1/14
Geschillenkamer
Beslissing 70/2025 van 18 april 2025
Dossiernummer : DOS-2022-02223
Betreft : Bevraging van minderjarige leerlingen omtrent middelengebruik, gokken en
gamen in het kader van het uitwerken van een gezondheidsbeleid op school
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klager”
De verweerder: Onderwijsinrichtingen Y, hierna “de verweerder”
Beslissing ten gronde 70/2025 — 2/14
I. Feiten en procedure
1. Op 18 mei 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen
verweerder.
2. Het voorwerp van de klacht betreft het online bevragen via Smartschool van minderjarige
leerlingen omtrent drug- en alcoholgebruik, gamen en gokken teneinde een
gezondheidsbeleid te ontwikkelen op school. De klager voert aan dat er geen anonieme
gegevensverwerking zou zijn waardoor het beginsel van minimale gegevensverwerking zou
zijn geschonden. Bovendien stelt hij dat de gegevens van zijn dochter worden verwerkt
zonder de vereiste vrije, geïnformeerde toestemming, hetwelk des te meer van belang is
gelet op het feit dat door de bevraging informatie over de gezondheidstoestand van zijn
dochter wordt verwerkt waarvoor de uitdrukkelijke toestemming is vereist.
3. Op 31 mei 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond
van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG
overgemaakt aan de Geschillenkamer.
4. Op 2 februari 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98
WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken
partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in
artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99
WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd
daarbij vastgelegd op 16 maart 2023, deze voor de conclusie van repliek van de klager op 6
april 2023 en deze voor de conclusie van repliek van de verweerder op 27 april 2023.
5. Op 3 februari 2023 geeft de klager te kennen gebruik te willen maken van de mogelijkheid
om te worden gehoord, overeenkomstig artikel 98 WOG.
6. Op 15 februari 2023 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3°
WOG), dewelke hem werd overgemaakt op 16 februari 2023, en aanvaardt de verweerder
elektronisch alle communicatie omtrent de zaak.
7. Op 16 maart 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de
verweerder. Daarin wordt in essentie aangevoerd dat de verweerder niet optreedt als
verwerkingsverantwoordelijke, alsook dat het anonieme gegevens betreft waarop de
verweerder de AVG niet van toepassing acht en dat aan het beginsel van minimale
gegevensverwerking is voldaan. De verweerder stelt tevens dat artikel 8 AVG
(Voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de
informatiemaatschappij) niet van toepassing is.
Beslissing ten gronde 70/2025 — 3/14
8. Op 3 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De
klager bevestigt de bewering van de verweerder dat de leerlingen geen gebruik dienden te
maken van het Smartschool platform voor het invullen van de bevraging. Samengevat stelt
de klager verder dat de verweerder de verwerkingsverantwoordelijke is voor alle
leerlingengegevens waarvan de klager betwist dat deze anoniem zouden zijn. Ook stelt zich
volgens de klager een probleem op het vlak van technische en organisatorische
maatregelen om de beveiliging van de leerlingengegevens te verzekeren. Omtrent de
rechtsgrond stelt de klager dat toestemming de rechtsgrond dient te zijn en dat deze
geïnformeerd, duidelijk en ondubbelzinnig moet zijn.
9. Op 27 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder
waarin het standpunt wordt hernomen zoals in de conclusie van antwoord.
10. Op 24 juni 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal
plaatsvinden op 5 juli 2024.
11. Op 5 juli 2024 worden de partijen gehoord door de Geschillenkamer.
12. Op 8 juli 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd.
13. De Geschillenkamer heeft vanwege de partijen geen opmerkingen ontvangen met
betrekking tot het proces-verbaal. Op 8 juli 2024 bezorgt de klager aan de Geschillenkamer
en de verweerder wel nog de handleiding over de organisatie van de expertisecentrum Z-
leerlingenbevraging waarin de mogelijkheid is voorzien tot het invullen van de bevraging van
thuis uit, waarnaar hij heeft verwezen tijdens de hoorzitting.
II. Motivering
a) Verwerkingsverantwoordelijke en gegevensverwerking
14. De klager heeft klacht ingediend tegen de verweerder, een school met zijn 13-jarige dochter
als leerling. Daarnaast geeft de klager in de klacht aan dat hij zijn opmerkingen over het
gebruik van toestemming eveneens aan de onderwijskoepel en de inrichtende vzw heeft
verzonden.
15. De verweerder voert aan niet de hoedanigheid van verwerkingsverantwoordelijke te
hebben, maar stelt dat het expertisecentrum Z optreedt als verwerkingsverantwoordelijke
voor de leerlingenbevraging.
