Dit arrest werd vernietigd door het Arrest C.20.0323.N van het Hof van Cassatie dd. 7 oktober 2021
| Repertoriumnummer 2020 / 1471 |
| --- |
| Datum van uitspraak 19 februari 2020 |
| Rolnummer 2019/AR/1600 |
Uitgifte
| Uitgereikt aan | Uitgereikt aan | Uitgereikt aan |
| --- | --- | --- |
| op € BUR | op € BUR | op € BUR |
☐
Niet aan te bieden aan de ontvanger
Eindarrest : gegrond
# Hof van beroep
# Brussel
Sectie Marktenhof
19de kamer A
Kamer voor marktzaken
# Arrest
| Aangeboden op |
| --- |
| Niet te registreren |
COVER 01-00001582885-0001-0033-01-01-1
Hof van beroep Brussel – 2019/AR/1600 – p. 2
INZAKE :
X, vertegenwoordigd door haar bestuurder de heer X, [...],
appellant,
vertegenwoordigd door haar raadslieden [...]
tegen een beslissing 06/2019 van 17 september 2019 van de Geschillenkamer van
de Gegevensbeschermingsautoriteit;
TEGEN
De GEGEVENSBESCHERMINGSAUTORITEIT, onafhankelijke openbare instelling (toezichthoudende
autoriteit) met rechtspersoonlijkheid, met KBO nr. 04694.679.950, met maatschappelijke zetel te
1000 BRUSSEL, Drukpersstraat 35, hierna “GBA”
geïntimeerde,
vertegenwoordigd door haar raadslieden Mr. CLOOTS Elke, Mr. SOTTIAUX Stefan en Mr. ROETS Joos,
advocaten, allen kantoorhoudende te 2018 ANTWERPEN, Oostenstraat 38 bus 201
# 1. Rechtsmacht van het hof.
Het hof put zijn rechtsmacht uit een verzoekschrift tot hoger beroep dat door X op 18 oktober 2019
werd neergelegd ter griffie van het hof van beroep en waarbij een verhaal
overeenkomstig artikel 108 § 1 van de wet van 3 december 2017 tot oprichting van de
Gegevensbeschermingsautoriteit (hierna “GBA-wet”) wordt ingesteld tegen de beslissing ten gronde
6/19 van 17 september 2019 (kennisgeving daterend van 19 september 2019) genomen door de
Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna “GBA”).
# 2. De bestreden beslissing en de feiten.
De Geschillenkamer oordeelde:
om sancties op te leggen in verband met de overtreding van de artikelen 5.1. c); 6.1.; 13.1.
c); 13.1. e) en 13.2. a) AVG:
PAGE 01-00001582885-0002-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 3
- op grond van art. 100, Si, \(9^{\circ}\) WOG, de verweerder te bevelen dat de verwerking in overeenstemming worden gebracht met art. 5.1. c), art. 6.1., art. 13.1. c), art. 13.1. e) en 13.2. a) AVG
- op grond van art. 101 WOG een administratieve geldboete op te leggen van 10.000 EUR ingevolge de inbreuk op art. 5.1. c) en art. 6.1. AVG.
- op grond van art. 100, 51, \(16^{\circ}\) WOG, deze beslissing befind te make n op de website van de Gegevensbeschemmingsautoriteit, weliswaar na anonimisering.
X geeft volgend feitenrelaas:
1. X, verzoekster, is een drankenhandel gevestigd in [...] Het is een familiebedrijf met meer dan 40aar ervaring. Het heeft vestigingen in [...].
2. X gezebuite in het verleden papieren klantenkaarten om voordelen toe te kennen aan klanten. Recent is X overgestapt maar een elektronisch kassasoftwaresystem dat eveneens toelaat om de elektronische identiteitskaart (eID-kaart) van een klant elektronisch in te lezen aan de hand van de barcode en op basis hiervan voordelen op de aankopen toe te kennen.
Onderhavige zaak heeft betrekking op de administratieve procedure die de GBA opstartte tegen X naar aanleiding van de klacht van één (1) klant van X. De naam van deze klant is verder irrelevant en wordt daarom niet vermeld. De klant wordt hierna aangeduid als "Betrokkene".
3. Op 28 augustus 2018 diende Betrokkene een klacht in bij de Gegevensbeschermingsautoriteit omdat ze niet wenste dat haar eID-kaart werd ingelezen om kortingen toe te kennen op haar aankopen (stuk A.1). Deze klacht luidde als volgt:
Uiteenzetting van de feiten
Op vrijdag 8 juni ging ik drank aankopen bij drankenhandel X, [...]. Met enkele flessen sterke drank was het een hoog bedrag. Aan de kassa aangekomen vroeg men of ik niet graag een klantenkaart wou. Ik zei "ja". Hierop vroeg men mijn identiteitskaart om deze in te lezen. Ik antwoordde dat ik mijn identiteitskaart niet wou geven, maar dat ik gerust de gegevens die nodig waren voor het aanmaken van een klantenkaart even op papier wou zetten. De klantenkaart werd mij geweigerd — men maakt enkel klantenkaarten aan door middel van het inlezen van de identiteitskaart.
Eenzelfde scenario gebeurde opnieuw op zaterdag 30 juni — ditmaal in de winkel van drankenhandel X in [...]. Omdat we die dag een BBQ hadden met een grote groep, was de rekening aan drank opnieuw een fors bedrag. Aan de kassa aangekomen vroeg men of ik niet graag een klantenkaart wou.
PAGE 01-00001582885-0003-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 4
Ik zei "Ja". Hierop vroeg men mijn identiteitskaart om deze in te lezen. Ik antwoordde dat ik mijn identiteitskaart niet wou geven, maar dat ik gerust de gegevens die nodig waren voor het aanmaken van een klantenkaart even op papier wou zetten. De klantenkaart werd mij geweigerd — men maakt enkel klantenkaarten aan door middel van het inlezen van de identiteitskaart. Op dat moment stonden er verschillende mensen achter mij aan de kassa. Eén van hen maakte ook de opmerking dat het niet kan dat voor een klantenkaart de identiteitskaart moet ingelezen worden. De dame aan de kassa zei dat ze hier niets mee te maken had en dat dit nu eenmaal hun manier van werken was.
Misschien een kleine opmerking: ik ben 51 jaar oud en zie er echt niet uit als iemand van 16 jaar:)
Betrokkene ging met andere woorden akkoord met de verwerking van haar persoonsgegevens door X om een klantenkaart te ontvangen. Zij wenste echter niet dat deze verwerking plaatsvond door middel van inlezing van haar eID-kaart.
4. Op 26 september 2018 ontving betrokkene van de heer Willem De Beuckelaere van de GBA de boodschap dat haar klacht “ontvankelijk verklaard [werd] en voor verdere behandeling doorverwezen [is] naar de bevoegde dienst die u op de hoogte zal brengen over het verdere verloop van uw klacht” (stuk B.2).
De Eerstelijnsdienst besliste blijkbaar om geen bemiddeling op te starten.
5. Op 29 oktober 2018 lichtte de heer Van Der Kelen, in zijn hoedanigheid van voorzitter van de Geschillenkamer van de GBA, de inspecteur-generaal van de Inspectiedienst van de GBA in als volgt:
Overeenkomstig art. 96, §1 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, wordt u hierbij het verzoek van de Geschillenkamer van heden tot het verrichten van een onderzoek overgemaakt, samen met de klacht en het proces-verbaal van die beslissing. (stuk B.3)
De Geschillenkamer verschafte geen verdere details over welke aspecten van de verwerking de Inspectiedienst diende te onderzoeken.
Diezelfde dag lichtte de heer Van der Kelen tevens betrokkene in over de beslissing van de Geschillenkamer om de Inspectiedienst verder onderzoek naar de klacht te laten verrichten (stuk B.4).
6. Op 7 februari 2019 ontving X een schrijven van de heer Frank Schuermans, inspecteur-generaal van de Inspectiedienst van de GBA (stuk B.6). De Inspectiedienst verzocht X informatie en documenten te bezorgen en dit om “beter inzicht te krijgen in uw werkwijze voor de verwerving van persoonsgegevens van uw
PAGE 01-00001582885-0004-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 5
klanten, het intern gebruik van deze persoonsgegevens in uw bedrijf en de mogelijke verspreiding van deze verkregen persoonsgegevens naar derde partijen conform de geldende AVG verplichtingen (...)".
7. Op 12 april 2019 bezorgde de raadsman van X de antwoorden op de vragenlijst van de Inspectiedienst, tezamen met aanvullende documenten (stuk B.7).
8. Op 10 mei 2019 maakte de inspecteur-generaal van de Inspectiedienst van de GBA, intussen de heer Van den Eynde, zijn verslag van het onderzoek over aan de voorzitter van de Geschillenkamer, intussen de heer Hielke Hijmans (stuk B.8). In dit verslag stonden, enerzijds, “vaststellingen (binnen de scope van de klacht of ernstige aanwijzingen)” en, anderzijds, “aanvullende vaststellingen (buiten de scope van de klacht of ernstige aanwijzingen”.
9. Op 28 mei 2019 besliste de Geschillenkamer om de zaak ten gronde te behandelen (stuk B.9).
10. Op 3 juni 2019 lichtte de Geschillenkamer X in over de beslissing om de zaak ten gronde te behandelen (stuk B.10). X werd tevens op de hoogte gesteld over haar mogelijkheden zoals het opvragen van een kopie van het dossier alsook het indienen van verweermiddelen. Het was pas op dit ogenblik dat X de kans kreeg om kennis te nemen van de inhoud van de klacht van Betrokkene tegen de verwerking van persoonsgegevens door X.
Op dezelfde dag verzond de GBA ook een aangetekend schrijven aan Betrokkene. Deze ontving meteen een kopie van het inspectieverslag (stuk B.11).
11. Op 27 juli 2019 diende X haar verweermiddelen in (stuk C.1 en C.2).
Op 17 september 2019 nam de Geschillenkamer een beslissing ten gronde, hierna de “Aangevochten Beslissing” (stuk D.1).
De Gegevensbeschermingsautoriteit (hierna “GBA”) van haar kant licht de feiten toe als volgt:
1. Op 28 augustus 2018 ontving de GBA een klacht van een persoon (hierna: “de betrokkene” of “de klager”) die klant is bij X, een drankenhandel met verschillende vestigingen in [...]. In het klachtenformulier meldde de betrokkene dat zij, om bij de drankenhandel een klantenkaart te kunnen krijgen, verplicht werd om haar elektronische identiteitskaart te laten lezen in het computersysteem van de drankenhandel. De betrokkene wenste haar identiteitskaart echter niet elektronisch te laten lezen. Haar voorstel om, bij wijze van alternatief, de persoonsgegevens die nodig waren om een
PAGE 01-00001582885-0005-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 6
klantenkaart aan te maken op een andere wijze te verstrekken, werd afgewezen. Bijgevolg werd de betrokkene een klantenkaart van de drankenhandel geweigerd, hoewel zij graag een klantenkaart wenste. Dit gebeurde tot twee maal toe, zowel in de vestiging te [...] (op 8 juni 2018) als in de vestiging te [...] (op 30 juni 2018).
