734
Uitgifte
| Repertoriumnummer 2020 / 8083 | Uitgereikt aan | Uitgereikt aan | Uitgereikt aan |
| --- | --- | --- | --- |
| Datum van uitspraak 18 november 2020 | op € BUR | op € BUR | op € BUR |
| Rolnummer 2020/AR/813 | | | |
Niet aan te bieden aan de ontvanger
Eindarrest : ontvankelijk en gegrond
# Hof van beroep
# Brussel
Sectie Marktenhof
19de kamer A
Kamer voor marktzaken
# Arrest
| Aangeboden op |
| --- |
| Niet te registreren |
COVER 01-00001823325-0001-0040-02-01-1
Hof van beroep Brussel – 2020/AR/813 – p. 2
435
INZAKE :
X. [...],
verzoekende partij,
vertegenwoordigd door [...] en [...]
tegen de beslissing van de Geschillenkamer van de GBA van 14 mei 2020 nummer 24/2020 dossier DOS-2019-02902.
TEGEN :
De GEGEVENSBESCHERMINGSAUTORITEIT, publieke instelling naar Belgisch recht, ON 0694.679.950, met maatschappelijke zetel te 1000 BRUSSEL, Drukpersstraat 35, verwerende partij,
vertegenwoordigd door Mr. ROETS Joos, Mr. CLOOTS Elke en Mr VAN DIEST Thomas, advocaten, allen kantoorhoudende te 2018 ANTWERPEN, Oostenstraat 38/201
***
# 1. Rechtsmacht van het Marktenhof:
Het hof put zijn rechtsmacht uit een verzoekschrift neergelegd ter griffie van het hof van beroep te Brussel op 12 juni 2020 door X tegen de GEGEVENSBESCHERMINGSAUTORITEIT (hierna “GBA”).
Bij dit verzoekschrift stelt X bij het Marktenhof beroep in tegen de beslissing van de Geschillenkamer van de GBA van 14 mei 2020 nummer 24/2020 dossier DOS-2019-02902.
# 2. De vorderingen voor het Marktenhof:
Bij conclusie neergelegd ter griffie op 9 september 2020 vordert X
Het (beperkt) hoger beroep van X vooreerst toelaatbaar en ontvankelijk te verklaren en derhalve:
PAGE 01-00001823325-0002-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 3
736
In hoofdorde:
- de Beslissing te vernietigen wegens gebrekkige motivering;
In ondergeschikte orde:
- te oordelen dat X geen inbreuk pleegde op artikel 6, lid 1 van de AVG, in de mate dat de verwerking van persoonsgegevens voor de volgende doeleinden (artikel 4.3 van de Privacyverklaring van X) kan geschieden op basis van een andere in artikel 6, lid 1 AVG voorziene rechtsgrond dan de toestemming van de betrokkene (artikel 6, lid 1, onder a) AVG):
- het uitvoeren van computertesten;
- het bewaken van de kwaliteit van de dienstverlening;
- het opleiden van personeel;
- monitoring en rapportage;
- de opslag van opnamen van videobewaking gedurende de wettelijke periode;
- en
- het opstellen van statistieken van gecodeerde gegevens, inclusief big data;
- te oordelen dat X geen inbreuk op artikel 6, lid 1 van de AVG, in de mate dat de doorgifte doorgiften van persoonsgegevens aan de volgende derden (artikel 6 van de Privacyverklaring van X) kan geschieden op basis van een andere in artikel 6, lid 1 AVG voorziene rechtsgrond dan de toestemming van de betrokkene (artikel 6, lid 1, onder a) AVG):
o de maatschappijen van de groep Z waartoe X behoort, voor
- monitoring en rapportering; en
- subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk voor
- verwerkingsactiviteiten gedefinieerd door X;
- te oordelen dat X geen inbreuk pleegde op de in artikel 5, lid 2 AVG vastgelegde verantwoordingsplicht, in zoverre X zich beroept op haar gerechtvaardigd belang (artikel 6, lid 1, onder f) AVG) als rechtsgrond voor de in de eerste twee punten vermelde verwerkingen van persoonsgegevens;
- te oordelen dat X geen inbreuk pleegde op artikel 13, lid 1, onder c) en d) AVG, in zoverre X zich beroept op haar gerechtvaardigd belang (artikel 6, lid 1, onder f) AVG) als rechtsgrond voor de in de eerste twee punten vermelde verwerkingen van persoonsgegevens;
- te oordelen dat X geen inbreuk heeft gepleegd op artikel 5, lid 1, onder a) AVG, in zoverre X zich beroept op haar gerechtvaardigd belang (artikel 6, lid 1, onder f) AVG) als rechtsgrond voor de in de eerste twee punten vermelde verwerkingen van persoonsgegevens; en X een waarschuwing op te leggen.
In meer ondergeschikte orde:
PAGE 01-00001823325-0003-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 4
737
- mocht een administratieve geldboete alsnog aan de orde zijn, quod non, het bedrag van de administratieve geldboete te verlagen.
In elk geval:
- de GBA te veroordelen tot de kosten van het geding in hoger beroep, inclusief de rechtsplegingsvergoeding.
Bij conclusie neergelegd op 30 september 2020 vordert de GBA:
- In hoofdorde, het beroep van verzoeker ongegrond te verklaren;
- Hoe dan ook, verzoeker te veroordelen tot de kosten van het geding, met inbegrip van het basisbedrag van de rechtsplegingsvergoeding, begroot op 1.440 euro.
### 3. De feiten:
De verschillende partijen geven een eigen feitenrelaas.
Het Marktenhof herneemt hierbij enkel het feitenrelaas van de GBA.
De GBA vat als volgt samen:
1. Op 14 juni 2019 diende dhr. V (hierna: 'de klager') een klacht in bij de Gegevensbeschermingsautoriteit (GBA) tegen X (stuk 1).
De klacht betreft het gebruik van gezondheidsgegevens – die X als verzekeringsmaatschappij van de klager verkregen heeft in het kader van een hospitalisatieverzekering – voor bepaalde andere doeleinden, zonder de uitdrukkelijke toestemming van de verzekerde betrokkene. De klager stelde (stuk 1):
"X verwerft via dwang het recht tot verwerken van gevoelige persoonsgegevens voor het verlenen van zijn hospitalisatieverzekering. De klant kan enkel via expliciete toestemming akkoord gaan met alle verwerking, zo niet kan er geen dekking gegeven worden voor de hospitalisatieverzekering.
Voor verwerkingen essentieel voor het uitvoeren van de verplichtingen is dit logisch. Echter voor de verwerkingen opgesomd in punt 4.3 gerechtvaardigde belangen niet. De klant moet de keuze krijgen of hij met deze akkoord gaat en krijgt deze niet. Zelfs online op X kan men enkel akkoord gaan met alles en krijgt de klant maar 1 enkele keuzemogelijkheid.
Doorgiften aan derden is ook niet zonder toestemming toegelaten tenzij hier een wettelijke verplichting bestaat. Voor vele doorgiften in [punt 6] is dit niet het geval, de klant heeft hier ook geen keuzemogelijkheid. Wij wensen dat de klant voor deze zaken in punt 4.3 en [6] individuele toestemming kan geven, dat X zijn formulieren
PAGE 01-00001823325-0004-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 5
738
aanpast en dat alle klanten een nieuw formulier toegestuurd krijgen met de aangepaste keuzemogelijkheden.”
Met andere woorden, de klacht is niet gericht op de verwerking van gezondheidsgegevens voor het uitvoeren van verplichtingen in het kader van de hospitalisatieverzekering die werd afgesloten met X. De klacht richt zich op het feit dat diezelfde gezondheidsgegevens zonder meer worden verwerkt voor de doeleinden opgesomd in punt 4.3 van de privacyverklaring en met de doorgifte van die gegevens aan derden zoals vermeld in punt 6 van diezelfde privacyverklaring.
