herinnert de Geschillenkamer eraan dat de klagers hun verzoek om
inzage eenmaal hebben ingediend en dit vervolgens driemaal hebben herhaald. Deze
herhalingen zijn evenwel het gevolg van de onrechtmatige weigeringen om volledig aan hun
verzoek te voldoen (zie punt 31). Het gaat niet om meerdere op grond van artikel 15 van de
AVG ingediende verzoeken, maar om één en hetzelfde verzoek dat meermaals werd
herhaald omdat de verweerder weigerde daaraan volledig te voldoen.
39. De verweerder slaagt er derhalve niet in aan te tonen dat de toepassingsvoorwaarden van
artikel 12.5 van de AVG, die strikt moeten worden geïnterpreteerd, daadwerkelijk waren
vervuld.
40. Overigens merkt de Geschillenkamer op dat het beroepsgeheim hier niet relevant is. Het
beroepsgeheim strekt ertoe de cliënt te beschermen door de advocaat te verplichten de
informatie die de cliënt hem toevertrouwt niet openbaar te maken. In het onderhavige geval,
gelet op het feit dat de klagers cliënten van de verweerder waren en dat zij informatie
hebben gevraagd over persoonsgegevens die specifiek op hen betrekking hebben, is het
argument van de verweerder niet ter zake dienend.
41. Bijgevolg stelt de Geschillenkamer vast dat de verweerder de artikelen 12.2, 12.4 en 15 van
de AVG niet heeft nageleefd, doordat hij het verzoek om inzage van de klagers niet volledig
heeft ingewilligd, en dit om onrechtmatige redenen.
III. Voorlopige en corrigerende maatregelen
42. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te
oefenen;
Beslissing ten gronde 99/2026 — 10/23
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving
ervan aan de ontvangers van de gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of
een internationale instelling te bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat
haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van
de Gegevensbeschermingsautoriteit.
43. Samengevat heeft de verweerder de volgende bepalingen geschonden:
a. de artikelen 5.1.a), 12 en 13 van de AVG (inbreuk 1), en;
b. de artikelen 12.2, 12.4 en 15 van de AVG (inbreuk 2).
44. Wat inbreuk 1 betreft, beslist de Geschillenkamer een administratieve geldboete op te
leggen.
45. Wat inbreuk 2 betreft, beveelt de Geschillenkamer de verweerder om gevolg te geven aan
het verzoek om inzage van de klager en beslist zij hem een administratieve geldboete op te
leggen. De verweerder moet aan de klagers de informatie verstrekken die is opgesomd in
de punten a) tot en met h) van artikel 15.1 van de AVG.
46. In de volgende punten verantwoordt de Geschillenkamer het opleggen van deze
geldboeten. Zij zal ook de argumenten van de verweerder beantwoorden die werden
overgemaakt in reactie op het schrijven van de Geschillenkamer van 13 maart 2026, waarin
zij haar intentie bekend maakte om deze administratieve boetes op te leggen.
III.1. Motivering voor het opleggen van de administratieve geldboete, en de bepaling van de
hoogte van die geldboete
47. Naast de corrigerende maatregelen beslist de Geschillenkamer een administratieve
geldboete op te leggen met het oog op een krachtiger handhaving van de regels van de AVG.
Beslissing ten gronde 99/2026 — 11/23
Zoals duidelijk blijkt uit overweging 148 van de AVG 5, stelt de AVG immers voorop dat bij
elke inbreuk – dus ook bij een eerste vaststelling daarvan – straffen, met inbegrip van
administratieve geldboeten, naast of in plaats van passende maatregelen moeten worden
opgelegd.
48. De Geschillenkamer wil er ook op wijzen dat het haar soevereine verantwoordelijkheid als
onafhankelijke administratieve autoriteit is – met inachtneming van de relevante artikelen
van de AVG en de WOG – om de passende corrigerende maatregelen en sancties vast te
stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof heeft in zijn
rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer
benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn
arresten van 7 juli 2021 en 6 september 2023 6.
49. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op
de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de
Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt
de administratieve geldboete op in toepassing van artikel 58.2.i) van de AVG. Het instrument
van de administratieve geldboete heeft geenszins tot doel inbreuken te beëindigen; daartoe
voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen
genoemd in artikel 100, § 1, 8° en 9°, van de WOG.