De betrokkene omschreef de feiten meer bepaald als volgt in het klachtenformulier dat zij bij de GBA indiende (stuk 1):
"Op vrijdag 8 juni ging ik drank aankopen bij drankenhandel X, [...]. Met enkele flessen sterke drank was het een hoog bedrag. Aan de kassa aangekomen vroeg men of ik niet graag een klantenkaart wou. Ik zei 'ja'. Hierop vroeg men mijn identiteitskaart om deze in te lezen. Ik antwoordde dat ik mijn identiteitskaart niet wou geven, maar dat ik gerust de gegevens die nodig waren voor het aanmaken van een klantenkaart even op papier wou zetten. De klantenkaart werd mij geweigerd – meen maakt enkel klantenkaarten aan door middel van het inlezen van de identiteitskaart.
Eenzelfde scenario gebeurde opnieuw op zaterdag 30 juni – ditmaal in de winkel van drankenhandel X in [...]. Omdat we die dag een BBQ hadden met een grote groep, was de rekening aan drank opnieuw een fors bedrag. Aan de kassa aangekomen vroeg men of ik niet graag een klantenkaart wou. Ik zei 'Ja'. Hierop vroeg men mijn identiteitskaart om deze in te lezen. Ik antwoordde dat ik mijn identiteitskaart niet wou geven, maar dat ik gerust de gegevens die nodig waren voor het aanmaken van een klantenkaart even op papier wou zetten. De klantenkaart werd mij geweigerd – men maakt enkel klantenkaarten aan door middel van het inlezen van de identiteitskaart. Op dat moment stonden er verschillende mensen achter mij aan de kassa. Eén van hen maakte ook de opmerking dat het niet kan dat voor een klantenkaart de identiteitskaart moet ingelezen worden. De dame aan de kassa zei dat ze hier niets mee te maken had en dat dit nu eenmaal hun manier van werken was.
Misschien een kleine opmerking: ik ben 51 jaar oud en zie er echt niet uit als iemand van 16 jaar ☺."
2. Op 26 september 2018 verklaarde de GBA de klacht ontvankelijk op grond van de artikelen 58 en 60 van de Wet tot oprichting van de Gegevensbeschemmingsautoriteit (hierna: "GBA-wet") (stuk 2). De klacht werden dieinvolgens overgemaakt aan de Geschillenkamer van de GBA, overeenkomstig articikel 62, § 1, GBA-wet. De ontvankelijkheidsbeslissing werden eveneens op 26 september 2018 ter kennis gebracht van de klager, overeenkomstig articikel 61 GBA-wet (stuk 3).
3. Op 23 oktober 2018 besliste de Geschillenkamer op grond van articlek 63, \(2^{\circ}\), en articlek 94, \(1^{\circ}\), GBA-wet een onderzoek te vragen aan de Inspectiedienst van de GBA (stuk 4).
4. Op 29 oktober 2018 wird het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, overeenkomstig articikel 96, § 1, GBA-
¹ Wet 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, B.S. 10 januari 2018.
PAGE 01-00001582885-0006-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 7
wet. De klacht en het proces-verbaal van de beslissing van de Geschillenkamer van 23 oktober 2018 werd bij dit verzoek gevoegd. De betrokkene werd door de Geschillenkamer per brief van 29 oktober 2018 op de hoogte gesteld van de overmaking aan de Inspectiedienst (stuk 5).
5. Om het dossier te onderzoeken, stuurde de Inspectiedienst op 7 februari 2019 een schriftelijke bevraging naar de verwerkingsverantwoordelijke (stuk 6). Aangezien die schriftelijke bevraging initieel niet werd beantwoord, stuurde de Inspectiedienst op 4 april 2019 een herinnering per aangetekende brief (stuk 7). Op 12 april 2019 stuurde X, bij monde van haar raadsman, uiteindelijk toch een antwoord naar de Inspectiedienst (stuk 8).
6. Nadat haar onderzoek was afgerond, stelde de Inspectiedienst op 10 mei 2019 een verslag op en voegde dit bij het dossier, overeenkomstig artikel 91, § 1, GBA-wet (stuk 9).
Het inspectieverslag maakte met name melding van de volgende vaststellingen (p. 1-2):
"- De klacht [...] betreft de automatische lezing van de e-ID voor de aanmaak van een klantenkaart bij een drankenhandel. Bij de opeenvolgende bezoeken van de klant wordt de barcode gelinkt aan de gegevens van de klant [...].
- De klantengegevens die aldus worden bewaard zijn: naam, voornamen, adres, geboortedatum, geslacht, vanaf wanneer betrokkene klant is, bedrag van aankopen.
- De geschillenkamer bepaalde geen bijkomende aanwijzingen die moeten worden onderzocht door de inspectiedienst [...], zoals aangaande een onderzoek van de privacyverklaring van de verwerkingsverantwoordelijke.
- De Commissie aanvaardde eerder dat sommige handelaars hun klanten kunnen identificeren indien deze klanten zich inschrijven in een strikt persoonlijk getrouwheidssysteem waarmee de klanten een prijsvermindering of voordeel kunnen ontvangen in het licht van de verrichte aankopen (randnummer 17 aanbeveling 03/2011).
- De Commissie achtte het echter ook van belang dat de toestemming van de klant wordt verkregen bij het lezen van de e-ID in het kader van een getrouwheidssysteem, en dat de klant 'een alternatief voor het gebruik van zijn identiteitskaart (wordt) voorgesteld' (aanbeveling 6 in fine van aanbeveling 03/2011).
- De e-ID wetgeving is aangepast door artikel 27 van de wet van 25 november 2018 houdende diverse bepalingen met betrekking tot het Rijksregister en de bevolkingsregisters. Artikel 6 § 4 van de wet van 19 juli 1991 biedt een nieuw kader voor het gebruik van de gegevens op de e-ID dat met ingang van 23 december 2018 moet worden nageleefd door de verwerkingsverantwoordelijke. Dit artikel stelt o.m.
'De elektronische identiteitskaart mag enkel gelezen of gebruikt worden met de vrije, specifieke en geïnformeerde toestemming van de houder van de elektronische identiteitskaart.'
'Wanneer een voordeel of dienst aangeboden wordt aan een burger via zijn elektronische identiteitskaart in het kader van een informaticatoepassing, moet eveneens een alternatief dat het gebruik van de elektronische identiteitskaart niet vereist, voorgesteld worden aan de betrokken persoon.'
PAGE 01-00001582885-0007-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 8
- De verwerkingsverantwoordelijke werkt echter niet met de toestemming van de betrokken klanten voor het lezen van de e-ID en er zijn geen alternatieven buiten het lezen van de e-ID (scan en barcode) indien men een klantenkaart wenst aan te maken.
- Naar aanleiding van de bevraging door de Inspectie plaatste de verwerkingsverantwoordelijke een zichtbaar meldingsbord in de winkel aangaande de 'nieuwe wetgeving rond persoonsgegevens' 'GDPR' [...].
- In het informatiebord [...] is geen sprake van een strikt persoonlijk getrouwheidssysteem. Ook de uitleg van de advocaat stelt dat men is overgestapt naar de e-ID om tijd te winnen en om het verlies van kaartjes [...] tegen te gaan [...].
- Er blijkt uit het antwoord van de verwerkingsverantwoordelijke niet dat hij zijn werkwijze voor de aanmaak van de klantenkaart heeft aangepast. Het informatiebord bevestigt integendeel dat het klantenkaartsysteem 'op basis van de identiteitskaart werkt'. De advocaat van de verwerkingsverantwoordelijke stelt [dat] de e-ID 'zelf (wordt) gebruikt als klantenkaart omdat de barcode – die achteraan het paspoort staat wordt gelinkt aan de gegevens van de klant' (...)."
Daarenboven vermeldde het Inspectieverslag nog vijf "aanvullende vaststellingen", die "buiten de scope van de klacht of ernstige aanwijzingen" vallen (p. 3). De Inspectiedienst wijst de Geschillenkamer met name op de volgende feiten:
1. De inhoud van het informatiebord in de winkel stemt niet overeen met de privacyverklaring van de drankenhandel, in de zin dat het informatiebord stelt dat er geen mededeling is van gegevens aan derden, terwijl de privacyverklaring stelt dat doorgifte mogelijk is.
2. Het informatiebord en de privacyverklaring zijn niet duidelijk op het gebied van de rechtsgrond voor de verwerking van persoonsgegevens (art. 13.1 AVG). Het is niet duidelijk welke grond onder artikel 6.1 AVG wordt ingeroepen en wat de bewaringstermijn is (geen concrete termijn of bewaringsmechanisme bepaald). Ook wordt verwezen naar een foutief adres en benaming van de GBA voor het indienen van een klacht.
3. De Commissie vaardigde op 25 mei 2011 een aanbeveling 03/2011 uit waarin een aantal nuttige overwegingen zijn gemaakt voor het beoordelen van deze casus. Die moet worden gelezen in functie van de nieuwe wetgeving op het gebruik van de e-ID.
4. De noodzaak voor het identificeren van de betrokkenen aan de [hand van de] e-ID voor het aanmaken van een klantenkaart moet vaststaan (art. 5.1.c) AVG en randnummer 12 aanbeveling 03/2011). Er zijn in de praktijk vaak alternatieven voorhanden in de markt voor een klantenkaartsysteem die geen ernstig risico op fraude [inhouden] (bv. eenvoudig tonen van de e-ID zonder lezing of het aanmaak van een 'virtuele' klantenkaart waarbij men enkel zijn naam moet vernoemen).
5. Wat de rechtsgrond betreft voor de rechtmatigheid van de verwerking (art. 6 AVG) is het relevant dat de verwerkingsverantwoordelijke er zowel in zijn antwoord als zijn privacyverklaring (cookies) van uitgaat dat de toestemming moet worden gegeven met de verwerking (het inlezen van de e-ID is verplicht bij gebrek aan alternatief), wat in strijd lijkt met de geldigheidsvoorwaarden voor het verlenen van een toestemming, en artikel 6 § 4 van de wet van 19 juli 1991.
PAGE 01-00001582885-0008-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 9
7. De Inspecteur-Generaal maakte het dossier vervolgens over aan de Voorzitter van de Geschillenkamer (art. 91, § 2, GBA-wet).
8. Op 28 mei 2019 besliste de Geschillenkamer dat het dossier gereed was voor behandeling ten gronde (art. 95, § 1, 1°, GBA-wet) (stuk 10).
9. Overeenkomstig artikel 98 GBA-wet, stelde de Geschillenkamer op 3 juni 2019 de betrokken partijen per aangetekende brief in kennis van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 GBA-wet (stukken 11A en 11B), die de kennisgeving opleggen van:
- het feit dat een dossier aanhangig is;
- de inhoud van de klacht (met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid);
- de mogelijkheid tot het raadplegen en het kopiëren van het dossier bij het secretariaat van de Geschillenkamer (met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid), alsmede de dagen en de uren waarop die raadpleging mogelijk is;
- de mogelijkheid om alle communicatie omtrent de zaak elektronisch te aanvaarden;
- de mogelijkheid om hun verweermiddelen in te dienen en om te verzoeken om gehoord te worden;
- de mogelijkheid om alle stukken die zij nuttig achten bij het dossier te voegen.