16. De Geschillenkamer stelt vast dat de Codex Secundair Onderwijs 1 als uitgangspunt fungeert
bij het bepalen van de instantie aan wie de hoedanigheid van verwerkingsverantwoordelijke
1
Codificatie van 17 december 2010 betreffende het secundair onderwijs, gecoördineerd op 17 december 2010
Beslissing ten gronde 70/2025 — 4/14
dient te worden toegeschreven. Het betreft in het bijzonder artikel 123/22 2 van deze Codex
waarin is opgenomen dat de school ertoe is gehouden een beleid te ontwikkelen over
leerlingenbegeleiding dat is afgestemd op de noden van de leerlingenpopulatie en de
context waarin de school zich bevindt. Zoals de verweerder aanhaalt, reikt het Vlaams
Ministerie van Onderwijs en Vorming de scholen handvaten aan bij het opmaken van een
beleid op leerlingenbegeleiding en ook bij het opmaken van een alcohol- en drugsbeleid op
school 3.
17. Het beoogde doeleinde is aldus vastgelegd in het betreffende artikel 123/22 van de Codex
Secundair Onderwijs, namelijk de ontwikkeling van een beleid op leerlingenbegeleiding
afgestemd op de noden van de leerlingen en de context van de school. De realisatie van dit
doeleinde wordt in deze bepaling van de Codex nadrukkelijk toegeschreven aan de school.
Dit betekent dat het opmaken van een alcohol- en drugsbeleid op school een taak is die
wordt opgedragen aan de school in het kader van de ontwikkeling van een beleid over
leerlingenbegeleiding. Op basis van deze bepaling in de Codex moet dit doeleinde dan ook
worden aangemerkt als eigen aan de school, aangezien de school in deze bepaling expliciet
wordt aangeduid als instantie die het doeleinde ‘ontwikkeling van een beleid inzake
leerlingenbegeleiding’, waaronder een beleid rond alcohol en drugs, vaststelt. Het doel van
de verwerking is aldus in de Codex vastgelegd. De school kan worden aangemerkt als
verwerkingsverantwoordelijke, aangezien deze bij wet is aangewezen voor de
verwezenlijking van dit doel, deze publieke taak 4.
2
Art. 123/22. De school ontwikkelt een beleid op leerlingenbegeleiding dat is afgestemd op het pedagogisch project, de noden
van de leerlingenpopulatie en de context waarin de school zich bevindt. Het beleid op leerlingenbegeleiding omvat de
begeleiding van de leerlingen, het ondersteunen van het handelen van het onderwijzend personeel, het beleid voor de
preventie van afzondering en fixatie en voor de afbouw ervan, vermeld in artikel 123/24/1, als de school of het centrum daar
een beleid over ontwikkelt, en de coördinatie van alle leerlingbegeleidingsinitiatieven op niveau van de school. De school
implementeert, evalueert en stuurt, zo nodig, dat beleid bij. Ter versterking van dat beleid voert de school een
professionaliseringbeleid. De school wijst binnen haar personeelskader een of meer personeelsleden aan die geheel of
gedeeltelijk met leerlingenbegeleiding worden belast.
Bij de opmaak en evaluatie van het beleid op leerlingenbegeleiding betrekt de school relevante partners. Voor bijkomende
inhoudelijke expertise doet de school een beroep op het centrum voor leerlingenbegeleiding. Voor schoolondersteuning zoekt
de school externe ondersteuning bij de pedagogische begeleidingsdienst, eventueel in samenwerking met een externe dienst.
Voor expertise met betrekking tot het onderwijs aan leerlingen met specifieke onderwijsbehoeften betrekt de school het
leersteuncentrum.
Een beleid op leerlingenbegeleiding beantwoordt aan de volgende principes:
1° het belang van elke leerling staat centraal;
2° het komt participatief tot stand en is gedragen door het hele schoolteam;
3° het is doelgericht, systematisch, planmatig en transparant;
4° het wordt discreet uitgevoerd;
5° er wordt verduidelijkt wie welke taak opneemt in de leerlingenbegeleiding met vermelding van het bevoegde personeel,
vermeld in artikel 123/24/4, § 1, 3°, als er een beleid is voor de preventie van afzondering en fixatie en voor de afbouw ervan,
vermeld in artikel 123/24/1.
3
https://onderwijs.vlaanderen.be/nl/directies-en-administraties/onderwijsinhoud-en-leerlingenbegeleiding/secundair-
onderwijs/schoolondersteuning-bij-grensoverschrijdend-gedrag/alcohol-en-drugsbeleid-op-school
4
Zoals uiteengezet in Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG
(randnrs 22-24): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-
controller-and-processor-gdpr nl.