50. Artikel 83 van de AVG bepaalt met welke factoren in elk concreet geval rekening moet
worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt
opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met de
ernst van de inbreuken, de duur van de inbreuken, en het nodige afschrikkende effect om
toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van elke factor
hier herhaald wordt, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin
het opleggen van een administratieve geldboete en de hoogte ervan samen worden
beoordeeld.
5
Overweging 148 van de AVG bepaalt het volgende: “Met het oog op een krachtiger handhaving van de regels van deze
verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de
verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze
verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige
last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient
evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de
inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken,
met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen
die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met
alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten,
moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht
en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.”
6
Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2021/AR/320, pp. 37-47; Hof van
Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktenzaken, 2020/AR/1160, p. 34.
Beslissing ten gronde 99/2026 — 12/23
51. Om in elk geval een doeltreffende, evenredige en afschrikkende geldboete op te leggen,
wordt van de toezichthoudende autoriteiten verwacht dat zij de administratieve geldboeten
aanpassen en daarbij binnen de marge blijven die in de Richtsnoeren 04/2022 van de EDPB
voor de berekening van administratieve geldboeten krachtens de AVG (versie 2.1,
vastgesteld op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of
verlagingen van de geldboete, afhankelijk van de omstandigheden van de zaak. De
toepassing van deze richtsnoeren is noodzakelijk om de coherentie van de toepassing van
de AVG te waarborgen. Overeenkomstig de richtsnoeren van de EDPB worden
administratieve geldboeten voor inbreuken op de AVG berekend op basis van een methode
bestaande uit vijf stappen7. Deze vijf stappen worden in de volgende paragrafen
systematisch doorlopen. De Geschillenkamer herinnert eraan dat zij niet verplicht is criteria
te onderzoeken die niet van toepassing zijn8.
III.2. Samenloop van inbreuken en de toepassing van artikel 83.3 van de AVG
52. Ter herinnering: de Geschillenkamer is voornemens een geldboete op te leggen wegens de
inbreuk op de artikelen 5.1.a), 12 en 13 van de AVG (“geldboete 1”), aangezien de verweerder
de klagers niet naar behoren heeft geïnformeerd over de verwerking van hun
persoonsgegevens, alsook wegens de inbreuk op de artikelen 12.2, 12.4 en 15 van de AVG
(“geldboete 2”), aangezien de verweerder slechts gedeeltelijk gevolg heeft gegeven aan het
verzoek om inzage van de klagers, en dit om onrechtmatige redenen.
53. De Geschillenkamer is van mening dat deze twee inbreuken moeten worden beschouwd als
afzonderlijke inbreuken op bepalingen van de AVG, die voortvloeien uit verschillende
gedragingen. Hoewel de informatieplicht en het recht van inzage nauw met elkaar
verbonden zijn en de twee inbreuken in deze zaak met elkaar verband houden, dienen zij toch
van elkaar te worden onderscheiden, aangezien de informatieplicht een algemeen karakter
heeft, terwijl het recht van inzage daarentegen een individueel karakter heeft. Bovendien
zou, zelfs indien aan de informatieplicht was voldaan, het antwoord van de verweerder op
het verzoek om inzage nog steeds niet in overeenstemming zijn met de vereisten van de
AVG – en omgekeerd.
54. Kortom, de Geschillenkamer is in deze zaak van oordeel dat zij twee afzonderlijke
geldboeten moet opleggen op grond van het beginsel van veelheid van handelingen.
Bijgevolg zal elke geldboete afzonderlijk worden beoordeeld.
7
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p.
9.
8
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 6.
Beslissing ten gronde 99/2026 — 13/23
55. De verweerder betwist dit. Hij stelt dat er sprake is van eenheid van handelingen tussen de
feiten, overeenkomstig artikel 83.3 van de AVG, en dat enkel de hoogste geldboete zou
moeten worden toegepast, overeenkomstig artikel 103, tweede lid, van de WOG. De
Geschillenkamer verwijst de verweerder naar de voorgaande paragrafen.
III.3. Uitgangsbedrag voor de berekening
56. De berekening van administratieve geldboeten begint bij een geharmoniseerd
uitgangsbedrag op basis van de Richtsnoeren 04/2022 van de EDPB 9. Hierbij wordt
rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel 83,
leden 4 tot en met 6, van de AVG, de ernst van de inbreuk en de omzet van de onderneming.