Tevens werden de betrokken partijen op grond van artikel 99 GBA-wet in kennis gesteld van de termijnen waarbinnen zij hun verweermiddelen konden indienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de klager werd daarbij vastgelegd op 28 juni 2019, deze voor de conclusie van repliek van de verweerder op 29 juli 2019.
10. Op 18 juni 2019 vroeg de verweerder een kopie van het dossier, op grond van artikel 95, § 2, 3°, GBA-wet. Bovendien verklaarde de verweerder alle communicatie omtrent de zaak elektronisch te aanvaarden (art. 98, 1°, GBA-wet) (stuk 12).
11. Op 24 juni 2019 werd een kopie van het dossier aan de verweerder bezorgd (stuk 13). Daarin bevond zich ook het inspectieverslag.
12. De klager diende geen conclusie van antwoord in bij de GBA. De klager maakte wel nog aanvullende informatie over aan de Geschillenkamer van de GBA, maar deed dit buiten de conclusietermijn. De stukken die vanwege de klager werden ontvangen op 8 juli 2019 en 29 juli 2019 werden daarom uit de debatten geweerd (stukken 14 en 15).
13. Op 30 juli 2019 ontving de Geschillenkamer de conclusie van repliek vanwege de verweerder (stuk 16).
PAGE 01-00001582885-0009-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 10
14. Op 17 september 2019 nam de Geschillenkamer een beslissing ten gronde (stuk 17). De Geschillenkamer stelde de volgende drie inbreuken op de Algemene Verordening Gegevensbescherming (hierna “AVG”) vast:
- inbreuk op artikel 5.1.c) AVG, dat vereist dat de gegevensverwerking minimaal is;
- inbreuk op artikel 6.1 AVG, dat de voorwaarden bepaalt waaraan een gegevensverwerking moet voldoen om rechtmatig te zijn;
- inbreuk op artikel 13.1.c), artikel 13.1.e), en artikel 13.2.a) AVG, die bepalen welke informatie de verwerkingsverantwoordelijke aan de betrokkene moet verstrekken bij de verkrijging van persoonsgegevens.
De Geschillenkamer motiveerde haar beslissing als volgt.
Wat betreft de inbreuk op het beginsel van minimale gegevensverwerking (art. 5.1.c) AVG), stelde de Geschillenkamer dat de gegevensverwerking in kwestie het gebruik van verscheidene gegevens impliceert die “niet ter zake dienend” zijn. Ten eerste wordt het rijksregisternummer gebruikt, via de aanwending van de barcode van de elektronische identiteitskaart om klanten terug te vinden in het klantenbestand. Het rijksregisternummer van de klant is niet ter zake dienend. Bovendien gelden er strikte regels voor het gebruik van het rijksregisternummer, die vervat liggen in de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten.² Ten tweede achtte de Geschillenkamer ook de gegevens “geslacht” en “geboortedatum” niet ter zake dienend. De Geschillenkamer ging er daarbij vanuit dat de klantenkaart niet wordt gebruikt om de minimumleeftijd voor alcoholverkoop te controleren.
Wat betreft de inbreuk op het beginsel van de rechtmatigheid van de verwerking, was de Geschillenkamer van oordeel dat de gegevensverwerking aan geen van de in artikel 6.1 AVG vermelde voorwaarden voldoet. Om te beginnen kan er geen sprake zijn van “toestemming” als rechtsgrond (art. 6.1.a) AVG). Toestemming is immers niet “vrij”, in de zin van artikel 4.11 AVG, indien er geen alternatief systeem voorhanden is dat toelaat een klantenkaart aan te maken zonder gebruik van de elektronische identiteitskaart. Nu klanten enkel van kortingen kunnen genieten als zij hun elektronische identiteitskaart laten inlezen, hebben zij geen werkelijke keuze. Evenmin is er volgens de Geschillenkamer een andere rechtsgrond voorhanden die de verwerking kan legitimeren. De Geschillenkamer is met name van oordeel dat de verwerking niet noodzakelijk kan worden geacht voor de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke (art. 6.1.f) AVG).
Wat, tot slot, de inbreuk op de informatieverplichtingen betreft, baseerde de Geschillenkamer zich op de vaststellingen van de Inspectiedienst dat:
- er tegenspraak is tussen de beweringen van de verweerder dat er geen mededeling is van gegevens aan derden, terwijl de privacyverklaring stelt dat doorgifte mogelijk is;
- er geen duidelijke informatieverstrekking is aan de betrokkene, inzonderheid op het vlak van de rechtsgrond van de gegevensverwerking en de bewaartermijn.
² B.S. 3 september 1991.
PAGE 01-00001582885-0010-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 11
De Geschillenkamer nam er akte van dat de verweerder toegaf dat deze werkwijze in strijd is met de AVG en aangaf om op korte termijn bijkomende maatregelen te nemen om de gegevensverwerking in overeenstemming te brengen met de AVG.
15. Overeenkomstig artikel 100, § 1, 9°, GBA-wet, beval de Geschillenkamer de verweerder om de gegevensverwerking in overeenstemming te brengen met artikel 5.1.c), artikel 6.1 en artikel 13 AVG. Bijkomend besliste de Geschillenkamer de volgende sancties op te leggen:
- een administratieve geldboete van 10.000 euro ingevolge de inbreuken op articlek 5.1.c) en articlek 6.1 AVG (op grond van art. 101 GBA-wet);
- de bekendmaking van de beslissing op de website van de Gegevensbeschemmingsautoriteit, na anonimisering (op grond van art. 100, § 1, 16°, GBA-wet).
Ter verantwoording van haar beslissing om een administratieve geldboete van die hoogte op te leggen, verwees de Geschillenkamer in het bijzonder naar de ernst en de aard van de inbreuken op artikel 5.1.c) en artikel 6.1 AVG. Met name achtte de Geschillenkamer het relevant dat:
- het geschonden artikel 5.1.c) AVG een fundamenteel beginsel bevat;
- de inbreuk op artikel 6.1 AVG van die aard is dat er geen enkele geldige rechtsgrond is voor de gegevensverwerking.
Het niet-naleven van de betreffende bepalingen van de AVG moet volgens de Geschillenkamer worden beschouwd als “een grove nalatigheid met een verregaande impact niet alleen op de gegevensverwerking van de klager, maar op deze van alle klanten van de verweerder”.
16. Op 19 september 2019 stelde de Geschillenkamer de partijen in kennis van haar beslissing en van de möglichkheid om beroep aan te tekenen binnen een termijn van dertig dagen, vanaf de kennisgeving, bij het Marktenhof (art. 108, § 1, eerste lid, GBA-wet) (stuk 18).
17. Middels een verzoekschrift van 18 oktober 2019 stelde appellante (X) bij Uw Hof een beroep in gegen de beslissing van de Geschillenkamer van 17 september 2019. Deze beslissing worden hierna aangeduid als de "bestreden beslissing".
# 3. De vorderingen voor het hof.
3.1.
Bij syntheseconclusie neergelegd ter griffie van het hof op 20 december 2019 vordert X:
“om het hoger beroep van X ontvankelijk en gegrond te verklaren,
PAGE 01-00001582885-0011-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 12
de beslissing 06/2019 van 17 september 2019 van de Geschillenkamer van de Gegevensbeschermingsautoriteit te vernietigen en de Gegevensbeschermingsautoriteit te bevelen de reeds door X betaalde administratieve boete van 10.000 EUR aan X terug te betalen,
opnieuw recht te doen:
in hoofdorde, te zaggen voorrecht dat de klacht van Betrokkene dd. 28 augustus 2018 bij de Gegevensbeschermingsautoriteit ten aanzien van X ongegrond was, en bijgevolg deze klacht te seponeren, of
\(\bigcirc\) ondergeschikt, indien uw hof van oordeel is dat de klacht van Betrokkene dd. 28 augustus 2018 bij de Gegevensbeschermingsautoriteit ten aanzien van X een inbreuk op het gegevensbeschermingsrecht in hoofde van Xuitmaakt, een berisping te formuleren.
In elk geval de Gegevensbeschermingsautoriteit te veroordelen tot betaling van alle gerechtskosten aan X, met inbegrip van de rechtsplegingsvergoeding ten belope van 1.440,00 EUR.
# 3.2.
De GBA concludeert als volgt bij conclusie neergelegd op 10 januari 2020 :
- Te verklaren dat de vordering van appellante gedeeltelijk buiten de rechtsmacht van Uw Hof valt;
- Te verklaren dat de vordering van appellante hoe dan ook ongegrond is;
- Hoe dan ook, appellante te veroordelen tot de kosten van het geding, m.i.v. het basisbedrag van de rechtsplegingsvergoeding.
# 3.3.
Alle conclusies zijn neergelegd conform de conclusiekalender.
# 4. Het wettelijk kader.
X baseert haar vordering op volgende artikelen:
• Art. 5 AVG³.
Beginselen inzake verwerking van persoonsgegevens.
1.Persoonsgegevens moeten:
[...]
³ Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
PAGE 01-00001582885-0012-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 13
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensverwerking”);
• Artikel 6.1:
Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
• Artikel 52.1:
“Onafhankelijkheid.
Elke toezichthoudende autoriteit treedt volledig onafhankelijk op bij de uitvoering van de taken en de uitoefening van de bevoegdheden die haar overeenkomstig deze verordening zijn toegewezen.”
• Artikel 54.2:
“Ten aanzien van de vertrouwelijke informatie die hun bij de uitvoering van hun taken of de uitoefening van hun bevoegdheden ter kennis is gekomen, geldt voor het lid of de leden en de personeelsleden van elke toezichthoudende autoriteit zowel tijdens hun ambtstermijn als daarna het beroepsgeheim, zulks overeenkomstig Unierecht of lidstatelijk recht. Tijdens hun ambtstermijn geldt het beroepsgeheim met name voor meldingen van inbreuken op deze verordening door natuurlijke personen.”
• Artikel 83.2 :
“Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt
PAGE 01-00001582885-0013-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 14
opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.”
Verder dienen toegevoegd te worden, de volgende artikelen van de GBA-wet⁴ die luiden als volgt:
• Artikel 48 § 1:
“Behoudens wettelijke uitzonderingen zijn de leden van het directiecomité, de leden van het kenniscentrum, de leden van de geschillenkamer en de personeelsleden van de Gegevensbeschermingsautoriteit, tijdens en na de uitoefening van hun respectieve mandaat en overeenkomst, verplicht het vertrouwelijke karakter te bewaren van de feiten, handelingen of inlichtingen waarvan zij uit hoofde van hun functie kennis hebben gehad.”
• Artikel 96 § 1:
“Het verzoek van de geschillenkamer, vermeld in artikel 94, 1°, tot het verrichten van een onderzoek dient binnen de dertig dagen nadat de klacht aanhangig werd gemaakt bij de geschillenkamer door de eerstelijnsdienst aan de inspecteur-generaal van de inspectiedienst te worden overgemaakt.”