Beslissing ten gronde 70/2025 — 5/14
18. Daarnaast bepaalt artikel 123/22 van de Codex ook de middelen die de school dient aan te
wenden teneinde het vooropgestelde doel te bereiken. Die middelen zijn: ten eerste het
betrekken van relevante partners bij de opmaak en evaluatie van het beleid op
leerlingenbegeleiding, en ten tweede het zoeken van externe ondersteuning bij de
pedagogische begeleidingsdienst, eventueel in samenwerking met een externe dienst ten
behoeve van de schoolondersteuning.
19. Hieruit volgt dat zowel het doeleinde als de middelen wettelijk zijn bepaald en worden
toegeschreven aan de school die als dusdanig optreedt als verwerkingsverantwoordelijke in
de zin van artikel 4, 7) AVG 5.
20. Immers, om het vooropgestelde doeleinde te verwezenlijken, bepaalt de Codex dat de
school daarbij relevante partners betrekt en voor ondersteuning een externe dienst
inschakelt. Zoals de verweerder opwerpt, wordt de externe dienst expertisecentrum Z
aanbevolen door het Vlaams Ministerie van Onderwijs en Vorming. Hieruit volgt dat het
geenszins een verplichting is voor de school om de leerlingenbevraging en de daarmee
gepaard gaande gegevensverwerking te laten uitvoeren door de externe dienst
expertisecentrum Z. Het behoort dus tot de vrije keuze van de school om een beroep te
doen op expertisecentrum Z. Dit wordt bevestigd in artikel 1 van het contract dat is gesloten
tussen de verweerder enerzijds en expertisecentrum Z anderzijds, waarin is opgenomen
dat de school vrijwillig deelneemt aan de leerlingenbevraging. Dit leidt ertoe dat niet alleen
het doeleinde bestaande uit leerlingenbegeleiding dat dient te worden gerealiseerd door
de school en aldus volledig eigen is aan de school, maar ook de middelen daartoe, worden
bepaald door de school. Het is immers de school die bepaalt op welke wijze de
persoonsgegevens van haar leerlingen zullen worden verwerkt om dit doel te bereiken en
die daartoe beslist om een beroep te doen op een externe partner, in casu
expertisecentrum Z, die deze gegevensverwerking in haar opdracht zal uitvoeren.
21. Het behoort derhalve tot de verantwoordelijkheid van de school om te waken over de
verwerking van de persoonsgegevens van haar leerlingen in overeenstemming met de
AVG, inzonderheid wanneer de school beslist de gegevensverwerking te laten uitvoeren
door expertisecentrum Z en deze gegevens zoals in voorliggend geval mogelijk kunnen
leiden tot de verwerking van gevoelige informatie. In dit kader werd dan ook een contract
gesloten tussen de verweerder enerzijds en expertisecentrum Z anderzijds. Hieruit blijkt
5
Artikel 4 AVG.
Voor de toepassing van deze verordening wordt verstaan onder:
[…]
7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander
orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens
vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden
vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt
aangewezen; [eigen onderlijning]
Beslissing ten gronde 70/2025 — 6/14
dat expertisecentrum Z de gegevens die werden verkregen door middel van de
leerlingenbevraging kan verwerken na opdracht te hebben gekregen vanwege de school
als verwerkingsverantwoordelijke. expertisecentrum Z kan dus worden beschouwd als
verwerker in de zin van artikel 4, 8e AVG.
22. In overeenstemming met artikel 123/22 van de Codex ligt het dan ook volledig in lijn met de
aanduiding van de school als verwerkingsverantwoordelijke dat in de onderlinge
verhouding tussen de verweerder en expertisecentrum Z is opgenomen 6 dat de
verweerder zelf instaat voor de naleving van de rechtsgrond waarop de
leerlingenbevraging is gebaseerd doordat de verweerder zelf de toestemming dient te
verkrijgen van de leerlingen ouder dan 13 jaar, dan wel van de ouders of voogd voor
leerlingen jonger dan 13 jaar. Ook de vereiste voorafgaande informatie dient door de school
zelf te worden verstrekt. Verder wordt in de onderlinge verhouding tussen partijen ook
gestipuleerd dat niemand, ook niet de leerkracht(en), meekijkt naar de antwoorden of het
scherm van de leerlingen gedurende de bevraging, noch fysiek, noch via pc-monitoring. Er
wordt gesteld dat de vragenlijst polst naar gevoelige en persoonlijke
gezondheidsgegevens waardoor de leerling met respect voor privacy eerlijk moet kunnen
antwoorden. Daaraan wordt in het betreffende document toegevoegd dat het niet
respecteren van de hieromtrent geldende wetgeving juridische consequenties voor de
school kan hebben. De Geschillenkamer stelt vast dat de partijen hiermee aldus erkennen
dat de school optreedt als verwerkingsverantwoordelijke, vermits de school instaat voor
de naleving van de toepasselijke bepalingen van de AVG, en dat de juridische gevolgen die
mogelijks kunnen voortvloeien uit het niet-naleven van de vereiste principes en garanties
inzake gegevensverwerking dienen te worden toegerekend aan de school en dus niet aan
expertisecentrum Z dat niet de hoedanigheid heeft van verwerkingsverantwoordelijke of
gezamenlijke verwerkingsverantwoordelijke.