Meer bepaald stelt de privacyverklaring van X (stuk 1, bijlage):
“2. De volgende categorieën van persoonsgegevens worden door X verwerkt: identificatiegegevens, Financiële bijzonderheden, Persoonlijke kenmerken, Fysieke gegevens, Levensgewoonten, Vrijetijdsbesteding en interessen, Beeldopnames, Geluidsopnamen, Gegevens betreffende gezondheid en Gerechtelijke gegevens.
3. X verzamelt uw persoonsgegevens voornamelijk wanneer:
- u een X-verzekering afsluit voor uzelf of een derde persoon, zoals een lid van uw gezin, door de nodige documenten in te vullen;
- u contact opneemt met X voor informatie over onze producten en diensten;
- u de verschillende diensten en tools (applicaties, persoonlijke platforms, nieuwsbrieven, enz.) gebruikt die wij beschikbaar stellen om u te informeren of om contact met ons op te nemen om informatie aan te vragen;
- u een recht uitoefent dat is vastgelegd als deel van onze contractuele relatie;
- u onze websites of sociale netwerken bezoekt;
- u onze gebouwen bezoekt: uw bezoek wordt voor veiligheidsredenen op video opgenomen en bewaard door CCTV-camera’s;
- een derde partij, die daartoe bevoegd is, ons uw persoonsgegevens verstrekt (professionele dienstverleners, uw verzekeringstussenpersoon, uw werkgever als onderdeel van een groepsverzekering, een zorgverlener, enz.)
4. Persoonsgegevens worden verwerkt voor de volgende doeleinden: [...]
4.3. Op basis van het gerechtvaardigd belang van X, voor:
- het uitvoeren van computertesten; [1]
- het bewaken van de kwaliteit van de dienstverlening; [2]
- het opleiden van personeel; [3]
- monitoring en rapportage; [4]
- het voorkomen van misbruik en fraude; [5]
- de opslag van opnamen van videobewaking gedurende de wettelijke periode; [6]
- het opstellen van statistieken van gecodeerde gegevens, inclusief big data; [7]
PAGE 01-00001823325-0005-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 6
739
- het verstrekken van informatie, ongeacht de communicatiemiddelen, over de commerciële acties, producten en diensten van X en van de groep waartoe het behoort. [8] [...]
6. De gegevens zullen uitsluitend voor wat nodig is voor de hierboven aangegeven doeleinden worden meegedeeld aan de volgende derden:
- Verzekeringstussenpersonen voor de statistische doeleinden van gecodeerde gegevens die zij op verzoek van de betrokken persoon zullen toelichten en produceren; [1]
- Verzekeringstussenpersonen, voor gegevens over gezondheid, in schadevergoedingsoverzichten en in de kopie van het verzekeringscontract met eventuele uitsluitingen en/of bijpremies, als de betrokken persoon hen vooraf expliciet en geïnformeerd toestemming heeft gegeven; [2]
- Ziekenfondsen, voor het mogelijk maken van vergoedingen; [3]
- Eén of meerdere verzekeringsmaatschappijen in geval van medeverzekering, bijstand en/of terugvordering van kosten in geval van aansprakelijkheid van een derde partij bij het ontstaan van de schade; [4]
- De maatschappijen van de Z groep waartoe X behoort, voor monitoring en rapportering; [5]
- Subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk voor verwerkingsactiviteiten gedefinieerd door X; [6]
- De verzekeringsombudsman in geval van een geschil; [7]
- Bankinstellingen; [8]
- Post-, transport en bezorgbedrijven om onze post beter te kunnen verzenden; [9]
- Belasting- en sociale administraties, vanwege de wettelijke verplichtingen van X; [10]
- De openbare toezichthoudende en controlerende autoriteiten, vanwege de wettelijke verplichtingen van X; [11]
- De IPT (Insurance Premium Taks) waaraan u, indien van toepassing, bent onderworpen voor de betaling van de internationale belasting. [12]"
Daarnaast bepaalt het toestemmingsformulier van X (stuk 1, bijlage):
"[...] Ik verklaar dat ik de bijgevoegde Privacyverklaring van X heb gelezen (die ook beschikbaar is op de X-website [...] onder 'Privacy' rubriek of op papier op verzoek aan X).
Ik erken dat mijn persoonlijke gezondheidsgegevens alleen verwerkt mogen worden met mijn toestemming. Als ik echter geen toestemming geef, dan kan het afsluiten en/of de behoorlijke uitvoering van het verzekeringscontract worden verhinderd. Ik erken verder dat ik het recht heb mijn toestemming te allen tijde in te trekken. De intrekking van de toestemming heeft geen invloed op de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking ervan. [...]
Ik geef hierbij mijn uitdrukkelijke toestemming aan X om mijn gezondheidsgegevens te verwerken (of die van de minderjarige van wie ik de
PAGE 01-00001823325-0006-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 7
740
wettelijke vertegenwoordiger ben), zo nodig door middel van volledig geautomatiseerde verwerking, zonder tussenkomst van een beroepsbeoefenaar in de gezondheidszorg, voor de beoordeling van risico’s, het beheer van (pre)contractuele relaties, de uitgifte en uitvoering van verzekeringscontracten, schadebeheer, mogelijke geschillenbeslechting, preventie, opsporing en onderzoek van verzekeringsfraude, en kennisgeving van een wijziging van het verzekeringscontract.”
Tot slot gaf de klager te kennen een gegevensbeschermingseffectenbeoordeling te willen ontvangen van X vermits er sprake is van het verwerken van gegevens met een hoog risico voor de betrokkenen.
2. Op 26 juni 2019 werd de klacht ontvankelijk verklaard op grond van de artikelen 58 en 60 van de wet van 3 december 2017. tot oprichting van de Gegevensbeschermingsautoriteit (WOG), werd de klager hiervan in kennis gesteld op grond van artikel 61 WOG en werd de klacht op grond van artikel 62, §1 WOG overgemaakt aan de Geschillenkamer van de GBA.
3. Op 23 juli 2019 besliste de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed was voor behandeling ten gronde. Op 24 juli 2019 werden de betrokken partijen (klager en X) daarom per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in art. 95, §2 WOG alsook van deze in art. 98 WOG.
In diens kennisgeving aan X meldde de Geschillenkamer onder meer (stuk 6):
“De klacht betreft de verwerking van gevoelige persoonsgegevens door X in het kader van een hospitalisatieverzekering, waarbij de expliciete toestemming van de betrokkene zou worden afgedwongen. Een kopie van de klacht, alsmede de inventaris van de stukken van het dossier worden u in bijlage bezorgd.”
Ook werden de betrokken partijen op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van X werd vastgelegd op 6 september 2019. Vervolgens kon de klager een conclusie van repliek indienen tegen uiterlijk 7 oktober 2019 en kon X diens conclusie van repliek indienen tegen uiterlijk 7 november 2019. Tevens werd op 30 juli 2019 een kopie van het dossier aan X overgemaakt.
4. Op 6 september 2019 ontving de Geschillenkamer de conclusie van antwoord vanwege X. Hierin stelde X (stuk 13):
- vooreerst dat het verwerken van bijzondere categorieën van persoonsgegevens, in casu gezondheidsgegevens, door zorgverzekeraar X op een rechtmatige wijze geschiedt. De verwerking van deze bijzondere categorieën van persoonsgegevens is in beginsel verboden (art. 9 AVG). X beroept zich voor de verwerking van gezondheidsgegevens evenwel op de uitzonderingsgrond van artikel 9, lid 2, a) AVG, met name de uitzonderingsgrond ‘uitdrukkelijke toestemming van de
PAGE 01-00001823325-0007-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 8
741
betrokkene'. X benadrukte verder (stuk 13, p. 9): "In dit geval is het zo dat de toestemming slechts gevraagd wordt voor verwerkingen van gezondheidsgegevens die noodzakelijk zijn voor verzekeringsovereenkomsten die worden afgesloten met X. De gegevens worden noodzakelijk verwerkt voor risico-analyses, schadebehandeling en schikkingen."