⁴ Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit
PAGE 01-00001582885-0014-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 15
• Artikel 63:
“De aanhangigmaking bij de inspectiedienst kan gebeuren:
1° wanneer het directiecomité ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens;
2° wanneer de geschillenkamer naar aanleiding van een klacht beslist heeft dat een onderzoek door de inspectiedienst nodig is;
3° door de geschillenkamer in het kader van een verzoek tot het verrichten van een aanvullend onderzoek;
4° op verzoek van het directiecomité, met het oogmerk samen te werken met een gegevensbeschermingsautoriteit van een andere staat;
5° op verzoek van het directiecomité in geval de Gegevensbeschermingsautoriteit gevat wordt door een rechterlijke instantie of een administratieve toezichthouder;
6° uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.
Artikel 108 § 1:
Ҥ 1. De geschillenkamer stelt de partijen in kennis van haar beslissing en van de mogelijkheid om beroep aan te tekenen binnen een termijn van dertig dagen, vanaf [...] de kennisgeving, bij het Marktenhof.
Behoudens de uitzonderingen die de wet bepaalt of tenzij de geschillenkamer bij met bijzondere redenen omklede beslissing anders beveelt is de beslissing uitvoerbaar bij voorraad, zulks niettegenstaande hoger beroep.
De beslissing tot verwijdering van gegevens overeenkomstig artikel 100, § 1, 10°, is niet uitvoerbaar bij voorraad.”
# 5. Bespreking – de ontvankelijkheid.
De ontvankelijkheid ratione materiae en ratione temporis zijn niet betwist.
De GBA stelt bij conclusie (pagina 8, nr. 16 met verwijzing naar haar stuk 18) dat de kennisgeving dateert van 19 september 2019.
X is de partij ten aanzien van dewelke de beslissing is genomen en het verhaal is door haar ingesteld binnen de termijn van dertig dagen vanaf de kennisgeving van de beslissing en conform de wettelijke vormvoorschriften.
Het beroep is ontvankelijk.
PAGE 01-00001582885-0015-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 16
# 6. Bespreking – de ingeroepen middelen.
# 6.1.
X laat volgende middelen gelden:
1. De GBA trad Niet op als een volledig onafhankelijk toezichthoudende autoriteit in de zin van artikel 52.1 Algemene Verorderinging Gegevensbescherming (hierna de "AVG") (Eerste middel);
2. De GBA schond artikel 54.2 AVG en artikel 48, §1 GBA-Wet doordat haar leden nicht de verplichting respecteerde om het vertrouwelijkke karakter te bewaren van de feiten, handelingen of inlichtingen waarvan zich uit hoofde van hun functie kennis nemen (Tweede middel);
3. De GBA schond artikel 96, §1 GBA-Wet doordat het verzoek van de Geschillenkamer om een onderzoek door de Inspectiedienst te latent verrachten Niet binnen de dertig dagen nadat de klacht aanhangig werden gemaakt bij de Geschillenkamer door de Eerstelijnsdienst aan de inspecteur-general van de Inspectiedienst werden overgemaakt (Derde middel);
4. De GBA schond artikel 63 GBA-Wet doordat de Inspectiedienst een onderzoek uitvoerde voor aspecten die nicht bijhaar aanhangig waren gemaakt (Vierde middel);
5. De GBA schond de rechten van verdediging en de beginselen van behoorlijk bestuur (Vijfde middel);
6. X respectede het beginsel van minimale gegevensverwerking en beging geen inbreuk op articel 5.1 c) AVG (Zesde middel);
7. De verwerking van X was Niet onrechtmatig en maakte geen inbreuk op articikel 6.1 AVG uit (Zevende middel);
8. De GBA legde de administratieve geldboete op zonder rekening te houden met de lijst van criteria uit articlek 83.2 AVG (Achtste middel).
9. NEGENDE MIDDEL: DE HERVORMINGSBEVOEGHDEID VAN het HOF
# 6.2.
De GBA laat volgende middelen gelden:
o In hoofdorde: dat de vordering van appellante gedeeltelijk buiten de rechtsmacht van het Hof valt.
Ondergeschikt laat zij gelden:
o Betreffende het eerste middel van appellante: artikel 52.1 en artikel 53.1 AVG zijn niet geschonden;
5 Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), Pub L 119/1.
PAGE 01-00001582885-0016-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 17
o Betreffende het tweede middel van appellante: articlel 54.2 AVG en articlel 48, § 1, GBA-wet zichn Niet geschonden;
Betreffende het derde middel van appellante: het overschrijden van de termijn uit article 96, § 1, GBA-wet kan Niet tot de nietigkeit van de bestreden beslissing leiden;
Betreffende het vierde middel van appellante: de GBA respectede article 63 GBA-wet;
Betreffende het vijfde middel van appellante: de GBA respectede de rechten van verdediging en de beginselen van behoorlijk bestuur;
Betreffende het zesde middel van appellante: de inbreuk op het beginsel van minimale gegevensverwerking (art. 5.1.c) AVG);
Betreffende het zevende middel van appellante: de inbreuk op het beginsel van de rechtmatigheid van de verwerking (art. 6.1 AVG);
Betreffende het achtste middel van appellante: de sanctie van de administratieve geldboete;
# 6.3.
In deze zaak hebben beide partijen hun laatste conclusie genomen na het in werking treden van artikel 744, 3° Ger. W. zoals gewijzigd door de wet van 19 oktober 2015.
Ingevolge de wet van 19 oktober 2015 werden de artikelen 744 en 780 Ger. W. gewijzigd.
Het hof stelt vast dat de procespartijen conclusies hebben genomen doch dat deze niet beantwoorden aan de vormvereisten zoals deze bepaald zijn in artikel 744 Ger. W. (zoals gewijzigd door de wet van 19 oktober 2015) dat stelt:
"De conclusies bevatten tevens, achtereenvolgens en uitdrukkelijk:
[...]
3°. de middelen die worden ingeroepen ter ondersteuning van de vordering of het verweer, waarbij in voorkomend geval verschillende middelen genummerd worden en hun voordracht in hoofdorde of in ondergeschikte orde wordt vermeld;
[...]"
Deze bepaling is van toepassing op alle conclusies die genomen worden na 1 november 2015.
Het Hof verwijst naar de parlementaire voorbereiding⁶ dienaangaande alwaar gesteld wordt:
"Het doel hiervan is de responsabilisering der partijen en het stroomlijnen van de motiveringsplicht van de rechter.
Reeds geruime tijd gaan stemmen op tot invoering van een zogenaamde "positieve motivering", die erop zou neerkomen dat de rechter zich ertoe kan beperken de redenen van zijn beslissing te vermelden, zonder te moeten ingaan op de niet-weerhouden middelen of argumenten van de partijen, die geacht worden (impliciet) te zijn verworpen. Gevreesd mag echter worden dat dit op gespannen voet komt te staan met de motiveringsplicht zoals zij voortvloeit uit art. 149 GW zowel als uit art. 6 EVRM, zoals die bepalingen heden ten dage worden geïnterpreteerd, inzonderheid door het Hof van Cassatie en het Europees Hof voor de Rechten van de Mens. Bovendien dreigt dit het aanwenden van rechtsmiddelen alleen maar
⁶ https://www.dekamer.be/FLWB/PDF/54/1219/54K1219001.pdf
PAGE 01-00001582885-0017-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 18
in de hand te werken, wat contraproductief zou zijn. Aanvaarding van een rechterlijke uitspraak vereist (goed) inzicht in zijn inhoud, a fortiori indien hoger beroep mogelijk is, waarbij “aanvaarding” neerkomt op berusting, dus het niet aanwenden van rechtsmiddelen. Zonder motivering op impliciet verworpen middelen is de verleiding dan ook groot die te hernemen in hoger beroep.
Dat neemt niet weg dat een eenvoudige motiveringsbesparende maatregel kan worden genomen die erin bestaat een vaste structuur op te leggen voor de conclusies van de partijen, zonder te moeten vervallen in een werkelijk “formulier”. Als de partijen niet alleen verplicht worden de feiten, hun aanspraken (voor de eiser is dat “de gevorderde zaak” in de zin van art. 23 Ger. W. of het “voorwerp van de vordering” in de zin van artikel 702), hun middelen en het gewenste dispositief van het vonnis afzonderlijk uiteen te zetten, en bovendien verplicht worden de middelen te nummeren en in voorkomend geval in afnemende volgorde van het belang voor te dragen (“in hoofdorde”, “in eerste ondergeschikte orde”, “in tweede ondergeschikte orde” enz...), wordt het voor de rechter gemakkelijker op die middelen te antwoorden (aanpassing art. 780, 3°).
Wat het begrip “middel” betreft kan verduidelijkt worden dat het weerleggen van een middel van de andere partij ook een middel is (in casu een verweermiddel). Daarenboven kunnen middelen feiten met rechtsgevolgen betreffen (middelen in feite), inbegrepen louter feitelijke betwistingen (bijvoorbeeld, is dat feit met rechtsgevolgen gebeurd of niet?), of het op gegeven feiten toepasselijke recht of de bij dat recht gegenereerde rechtsgevolgen (middelen in rechte).
De opmerking van de Raad van State dat deze maatregel niet méér zou zijn dan een aanbeveling, kan niet worden bijgetreden, want er zijn wel degelijk sancties verbonden aan de miskenning van de nieuwe vormvoorschriften waaraan de conclusies moeten voldoen, meer bepaald dat de rechter niet hoeft te antwoorden op middelen die niet op die wijze zijn voorgedragen. Dit beperkt uiteraard de grondwettelijke motiveringsplicht van de rechter niet, maar die motiveringsplicht is als zodanig beperkt tot wat het Hof van Cassatie inderdaad omschrijft als volgt: “de rechter [is] gehouden [...] het geschil te beslechten overeenkomstig de daarop toepasselijke rechtsregel; dat hij, mits hij het recht van verdediging eerbiedigt, de plicht heeft ambtshalve de rechtsmiddelen op te werpen waarvan de toepassing geboden is door de feiten, die door de partijen in het bijzonder worden aangevoerd tot staving van hun eisen” (bijvoorbeeld Cass. 14 april 2005).
Iets anders is het antwoorden op conclusies, want de door het Hof van Cassatie gepreciseerde motiveringsplicht mag daarmee niet vereenzelvigd worden. Die rechtspraak wordt dus niet op helling gezet, maar hij belet niet dat het antwoorden op conclusies wettelijk in banen kan worden geleid.”
Een middel is een zelfstandige redenering, opgebouwd op basis van feiten (feitelijk middel) of rechtsregels (juridisch middel), die leidt naar het concrete rechtsgevolg waarop de eiser of verweerder aanspraak maakt. Het middel is als theoretisch concept te onderscheiden van het argument, d.i. een (feitelijk of juridisch) element dat het middel ondersteunt en verantwoordt⁷.