23. De verweerder staat zelf als verwerkingsverantwoordelijke in voor de rechtmatigheid van
de gegevensverwerking. Daartoe verzoekt hij zelf om de toestemming bij de betrokkenen
teneinde over een geldige rechtsgrond voor de verwerking te beschikken (art. 6 AVG).
Aangezien het vaak ook gaat over bijzondere persoonsgegevens inzake de gezondheid
moet eveneens worden voldaan artikel 9 AVG. Ook staat verweerder in voor de
verstrekking van de essentiële informatie aan de betrokkenen (art. 13 AVG) omtrent de
gegevensverwerking (nl. verzameling van informatie omtrent middelengebruik, gokken en
gamen; enkel voor wetenschappelijke doeleinden; bepaling van de bewaartermijn, geen
toegang tot de persoonsgegevens wegens gebrek aan mogelijkheid tot heridentificatie
van de leerlingen, zowel in hoofde van de school als van expertisecentrum Z).
6
Zie hiervoor het document: “De expertisecentrum Z-leerlingenbevraging organiseren: handleiding” waarnaar wordt verwezen
in het contract tussen de verweerder en expertisecentrum Z.
Beslissing ten gronde 70/2025 — 7/14
24. Uit het geheel van deze feitelijke elementen volgt dat de verweerder ontegensprekelijk de
wezenlijke middelen vaststelt van de gegevensverwerking. De verweerder argumenteert
dat hij enkel de werkwijze van expertisecentrum Z volgt om leerlingen te laten deelnemen
aan de bevraging om op basis daarvan te stellen dat de wezenlijke middelen niet door
hemzelf, maar door expertisecentrum Z worden vastgesteld. De verweerder voert aan dat
expertisecentrum Z bepaalt welke vragen worden gesteld, wie de antwoorden kan
verwerken, welke scholen kunnen deelnemen, hoe de bevraging zal worden afgenomen,
welke rapporten er worden gemaakt, alsook dat expertisecentrum Z heeft beslist om de
leerlingenbevraging digitaal aan te bieden en niet meer op papier.
25. De rol van expertisecentrum Z beperkt zich tot het vaststellen van niet-wezenlijke
middelen. 7 De Geschillenkamer stelt vast dat voor wat betreft de voorbereiding en de
eigenlijke afname van de bevraging de rol van expertisecentrum Z zich beperkt tot het
aanreiken aan de school van de nodige instrumenten zoals een door de school aan te
passen modeldocument omtrent geïnformeerde toestemming aan de betrokkenen, alsook
een handleiding omtrent de praktische organisatie van de bevraging met bijhorend
instructiefilmpje en instructiekaart voor zowel de leerkrachten als de leerlingen. Het betreft
louter praktische aspecten met betrekking tot de leerlingenbevraging die
expertisecentrum Z ter beschikking stelt als externe ondersteunende partner vanuit haar
expertise bij de organisatie van dergelijke bevraging. Ook de keuze voor een digitale
bevraging in plaats van op papier behoort tot dergelijke niet-wezenlijke middelen.
Aangaande de vragenlijst die expertisecentrum Z aanreikt aan de school om de
leerlingenbevraging te doen, merkt de Geschillenkamer op dat deze lijst de concrete
uitwerking vormt van het door de school beoogde doel zoals vastgelegd in artikel 123/22
van de Codex. Deze vragenlijst moet dan ook louter worden beschouwd als de
concretisering van de door de school bepaalde categorie van te verwerken
persoonsgegevens die nodig is in functie van het opmaken van een alcohol- en drugsbeleid
op school , weliswaar tot stand gekomen op basis van de kennis en ervaring van
expertisecentrum Z inzake de uitwerking daarvan.