III.3.1. Indeling van de inbreuk volgens zijn aard op grond van artikel 83, leden 4 tot en
met 6, van de AVG
57. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die
strafbaar zijn onder artikel 83.4 van de AVG enerzijds en de inbreuken die strafbaar zijn
onder de artikelen 83.5 en 83.6 van de AVG anderzijds. Op de eerste categorie inbreuken
staat een maximumboete van 10 000 000 euro of 2 % van de totale wereldwijde jaaromzet
in het voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een
boete van maximaal 20 000 000 euro of 4 % van de totale wereldwijde jaaromzet in het
voorgaande boekjaar, indien dit cijfer hoger is.
▪ Voor de inbreuken op de artikelen 5.1.a), 12 en 13 van de AVG (“geldboete 1”) en op de
artikelen 12.2, 12.4 en 15 van de AVG (“geldboete 2”), bedraagt de zwaarste
administratieve geldboete overeenkomstig artikel 83.5.a) en b) van de AVG tot 20
000 000 euro of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande
boekjaar, indien dit cijfer hoger is.
58. Aangezien de hogere geldboete van toepassing is, overeenkomstig artikel 83.5.a) van de
AVG, kan de Geschillenkamer een administratieve geldboete opleggen van maximaal 20
000 000 euro of maximaal 4 % van de totale wereldwijde jaaromzet in het voorgaande
boekjaar, indien dit cijfer hoger is.
59. In het onderhavige geval bedraagt de meest recente jaaromzet – die van 2024 –
406.909,53 euro.
9
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), p.
18.
Beslissing ten gronde 99/2026 — 14/23
III.3.2. Ernst van de inbreuk
a. Artikel 83.2.a) van de AVG – de aard, ernst en duur van de inbreuk
Geldboete 1
60. Wat de aard van de inbreuk betreft, merkt de Geschillenkamer op dat de verweerder het
transparantiebeginsel zoals vastgelegd in de artikelen 5.1.a), 12 en 13 van de AVG heeft
geschonden.
61. Dit is een fundamenteel beginsel van de AVG, dat bijzonder belangrijk is voor de
betrokkenen, zodat zij op de hoogte worden gebracht van het bestaan van de verwerking
van hun persoonsgegevens en van de details daarvan, om zich te kunnen vergewissen van
de conformiteit ervan met de AVG en de wetgeving inzake de bescherming van
persoonsgegevens, en, in voorkomend geval, de rechten uit te oefenen waarover zij in dit
verband beschikken.
62. Wat de ernst van de inbreuk betreft, merkt de Geschillenkamer op dat de verweerder een
advocatenkantoor is en dat hij geacht wordt over een grondige kennis van het recht te
beschikken. De omstandigheid, zoals door de verweerder aangevoerd, dat ook de moeder
over een zekere kennis van het recht beschikte, is niet relevant, aangezien hier het gedrag
van de verweerder bij het begaan van de inbreuk wordt beoordeeld; de kennis van het recht
van de moeder kan dit niet verzachten. Bovendien moet de verweerder in die hoedanigheid
gevoelige gegevens verwerken (wat in casu het geval was, aangezien de verweerder
gezondheidsgegevens van een van de klagers (de dochter) moest verwerken). De inbreuk is
hier systematisch, aangezien de verweerder geen adequate maatregelen had genomen om
de betrokkenen te informeren over de verwerking van hun persoonsgegevens. De
verweerder betwist dit en stelt dat de inbreuk niet als systematisch kan worden
gekwalificeerd, aangezien de feiten betrekking hebben op een antwoord op één enkel
verzoek om inzage. Daarmee verwart de verweerder evenwel het niet naar behoren
informeren van de klagers bij de verzameling van hun persoonsgegevens met het niet
adequaat beantwoorden van hun verzoek om inzage. Voor het overige wijst de
Geschillenkamer de verweerder op randnummer 53 van deze beslissing.
63. Wat de duur van de inbreuk betreft, merkt de Geschillenkamer op dat deze is beëindigd,
aangezien de verweerder voor zijn klanten modelcontracten gebruikt die bepalingen
bevatten met betrekking tot de verwerking van hun persoonsgegevens.
Geldboete 2
Beslissing ten gronde 99/2026 — 15/23
64. Wat de aard van de inbreuk betreft, merkt de Geschillenkamer op dat de verweerder het
recht van inzage van de klagers heeft geschonden. Naast artikel 15 van de AVG is het recht
van inzage ook opgenomen in artikel 8.2 van het Handvest van de grondrechten van de
Europese Unie en vormt het derhalve een van de essentiële elementen van het grondrecht
op gegevensbescherming; met andere woorden, het is de “toegangspoort” die de controle
van de betrokkenen over hun gegevens versterkt en de uitoefening mogelijk maakt van
andere rechten die de AVG aan de betrokkene toekent, zoals het recht van bezwaar en het
recht op gegevenswissing.