- Tevens betoogde X (stuk 13, p. 10 e.v.) dat er weldegelijk géén toestemming wordt gevraagd voor verwerkingen van gegevens andere dan gezondheidsgegevens, en dat er evenmin toestemming wordt gevraagd voor de verwerkingen op grond van gerechtvaardigd belang. Inzake punt 4.3 van de Privacyverklaring benadrukte X (stuk 13, p. 10-11):
"In zijn klacht werpt klager op dat een 'afzonderlijke toestemming' noodzakelijk zou zijn voor de verwerkingen opgesomd in art. 4.3 van de Privacyverklaring. Klager stelt dat X de betrokkene "dwingt" om toestemming te geven voor de verwerkingen in art. 4.3 en hen ter zake geen keuze geeft.
De stelling van klager berust echter op een verkeerde lezing van de Privacyverklaring en het Toestemmingsformulier. [...]
[X beroept] zich op het gerechtvaardigd belang om bepaalde persoonsgegevens te kunnen verwerken (art. 4.3 Privacyverklaring). X verwerkt deze gegevens om taken uit te voeren die verband houden met haar bedrijfsactiviteiten. Het is bijvoorbeeld volstrekt normaal dat X persoonsgegevens verwerkt om misbruik en fraude tegen te gaan. [...]
Klager haalt aan dat de "klant de keuze [zou moeten] krijgen of hij met [Art. 4.3 van de Privacyverklaring] akkoord gaat". Deze opvatting strookt echter niet met de structuur van de Privacyverklaring. Voor de verwerkingen die zijn opgesomd in Art. 4.3 (gerechtvaardigd belang) is geen toestemming vereist, aangezien [X] zich hiervoor beroept op het gerechtvaardigd belang. Het gaat in dit geval namelijk over "gewone" persoonsgegevens, waarbij men zich perfect kan beroepen op het gerechtvaardigd belang en niet moet terugvallen op de toestemming zoals in het geval van gezondheidsgegevens.
[...] Evenmin bevat het Toestemmingsformulier een toestemming voor dergelijke verwerkingen. Een duidelijk onderscheid dient daarom te worden gemaakt tussen het Toestemmingsformulier aan de ene kant en de Privacyverklaring aan de andere kant.
Het toepassingsgebied van het Toestemmingsformulier is beperkt tot de gezondheidsgegevens van de betrokkenen. Er wordt weliswaar melding gemaakt van de Privacyverklaring, maar dit geldt hoogstens als bewijs van kennisname om aan de transparantieverplichtingen van Hoofdstuk III AVG te voldoen. [...]
PAGE 01-00001823325-0008-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 9
748
Er wordt in dit Toestemmingsformulier bijgevolg geenszins verwezen naar andere gegevens, zoals de gegevens die worden verwerkt op grond van het gerechtvaardigd belang voor de doeleinden vervat in art. 4.3 van de Privacyverklaring.
Besluitend kan worden vastgesteld dat X geenszins de toestemming vraagt (en de betrokkene dus geenszins zijn toestemming geeft) voor de verwerkingen die zijn opgelijst in art. 4.3 van de Privacyverklaring. [...]"
- Daarnaast verklaarde X, inzake punt 6 van de Privacyverklaring, dat X geen afzonderlijke toestemming moet vragen voor elk van de daarin vermelde doorgiften. X benadrukte daarbij, in dezelfde lijn met wat zij stelde inzake punt 4.3 van de Privacyverklaring (stuk 13, p. 12-13):
"Om persoonsgegevens te kunnen doorgeven (lees: verwerken) is een wettelijke grondslag nodig. Zoals eerder besproken verwerkt X niet alleen persoonsgegevens door zich te beroepen op de toestemming als wettelijke grondslag. Tevens beroept zij zich, naargelang het geval, op de uitvoering van de overeenkomst, het gerechtvaardigd belang en de wettelijke verplichting. [...]"
Voor elk van de personen vermeld in Art. 6 van de Privacyverklaring wordt hieronder een overzicht geboden op basis van welke rechtsgrond de doorgifte plaatsvindt."
In het genoemde overzicht, stelde X onder meer, inzake de navolgende twee categorieën van doorgifte:
"De maatschappijen van de Z groep waartoe X behoort, voor monitoring en rapportering. Gerechtvaardigd belang
Subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk voor verwerkingsactiviteiten gedefinieerd door X. Gerechtvaardigd belang."
X vervolgde: "Hieruit blijkt duidelijk dat de verschillende doeleinden vermeld in Art. 4 van de Privacyverklaring, met name de uitvoering van de overeenkomst, de toestemming, het gerechtvaardigd belang en de wettelijke verplichting als rechtsgrond gelden voor de doorgifte aan bepaalde personen."
- Tot slot argumenteerde X dat een gegevensbeschermingseffectenbeoordeling in het voorliggend geval niet noodzakelijk was, aangezien het reeds bestaande verwerkingen betreft en het niet handelde om nieuwe verwerkingen die aanvragen na 25 mei 2018.
5. De klager, van zijn kant, diende geen conclusie van repliek in. X meldde op 7 november 2019 dat zij bijgevolg ook geen (aanvullende) conclusie van repliek zou indienen. Wel maakte X, ter aanvulling van haar verantwoording inzake punt 4.3 en punt 9 van haar Privacyverklaring, een overzicht van rechtspraak en rechtsleer over aan de Geschillenkamer, ter staving van haar eerste conclusie van 6 september 2019 (stuk 17, met 8 bijlagen).
PAGE 01-00001823325-0009-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 10
743
6. Op 28 januari 2020 organiseerde de Geschillenkamer vervolgens een hoorzitting, waarop X werd gehoord. De klager verscheen, hoewel behoorlijk opgeroepen, niet op de hoorzitting.
Tijdens de hoorzitting verzocht de Geschillenkamer aan X om (onder meer) een verantwoording te verstrekken omtrent het gerechtvaardigd belang waarop X zich beroept voor de verwerkingen van andere dan gezondheidsgegevens; waarop X als volgt antwoordde (stuk 23, p. 2):
“De Geschillenkamer vraagt waaruit het gerechtvaardigd belang bestaat waarop X zich beroept waarop de verwerking van andere dan gezondheidsgegevens zou zijn gebaseerd. X stelt dat het belang om haar economische activiteit uit te bouwen. X stelt dat de klager daartegen bezwaar kan indienen (opt-out systeem). De Geschillenkamer vraagt hoe de uitoefening van dit bezwaar wordt gefaciliteerd. X stelt dat meestal collectief bezwaar wordt ingediend, voornamelijk voor direct marketing doeleinden, via [...], maar minder individueel. DPO van X beantwoordt dergelijke vragen om gegevens, andere dan gezondheidsgegevens, niet te verwerken.
De Geschillenkamer stelt dat uit de privacyverklaring (punt 4.3.8) volgt dat voor direct marketing geen toestemming is vereist. X stelt dat ze zich houdt aan alle wettelijke bepalingen inzake direct marketing, maar direct marketing nagenoeg onbestaande is bij X. Het is enkel bij wijze van voorzorgsmaatregel (voor eventueel direct marketing in de toekomst) dat dit doeleinde is opgenomen in de privacyverklaring.”