26. Doordat de verweerder ervoor heeft geopteerd om een beroep te doen op
expertisecentrum Z als externe partner die ondersteuning biedt bij de leerlingenbevraging,
heeft de verweerder ervoor gekozen om de gegevens van de leerlingen te laten verwerken
door expertisecentrum Z, waarbij na de afname de gegevens van de ingevulde vragenlijsten
op een externe server worden bewaard, in een geaggregeerde databank.
27. In het tussen de verweerder en expertisecentrum Z gesloten contract is opgenomen dat
expertisecentrum Z de verzamelde data van de school verwerkt en als enige toegang heeft
7
Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (randnrs 39 e.v.):
https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-
processor-gdpr nl
Beslissing ten gronde 70/2025 — 8/14
tot de data in een geanonimiseerde databank. Ook is daarin bepaald dat niemand, ook
expertisecentrum Z niet, de individuele resultaten aan een bepaalde persoon kan linken.
Daarenboven kan ook niemand, behalve expertisecentrum Z, de schooldata linken aan de
school, omdat elke school een unieke code krijgt die alleen expertisecentrum Z kent. De
school ontvangt vanwege expertisecentrum Z een rapport met de anonieme resultaten van
de school, hetwelk de school helpt om zicht te krijgen op de leefwereld van de leerlingen
die op school zitten om zo, op maat van deze resultaten, een preventief aanbod te plannen.
Dit vormt voor de verweerder voldoende reden om te stellen dat in zijnen hoofde geen
verwerking van persoonsgegevens plaatsvindt.
28. Dienaangaande brengt de Geschillenkamer in herinnering dat het niet noodzakelijk is dat
de verwerkingsverantwoordelijke daadwerkelijk toegang heeft tot de gegevens die
worden verwerkt. Iemand die een verwerkingsactiviteit uitbesteedt en daarbij een
beslissende invloed heeft op het doel en de middelen van de verwerking, dient als
verwerkingsverantwoordelijke te worden beschouwd, ook al heeft hij of zij nooit
daadwerkelijk toegang tot de gegevens 8. Het Hof van Justitie van de Europese Unie heeft
dit bevestigd in het arrest IAB Europe. 9 De anonieme rapportering op basis van de
geaggregeerde gegevensverwerking uitgevoerd door expertisecentrum Z naar aanleiding
van de informatie ingezameld door middel van de leerlingenbevraging, doet bijgevolg geen
afbreuk aan het feit dat de verweerder wel degelijk optreedt als
verwerkingsverantwoordelijke.
29. De Geschillenkamer wijst erop dat het vaststaat dat de leerlingenbevraging op het ogenblik
van de afname ervan de verwerking van persoonsgegevens impliceert doordat de school
via de gestelde vragen informatie inzamelt die door de leerlingen wordt verstrekt. Het feit
dat de verweerder daarbij de werkwijze hanteert waarbij de leerling na het inloggen door
middel van de toegewezen unieke logincode zijn inloggegevens dient aan te passen in die
zin dat een nieuw wachtwoord dient te worden gekozen, maar met behoud van de
gebruikersnaam, verandert hieraan niets. Elke deelnemende leerling verstrekt aanvankelijk
door middel van de antwoorden op de gestelde vragen informatie die betrekking heeft op
zijn persoon. De Geschillenkamer oordeelt dat het geheel van antwoorden normaal
gesproken dermate specifiek en eigen is aan een welbepaalde persoon, zodanig dat die
persoon identificeerbaar is. Daarenboven stipuleert het contract gesloten tussen de
verweerder en expertisecentrum Z dat per leerling een unieke code wordt gegenereerd
waarmee de leerling op de schoolcomputer of op de eigen computer, gsm of tablet kan
inloggen. Verder wordt in dit contract ook bepaald dat voor leerlingen die geen eigen gsm
8
Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG (randnrs 44-45):
https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-
processor-gdpr_nl
9
Arrest van 7 maart 2024, C-604/22, ECLI:EU:C:2024:214, para 69.
Beslissing ten gronde 70/2025 — 9/14
hebben, de school de mogelijkheid dient te voorzien om de vragenlijst in het
computerlokaal in te vullen. Om het aanmaken van de logincodes te vergemakkelijken,
dient de school aan expertisecentrum Z een excellijst met de voornaam en klascode van
alle leerlingen te bezorgen. Deze elementen wijzen er niet op dat er sprake is van anonieme
gegevens in de zin van artikel 4.1 AVG 10 en overweging 26 AVG 11. Hiertegenover staat enkel
dat de verweerder tijdens de hoorzitting verklaart dat de enquête werd afgenomen in de
school en dat de leerlingen die niet aanwezig waren op school binnen het voorziene tijdsslot
niet hebben deelgenomen aan de enquête. Daaraan voegt de verweerder toe dat de school
één internetlijn heeft met één IP-adres, zodanig dat op basis van het IP-adres gebruikt voor
het invullen van de enquête geen unieke persoon kan worden geïdentificeerd. De bewering
dat leerlingen enkel vanuit de school konden deelnemen via één enkel IP-adres werd
evenwel niet gestaafd door de verweerder.