65. De doeltreffendheid van het recht van inzage wordt gewaarborgd door de in artikel 12 van
de AVG vastgestelde modaliteiten en stelt, net als het recht op informatie (zie geldboete 1),
de betrokkenen in staat hun rechten uit te oefenen.
66. Wat de ernst van de inbreuk betreft, merkt de Geschillenkamer op dat de verweerder een
advocatenkantoor is en dat hij geacht wordt over een grondige kennis van het recht te
beschikken. Bovendien moet de verweerder in die hoedanigheid gevoelige gegevens
verwerken (wat in casu het geval was, aangezien de verweerder gezondheidsgegevens van
een van de klagers (de dochter) moest verwerken). De inbreuk is hier individueel, aangezien
zij alleen betrekking heeft op de twee klagers en het in dit geval om een op zichzelf staand
geval gaat.
67. Wat de duur van de inbreuk betreft, merkt de Geschillenkamer op dat de klager op 20 januari
2023 haar recht van inzage heeft uitgeoefend en dat de verweerder op 21 februari 2023, 7
maart 2023 en 5 april 2023 heeft geweigerd hieraan volledig te voldoen. Het verzoek is dus
nog steeds niet volledig ingewilligd.
b. Artikel 83.2.b) van AVG – de opzettelijke en nalatige aard van de inbreuk
68. In casu is er volgens de Geschillenkamer geen – klaarblijkelijke – intentie in hoofde van de
verweerder om met opzet de artikelen 5.1.a), 12 en 13 van de AVG (geldboete 1) en de
artikelen 12.2, 12.4 en 15 van de AVG (geldboete 2) te overtreden, doch is er minstens sprake
van een neutrale nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak
van het Hof van Justitie van de Europese Unie 10. Niets in het dossier geeft aanleiding om
hieraan te twijfelen. Integendeel, de door de verweerder gepleegde inbreuken zijn duidelijke,
heldere bepalingen zonder enige dubbelzinnigheid. Daarenboven maakten deze bepalingen
reeds deel uit van de richtsnoeren van de EDPB 11. Dit geldt des te meer aangezien de
verweerder een advocatenbureau betreft.
10
Zie arrest C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, punt 78.
11
EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, Versie 2.1, vastgesteld op 28 maart
2023 : https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf.
Beslissing ten gronde 99/2026 — 16/23
c. Artikel 83.2.g) van de AVG – de categorieën van persoonsgegevens waarop de
inbreuk betrekking heeft
69. De litigieuze verwerking betreft voornamelijk identificatiegegevens, die niet bijzonder
gevoelig zijn. Echter, zoals de verweerder in zijn conclusies erkent, werden de
gezondheidsgegevens van een van de klagers (minderjarige dochter) verwerkt, welke
worden beschermd door artikel 9 van de AVG.
d. Classificatie van de ernst van de inbreuk en vaststelling van het passende
uitgangsbedrag
70. Op basis van een beoordeling van de bovenstaande factoren wordt de ernst van de inbreuk
bepaald. De Geschillenkamer houdt rekening met het feit dat het gaat om inbreuken van
geringe ernst op een fundamenteel beginsel van de AVG, dat deze zijn gepleegd in het kader
van de activiteiten van de verweerder, en dat zij het gevolg zijn van als neutraal aangemerkte
nalatigheid. De Geschillenkamer concludeert dat het gaat om inbreuken van geringe ernst.
Overeenkomstig punt 60 van de richtsnoeren van de EPDB dient de Geschillenkamer het
uitgangsbedrag voor de verdere berekening vast te stellen op een punt tussen de 0 en 10 %
van het toepasselijke wettelijke maximumbedrag 12.
71. Aangezien de verweerder een advocatenkantoor is, bij de door hem verrichte verwerkingen
gevoelige gegevens betrokken waren, de inbreuk die aanleiding geeft tot geldboete 1
systematisch was en de inbreuk die aanleiding geeft tot geldboete 2 betrekking had op een
onrechtmatige weigering om gevolg te geven aan het verzoek om inzage van de klagers, zal
het uitgangsbedrag voor de berekening in het bovenste deel van de marge worden
vastgesteld. Het systematische karakter van de inbreuk die aanleiding geeft tot geldboete
1 rechtvaardigt dat het uitgangsbedrag ervan hoger ligt dan dat van geldboete 2.