7. Op 29 januari 2020 werd het proces-verbaal van de hoorzitting aan de partijen overgemaakt (stukken 24 en 25). Op 31 januari 2020 bezorgde X, zoals gevraagd tijdens de hoorzitting, informatie over de jaaromzet van de drie laatste boekjaren aan de Geschillenkamer. Deze jaaromzet bedroeg over de jaren 2016-2018 steeds een bedrag tussen [...] en [...] miljoen euro (stukken 26 en 27). Op 6 februari 2020 maakte X tevens nog enige opmerkingen betreffende het proces verbaal over aan de Geschillenkamer (stuk 28), die door de Geschillenkamer mee in overweging werden genomen tijdens het beraad (stuk 38, p. 4). Wat betreft de weergave, in het PV, van de algemene vraag inzake het gerechtvaardigd belang waarop X zich beroept om andere dan gezondheidsgegevens te verwerken (alsook het summiere antwoord daarop van X), formuleerde X géén bedenkingen of bezwaren. Enkel maakte X de volgende opmerking over direct marketing (stuk 28, p. 2):
“Met betrekking tot de laatste paragraaf op blz. 2 wijzen wij erop dat de klacht in onderhavig dossier geen betrekking heeft op het direct marketingbeleid van X. De verwerking van persoonsgegevens ten behoeve van direct marketing werd enkel te berde gebracht als voorbeeld van hoe het uitoefenen van bezwaar tegen de verwerking van persoonsgegevens op basis van de gerechtvaardigde belangen van X, wordt gefaciliteerd.
Evenwel hebben wij tijdens de hoorzitting benadrukt dat de AVG (meer bepaald overweging 47) bevestigt dat direct marketing kan worden uitgevoerd op basis van haar gerechtvaardigd belang: “De verwerking van persoonsgegevens ten behoeve
PAGE 01-00001823325-0010-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 11
744
van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.”
Voor bepaalde vormen van direct marketing is de toestemming (opt-in) vereist, in andere gevallen kunnen persoonsgegevens evenwel worden verwerkt voor direct marketingdoeleinden op basis van de gerechtvaardigde belangen van X. Dit is bijvoorbeeld het geval wanneer X direct marketing naar bestaande klanten stuurt als aan de voorwaarden van het Koninklijk Besluit van 4 april 2003 tot reglementering van het verzenden van reclame per elektronische post is voldaan.”
8. Op 25 maart 2020 heeft de Geschillenkamer, met inachtneming van het arrest van 19 februari 2020 van Uw Hof, aan X het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve boete, en het overwogen bedrag daarvan meegedeeld, teneinde X daaromtrent te horen, voordat de sanctie effectief zou worden opgelegd (stuk 30). Naast een mededeling van de inbreuken die de Geschillenkamer voornemens was om vast te stellen, meldde de Geschillenkamer tevens (stuk 30):
“2. De Geschillenkamer is voornemens een geldboete op te leggen van:
50.000 euro
3. De volgende omstandigheden spelen in het bijzonder een rol:
- Het gaat om inbreuken op essentièle beginselen uit de Algemene Verordening Gegevensbescherming.
- Verweerder is een bedrijf dat op große schaal personsgevens, waaronder gezondheidsgegevens, verwerkt.
Er is een verregaande mate van nalatigheid vastgesteld.
- De klacht en procedure bij de Geschillenkamer hebben nicht geleid tot een aanpassing van de praktijkken.
4. De hoogte van dit bedrag is gebaseerd op de volgende overwegingen:
- Ernst van de inbreuk
Er is sprake van een ernstige inbreuk van de AVG door de verweerder. Eerst en vooral is er een inbreuk van fundamentele beginselen van gegevensbescherming. Daarenboven heeft deze inbreuk een relatief grote impact, aangezien er een groot aantal betrokkenen geraakt zijn door deze inbreuk (alle verzekerden die zich via een hospitalisatieverzekering hebben aangesloten bij X).
- De duur van de inbreuk:
Uit hetgeen verweerder naar voren heeft gebracht in de procedure voor de Geschillenkamer blijkt niet dat de inbreuk is beëindigd en dus heeft voortgeduurd tot 25 januari 2020. Daarbij houdt de Geschillenkamer geen rekening met aanpassingen verricht nadat de debatten omtrent de vaststellingen zijn gesloten.
- De nodige afschrikwekkende werking om verdere inbreuken te voorkomen.
Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in art. 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria.
- De Geschillenkamer baseert zich op de navolgende jaarcijfers van verweerder:
De door u overgelegde stukken gaan uit van een jaaromzet van [...] EUR voor 2018.”
PAGE 01-00001&23325-0011-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 12
745
9. Op 8 mei 2020 ontving de Geschillenkamer de reactie van X op het voornemen tot het opleggen van een administratieve geldboete, alsmede inzake het voorgenomen bedrag daarvan (stuk 37). In diens reactie voerde X aan dat de vermeende inbreuken, zoals opgenomen in de kennisgeving van het voornemen tot het opleggen van een administratieve boete, volledig nieuw zouden zijn en dat X daaromtrent geen standpunt heeft kunnen innemen. Tevens stelde X het oneens te zijn met het opleggen van een geldboete, alsmede met de voorgenomen hoogte van de geldboete (stuk 37).
10. Vervolgens nam de Geschillenkamer de bestreden beslissing nr. 24/2020 op 14 mei 2020 die thans wordt aangevochten bij Uw Hof (stuk 38).
In deze beslissing stelde de Geschillenkamer de volgende inbreuken op de AVG vast (stuk 38, p. 14):
• “Inbreuk op art. 6.1 AVG:
o de gegevensverwerking voor de doeleinden vermeld in de onderdelen 1, 2, 3, 4, 6 en 7 van punt 4.3 van de privacyverklaring, zonder enig aangetoond gerechtvaardigd belang, is ten onrechte niet gebaseerd op toestemming van de klager bij gebrek aan enige andere mogelijk toepasselijke rechtsgrond in art. 6.1 AVG.
o de gegevensverwerking voor de doorgiften aan derden vermeld in onderdeel 5 en 6 opgenomen onder 6. van de privacyverklaring, zonder enig aangetoond gerechtvaardigd belang, is ten onrechte niet gebaseerd op toestemming van de klager bij gebrek aan enige andere mogelijke toepasselijke rechtsgrond in art. 6.1 AVG.
• Inbreuk op de in artikel 5.2. AVG vastgelegde verantwoordingsplicht, in zoverre de verweerder zich beroept op zijn gerechtvaardigd belang als rechtsgrond voor de hierboven gepreciseerde gegevensverwerkingen.
• Inbreuk op art. 12.1, art. 13.1, c) en d) AVG, alsook op art. 13.2 b) AVG, in zoverre de verweerder niet de vereiste informatie heeft verstrekt aan de klager en heeft nagelaten de passende maatregelen te nemen opdat de klager de in de artikelen 13 bedoelde informatie en de in art. 21.2 AVG bedoelde communicatie in verband met de verwerking zou ontvangen, in het bijzonder:
o de punten 4.3 en 6 van de privacyverklaring geen duidelijk onderscheid maken tussen de verwerking van gezondheidsgegevens enerzijds, en de verwerking van de andere ‘gewone’ persoonsgegevens anderzijds.
o geen informatie wordt verstrekt aan de betrokkene omtrent zijn gerechtvaardigde belangen.
o geen passende maatregelen zijn genomen om de betrokkene te informeren omtrent o.a. het in art. 21.2 AVG gewaarborgde recht op bezwaar.
o de verwerkingsgrondslag voor alle doorgiften niet in de privacyverklaring worden vermeld.
• Inbreuk op het in art. 5.1.a) vastgelegde basisbeginsel dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkenen rechtmatig, behoorlijk en transparant is.”
PAGE 01-00001823325-0012-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 13
746
Hieronder worden de in casu (meest) relevante onderdelen/motieven van de beslissing weergegeven.