30. De Geschillenkamer merkt op dat de verweerder op geen enkele wijze aannemelijk maakt
dat de anonimiteit van de verwerkte gegevens is verzekerd. De verweerder stelt in de
conclusie dat vermits de bevraging vanuit expertisecentrum Z kwam en er duidelijk door
expertisecentrum Z werd gesteld dat deze bevraging volledig anoniem was en dat niemand
uit de gegevens noch uit de resultaten kon afleiden wie welke informatie gaf, de
verweerder heeft beslist om deel te nemen aan het onderzoek. In dit verband wijst de
Geschillenkamer erop dat artikel 5.2 AVG 12 een verantwoordingsplicht voorziet in hoofde
van de verwerkingsverantwoordelijke, in casu de verweerder, zoals voorgaand uiteengezet.
De Geschillenkamer is van oordeel dat indien de verweerder een anonieme
gegevensverwerking door expertisecentrum Z voldoende achtte om het beoogde doel te
bereiken, de verweerder zich ervan had moeten vergewissen dat de gegevens van de
10
Artikel 4 AVG:
Voor de toepassing van deze verordening wordt verstaan onder:
1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de
betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden
geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer,
locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke,
fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
11
Overweging 26 AVG:
De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare
natuurlijke persoon gelden. Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een
natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden
beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen
waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere
persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken. Om uit te maken of van
middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet
rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met
inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. De
gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die
geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig
anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Deze verordening heeft derhalve geen betrekking
op de verwerking van dergelijke anonieme gegevens, onder meer voor statistische of onderzoeksdoeleinden.
12
Artikel 5.2. AVG: De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen
(„verantwoordingsplicht”).
Beslissing ten gronde 70/2025 — 10/14
leerlingen wel degelijk anoniem zouden worden verwerkt door expertisecentrum Z en dat
daartoe de nodige technische en organisatorische middelen werden ingezet door
expertisecentrum Z.
31. Doordat de verweerder in zijn verweermiddelen aangeeft dat hij niet heeft gehandeld als
verwerkingsverantwoordelijke, dient de Geschillenkamer vast te stellen dat de verweerder
deze toetsing aan artikel 5.1 e) en f) AVG juncto artikel 24.1 en 28.1 AVG 13 niet heeft gedaan.
Bij gebrek aan stukken in het dossier omtrent de mate waarin al dan niet de nodige
technische en organisatorische maatregelen werden voorzien, beperkt de
Geschillenkamer zich louter tot deze opmerking. Hetzelfde geldt voor de toetsing aan
artikel 5.1 c) AVG. Hoewel de verweerder aangeeft dat een anonieme bevraging volstaat
om het vooropgestelde doel te bereiken, kan bij gebrek aan stukken tot staving van de
anonimiteit van de betrokken leerlingen, niet worden geverifieerd of het beginsel van
minimale gegevensverwerking werd gerespecteerd (artikel 5.1 c AVG). Het is op basis van
de voorliggende stukken in het dossier immers niet duidelijk of een inhoudelijke combinatie
van de antwoorden op de vragen al dan niet tot heridentificatie van een leerling kan leiden.
Evenmin is duidelijk op welke wijze de anonimiteit van de leerlingen wordt verzekerd indien
een excellijst met de voornaam en klascode van alle leerlingen door de verweerder aan
expertisecentrum Z dient te worden bezorgd per leerling en een unieke code wordt
gegenereerd waarmee de leerling op de schoolcomputer of op de eigen computer, gsm of
tablet kan inloggen.
32. De Geschillenkamer besluit dat er weliswaar door de verweerder als
verwerkingsverantwoordelijke een beroep kan worden gedaan op expertisecentrum Z
voor inhoudelijke ondersteuning, maar dit maakt van expertisecentrum Z geen
verwerkingsverantwoordelijke, gezamenlijk met de verweerder 14.
b) Rechtmatigheid van de verwerking
33. De ontwikkeling van een beleid omtrent leerlingenbegeleiding is een verplichting die wordt
opgelegd aan de school, dewelke haar grondslag vindt in artikel 123/22 van de Codex
13
Artikel 24.1 AVG.
Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid
en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke
passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in
overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig
geactualiseerd.