⁷ zie : J. ENGLEBERT en X. TATON (eds.), Le procès civil efficace. Première analyse de la loi du 19 octobre 2015 modifiant le droit de la procédure civile (dite «loi pot-pourri I»), Limal, Anthemis, 2015, 90 ; ALLEMEERSCH, B., VOET, S., De wet «Potpourri I» Wijzigingen van het burgerlijk procesrecht, RW 2015-16, 1523-1538, inzonderheid 1528 : “Aangezien de wetgever hierover geen nadere richtlijnen heeft gegeven, zijn het de partijen zelf die naar eigen
PAGE 01-00001582885-0018-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 19
Een titel van een hoofdstuk, een vermelding van een geschonden wetsbepaling, een loutere affirmatie of loutere betwisting van een zeer vaag omschreven feitelijke gedraging, maakt geen middel uit in de zin van de wet.
Met betrekking tot het objectief contentieux bestaat de bedoeling er in om de conclusies kort en krachtadig te maken door een redenering op te bouwen die een feitelijk gegeven bevat, de vermelding dat dit feitelijk gegeven strijdig is met een welomschreven en vermelde rechtsregels sensu lato en waarbij uit de toetsing van het feitelijk gegeven aan de rechtsregel wordt afgeleid om welke reden de bestreden beslissing niet kan/mag gehandhaafd worden, alleszins niet met de inhoud of in de vorm waarin ze gesteld is.
De wetgever wilde vermijden dat ettelijke bladzijden conclusie aan de rechter worden voorgelegd daar waar deze conclusie in hoofdzaak een louter verhalende stijl hanteert waarbij feitelijke elementen, verwijzingen naar rechtsleer en rechtspraak en juridische redeneringen allerhande, door elkaar verweven zijn zonder concrete structuur.
Artikel 780, 3° Ger. W. bepaalt:
“Het vonnis bevat, op straffe van nietigheid, behalve de gronden en het beschikkende gedeelte:
[...]
3° het onderwerp van de vordering en het antwoord op de overeenkomstig artikel 744, eerste lid, uiteengezette middelen van de partijen;
[...]”
Het Marktenhof mag een conclusie die niet beantwoordt aan de nieuwe vormvereisten van het gewijzigde art. 744 Ger. W. niet uit het debat weren. De enige sanctie die de naleving ervan moet afdwingen, is deze van art. 780, 3° Ger. W., dat de antwoordplicht van de rechter omschrijft⁸.
Het is evenwel aan het hof niet verboden om, in weerwil van de miskenning van art. 744 Ger. W., toch te antwoorden op onnauwkeurige middelen of op argumenten waarvan het hof van oordeel is dat er een middel in verscholen ligt⁹.
inzichten zullen moeten oordelen of een redenering voldoende zelfstandig is om als middel te kunnen gelden.”
⁸ ALLEMEERSCH, B., VOET, S., De wet «Potpourri I» Wijzigingen van het burgerlijk procesrecht, RW 2015-16, 1531, nr. 28, stellen hieromtrent: “Krachtens art. 780, 3° Ger. W. moet de rechter antwoorden op de conclusies of middelen van partijen. De wetgever heet dit voorschrift verfijnd, om het de rechter gemakkelijker te maken zijn vonnis te motiveren, waardoor de naleving van de nieuw ingevoerde verplichting tot structurering en nummering van de middelen (art. 744, eerste lid (nieuw) Ger. W.) kracht wordt bijgezet. Voortaan strekt de antwoordplicht van de rechter zich luidens het nieuwe art. 780, 3° Ger. W. enkel uit tot de middelen uiteengezet overeenkomstig art. 744, eerste lid Ger. W., d.w.z. de middelen die correct genummerd zijn, zich in de juiste volgorde bevinden en in voorkomend geval hun voordracht in hoofdorde of subsidiaire orde vermelden. De rechter miskent art. 780, 3° Ger. W. dus niet indien hij weigert te antwoorden op een juridisch middel dat (uitsluitend) verscholen ligt in de bespreking van de feiten”.
⁹ DE JAEGER, T., Conclusie en antwoordplicht van de rechter na Potpourri I: blijf billijk! NJW 2017, 82-83; X. TATON en G. ELOY, “Structure et contenu des conclusions, chose
PAGE 01-00001582885-0019-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 20---
Het hof is dienvolgens enkel gehouden tot het nemen van een beslissing met vermelding van de gronden en het beschikkende gedeelte en deze te motiveren conform artikel 6 EVRM$^{10}$ en artikel 149 Grondwet.
Mits het hof haar beslissing motiveert is er geen aanleiding om op de (overige) inhoud van de conclusies van de partijen te antwoorden.
### 7. Bespreking – de rechtsmacht van het Marktenhof inzake gegevensbescherming.
De partijen zijn het oneens omtrent de draagwijdte van de rechtsmacht van het Marktenhof, met name de vraag naar de omvang van de volheid van rechtsmacht van het Marktenhof, concreet gesteld: de vraag of het Hof desgevallend – na een beslissing te hebben vernietigd – in zijn eigen beslissing die het Hof in de plaats stelt van bestreden beslissing, een ‘andere’ sanctie kan opleggen dan deze die de GBA heeft vooropgesteld (zo bijvoorbeeld of het Hof de sanctie van een geldboete van € 10.000 zou kunnen vervangen door een sanctie van ‘berisping’).
Daar waar in bepaalde wetgevingen, die rechtsmacht verlenen aan het Marktenhof, expliciet is gesteld dat het Hof met volheid van rechtsmacht zal oordelen, is deze omschrijving van de rechtsmacht te dezen niet expliciet in de wettekst gesteld. Artikel 108 § 1 GBA-wet bepaalt enkel dat tegen de beslissingen van de geschillenkamer een beroep openstaat bij het Marktenhof.
De GBA stelt:
18. De GBA erkent uiteraard dat Uw Hof met volle rechtsmacht oordeelt over de beroepen tegen beslissingen van de Geschillenkamer. De AVG vereist dat tegen de juridisch bindende beslissingen van de nationale toezichthoudende autoriteiten beroep openstaat bij rechterlijke instanties die “volledige rechtsmacht [dienen] uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geschil te onderzoeken.”$^{11}$ De parlementaire voorbereiding van de GBA-wet bevestigt dat het Marktenhof “oordeelt met volle rechtsmacht” over beroepen tegen beslissingen van de Geschillenkamer.$^{12}$
De vraag is echter hoe ruim de notie “volheid van rechtsmacht” in de context van beroepen tegen beslissingen van de Geschillenkamer van de GBA moet worden geïnterpreteerd.
En verder:
jugée et mesures d’instruction: nouvelle responsabilités des parties” in J. ENGLEBERT en X. TATON (eds.), *Le procès civil efficace?*, Limal, Anthemis, 2015, (77) 92, randnr. 14).
$^{10}$ Zie en vergelijk: EHRM 9 december 1994, nr. 18390/91, Ruiz Torija/Spanje, hudoc.echr.coe.int/; ook: EHRM 18 oktober 2016, nr. 31517/12, Miesen/ Belgie, hudoc.echr.coe.int/.
$^{11}$ Zie de preambule bij de AVG, overw. 143. Zie ook art. 78 AVG.
$^{12}$ Verslag namens de Commissie voor de Justitie uitgebracht door dhr. E. Lachaert, *Parl. St. Kamer* 2017-2018, nr. 54-2648/6, 5.
PAGE 01-00001582885-0020-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 21
Om te beginnen is het van meet af aan **de uitdrukkelijke bedoeling van de wetgever** geweest dat het Marktenhof zelf de grenzen van zijn controlebevoegdheid zou verduidelijken en toelichten *“in functie van het soort beroep waarover het zich dient uit te spreken.”*$^{13}$ De wetgever heeft het dus in principe aan Uw Hof overgelaten om, geval per geval, materie per materie, te bepalen in welke mate het de werking van de bestuurlijke overheid meer of minder terughoudend toetst. De wetgever heeft m.a.w. geen uniforme regeling willen opleggen aan Uw Hof, die het ongeacht de aard van het voorliggende beroep dient te volgen.
Integendeel, het begrip “volle rechtsmacht” dient geval per geval te worden ingevuld. Bij de behandeling van een beroep dient dan ook telkens de vraag te worden gesteld wat de precieze inhoud is van de notie “volle rechtsmacht” en of deze ook een hervormingsbevoegdheid impliceert.$^{14}$
Het beroep voor het Marktenhof onderscheidt zich van een “gewoon” beroep zoals dat voor een appelrechter van de rechterlijke orde kan ingesteld worden$^{15}$.
$^{13}$ Ontwerp van wet betreffende het toezicht op de financiële sector en de financiële diensten, *Parl. St. Kamer 2001-2002*, nr. 50-1842/1, 131-132 (eigen onderstreping): *“De Regering heeft vertrouwen in de wijsheid van het Hof van Beroep te Brussel dat, bij de uitoefening van zijn nieuwe exclusieve bevoegdheden, een stabiele rechtspraak zal kunnen definiëren, en, in voorkomend geval, de grenzen van zijn controle zal verduidelijken en toelichten, in functie van het soort beroep waarover het zich dient uit te spreken. Het Hof van Beroep te Brussel zal zo, geval per geval, kunnen bepalen in welke mate het de werking van de administratieve overheid marginaal wenst te toetsen. Precies omdat de wetgever het Hof van Beroep te Brussel een controlebevoegdheid in volle rechtsmacht verleent, kunnen discussies over de eigenlijke aard van de controle van het Hof worden vermeden. Het Hof zal vrij de gronden kunnen kiezen voor een eventuele hervorming van de beslissingen waarover het zich dient te buigen, zonder er zich over te bekommeren of die gronden buiten het bereik vallen van zijn – bij hypothese beperkte – controle.”*
$^{14}$ Zie ook Conclusie van Advocaat-Generaal Vandewal bij Cass., 3 juni 2011, *Honda t. Belgische Staat*.
$^{15}$ Er is overigens geen grond tot vergelijking met de vernietigingsbevoegdheid van de Raad van State conform artikel 14 van de gecoördineerde wetten doet de Raad van State uitspraak over de beroepen tot nietigverklaring wegens overtreding van hetzij substantiële, hetzij op straffe van nietigheid voorgeschreven vormen, overschrijding of afwending van macht, ingesteld tegen de akten en reglementen (het Hof onderstreept). De Raad van State kan slechts in bijzondere bij wet aangeduide beroepen oordelen met volheid van rechtsmacht. De Raad van State behoort niet tot de rechterlijke orde, de regels zijn dienvolgens niet zomaar transponeerbaar.
Het Hof verwijst ondermeer naar:
RvS (11e k.) nr. 219.316, 10 mei 2012, APT 2012, 617, verslag PIRET, F, waarin gesteld wordt : *“de Raad van State, zetelend in cassatie en niet als rechter inzake machtsoverschrijding, beschikt niet over een bevoegdheid van volle rechtsmacht en voldoet dus niet aan alle vereisten van art. 6, § 1 EVRM. Krachtens art. 14, § 2 R.v.St.-wet kan hij immers enkel uitspraak doen wegens schending van ofwel substantiële, ofwel op straffe van nietigheid voorgeschreven vormvereisten en in dat geval neemt hij geen kennis van de grond van de zaak. Hij is onbevoegd om de feitelijke vergissingen te verbeteren die door de lagere rechter werden begaan of om een proportionaliteitscontrole te verrichten.”*
Desalniettemin heeft het Grondwettelijk Hof bij arrest van 18 februari 2016 (nr. 25/2016 - NJW 2016, 474, noot LAVRYSEN, L.; TMR 2016, 343) gesteld:
PAGE 01-00001582885-0021-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 22
Artikel 6 § 1 EVRM stelt dat “bij het vaststellen van zijn burgerlijke rechten en verplichtingen [...] eenieder recht [heeft] op een eerlijke en openbare behandeling van zijn zaak, binnen een redelijke termijn, door een onafhankelijke en onpartijdige rechterlijke instantie welke bij de wet is ingesteld.[...]”