Inzake punt 4.3 van de privacyverklaring van X, overwoog de Geschillenkamer daarbij (onder meer) (stuk 38, p. 6 e.v.):
“a) Doeleinden in 4.3 van de privacyverklaring – Verwerkingsgrond (art. 6.1 AVG)
De Geschillenkamer stelt vast dat de problematiek die de klager voorlegt, betrekking heeft op punt 4.3 van de privacyverklaring van de verweerder, die vermeldt dat persoonsgegevens worden verwerkt op basis van het gerechtvaardigd belang van X, voor de volgende doeleinden:
hetuitvoeren van computertesten; [1]
het bewaken van de kwaliteit van de Dienstverlening;[2]
het opleiden van personeel;[3]
monitoring en rapportage;[4]
het voorkomen van misbruik en fraude;[5]
- de opslag van opnamen van videobewaking gedurende de wettelijkperiode;[6]
het opstellen van statistieken van gecodeerde gegevens, inclusief big data;[7]
- het verstrekken van informatie, ongeacht de communicatiemiddelen, over de commerciele acties, producten en Diensten van X en van de groep waartoe het behoort.[8]
[...] De verweerder stelt daaromtrent dat voor de verwerkingen die zijn opgesomd in 4.3 van de privacyverklaring geen toestemming is vereist, aangezien de verweerder zich voor de daarin vermelde doeleinden overeenkomstig artikel 6.1f) AVG beroept op het gerechtvaardigd belang als rechtsgrond voor de verwerking. De verweerder stelt dat hij zich op die rechtsgrond kan beroepen, aangezien enkel ‘gewone’ persoonsgegevens voor die doeleinden worden verwerkt en geen toestemming van de betrokkene is vereist zoals in het geval van gezondheidsgegevens als bedoeld in artikel 9 AVG.
De verweerder voert aan dat voor de doeleinden zoals vermeld in punt 4.3 van de privacyverklaring weliswaar persoonsgegevens worden verwerkt, doch geen gezondheidsgegevens.
De Geschillenkamer stelt vast dat voor de verwerking van persoonsgegevens, andere dan gezondheidsgegevens, de rechtmatigheid van de verwerking moet worden beoordeeld in het licht van art. 6.1 AVG dat zes nevengeschikte verwerkingsgronden bevat, waaronder het gerechtvaardigd belang (art. 6.1.f) AVG) waarop de verweerder zich in casu beroept.
De Geschillenkamer benadrukt daarbij wel dat wanneer een verwerkingsverantwoordelijke zich steunt op het gerechtvaardigd belang om een verwerking als rechtmatig te bestempelen, overeenkomstig de rechtspraak van het Europees Hof van Justitie aan “drie cumulatieve voorwaarden [...] moet zijn voldaan opdat de verwerking van persoonsgegevens rechtmatig is, te weten, in de eerste
PAGE 01-00001823325-0013-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 14
747
plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzakelijkheid van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigd belang, en, in de derde plaats, het feit dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren.
Daarbij is een afweging nodig met de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene (art. 6.1.f) AVG) en bij deze afweging moeten de overwegingen van de AVG gerelateerd aan art. 6.1.f) AVG in aanmerking [...] worden genomen, in het bijzonder Overweging 47.
Aldus is de Geschillenkamer van oordeel dat voor elk van de doeleinden vermeld in punt 4.3 van de privacyverklaring dient te worden nagegaan in welke mate de verweerder zich kan beroepen op het gerechtvaardigd belang als rechtsgrond waarop de verwerking wordt gebaseerd. Overweging 47 van de AVG stelt centraal dat een zorgvuldige beoordeling is vereist om te bepalen of er sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijze mag verwachten dat verwerking met dat doel kan plaatsvinden.
Op basis van de elementen waarover de Geschillenkamer beschikt, is zij van oordeel dat de verweerder de gegevensverwerking kan baseren op het gerechtvaardigd belang voor de doelstelling “het voorkomen van misbruik en fraude” zoals vermeld in onderdeel 5 van punt 4.3 van de privacyverklaring. Het staat immers vast dat de verwerking van persoonsgegevens voor dit doeleinde noodzakelijk is voor de behartiging van het gerechtvaardigd belang van de verweerder en dat dit belang zwaarder weegt dan het belang van de klager tot bescherming van zijn persoonsgegevens. In dit verband verwijst de Geschillenkamer naar overweging 47 van de AVG waarin wordt gesteld dat de verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming een gerechtvaardigd belang van de verwerkingsverantwoordelijke is.
De Geschillenkamer voegt hieraan toe dat niettegenstaande de bewering van de verweerder dat geen gezondheidsgegevens worden verwerkt voor de doeleinden in 4.3 van de privacyverklaring, waaronder het doeleinde “het voorkomen van misbruik en fraude”, uit het toestemmingsformulier nochtans duidelijk blijkt dat de uitdrukkelijke toestemming wordt gevraagd om gezondheidsgegevens te verwerken voor o.a. “preventie, opsporing en onderzoek van verzekeringsfraude.” De Geschillenkamer stelt hier vast dat er een incoherentie is tussen wat de verweerder in zijn conclusie beweert en wat het toestemmingsformulier bepaalt en komt hierop terug bij de beoordeling van de transparantieverplichting die rust op de verweerder.
Het doeleinde opgenomen in onderdeel 8 van punt 4.3 van de privacyverklaring “het verstrekken van informatie, ongeacht de communicatiemiddelen, over de commerciële acties, producten en diensten van X en van de groep waartoe het behoort” dat moet worden gekwalificeerd als direct marketing, is eveneens mogelijk
PAGE 01-00001823325-0014-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 15
748
op basis van het gerechtvaardigd belang, maar moet samen worden gelezen met art. 21.2 AVG waarin is bepaald dat de betrokkene ten allen tijde het recht heeft om bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor direct marketing, met inbegrip van profilering die betrekking heeft op direct marketing. Ook hierop komt de Geschillenkamer terug bij de beoordeling van de transparantieverplichting in hoofde van verweerder.
Voor de overige doeleinden opgenomen in art. 4.3 van de privacyverklaring is de Geschillenkamer van oordeel dat er geen sprake is van een gerechtvaardigd belang in hoofde van de verweerde dat zwaarder zou wegen dan de belangen en de grondrechten van de klager tot bescherming van zijn persoonsgegevens.
Overweging 47 waarin staat dat een gerechtvaardigd belang aanwezig kan zijn wanneer er sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is, houdt volgens de Geschillenkamer niet in dat in het kader van die verhouding waarbij de klager optreedt als klant van de verweerder, een gegevensverwerking mogelijk zou zijn voor om het even welke doeleinde. De verweerder toont op geen enkele wijze aan waaruit zijn gerechtvaardigd belang dan wel zou bestaan en laat ook na aan te tonen in hoeverre zijn belang zwaarder zou doorwegen dan de belangen en grondrechten van de klager, hoewel hij daartoe is gehouden op grond van zijn verantwoordingsplicht (art. 5.2. AVG).
De Geschillenkamer is bijgevolg van oordeel dat de inbreuk op art. 6.1 AVG is bewezen, aangezien de gegevensverwerking voor de doeleinden vermeld in de onderdelen 1, 2, 3, 4, 6 en 7 van punt 4.3 van de privacyverklaring, zonder enig aangetoond gerechtvaardigd belang, gebaseerd dient te zijn op de toestemming van de klager bij gebrek aan enige andere mogelijk toepasselijke rechtsgrond in art. 6.1 AVG. De diversiteit van de doeleinden opgesomd in 4.3 van de privacyverklaring brengt de Geschillenkamer tot het besluit dat voor elk van die doeleinden afzonderlijk de mogelijkheid moet worden geboden aan de klager, en bij uitbreiding aan alle betrokkenen die gebruik maken van de dienst aangeboden door de verweerder, om al dan niet in te stemmen met de verwerking van zijn persoonsgegevens. De Geschillenkamer verwijst hieromtrent naar de Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, waarin het volgende is bepaald: een dienst kan meerdere verwerkingsactiviteiten voor meerdere doeleinden omvatten. In dergelijke gevallen zouden betrokkenen vrij moeten kunnen kiezen welke doeleinde ze accepteren, in plaats van toestemming te moeten verlenen voor een pakket van verwerkingsdoeleinden. In een bepaald geval kan het, volgens de AVG, gerechtvaardigd zijn om meerdere toestemmingen te moeten verkrijgen voor met het aanbieden van een dienst wordt begonnen.”