Artikel 28.1 AVG.
Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke
uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en
organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming
van de rechten van de betrokkene is gewaarborgd.
14
Zie in dezelfde zin Beslissing ten gronde 31/2020 van 16 juni 2020
Beslissing ten gronde 70/2025 — 11/14
Secundair Onderwijs. Onder leerlingenbegeleiding wordt in artikel 3, 17°/1/1 van de Codex
Secundair Onderwijs 15 begrepen een geheel van preventieve en begeleidende maatregelen.
Leerlingenbegeleiding situeert zich op vier domeinen: de onderwijsloopbaan, leren en
studeren, psychisch en sociaal functioneren en preventieve gezondheidszorg. De
maatregelen vertrekken steeds vanuit een geïntegreerde en holistische benadering voor de
vier begeleidingsdomeinen en dit vanuit een continuüm van zorg.
34. De verweerder geeft aan autonoom te hebben beslist dat deze gegevensinzameling best
zou gebeuren door een anonieme bevraging, teneinde het beleid af te stemmen op de noden
van de leerlingenpopulatie. Ook hier neemt de verweerder het standpunt in dat de
gegevensverwerking een anonieme bevraging betreft en de AVG bijgevolg niet van
toepassing is, zodanig dat geen toestemming moet worden gevraagd en zelfs geen
rechtmatigheidsgrond nodig is. Daartoe verwijst de verweerder naar overweging 26 AVG
met betrekking tot anonieme gegevensverwerking.
35. Zoals hiervoor reeds uiteengezet, toont de verweerder niet op basis van stukken aan dat de
leerlingenbevraging reeds van bij de gegevensinzameling op anonieme wijze plaatsvond. Op
de verweerder als verwerkingsverantwoordelijke rust de verplichting ingevolge artikel
123/22 van de Codex Secundair Onderwijs tot de ontwikkeling van een beleid op
leerlingenbegeleiding. Dit houdt op zich niet de verplichting in voor de verweerder om de
leerlingen te bevragen, noch de verplichting voor de leerlingen om deel te nemen aan deze
bevraging. Dit neemt echter niet weg dat het opmaken van een alcohol- en drugsbeleid op
school, als onderdeel van leerlingenbegeleiding, is te beschouwen als een taak van
algemeen belang in hoofde van de school. Op deze grondslag kan de leerlingenbevraging
worden georganiseerd. Het spreekt immers voor zich dat alcohol- en drugspreventie een
belangrijk onderdeel vormt van leerlingenbegeleiding en in die optiek kadert binnen de
noden van de leerlingenpopulatie zoals vermeld in artikel 123/22 van de Codex. De
Geschillenkamer stelt vast dat de verweerder zich kan beroepen op de haar opgedragen
taak van algemeen belang (artikel 6.1 e) AVG) 16 die is verankerd in een wettelijke norm
overeenkomstig artikel 6.3 AVG. De door de verweerder te hanteren rechtsgrond voor de
leerlingenbevraging is dan ook artikel 6.1 e) AVG, zodat de verweerder er aldus toe is
gerechtigd om de ingezamelde gegevens te verwerken of te laten verwerken door een
verwerker zoals expertisecentrum Z.
15
Codificatie betreffende het secundair onderwijs, gecoördineerd op 17 december 2010
16
Artikel 6 AVG:
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de
uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
Beslissing ten gronde 70/2025 — 12/14
36. Zoals hierboven uiteengezet is ook artikel 9 van de AVG inzake bijzondere
persoonsgegevens van belang. De inhoud van de vragenlijst betreft immers het gebruik door
de betreffende leerling van middelen (tabak, alcohol, cannabis, andere illegale drugs,…) en
activiteiten (gamen en gokken), alsook in hoeverre de leerlingen in contact komen met deze
middelen in hun eigen omgeving. Door middel van de antwoorden die op deze vragen worden
gegeven, wordt getracht inzicht te verwerven in de gezondheidstoestand van de
betrokkene en wordt gepeild naar de mate waarin deze al dan niet een gezonde levenswijze
heeft. Hierdoor staat het vast dat persoonsgegevens worden verwerkt in de zin van artikel
9 AVG, en dient dus ook een uitzondering op het verwerkingsverbod van deze
persoonsgegevens van toepassing te zijn.
37. Het feit dat de verweerder in het kader van zijn taak van algemeen belang overgaat tot
leerlingenbevraging, sluit niet uit dat de deelname van de leerlingen vrijwillig is en dat de
gegevensinzameling, als onderdeel van het groter geheel van gegevensverwerking dat de
leerlingenbevraging met zich meebrengt nadat de persoonsgegevens van de leerlingen
werden ingezameld, wordt gebaseerd op de uitdrukkelijke toestemming (artikel 9.2 a) AVG).