72. De verweerder betwist dat het bovenste deel van de marge wordt gehanteerd en baseert
zich daarbij op de voorbeelden uiteengezet in de punten 62-63 van de richtsnoeren van de
EDPB. Hij voert aan dat het uitgangsbedrag van de berekening in het onderste deel van de
marge zou moeten worden vastgesteld, gelet op het feit dat (i) er geen sprake was van opzet
bij het plegen van de inbreuken; (ii) er geen schade in hoofde van de klagers is aangetoond;
(iii) het aantal personen dat door de inbreuken is getroffen beperkt is; en (iv) de inbreuk was
beëindigd vóór de vaststelling van de beslissing van de Geschillenkamer.
73. De Geschillenkamer merkt op dat al deze omstandigheden reeds in haar beoordeling in
aanmerking zijn genomen. Niettemin erkent de Geschillenkamer dat, ondanks de
inaanmerkingneming van deze elementen, de aanvankelijk gehanteerde percentages te
hoog waren. Zij beslist dan ook om deze aanzienlijk te verlagen. Het uitgangsbedrag voor
12
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 60.
Beslissing ten gronde 99/2026 — 17/23
geldboete 1 blijft in het bovenste deel van de marge wegens het systematische karakter
ervan, terwijl het uitgangsbedrag voor geldboete 2 in het onderste deel van de marge wordt
vastgesteld, juist wegens het ontbreken van een dergelijk systematisch karakter.
74. De Geschillenkamer zal het uitgangsbedrag voor de verdere berekening voor geldboete 1
vaststellen op 6 % van het wettelijke maximumbedrag als bedoeld in artikel 83.5 van de
AVG, en voor geldboete 2 op 4 % van het wettelijke maximumbedrag als bedoeld in artikel
83.5 van de AVG.
III.3.3. De omzet van de onderneming als relevant element om rekening mee te houden
met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige
geldboete op grond van artikel 83.1 van de AVG
75. Overeenkomstig artikel 83.1 van de AVG dient de Geschillenkamer ervoor te zorgen dat de
administratieve geldboeten die worden opgelegd doeltreffend, evenredig en afschrikkend
zijn. Aldus laat zij ook in de uitgangsbedragen een onderscheid naar de omvang van de
onderneming tot uiting komen.
76. De artikelen 83.4 tot en met 83.6 van de AVG bepalen dat de totale wereldwijde jaaromzet
van het voorgaande boekjaar moet worden gebruikt voor de berekening van de
administratieve geldboete. In dit verband moet de term “voorgaande” worden uitgelegd
overeenkomstig de rechtspraak van het Hof van Justitie inzake het mededingingsrecht,
zodat de relevante gebeurtenis voor de berekening van de geldboete het boetebesluit van
de toezichthoudende autoriteit is, en niet het tijdstip van de gesanctioneerde inbreuk 13.
77. Aangezien de omzet van de verweerder voor 2025 echter nog niet beschikbaar is, zal de
Geschillenkamer zich baseren op de omzet van de verweerder voor 2024, die 406.909,53
euro bedraagt.
78. Op basis van het voorgaande stelt de Geschillenkamer vast dat 4 % van de omzet in het
voorgaande boekjaar 16.276,38 euro bedraagt, hetgeen lager is dan 20 000 000 euro.
Aldus bedraagt de maximale administratieve geldboete overeenkomstig artikel 83.5 van
de AVG 20 000 000 euro. In concreto leidt dit tot het volgende uitgangsbedrag:
▪ met betrekking tot de inbreuk op de artikelen 5.1.a), 12 en 13 van de AVG (geldboete
1) heeft de Geschillenkamer het uitgangsbedrag voor de verdere berekening
vastgesteld op 6 % van het wettelijke maximumbedrag, zoals bepaald in artikel 83.5
van de AVG. Dit leidt in casu tot een uitgangsbedrag van 1.200.000 euro;
13
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 131.
Beslissing ten gronde 99/2026 — 18/23
▪ met betrekking tot de inbreuk op de artikelen 12.2, 12.4 en 15 van de AVG (geldboete
2) heeft de Geschillenkamer het uitgangsbedrag voor de verdere berekening
vastgesteld op 4 % van het wettelijke maximumbedrag, zoals bepaald in artikel 83.5
van de AVG. Dit leidt in casu tot een uitgangsbedrag van 800.000 euro.