Inzake punt 6 van de privacyverklaring van X, overwoog de Geschillenkamer daarnaast (onder meer) (stuk 38, p. 12 e.v.):
“Naast 4.3 van de privacyverklaring stelt de klager dat ook voor wat betreft punt 6 van de privacyverklaring, dat betrekking heeft op de doorgifte van persoonsgegevens
PAGE 01-00001823325-0015-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 16
749
aan derden, zich een probleem stelt omdat hij ook hier niet de keuze krijgt aangeboden om al dan niet met de doorgifte van zijn persoonsgegevens aan derden akkoord te gaan. De klager stelt dat doorgiften aan derden niet zonder toestemming zijn toegelaten, tenzij daarvoor een wettelijke verplichting bestaat.
De verweerder voert aan zich niet alleen te beroepen op de toestemming als wettelijke grondslag voor de doorgifte van persoonsgegevens aan derden, maar zich daarentegen ook, naargelang het geval, te beroepen op de uitvoering van de overeenkomst, het gerechtvaardigd belang en de wettelijke verplichting en preciseert voor elk van de categorieën van derden, vermeld in 6. van de privacyverklaring, telkens op welke rechtsgrond de doorgifte is gebaseerd.
[...] De Geschillenkamer stelt evenwel vast dat voor zowel de doorgifte aan “De maatschappijen van de Z groep waartoe X behoort, voor monitoring en rapportering”, als de doorgifte aan “Subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk voor verwerkingsactiviteiten gedefinieerd door X”, de verweerder zich baseert op zijn gerechtvaardigd belang als rechtsgrond voor de verwerking.
De verweerder toont echter op geen enkele wijze aan waaruit zijn gerechtvaardigd belang zou bestaan en laat ook na aan te tonen in hoeverre zijn belang zwaarder zou doorwegen dan de belangen en grondrechten van de klager, hoewel hij daartoe is gehouden op grond van zijn verantwoordingsplicht (art. 5.2 en 24 AVG). De Geschillenkamer wijst hiertoe ook nogmaals op de vereisten voor het gebruik van de verwerkingsgrondslag gerechtvaardigd belang die voortvloeien uit de eerder aangehaalde rechtspraak van het Europees Hof van Justitie.
De Geschillenkamer is bijgevolg van oordeel dat ook voor wat betreft de doorgifte van persoonsgegevens aan derden de inbreuk op art. 6.1 AVG is bewezen, aangezien de gegevensverwerking voor de doorgiften aan derden vermeld in onderdeel 5 en 6 opgenomen onder 6. van de privacyverklaring, zonder enig aangetoond gerechtvaardigd belang, gebaseerd dient te zijn op de toestemming van de klager bij gebrek aan enige andere mogelijk toepasselijke rechtsgrond in art. 6.1 AVG.”
Wat betreft de vereiste van transparante informatie (art. 5.1.a), art. 12.1 en art. 13.1 en 13.2 AVG), observeerde de Geschillenkamer (onder meer) inzake punt 4.3 en punt 6 van de privacyverklaring:
- Wat betreft punt 4.3 van de privacyverklaring (stuk 38, p. 9):
“Ingevolge de AVG is de verwerkingsverantwoordelijke verplicht om de betrokkene op een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal te informeren (art. 5.1.a), art. 12.1 en art. 13.1 AVG). De Geschillenkamer stelt vast dat, met betrekking tot 4.3 en 6 van de privacyverklaring, de verweerder tekort komt aan die verplichting.
PAGE 01-00001823325-0016-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 17
750
Vooreerst laat de verweerder na een duidelijk onderscheid te maken tussen de verwerking van gezondheidsgegevens enerzijds, en de verwerking van de andere ‘gewone’ persoonsgegevens anderzijds en dit zowel voor elk van de doeleinden van 4.3 van de privacyverklaring, als voor elke van de doorgiften van 6 van de privacyverklaring. Dergelijk onderscheid is nochtans van fundamenteel belang om te bepalen op welke rechtsgrond de verwerking kan worden gebaseerd voor een welbepaalde doeleinde of doorgifte aan een derde (art. 13.1.c) AVG).
[...] Daarnaast vermeldt de privacyverklaring enkel dat voor de in 4.3 vermelde doeleinden persoonsgegevens worden verwerkt op basis van het gerechtvaardigd belang van de verweerder zonder aan te geven waaruit dat gerechtvaardigd belang dan precies zou bestaan, terwijl art. 13.1.d) AVG wel degelijk vereist dat de verwerkingsverantwoordelijke ertoe is gehouden om de betrokkene informatie te verstrekken omtrent zijn gerechtvaardigde belangen, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd.
De Geschillenkamer verwijst ook naar de Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, die benadrukken dat het specifieke belang in kwestie moet worden geïdentificeerd ten behoeve van de betrokkene. [...]”
Wat betreft punt 6. van de privacyverklaring (stuk 38, p. 11):
“Ook voor wat betreft punt 6. van de privacyverklaring geeft de verweerder in zijn argumentatie niet aan waaruit zijn gerechtvaardigd belang, waarop hij zich beroept, zou bestaan om persoonsgegevens van de klager te verwerken met als doeleinde de doorgifte aan “de maatschappijen van de Z groep waartoe X behoort, voor monitoring en rapportering”, en “Subcontractanten in de Europese Unie of daarbuiten, verantwoordelijk voor verwerkingsactiviteiten gedefinieerd door X”. Nochtans vereist art. 13.1.d) AVG wel degelijk dat de verwerkingsverantwoordelijke de betrokken informatie dient te verstrekken omtrent zijn gerechtvaardigde belangen, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd. De Geschillenkamer verwijst daarbij opnieuw naar de Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 en het daaromtrent hierboven gestelde.”
Wat tot slot de opgelegde sancties betreft (incl. de opgelegde administratieve geldboete van 50.000 euro), overwoog de Geschillenkamer (onder meer) (stuk 38; p. 13 e.v.):
“[...] De Geschillenkamer stelt vast dat een inbreuk op art. 5.1.a), art. 5.2, art. 6.1, art. 12.1, art. 13.1.c) en d) en 13.2.b) AVG, is bewezen en het passend is te bevelen dat de verwerking in overeenstemming wordt gebracht met deze artikelen van de AVG (art. 58.2.d) AVG en art. 100, §1, 9° WOG), alsook om naast deze corrigerende maatregel een administratieve geldboete op te leggen (art. 83.2. AVG; art. 100, §1, 13° WOG en art. 101 WOG).
[...] Rekening houdend met artikel 83 AVG en de rechtspraak van het Marktenhof, motiveert de Geschillenkamer het opleggen van een administratieve sanctie in concreto:
PAGE 01-00001823325-0017-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 18
751
- De ernst van de inbreuk: uit de voorgaande motivering blijkt de ernst van de inbreuk.
- De duur van de inbreuk: uit hetgeen verweerder naar voren heeft gebracht in de procedure voor de Geschillenkamer blijkt niet dat de inbreuk is beëindigd en dus voort heeft geduurd tot 25 januari 2020. Daarbij houdt de Geschillenkamer geen rekening met aanpassingen verricht nadat de debatten omtrent de vaststellingen zijn gesloten.
- De nodige afschrikwekkende werking om verdere inbreuken te voorkomen. Wat de aard en de ernst van de inbreuk betreft (art. 83.2 a) AVG) benadrukt de Geschillenkamer dat de naleving van de beginselen bepaald in art. 5 AVG – in voorliggend geval inzonderheid het transparantie- en rechtmatigheidsbeginsel, alsook de verantwoordingsplicht – essentieel is, omdat het fundamentele beginselen van gegevensbescherming betreft. De Geschillenkamer beschouwt de inbreuken van de verweerder op het rechtmatigheidsbeginsel dat wordt gepreciseerd in art. 6 AVG en het transparantiebeginsel dat concreet is vastgelegd in de artikelen 12 en 13 AVG, dan ook als een ernstige schending.