Deze uitdrukkelijke toestemming is vereist gelet op het feit dat middels de bevraging
informatie over de gezondheidstoestand van de leerlingen, in dit geval ook van de dochter
van de klager, wordt ingezameld. De verweerder als verwerkingsverantwoordelijke kan de
persoonsgegevens van de leerlingen enkel verwerken indien daartoe de uitdrukkelijke
toestemming wordt gegeven. Immers, geen van de andere uitzonderingen op het
verwerkingsverbod van deze persoonsgegevens is van toepassing.
38. De Geschillenkamer verduidelijkt hierbij dat voor wat betreft leerlingen jonger dan 18 jaar,
deze uitdrukkelijke toestemming dient te worden verleend door de ouders of voogd als
wettelijke vertegenwoordigers. De verweerder stelt in de conclusie dat indien toestemming
de geldige rechtsgrond zou zijn, het voldoende zou zijn geweest dat de
verwerkingsverantwoordelijke de toestemming had kunnen vragen aan de betrokkene zelf,
in voorliggend geval de dochter van de klager, vermits zij reeds 13 jaar was op het ogenblik
van de feiten. De Geschillenkamer verduidelijkt dienaangaande dat de leeftijdsgrens van 13
jaar enkel geldt voor wat betreft de toepassing van artikel 8 AVG en het in uitvoering van
artikel 8.1, al. 2 AVG genomen artikel 7 van de wet van 30 juli 2018 17. Zowel de klager als de
verweerder zijn het erover eens dat artikel 8 AVG niet van toepassing is. De Geschillenkamer
treedt dit standpunt bij, aangezien in het verweer van partijen werd toegelicht dat enkel de
informatiebrief omtrent de leerlingenbevraging via Smartschool werd verzonden, terwijl de
bevraging als dusdanig niet plaatsvond via Smartschool. Bijgevolg is er geen sprake van enig
aanbod van een dienst van de informatiemaatschappij, hetwelk een essentiële
17
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van
persoonsgegevens
Beslissing ten gronde 70/2025 — 13/14
toepassingsvoorwaarde vormt voor artikel 8 AVG. Aangezien artikel 9.2 a) AVG van
toepassing is, dient de algemene regel (artikel 488 B.W. 18) te worden toegepast dat voor
minderjarigen, waaronder dus leerlingen jonger dan 18 jaar, de toestemming van de ouders
of voogd is vereist voor de verwerking van gezondheidsgegevens.
39. Aangezien de verweerder niet de hoedanigheid van verwerkingsverantwoordelijke heeft
opgenomen en dus niet heeft nagegaan op welke rechtsgrond de leerlingenbevraging en de
daarmee gepaard gaande gegevensverwerking van de deelnemende leerlingen is
gebaseerd, stelt de Geschillenkamer vast dat een inbreuk werd gepleegd op het
rechtmatigheidsbeginsel in artikel 5.1 a) AVG, alsmede op artikel 6.1. e) AVG en artikel 9.2.
a) AVG.
III. Over de corrigerende maatregelen en straffen
40. Het is aan de Geschillenkamer om op basis van de mogelijkheden waarover zij beschikt op
grond van artikel 100, § 1 WOG de meest geschikte sanctie te bepalen voor de inbreuk op
artikel 5.1 a) AVG, alsmede op artikel 6.1. e) AVG en artikel 9.2. a) AVG
41. Daarbij houdt de Geschillenkamer in belangrijke mate rekening met de onduidelijkheid die er
heerste in de onderlinge verhouding tussen de verweerder en expertisecentrum Z, meer
bepaald omtrent de vraag inzake de aanduiding van de verwerkingsverantwoordelijke.
Doordat deze beslissing van de Geschillenkamer hieromtrent verduidelijking biedt, biedt dit
de verweerder de mogelijkheid om zich aan te passen en in de nodige transparantie te
voorzien aangaande de correcte rechtsgrond, namelijk artikel 6.1 e) AVG teneinde te
vermijden dat daaromtrent nog onduidelijkheid zou heersen, en artikel 9.2 a) AVG voor wat
betreft de verwerking van gezondheidsgegevens.
IV. Publicatie van de beslissing
42. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de
Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de
Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de
identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
18
Art. 488. Burgerlijk Wetboek: De meerderjarigheid is vastgesteld op de volle leeftijd van achttien jaren; op die leeftijd is men
bekwaam tot alle handelingen van het burgerlijk leven.