79. Overeenkomstig de richtsnoeren van de EDPB 14 kan de Geschillenkamer voor
ondernemingen met een jaaromzet van minder dan of gelijk aan 2 miljoen euro overwegen
om de berekening voort te zetten op basis van een bedrag tussen de 0,2 en 0,4 % van het
vastgestelde uitgangsbedrag. De Geschillenkamer besluit dat dit in casu gepast is, hetgeen
leidt tot het volgende aangepaste bedrag:
▪ met betrekking tot geldboete 1 wordt het uitgangsbedrag van 1.200.000 euro
verlaagd naar 3.600 euro (0,3 % van het uitgangsbedrag);
▪ met betrekking tot geldboete 2 wordt het uitgangsbedrag van 800.000 euro
verlaagd naar 2.400 euro (0,3 % van het uitgangsbedrag).
80. De Geschillenkamer houdt hierbij rekening met de omzet van de verweerder.
III.4. Verzwarende en verzachtende omstandigheden
81. Volgens de AVG moet de toezichthoudende autoriteit, nadat zij een beoordeling heeft
gemaakt van de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard van
de inbreuk en de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft
(zie hierboven), rekening houden met de overige verzwarende en verzachtende factoren
zoals genoemd in artikel 83.2 van de AVG15.
a. Artikel 83.2.c) van de AVG – De door de verwerkingsverantwoordelijke of de
verwerker genomen maatregelen om de door betrokkenen geleden schade te
beperken: dit criterium is hier niet relevant wat geldboete 2 betreft. De
Geschillenkamer merkt echter op, wat geldboete 1 betreft en zoals door de
verweerder aangevoerd, dat de verweerder zijn werkwijze heeft gewijzigd en dat
zijn modelcontracten (bestemd voor de relaties met klanten) bepalingen bevatten
met betrekking tot de verwerking van persoonsgegevens. Dit werd onafhankelijke
van de huidige procedure uitgevoerd. Dit vormt een verzachtende omstandigheid
die een vermindering van 30% van het bedrag van geldboete 1 rechtvaardigt.
b. Artikel 83.2.d) van de AVG – De mate waarin de verwerkingsverantwoordelijke
of de verwerker verantwoordelijk is gezien de technische en organisatorische
maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32: dit
criterium is hier niet relevant.
c. 83.2.e) van de AVG – eerdere relevante inbreuken door de
verwerkingsverantwoordelijke of de verwerker: dit criterium is hier niet relevant.
14
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 65.
15
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG; v2.1 van 24 mei 2023,
punt 70.
Beslissing ten gronde 99/2026 — 19/23
d. Artikel 83.2.f) van de AVG – De mate waarin er met de toezichthoudende
autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke
negatieve gevolgen daarvan te beperken: de verweerder heeft naar behoren
meegewerkt met de Geschillenkamer. Dit criterium wordt als neutraal beschouwd,
aangezien een dergelijke samenwerking een wettelijke verplichting is die
voortvloeit uit artikel 31 van de AVG.
e. Artikel 83.2.h) van de AVG – De wijze waarop de toezichthoudende autoriteit
kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de
verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld: de GBA
heeft kennisgenomen van de inbreuk via de klacht van de klagers. Dit criterium
wordt beschouwd als neutraal.
f. Artikel 83.2.i) van de AVG – De naleving van de in artikel 58, lid 2, genoemde
maatregelen, voor zover die eerder ten aanzien van de
verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot
dezelfde aangelegenheid zijn genomen: dit criterium is hier niet relevant.
g. Artikel 83.2.j) van de AVG – Het aansluiten bij goedgekeurde gedragscodes
overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen
overeenkomstig artikel 42: dit criterium is hier niet relevant.
h. Artikel 83.2.k) van de AVG – Elke andere op de omstandigheden van de zaak
toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële
winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk
voortvloeien: dit criterium is hier niet relevant.
82. De Geschillenkamer concludeert dat er geen andere omstandigheden zijn die zo relevant zijn
dat ze als verzwarende of verzachtende omstandigheden in aanmerking moeten worden
genomen.