Artikel 47 van het Handvest van de grondrechten van de Europese Unie bepaalt met betrekking tot het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht dat eenieder wiens door het recht van de Unie gewaarborgde rechten en vrijheden zijn geschonden, [...] recht [heeft] op een doeltreffende voorziening in rechte, met inachtneming van de in dit artikel gestelde voorwaarden en dat aldus eenieder [...] recht [heeft] op een eerlijke en openbare behandeling van zijn zaak, binnen een redelijke termijn, door een onafhankelijk en onpartijdig gerecht dat vooraf bij wet is ingesteld.
De Europese wetgever heeft niet omschreven wat moet verstaan worden onder het begrip “een doeltreffende voorziening in rechte” ¹⁶.
“B.40.1. Hoewel de Raad van State zijn beslissing niet in de plaats kan stellen van de beslissing van het Milieucollege en hij de alternatieve administratieve geldboete die door dat laatste is uitgesproken of bevestigd dus niet kan wijzigen, controleert hij daarentegen of zij adequaat en evenredig is. Dienaangaande kan hij rekening houden met eventuele verzachtende omstandigheden om te oordelen dat de beslissing niet correct gemotiveerd is. Evenzo gaat hij na of de beslissing op relevante bewijselementen berust. Indien hij van mening is dat de uitgesproken administratieve sanctie nietig dient te worden verklaard, verwijst hij de zaak naar het Milieucollege, dat gebonden is door de motivering van het vernietigingsarrest.
B.40.2. Uit hetgeen voorafgaat volgt dat de Raad van State bij de uitoefening van zijn wettigheidstoezicht niet enkel onderzoekt of er sprake is van kennelijke beoordelingsfouten. Hij dient daarentegen daadwerkelijk een grondig toezicht te verrichten, in rechte en in feite, van de bestreden beslissing en van de evenredigheid ervan. De loutere omstandigheid dat hij niet over een wijzigingsbevoegdheid beschikt, volstaat in die omstandigheden niet om te besluiten dat de controle die hij uitoefent, niet beantwoordt aan de vereisten van de toetsing met volle rechtsmacht in de zin van artikel 6 van het Europees Verdrag voor de rechten van de mens.
B.40.3. Voor het overige behoort het niet tot de bevoegdheid van het Hof om te onderzoeken hoe de Raad van State zijn bevoegdheid met volle rechtsmacht in concreto zou hebben uitgeoefend of waarom hij geen prejudiciële vragen heeft gesteld aan het Hof in de zaken die de verzoekende partij betreffen.
¹⁶ Het Hof verwijst naar het arrest van 27 september 2011 van het EHRM inzake A. MENARINI DIAGNOSTICS S.R.L. c. ITALIE, alwaar overwogen wordt:
« 62. Par ailleurs, la Cour rappelle que la nature d’une procédure administrative peut différer, sous plusieurs aspects, de la nature d’une procédure pénale au sens strict du terme. Si ces différences ne sauraient exonérer les États contractants de leur obligation de respecter toutes les garanties offertes par le volet pénal de l’article 6, elles peuvent néanmoins influencer les modalités de leur application (Valico S.r.l. c. Italie (déc.), no 70074/01, CEDH 2006-III).
63. La Cour note que dans le cas d’espèce, les juridictions administratives se sont penchées sur les différentes allégations de fait et de droit de la société requérante. Elles ont dès lors examiné les éléments de preuve recueillis par l’AGCM. De plus, le Conseil d’État a rappelé que lorsque l’administration dispose d’un pouvoir discrétionnaire, même si le juge administratif n’a pas le pouvoir de se substituer à
PAGE 01-00001582885-0022-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 23
Artikel 78 van Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) bepaalt:
“Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit
1. Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.
2. Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht.
3. Een procedure tegen een toezichthoudende autoriteit wordt ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd.
4. [...]” (het Hof benadrukt)
Opdat de voorziening doeltreffend zou zijn kan het Marktenhof - ingevolge de door de wetgever verleende volle rechtsmacht - niet enkel de beslissingen van de GBA vernietigen maar kan het Hof ook zijn eigen beslissing in de plaats stellen van de vernietigde beslissing (mits de GBA gehouden was een beslissing te treffen en voor zover deze indeplaatsstelling kan geschieden zonder het overtreden
l’autorité administrative indépendante, il peut toutefois vérifier si l’administration a fait un usage approprié de ses pouvoirs.
64. De ce fait, la Cour note que la compétence des juridictions administratives n’était pas limitée à un simple contrôle de légalité. Les juridictions administratives ont pu vérifier si, par rapport aux circonstances particulières de l’affaire, l’AGCM avait fait un usage approprié de ses pouvoirs. Elles ont pu examiner le bien-fondé et la proportionnalité des choix de l’AGCM et même vérifier ses évaluations d’ordre technique.
65. De plus, le contrôle effectué sur la sanction a été de pleine juridiction dans la mesure où le TAR et le Conseil d’État ont pu vérifier l’adéquation de la sanction à l’infraction commise et le cas échéant auraient pu remplacer la sanction (voir, a contrario, Silvester’s Horeca Service c. Belgique, no 47650/99, § 28, 4 mars 2004).
66. En particulier, le Conseil d’État, en allant au-delà d’un contrôle « externe » sur la cohérence logique de la motivation de l’AGCM, s’est livré à une analyse détaillée de l’adéquation de la sanction par rapport aux paramètres pertinents, y compris la proportionnalité de la sanction même.
67. La décision de l’AGCM ayant été soumise au contrôle ultérieur d’organes judiciaires de pleine juridiction, aucune violation de l’article 6 § 1 de la Convention ne saurait être décelée en l’espèce. »
De voorafgaande tekst, in het Frans gesteld, wordt enkel ten titel van toelichting geciteerd, deze tekst maakt geen deel uit van de eigenlijke beslissing van het Hof.
PAGE 01-00001582885-0023-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 24
van een regel van de procedure of de raadpleging, die voor de goedkeuring van de bestreden beslissing nodig was).
Bij de uitoefening van deze volle rechtsmacht, moet het Marktenhof evenwel de grenzen van het gerechtelijke debat respecteren. Binnen de grenzen van de regels van openbare orde en binnen de grenzen van de interpretatie die moet worden gegeven aan de voor het Hof ingeroepen middelen, moet het Hof zijn beoordeling, dit wil zeggen - de gebeurlijke indeplaatsstelling van een eigen beslissing - beperken tot de door verzoekende partij aangevoerde gronden en de middelen van verdediging van de wederpartij ¹⁷.
Kortom, het Marktenhof kan zijn beslissing in de plaats stellen van de door het Hof vernietigde bestreden beslissing, mits het Hof geen betwistingen oproept die niet aan tegenspraak zijn onderworpen geweest in de voor het Hof gevoerde rechtspleging en voor zover geen beslissing wordt getroffen waaromtrent de procespartijen zich niet hebben kunnen verdedigen in de rechtspleging voor het Hof.
De kritiek van de GBA waar deze stelt:
Naast “gewone” raadsheren, zetelen in het Marktenhof ook een aantal raadsheren met “gespecialiseerde kennis van het economisch, financieel of marktrecht”.¹⁸ Welnu, de regels inzake gegevensbescherming kunnen niet meteen onder één van die rechtsdomeinen worden gevat. Het gaat daarentegen om regels ter waarborging van een individueel mensenrecht en dus om een zogenaamd transversaal rechtsgebied, dat op allerlei aspecten van de samenleving van toepassing is (te vergelijken met het discriminatierecht bv.).¹⁹
gaat er aan voorbij dat (ook) de leden van het Marktenhof die blijk geven van de gespecialiseerde kennis (zie hiervoor) tegelijk wel degelijk raadsheren zijn in het hof van beroep te Brussel die voldoen aan de wettelijke vereisten waaraan elke magistraat van het hof voldoet en dat hun benoeming geschiedt op voordracht van de Hoge Raad van Justitie en dat elke belanghebbende de gelegenheid heeft een verhaal tot vernietiging van de benoeming in te stellen voor de Raad van State.
Een “kritiek” vanwege een procespartij op de vermeende of beweerde (in)competentie van één of meer leden van het Hof komt in het licht van het voorgaande als weinig pertinent of ter zake doend over.
Het Marktenhof heeft dienvolgens te dezen de rechtsmacht om de bestreden beslissing te vernietigen en om desgevallend de sanctie te vervangen door een andere sanctie zoals door X in ondergeschikte orde gevorderd, middel waartegen de GBA zich heeft kunnen verdedigen.
## 8. Bespreking – de gronden tot vernietiging.
### 8.1. Inbreuk op artikel 5.1. c) AVG
X laat gelden:
¹⁷ Vergelijk Cour des marchés 22 januari 2020, 2019 AR 1470, nr. 26.
¹⁸ Art. 207, § 3, 4°, Ger. W.
¹⁹ Hierover werden verschillende opmerkingen gemaakt in de parlementaire debatten over het ontwerp dat tot de GBA-wet heeft geleid. Zie Parl. St. Kamer 2017-2018, nr. 54-2648/6, 10, 13, 48, 50, 57, 59, 61-62, 69-70 en 77.
PAGE 01-00001582885-0024-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 25
44. De Geschillenkamer oordeelde dat de inbreuk op het principe van minimale gegevensverwerking onder meer bestond uit het gebruik dat X gemaakt zou hebben van het rijksregisternummer door de eID-kaart in te lezen voor het aanmaken van een klantenkaart:
"Voor de Geschillenkamer staat het volgende voorop. De gegevensverwerking impliceert het gebruik van het rijksregisternummer, opgenomen in de barcode van de elektronische identiteitskaart, hetwelk niet ter zake dienend is. Hierbij acht de Geschillenkamer het van belang dat er bijzondere regels gelden voor het gebruik van het Rijksregisternummer (ook reeds geldend vóór 23 december 2018), die een zeer terughoudend gebruik van dit Rijksregisternummer voorschrijven. Doordat de barcode volgens de vaststellingen van de Inspectiedienst wordt gebruikt om de klant terug te vinden in het klantenbestand gaat de Geschillenkamer er vanuit dat het rijksregisternummer - of in elk geval een deel van het identiteitskaartnummer - wordt gebruikt in strijd met het beginsel van minimale gegevensbescherming." (benadrukking door X)
De Geschillenkamer "veronderstelt" met andere woorden dat X het rijksregisternummer zou verwerken. In het verslag van de Inspectiedienst wordt hiervan echter geen enkele melding gemaakt. De Inspectiedienst verzocht over dit aspect wel degelijk schriftelijk inlichtingen van X. Zo verzocht zij aan X "meer informatie over de specifieke gegevens dewelke uw bedrijf inleest en gebruikt van de aangeboden eID's van uw klanten?". X antwoordde hierop: "de gegevens die bewaard worden zijn [...] Naam, voornamen, adres, geboortedatum, geslacht, klant sinds, omzetcijfer en de laatste 10 aankoopbedragen en het aantal punten". (stuk B.8) Het rijksregisternummer werd niet vermeld.