Hoewel er geen gezondheidsgegevens van de betrokkenen worden verwerkt zonder de daartoe vereiste uitdrukkelijke toestemming en de verweerder zich beroept op een andere verwerkingsgrond voor wat betreft de gegevens die niet vallen onder een bijzonder beschermingsregime in de AVG, is de Geschillenkamer van mening dat de relatief grote impact van de vastgestelde inbreuken die alle verzekerden betreffen die zich via een hospitalisatieverzekering aangesloten hebben bij X, in aanmerking moeten worden genomen bij het bepalen van de administratieve geldboete.
Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige en afschrikwekkende sanctie als bedoeld in art. 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2. AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.”
#### **4. Het juridisch kader van de rechtsmacht van het Marktenhof:**
De materie wordt geregeld door de Belgische Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (hierna WOG).
Wat aanhangigmaking en ontvankelijkheid van een klacht of een verzoek betreft stellen de artikelen 58 en volgende wat volgt.
##### **Art. 58**
Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit.
De Gegevensbeschermingsautoriteit stelt daartoe een formulier vast.
PAGE 01-00001823325-0018-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 19
752
Art. 59
De indiening van een klacht en een verzoek is kosteloos.
Art. 60
De eerstelijnsdienst onderzoekt of de klacht of het verzoek ontvankelijk is.
Een klacht is ontvankelijk wanneer:
- zij opgesteld is in één van de landstalen;
- een uiteenzetting van de feiten bevat, alsook de nodige indicaties voor de identificatie van de verwerking waarop zij betrekking heeft;
- zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit.
Een verzoek is ontvankelijk wanneer:
- zij opgesteld is in één van de landstalen;
- zij behoort tot de bevoegdheid van de Gegevensbeschermingsautoriteit.
De eerstelijnsdienst kan de klager of de verzoeker uitnodigen om zijn klacht of verzoek toe te lichten.
Art. 61
De beslissing inzake de ontvankelijkheid van de klacht of het verzoek wordt ter kennis gebracht van de klager of de verzoeker.
Indien de eerstelijnsdienst besluit tot de niet-ontvankelijkheid van een klacht of een verzoek wordt de klager of de verzoeker hiervan geïnformeerd door een met redenen omklede beslissing.
Art. 62
§ 1. De ontvankelijke klachten worden door de eerstelijnsdienst overgemaakt aan de geschillenkamer.
§ 2. De ontvankelijke verzoeken worden door de eerstelijnsdienst behandeld.
[...]
De procedure voor de geschillenkamer en het verhaal ertegen wordt geregeld in afdeling 3 "Procedure voor de geschillenkamer".
"Art. 95
§ 1. De geschillenkamer beslist over de opvolging die het geeft aan het dossier en is bevoegd:
1° te beslissen dat het dossier gereed is voor behandeling ten gronde;
2° een schikking voor te stellen;
3° de klacht te seponeren;
PAGE 01-00001823325-0019-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 20
753
4° waarschuwingen te formuleren;
5° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
6° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
7° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven;
8° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit.
§ 2. In de gevallen vermeld in § 1, 4° tot 6°, stelt zij onverwijld de betrokken partijen per aangetekende zending in kennis van:
1° het feit dat een dossier aanhangig is;
2° de inhoud van de klacht, desgevallend met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid;
3° de mogelijkheid tot het raadplegen en het kopiëren van het dossier bij het secretariaat van de geschillenkamer, desgevallend met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid, alsmede van de dagen en de uren waarop die raadpleging mogelijk is.
# Onderafdeling 3. Beraadslaging en beslissing ten gronde
# Art. 98
Wanneer de geschillenkamer beslist dat het dossier gereed is voor behandeling ten gronde, stelt zij onverwijld de betrokken partijen per aangetekende zending in kennis van de bepalingen zoals vermeld in artikel 95, § 2, alsook van:
1° de mogelijkheid om alle communicatie omtrent de zaak elektronisch te aanvaarden;
2° de mogelijkheid om hun verweermiddelen in te dienen en om te verzoeken om gehoord te worden;
3° de mogelijkheid om alle stukken die zij nuttig achten bij het dossier te voegen.
# Art. 99
De geschillenkamer nodigt de partijen uit om hun verweermiddelen in te dienen.
[...]
# Onderafdeling 4. Kennisgeving en beroepsprocedure
# Art. 108
§ 1. De geschillenkamer stelt de partijen in kennis van haar beslissing en van de mogelijkheid om beroep aan te tekenen binnen een termijn van dertig dagen, vanaf [...] de kennisgeving, bij het Marktenhof.
Behoudens de uitzonderingen die de wet bepaalt of tenzij de geschillenkamer bij met bijzondere redenen omklede beslissing anders beveelt is de beslissing uitvoerbaar bij voorraad, zulks niettegenstaande hoger beroep.
PAGE 01-00001&23325-0020-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 21
754
De beslissing tot verwijdering van gegevens overeenkomstig artikel 100, § 1, 10°, is niet uitvoerbaar bij voorraad.
§ 2. Tegen de beslissingen van de geschillenkamer op grond van de artikelen 71 en 90 staat beroep open bij het Marktenhof die de zaak behandelt zoals in kort geding overeenkomstig de artikelen 1035 tot 1038, 1040 en 1041 van het Gerechtelijk Wetboek.”
De Kamer van Volksvertegenwoordigers heeft op 20 december 2018 het reglement van interne orde van de GBA goedgekeurd. Het reglement van interne orde opgesteld door het directiecomité bevat de essentiële regels betreffende de werking van de organen en de termijnen binnen dewelke informatie, adviezen en goedkeuringen vermeld in de wet van 3 december 2017 tot oprichting van de GBA dienen te worden geleverd. Het werd gepubliceerd in het Belgisch Staatsblad van 15 januari 2019 en staat eveneens vermeld op de website van de GBA.
De toepasselijke regels van de AVG¹ zijn de volgende:
“Art. 5 Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (“rechtmatigheid, behoorlijkheid en transparantie”);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (“doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensverwerking”);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (“juistheid”);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang,
¹ Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming)
PAGE 01-00001823325-0021-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 22
755
wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (“opslagbeperking”);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (“integriteit en vertrouwelijkheid”).
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (“verantwoordingsplicht”).
#### Art. 6 Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
PAGE 01-00001823325-0022-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 23
756
2. De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:
a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;
b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;
c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;
PAGE 01-00001823325-0023-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 24
457
d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.
Art. 12 Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene
1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.
2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.
4. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen een maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:
PAGE 01-00001823325-0024-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 25
758
a) een redelijk vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel
b) weigeren gevolg te geven aan het verzoek.
Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
6. Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van de betrokkene.
7. De krachtens de artikelen 13 en 14 aan betrokkenen te verstrekken informatie mag worden verstrekt met gebruikmaking van gestandaardiseerde iconen, om de betrokkene een nuttig overzicht, in een goed zichtbare, begrijpelijke en duidelijk leesbare vorm, van de voorgenomen verwerking te bieden. Wanneer de iconen elektronisch worden weergegeven, zijn ze machineleesbaar.
8. De Commissie is bevoegd overeenkomstig artikel 92 gedelegeerde handelingen vast te stellen om te bepalen welke informatie de iconen dienen weer te geven en via welke procedures de gestandaardiseerde iconen tot stand dienen te komen.
# Afdeling 2. Informatie en toegang tot persoonsgegevens
# Art. 13 Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld
1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
PAGE 01-00001823325-0025-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 26
759
f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d) dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;
e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
3. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.
4. De leden 1, 2 en 3 zijn niet van toepassing indien en voor zover de betrokkene reeds over de informatie beschikt.
Art. 21 Recht van bezwaar
PAGE 01-00001823325-0026-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 27
460
2. Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.
Art. 83 Algemene voorwaarden voor het opleggen van administratieve geldboeten
1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
i) de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
PAGE 01-00001823325-0027-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 28
761
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.”