III.5. Afstemming met maximumbedragen
83. Het maximumbedrag voor de boete in het onderhavige geval werd hierboven reeds
berekend. Overeenkomstig artikel 83.5.a) van de AVG kan dit bedrag oplopen tot
20 000 000 euro of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande
boekjaar, indien dit cijfer hoger is.
84. De jaarlijkse omzet van de verweerder bedraagt 406.909,53 euro. De Geschillenkamer
stelt vast dat 4 % van de brutomarge in het voorgaande boekjaar neerkomt op 16.276,38
euro, hetgeen lager is dan 20 000 000 euro. De maximale administratieve geldboete
bedraagt dus 20.000.000 euro, overeenkomstig artikel 83.5 van de AVG.
85. Het bedrag van geldboete 1 is in dit geval 3.600 euro, wat lager is dan het maximumbedrag
voor de boete van 20 000 000 euro. De in aanmerking genomen verzachtende
omstandigheid (zie punt 81) rechtvaardigt een verlaging van het boetebedrag met 30%. Het
bedrag komt daarmee uiteindelijk uit op 2.520 euro.
86. Het bedrag van de geldboete 2 in dit geval bedraagt 2.400 euro, wat lager is dan het
maximumbedrag voor de boete van 20 000 000 euro.
Beslissing ten gronde 99/2026 — 20/23
87. De som van deze twee boeten is lager dan het maximumbedrag voor elk van deze boeten,
namelijk 20 000 000 euro.
III.6. Doeltreffend, evenredig en afschrikkend karakter
III.6.1. Doeltreffendheid
88. Overweging 148 van de AVG benadrukt dat administratieve geldboeten moeten worden
opgelegd “[m]et het oog op een krachtiger handhaving van de regels van deze verordening”.
De opgelegde geldboete moet daarom hoog genoeg zijn om deze doelstelling te
verwezenlijken.
89. De Geschillenkamer oordeelt dat de geldboeten van 2.520 en 2.400 euro passend zijn om
de fundamentele beginselen waarop inbreuk werd gemaakt krachtig te handhaven.
III.6.2. Evenredigheid
90. Het beginsel van evenredigheid houdt in dat de bedragen van de geldboeten niet
onevenredig mogen zijn aan de nagestreefde doelstellingen en dat de opgelegde geldboete
evenredig moet zijn aan de inbreuk, in zijn geheel gezien, met inachtneming van met name
de ernst ervan.
91. In casu werden de betreffende inbreuken als van geringe ernst beschouwd.
Overeenkomstig punt 60 van de richtsnoeren van de EDPB dient de Geschillenkamer, bij
inbreuken van geringe ernst, het uitgangsbedrag voor de verdere berekening vast te
stellen op een punt tussen de 0 en 10 % van het toepasselijke wettelijke
maximumbedrag16. Daarom stelde de Geschillenkamer het uitgangsbedrag voor de verdere
berekening vast op 6 % (geldboete 1) en 4% (geldboete 2) van het wettelijke
maximumbedrag dat is opgenomen in artikel 83.5 van de AVG.
92. De Geschillenkamer houdt echter ook rekening met de omzet van de verweerder, waardoor
zij slechts 0,3% van het uitgangsbedrag gebruikte voor de berekening van de geldboete
(zie hierboven).
93. De verweerder onderlijnt dat zijn jaarlijkse omzetcijfer niet representatief is voor zijn reële
financiële draagkracht. Hij brengt naar voor dat het slechts een klein advocatenbureau
betreft en date en groot deel van zijn zakencijfer zijn werkingskosten betreffen. De
verweerder toont echter niet aan dat het voorziene bedrag van de boetes zijn economische
leefbaarheid in gevaar brengt. In elk geval heeft de Geschillenkamer het bedrag van de
16
EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023),
punt 60.
Beslissing ten gronde 99/2026 — 21/23
boetes reeds verminderd ten opzicht van wat ze initieel had voorzien (zie hiervoor
randnummer 46).
94. De Geschillenkamer is van mening dat de boete evenredig is.
III.6.3. Afschrikkend effect
95. Bij het opleggen van een geldboete houdt de Geschillenkamer rekening met zowel de
specifieke als de algemene afschrikking. Een geldboete is afschrikkend wanneer de boete
een particulier ervan weerhoudt om de in het EU-recht opgenomen doelstellingen en
regelingen te schenden.
96. Het afschrikkende karakter van de boete moet twee dimensies hebben. De persoon aan wie
de boete is opgelegd ervan weerhouden de inbreuk in de toekomst te herhalen, maar ook
anderen ervan weerhouden het gedrag te herhalen dat de inbreuk van de eerste persoon
vormt.