De Geschillenkamer had bijgevolg geen enkele grond om X een inbreuk op het principe van minimale gegevensverwerking ten laste te leggen wegens het vermeende gebruik van het rijksregisternummer voor het aanmaken van een klantenkaart. Zij mocht er, zonder enig stuk in het dossier, niet "vanuit gaan" dat X het rijksregisternummer gebruikte.
Gelet hierop mocht de Geschillenkamer het rijksregisternummer niet in rekening nemen om een schending van de AVG te weerhouden en een administratieve boete op te leggen. Zoals uw hof opmerkte in eerdere beroepsprocedures tegen beslissingen van de GBA kunnen door de GBA ingeroepen motieven "slechts een beslissing schragen wanneer zij blijken uit de stukken van het dossier waarop de autoriteit (GBA) vermocht acht te slaan"20 en houdt "de materiële motiveringsplicht (...) in dat iedere administratieve rechtshandeling moet steunen op motieven waarvan het feitelijk bestaan naar behoren is bewezen en die in rechte ter verantwoording van die handeling in aanmerking kunnen worden genomen"21. De motieven van de Aangevochten Beslissing inzake de schending van het principe van de minimale gegevensverwerking in verband met het rijksregisternummer vonden geen enkele steun in de stukken van het dossier.
20 Brussel (Sectie Marktenhof) 23 oktober 2019, FOD Volksgezondheid t. GBA, 2019/AR/1234, 24.
21 Brussel (Sectie Marktenhof) 23 oktober 2019, ING België NV t. GBA, 2019/AR/1006, 19.
PAGE 01-00001582885-0025-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 26
De GBA betoogt dienaangaande:
“74. Voorts merkt de GBA nog op dat de Geschillenkamer een inbreuk op artikel 5.1.c) AVG heeft afgeleid, niet alleen uit het gebruik van het rijksregisternummer, maar ook uit het bewaren van het geslacht en de geboortedatum van de klanten. Dat die laatste persoonsgegevens door X werden bewaard, betwist appellante niet, zodat de inbreuk op artikel 5.1.c) AVG hoe dan ook overeind blijft. Het valt inderdaad niet in te zien hoe het geslacht en de geboortedatum ter zake dienend zouden kunnen zijn voor het doel van de gegevensverwerking, namelijk de aanmaak van een klantenkaart. Het feit dat er andere doeleinden zouden kunnen bestaan met het oog waarop die gegevens wél rechtmatig kunnen worden verwerkt, zoals de controle op de naleving van de wettelijke minimumleeftijd voor de aankoop van alcohol, is in deze context irrelevant. Ten overvloede merkt de GBA nog op dat, na het arrest van het Grondwettelijk Hof van 19 juni 2019 inzake de wet op de transgenders, de registratie van het geslacht van personen sowieso niet langer vanzelfsprekend is,²² niet door de overheid en dus al zeker niet door een private persoon, zoals een drankenhandel.
75. Tot slot staat het buiten kijf dat de elektronische identiteitskaart hoe dan ook veel meer gegevens bevat dan nodig is voor de aanmaak van een klantenkaart. Het is net daarom dat de klager stelde wél bereid te zijn om die specifieke gegevens te verstrekken die nodig zijn voor de aanmaak van een klantenkaart, maar niet in te stemmen met het lezen van haar elektronische identiteitskaart, waarbij hij elke controle verliest over welke gegevens worden gelezen en bewaard door de verwerkingsverantwoordelijke.
76. Besluit: De Geschillenkamer leidde de inbreuk op artikel 5.1.c) AVG af uit bewezen feiten.”
De bestreden beslissing overweegt:
De Inspectiedienst bevestigt aldus de klacht in die zin dat geen alternatief wordt aangeboden aan klanten die wel een klantenkaart wensen, maar niet hun elektronische identiteitskaart wensen te laten gebruiken door de verweerder voor de aanmaak van een dergelijke klantenkaart, dit terwijl het verkrijgen van de toestemming en het aanbieden van een alternatief volgens de Inspectiedienst wel is vereist.
Hierbij verwijst de Inspectiedienst tevens naar art. 6, §4 van de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten, zoals van toepassing met ingang van 23 december 2018, en waarin is bepaald dat de elektronische identiteitskaart enkel mag gelezen of gebruikt worden met de vrije, specifieke en geïnformeerde toestemming van de houder ervan. Wanneer een voordeel of dienst wordt aangeboden aan een burger via zijn elektronische identiteitskaart in het kader van een informaticatoepassing, moet eveneens een alternatief worden voorgesteld dat het gebruik van de elektronische identiteitskaart niet vereist. Verder verwijst de Inspectiedienst dienaangaande ook naar Aanbeveling nr. 03/2011 teneinde de toestemmingsvereiste en het aanbod van een alternatief te ondersteunen.
²² GwH, nr. 99/2019, 19 juni 2019.
PAGE 01-00001582885-0026-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 27
De Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten vermeldt thans in artikel 6 § 4 tweede en derde lid:
Het Rijksregisternummer en de foto van de houder mogen enkel gebruikt worden indien hiertoe gemachtigd is door of krachtens een wet, een decreet of een ordonnantie. De elektronische identiteitskaart mag enkel gelezen of gebruikt worden met de vrije, specifieke en geïnformeerde toestemming van de houder van de elektronische identiteitskaart.
Wanneer een voordeel of dienst aangeboden wordt aan een burger via zijn elektronische identiteitskaart in het kader van een informaticatoepassing, moet eveneens een alternatief dat het gebruik van de elektronische identiteitskaart niet vereist, voorgesteld worden aan de betrokken persoon.
Deze tekst werd toegevoegd door de wet van 25 november 2018 en trad in werking op 23 december 2018. Deze wet is dus niet toepasselijk op de feiten die ten grondslag liggen aan huidig geschil vermits de klacht dateert van 28 augustus 2018.
Ten tijde van de klacht luidde deze tekst als volgt:
“§ 4. Elke geautomatiseerde controle van de kaart door optische of andere leesprocédés moet het voorwerp uitmaken van een koninklijk besluit, na advies van het sectoraal comité van het Rijksregister bedoeld in artikel 15 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen.”
De motieven van de inspectiedienst – waarvan de GBA stelt dat zij als grondslag dienen voor de beslissing – zijn onwettig. Een wet die absoluut niet toepasselijk was op het moment van de klacht en een “aanbeveling” die geen wettelijke kracht heeft, kunnen niet als grondslag dienen voor het beoordelen van een gedraging, als zijnde strijdig met de vigerende wetgeving.
Er is niet aangetoond, en dienvolgens niet afdoende bewezen, dat ten tijde van de klacht een alternatief moest geboden worden.
De bestreden beslissing overweegt verder:
“De Geschillenkamer merkt daarbij bovendien op dat de verwerking van de klantgegevens (naam, voornamen, adres, geboortedatum, geslacht, vanaf wanneer de betrokkene klant is en het bedrag van de aankopen) het beginsel van minimale gegevensverwerking niet respecteert, vermits het gegeven ‘geslacht en geboortedatum’ eveneens niet ter zake dienend zijn. Hierbij gaat de Geschillenkamer er vanuit dat de klantenkaart niet wordt gebruikt voor het controleren van de minimumleeftijd voor alcoholverkoop.
Doordat de handelswijze van verweerder voor wat betreft de aanmaak van klantenkaarten het beginsel van minimale gegevensverwerking niet naleeft, is de Geschillenkamer bijgevolg van oordeel dat de inbreuk op art. 5.1. c) AVG is bewezen.”
Er werd door de klaagster in casu geen EID-kaart aangeboden en er is dus geen enkele verwerking van haar gegevens gebeurd. Derhalve toont de GBA geen daadwerkelijke inbreuk in verband met persoonsgegevens aan.
PAGE 01-00001582885-0027-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 28
Er moest aan de klaagster toen wettelijk (nog) geen alternatief geboden worden. Dit is anders sedert 23 december 2018 maar die regelgeving kan door de GBA niet retroactief worden toegepast.
De Geschillenkamer gaat bovendien ten onrechte uit van een aantal onbewezen assumpties:
- dat een klantenkaart van een drankenhandel Niet zou gebruikt worden ter controle van het verbod van verkoop van alcohol aan minderjarigen;
- dat klaagster een onbetwistbaar nadeel zou lijden door het feit dat ze door de aanmaak van een klantenkaart te mislopen, kortingen zou mislopen. Dit vormt geen nadeel waar dat alleen een möglichk extra voordeel verloren worden (het Hof benadrukt). Het is anders wanner de EID-kaart worden gezraagd om een wettelijk of contractueelrecht (bijvoorbeeld hetrecht op garantie) te bekomen of te behouden.
Een inbreuk op art. 5.1. c) AVG is in dit concrete geval dienvolgens niet bewezen.
Het zesde middel van X is wat dit punt betreft gegrond.
# 8.2. Inbreuk op art. 6.1. AVG:
De GBA steunt haar beslissing verder op een inbreuk op artikel 6.1. AVG, te weten dat de rechtmatigheid van de verwerking afhankelijk is van de toestemming van de betrokkene voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden of de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De GBA stelt:
"Er kan, volgens de Geschillenkamer, in tegenstelling tot wat de verweerder aanvoert, geen sprake zijn van toestemming als rechtsgrond voor de verwerking, aangezien de toestemming binnen de huidige werkwijze van de verweerder geenszins kan worden beschouwd als een vrije toestemming in de zin van art. 4.11. AVG, bij gebrek aan een alternatief systeem dat toelaat een klantenkaart aan te maken zonder gebruik van de elektronische identiteitskaart, hetwelk het mogelijk maakt de betrokkene ook in dat geval te laten genieten van kortingen.
De Geschillenkamer verwijst in dat verband ook naar de Richtsnoeren van de Groep 29 inzake toestemming overeenkomstig Verordening 2016/6792 waarin wordt gesteld dat het element "vrij" werkelijke keuze en controle voor betrokkenen impliceert. Als algemene regel schrijft de AVG voor dat als een betrokkene geen werkelijke keuze heeft, zich gedwongen voelt om toestemming te geven of het voor hem negatieve gevolgen zal hebben als hij of zij niet toestemt, de toestemming niet geldig is. Indien toestemming wordt samengevoegd als een niet-onderhandelbaar onderdeel van voorwaarden, wordt deze verondersteld niet vrij gegeven te zijn. Bijgevolg wordt toestemming niet geacht vrij gegeven te zijn indien de betrokkene zijn of haar toestemming niet zonder nadelige gevolgen kan weigeren of intrekken. Doordat in voorliggend geval de klager, en bij uitbreiding alle klanten, enkel van kortingen kunnen genieten door middel van hun elektronische identiteitskaart, en door de verweerder geen enkel alternatief wordt aangeboden voor de aanmaak van een klantenkaart
PAGE 01-00001582885-0028-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 29
teneinde van dit voordeel te kunnen genieten, is het duidelijk dat er geen sprake is van vrije toestemming.