97. Verschillende factoren bepalen de afschrikkende werking van een boete: de aard en het
bedrag van de boete en de waarschijnlijkheid dat de boete wordt opgelegd, zijn in dit opzicht
doorslaggevend. Een boete moet hoog genoeg zijn om een aanzienlijke financiële impact te
hebben op de onderneming die de inbreuk pleegt, terwijl de boete in verhouding moet staan
tot de ernst van de inbreuk. Met andere woorden, het criterium van afschrikking overlapt
met dat van effectiviteit. Het is van belang dat ondernemingen geen financiële winst kunnen
maken op basis van een onrechtmatige verwerking van persoonsgegevens.
98. In dit geval bedraagt geldboete 1, 2.520 euro en geldboete 2, 2.400 euro. Deze boete, die
evenredig is aan de ernst van de inbreuk en rekening houdt met de omzet van de
verweerder, is bedoeld om zowel een specifieke als een algemene afschrikkende werking te
hebben.
III.7. Besluit
99. Gelet op de voorgaande beoordeling van de relevante stukken alsmede de omstandigheden
eigen aan deze zaak, acht de Geschillenkamer het passend om krachtens de artikelen 58.2.i)
en 83 van de AVG, alsmede artikel 100, § 1, 13° van de WOG, juncto artikel 101 van de WOG,
een administratieve geldboete van 2.520 euro op te leggen aan de verweerder wegens de
inbreuk op de artikelen 5.1.a), 12, en 13 van de AVG, voor wat betreft het
transparantiebeginsel, en een administratieve geldboete van 2.400 euro wegens de inbreuk
op de artikelen 12.2, 12.4 en 15 van de AVG, voor wat betreft het recht van inzage van de
klagers.
Beslissing ten gronde 99/2026 — 22/23
IV. Publicatie van de beslissing
100. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
OM DEZE REDENEN,
beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging,
om:
- Op grond van artikel 58.2.i) van de AVG en artikel 100, § 1, 13°, van de WOG, een
administratieve geldboete op te leggen van 2.520 euro wegens de inbreuk op de
artikelen 5.1.a), 12 en 13 van de AVG;
- Op grond van artikel 58.2.i) van de AVG en artikel 100, § 1, 13°, van de WOG, een
administratieve geldboete op te leggen van 2.400 euro wegens de inbreuk op de
artikelen 12.2, 12.4 en 15 van de AVG;
- Op grond van artikel 58.2.c) van de AVG en artikel 100, § 1, 6° van de WOG de
verweerder te bevelen het verzoek tot inzage van de klagers in te willigen (zie
hiervoor randnummer 44 van de huidige beslissing). De verweerder heeft een
termijn van één maand om dit uit te voeren.
- De verweerder te bevelen de Gegevensbeschermingsautoriteit (Geschillenkamer)
per e-mail binnen dezelfde termijn op de hoogte te stellen van het gevolg dat aan
deze beslissing is gegeven, via het e-mailadres [email protected] ;
- Deze beslissing op de website van de GBA te publiceren, overeenkomstig artikel
100, § 1, 16°, van de WOG.
Tegen deze beslissing kan op grond van artikel 108, § 1, van de WOG, beroep worden aangetekend
bij het Marktenhof (Hof van Beroep Brussel), binnen een termijn van dertig dagen vanaf de
kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder.
Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat
de in artikel 1034ter van het Gerechtelijk Wetboek (Ger.W.) opgesomde elementen dient te
bevatten17. Het interlocutoir verzoekschrift moet worden ingediend bij de griffie van het
17
Het verzoekschrift vermeldt op straffe van nietigheid:
1° de dag, de maand en het jaar;
Beslissing ten gronde 99/2026 — 23/23
Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.18, of via het e-Deposit
informaticasysteem van Justitie (artikel 32ter van het Ger.W.).
(Get). Hielke HIJMANS
Directeur van de Geschillenkamer
2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn
rijksregisternummer of ondernemingsnummer;
3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden
opgeroepen;
4° het voorwerp en de korte samenvatting van de middelen van de vordering;
5° de rechter voor wie de vordering aanhangig wordt gemaakt;
6° de handtekening van de verzoeker of van zijn advocaat.
18
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief naar de
griffier van het gerecht gestuurd of ter griffie neergelegd.