Hoewel de verweerder zich daar niet op beroept, heeft de Geschillenkamer onderzocht in hoeverre de verwerking mogelijk zou kunnen worden gebaseerd op art. 6.1. f) AVG en de verwerking noodzakelijk zou kunnen zijn voor de behartiging van zijn gerechtvaardigd belang. De Geschillenkamer merkt op dat daartoe een afweging moet worden gemaakt met het belang van de betrokkene teneinde te beoordelen welk belang zwaarder doorweegt. Ook voor wat betreft deze rechtsgrond stelt de Geschillenkamer dat een dergelijke belangenafweging, in voorliggend geval, leidt tot het besluit dat het belang van de klager, en bij uitbreiding van alle klanten van de verweerder, primeert.
De Geschillenkamer besluit dat de inbreuk op art. 6.1. AVG is bewezen”
In de mate de GBA andermaal verwijst naar het ontbreken van een alternatief, verwijst zij alweer (zie punt 8.1 hiervoor) naar een nog niet toepasselijke wetgeving.
Het Marktenhof verwijst naar hetgeen onder punt 8.1 hiervoor werd gesteld.
De inbreuk op artikel 6.1. AVG is dienvolgens niet bewezen. Het zevende middel van X is wat dit punt betreft gegrond.
# 8.3. Besluit van punten 8.1 en 8.2:
In de mate dat de bestreden beslissing niet afdoende gemotiveerd is om reden dat bepaalde motieven van de bestreden beslissing onverenigbaar zijn met de stukken uit het dossier en met de vigerende wettelijke bepalingen op het moment van de klacht en het Marktenhof niet kan nagaan welk motief of welke motieven dienvolgens de facto doorslaggevend zijn geweest om de bestreden beslissing te rechtvaardigen, moet het Marktenhof vaststellen dat de door de GBA aangehaalde motieven het bewezen verklaren van de inbreuken (en als gevolg ervan evenzo het opleggen van sancties omwille van deze beweerde inbreuken) niet kunnen schragen.
De beslissing is om die reden op onwettelijke wijze genomen en dient dienvolgens nietig verklaard te worden.
# 8.4. Inbreuk op de artikelen 13.1. c), 13.1. e) en 13.2. a) AVG:
Voor wat betreft de overige vaststellingen van de Inspectiedienst, namelijk:
a) de tegenspraak:tussen de bewering van de verweerder dat er geen mededeling is van gegevens aan derden, terwijl de privacyverklaring stelt dat doorgifte möglichk is binnen de Europese Economische Ruimte aan verbonden vennootschappen.
b) Het gebrek aan duidelijke informatieverstrekking aan de betrokkene, inzonderheid op het vlak van de rechtsgrond en de bewaartermijn.
PAGE 01-00001582885-0029-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 30
neemt de Geschillenkamer er akte van dat X toegeeft dat deze terecht als tekortkomingen aan de AVG kunnen worden beschouwd en aangeeft dat op korte termijn bijkomende maatregelen zullen worden genomen om de gegevensverwerking in overeenstemming te brengen met de vereisten van de AVG.
In de mate dat deze elementen buiten de klacht vallen en geen aanleiding geven tot een sanctie, dienen deze niet afzonderlijk beoordeeld te worden.
Het bevel conform artikel 100 § 1, 9° GBA-wet ertoe strekkende dat X de verwerking in overeenstemming brengt met art. 5.1. c), art. 6.1., art. 13.1. c), art. 13.1. e) en 13.2. a) AVG maakt op zich niet het voorwerp van het verhaal uit. X ontwikkelt dienaangaande geen enkel middel.
# 9. De sanctie
Benevens het gegeven dat de bestreden beslissing niet afdoende gemotiveerd is (zie punt 8.3 hiervoor) is de opgelegde sanctie te weten een geldboete van € 10.000 op haar beurt niet afdoend gemotiveerd.
Indien met de GBA kan gesteld worden dat deze niet elke mogelijke sanctie van artikel 83.2 AVG dient te overlopen en zij niet dient te motiveren waarom sommige sancties niet worden overwogen, dan neemt zulks niet weg dat de keuze voor de opgelegde sanctie wel degelijk op afdoende wijze moet gemotiveerd worden. Bij de concrete vaststelling van de sanctie, zouden de volgende algemene criteria leidend moeten zijn:
- de ernst van de inbreuk;
- de duur van de inbreuk;
- de nodige afschrikkende werking om verdere inbreuken te voorkomen.
De GBA bepaalt evidenter wijze zelf welke sanctie volgens haar passend is.
Echter, zoals hiervoor gesteld, een beslissing van de GBA met betrekking tot (de hoogte van) een geldelijke boete is niet bindend voor het Marktenhof.
Het Marktenhof beoordeelt de omvang van een eventuele sanctie zo dat deze enerzijds in overeenstemming is met de omstandigheden en anderzijds evenredig is aan de vastgestelde inbreuk en aan de draagkracht van de inbreuk plegende partij.
De enkele vermelding dat de inbreuk betrekking heeft op een fundamenteel rechtsbeginsel van gegevensbescherming is daarbij niet voldoende. De aard en de ernst van de inbreuken vormen één van de appreciatiekenmerken voor het bepalen van de sanctie en de begroting ervan indien er geopteerd wordt voor een geldboete maar deze elementen moeten getoetst worden aan “alle” elementen van het dossier (bijvoorbeeld de vraag of het om een eenmalige inbreuk gaat of niet, welke de impact is in het rechtsleven algemeen beschouwd, of er enige intentie of opzet in hoofde van de inbreukpleger aangetoond wordt,...) en waarbij – bij ontstentenis van een duidelijke kwalificering en kwantificering van de mogelijke sancties via een voor eenieder toegankelijk document (richtsnoer of schaal transparant meegedeeld door de GBA) voordat er sprake is van een
PAGE 01-00001582885-0030-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 31
concrete klacht - minstens moet gemotiveerd worden waarom een minder vergaande sanctie dan het opleggen van een geldboete van € 10.000 niet van aard zou kunnen zijn om aan de inbreuken een einde te stellen. Enkel mits aan deze vereisten van afdoende, duidelijke en transparante motivering te voldoen wordt artikel 83 AVG, dat stelt dat de sanctie in elke zaak doeltreffend, evenredig en afschrikkend moet zijn, effectief nageleefd. Te dezen is alleszins niet voldaan aan de criteria van doeltreffendheid en evenredigheid.
Waar de GBA andermaal als motief weerhoudt “een grove nalatigheid met een verregaande impact niet alleen op de gegevensverwerking van de klager, maar op deze van alle klanten van de verweerder bij gebrek aan alternatief voor de aanmaak van het klantenbestand op grond van de elektronische identiteitskaart, afwezigheid van geldige toestemming en overmatige gegevensverwerking” en uit de gegevens van het geschil blijkt dat de klaagster nooit haar identiteitsgegevens beschikbaar heeft gesteld en zij persoonlijk dus geen nadeel kan ondergaan hebben en de omstandigheid dat geen alternatief voorhanden was geen geldige rechtsgrond was op het moment van de klacht, volgt dat ook de sanctie op zich (ook al zouden er inbreuken bewezen zijn geweest) onwettig is.
Reeds om die reden alleen dient de bestreden beslissing vernietigd te worden. Ook het achtste middel van X is gegrond.
De motieven die de GBA thans bij conclusie (nr 106) bijbrengt om post factum de opgelegde en uitgevoerde sanctie te rechtvaardigen, kunnen niet in aanmerking genomen worden. De inbreukpleger moet voordat hem een sanctie wordt opgelegd kennis krijgen van de aard van sanctie die overwogen wordt en van de omvang ervan (in geval een geldboete overwogen wordt). De inbreukpleger moet gewaarschuwd worden (met als doel het nodeloos sanctioneren te vermijden) en de gelegenheid krijgen zich te verdedigen omtrent de door de Geschillenkamer voorgestelde bedragen van de boete, voordat de sanctie effectief wordt opgelegd en uitgevoerd.
# 10. De publicatie.
In de mate dat het sanctioneren van inbreuken op de AVG en de GBA-wet van aard moet zijn om mede afschrikkend moet zijn, beveelt het Marktenhof aan dat de GBA aan om het huidig arrest bekend te maken op haar website met weglaten van de identificatiegegevens van de betrokken partijen.
# 11. Beslissing.
Het hoger beroep is ontvankelijk en gegrond.
De bestreden beslissing 06/2019 van 17 september 2019 van de Geschillenkamer van de Gegevensbeschermingsautoriteit inzake X wordt vernietigd.
Het zal aan de Gegevensbeschermingsautoriteit behoren de reeds door X betaalde administratieve boete van € 10.000 aan X terug te doen betalen. Het Marktenhof kan
PAGE 01-00001582885-0031-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 32
echter niet gevat worden van een vordering tot voldoen van een subjectief recht en het Marktenhof kan dan ook geen veroordeling in die zin uitspreken.
# 12. De kosten,
Overeenkomstig de wet van 21 april 2007 en het KB van 26 oktober 2007 wordt de rechtsplegingvergoeding begroot op de basisvergoeding van € 1.440,00.
Om deze redenen,
Het hof,
Gezien artikel 24 van de wet van 15 juni 1935 op het gebruik der talen in gerechtszaken,
Verklaart het hoger beroep ontvankelijk en gegrond;
Vernietigt de bestreden beslissing 06/2019 van 17 september 2019 van de Geschillenkamer van de Gegevensbeschermingsautoriteit inzake X;
Veroordeelt de Gegevensbeschermingsautoriteit tot de kosten van het beroep, vereffend op 1.860,00 euro (zijnde € 400,00 rolrecht, € 20,00 bijdrage Budgettair Fonds en € 1440,00 rechtsplegingsvergoeding).
Veroordeelt de Gegevensbeschermingsautoriteit, overeenkomstig artikel 269/2 van het Wetboek der registratie-, hypotheek- en griffierechten tot betaling aan de Belgische Staat, FOD Financiën, van het rolrecht hoger beroep ten bedrage van 400,00 euro, en tot het definitief ten laste nemen van de bijdrage van € 20,00 Budgettair Fonds;
* * *
PAGE 01-00001582885-0032-0033-01-01-4
Hof van beroep Brussel – 2019/AR/1600 – p. 33
Dit arrest werd uitgesproken in de openbare burgerlijke terechtzitting van het Marktenhof – negentiende kamer A van het hof van beroep te Brussel op 19 februari 2020 door
M. BOSMANS Raadsheer dd. voorzitter
A-M. WITTERS Raadsheer
O. DUGARDYN Plaatsvervangend raadsheer
B. VANDERGUCHT Griffier
B. VANDERGUCHT
O. DUGARDYN
A-M. WITTERS
M. BOSMANS
PAGE 01-00001582885-0033-0033-01-01-4