Overweging 47 luidt als volgt:
“De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. Aangezien het aan de wetgever staat om de rechtsgrond voor persoonsgegevensverwerking door overheidsinstanties te creëren, mag die rechtsgrond niet van toepassing zijn op de verwerking door overheidsinstanties in het kader van de uitvoering van hun taken. De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.”
# 5. De ingeroepen middelen.
5.1.
X laat volgende middelen gelden:
Eerste middel – In hoofdorde – De Beslissing is nietig, gezien ze gebrekkig is gemotiveerd wat betreft de rechtsgrond voor de verwerking van persoonsgegevens voor doeleinden ex artikel 4.3 van de Privacyverklaring van X, alsook wat betreft de rechtsgrond voor de doorgiften aan derde partijen ex artikel 6 van de Privacyverklaring van X.
Tweede middel – In ondergeschikte orde – X hoort zich wel te kunnen beroepen op haar gerechtvaardigde belangen voor de verwerking van persoonsgegevens voor bepaalde doeleinden en doorgiften aan derden.
Derde middel – In ondergeschikte orde – X hoort de mogelijkheid te hebben, indien ze zich niet zou kunnen beroepen op haar gerechtvaardigde belangen, om zich te beroepen op andere rechtsgronden dan de toestemming van de betrokkene.
PAGE 01-00001823325-0028-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 29
762
Vierde middel – In ondergeschikte orde – De Beslissing vormt een inbreuk op de vrijheid van ondernemerschap van X.
Vijfde middel – In ondergeschikte orde – De administratieve geldboete van 50.000 EUR is disproportioneel.
5.2.
De GBA laat gelden:
3.1. Eerste verweermiddel: In hoofdorde - Het beroep is ongegrond, aangezien de bestreden beslissing van de Geschillenkamer behoorlijk in feite enaarrecht gemotiveerd is - De Geschillenkamer heeft zich,uitgaande van de actieve verantwoordingsplicht die rust op de verwerkingsverantwoordelijke, bij+zijn beoordeling op correcte wijze gebaseerd op de voorhanden gegevens - De thans door X (post factum) verstrekte belangenafwegingen zich Niet van aard om de regelmatigheid van de bestreden beslissing in het gedrang te brengen (verweer gegen de eerste t.e.m. vierde grief van verzoeker)
3.2. Tweede verweermiddel: In hoofdorde - Het beroep is ongegrond, aangezien de bestreden beslissing geen onrechtmatige inperking inhoudt van de möglichkheid van X om de vastgestelde inbreuken te beeindigen en zich te conformeren aan de bepalingen van de AVG - Het feit dat de GBA, gelet op de voorhanden gegevens, uitging van een möglichke inregelstelling op grond van art. 6.1.a) AVG is Niet van aard om de regelmatigheid van de bestreden beslissing in het gedrang te brengen (verweer gegen de tweede en derde grief van verzoeker)
3.3. Derde verweermiddel: In hoofdorde - De door de Geschillenkamer opgelegde administratieve geldboete is behoorlijk in feite enaarrecht verantwoord - De opgelegde geldboete is allerminst disproportioneel in hetlicht van de verschillende vastgestelde inbreuken - Elk van de vastgestelde inbreuken (incl. de Niet-betwiste inbreuken) konnen de boete verantwoorden (verweer gegen de vijfde grief van verzoeker)
6. Beoordeling - de motivering van de beslissing wat betreft de rechtsgrond voor de verwerking van persoonsgegevens voor doeleinden ex artikel 4.3 van de Privacyverklaring van X, alsook wat betreft de rechtsgrond voor de doorgiften aan derde partijen ex artikel 6 van de Privacyverklaring van X.
(eerste middel van X en eerste verweermiddel van de GBA)
6.1.
X laat onder meer het volgende gelden:
Op basis van de eerste conclusie in hoger beroep van de GBA leert X nu echter dat ze is veroordeeld omdat de GBA meent dat X proactief had dienen aan te tonen waaruit haar gerechtvaardigde belangen bestaan, dit op basis van een zogenaamde 'actieve' verantwoordingsplicht, overeenkomstig artikel 5, lid 2 van de AVG.
PAGE 01-00001823325-0029-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 30
763
47. Door te stellen dat X de nodige informatie dan maar zelf proactief had dienen aan te dragen in de loop van de procedure, en door het gebruik van de term 'actieve' verantwoordingsplicht maskeert de GBA het feit dat zij de informatie niet had opgevraagd en dat zij bijgevolg de Beslissing gebrekkig heeft gemotiveerd. Zoals eerder reeds werd vermeld, had de klacht vooral betrekking op de verwerking van medische gegevens en de daarmee verband houdende toestemming.
48. Artikel 5, lid 2 AVG houdt inderdaad een verantwoordingsplicht in, die inhoudt dat verwerkingsverantwoordelijken de naleving van de beginselen inzake verwerking van persoonsgegevens (artikel 5, lid 1 AVG) moet kunnen aantonen. Eén van deze beginselen is het rechtmatigheidsbeginsel (artikel 5, lid 1, onder a) AVG), dat bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig is, hetgeen onder meer inhoudt dat ze gesteund is op een rechtsgrond (zoals opgenomen in artikel 6 AVG).
49. Deze verantwoordingsplicht impliceert dat verwerkingsverantwoordelijken steeds technisch en organisatorisch in staat moeten zijn om de naleving van de AVG te kunnen aantonen. Ze houdt daarentegen niet in dat verwerkingsverantwoordelijken steeds moeten kunnen inschatten of en wanneer ze die verantwoording moeten afleggen. De GBA interpreteert deze verantwoordingsplicht op een manier die haar goed uitkomt ter rechtvaardiging van haar gebrekkig gemotiveerde Beslissing en dicht deze plicht een rol toe in het kader van de bewijsvoering in gerechtelijke procedures die ze niet heeft.
50. Het is dan ook onbegrijpelijk dat de GBA meent dat X in het kader van de procedure voor de Geschillenkamer genoegzaam de mogelijkheid zou hebben gehad om aan te tonen waaruit haar gerechtvaardigde belangen bestaan. Dat zou onder meer het geval zijn geweest op de zitting van 28 januari 2020, in het kader waarvan de GBA X heeft gevraagd waaruit de gerechtvaardigd belangen van X bestaan waarop zij zich beroept voor de verwerking van andere dan medische gegevens.
51. X heeft hierop geantwoord dat dit belang erin bestaat om haar economische activiteiten uit te bouwen, hetgeen ook klopt. Het is onbegonnen werk om mondeling een allesomvattend antwoord te geven op een vraag die een lijvig en genuanceerd antwoord vereist, zoals de omvang van de belangenafwegingen die X het kader van deze procedure bijbrengt, ook aantoont (zie Stukken 10, 11A, 11B, 11C, 12, 13 en 14).
Evenmin vroeg de GBA tijdens deze zitting de belangenafwegingen op of alludeerde zij naar het feit dat het raadzaam was deze alsnog bij te voegen.
52. Het is bijgevolg dan ook niet correct dat de GBA alludeert dat X dan maar bedenkingen of bezwaren had dienen te formuleren op het proces-verbaal van de zitting van 28 januari 2020 om haar gerechtvaardigde belangen aan te tonen. De belangrijkste argumenten gingen over de toestemming en de zaak werd na de zitting immers in beraad genomen, hetgeen ook uitdrukkelijk wordt bevestigd door het proces-verbaal van de zitting: "De verweerder werd gehoord en heeft de gelegenheid gehad om zijn argumenten naar voor te brengen. Vervolgens wordt de zaak in beraad genomen en heden gaat de Geschillenkamer over tot het nemen van haar beslissing." (eigen benadrukking).
PAGE 01-00001&23325-0030-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 31
764
53. Er kan niet ontkend worden dat ook de GBA een verantwoordelijkheid heeft om de rechten van verdediging en een eerlijk proces te vrijwaren, onder meer gewaarborgd in artikel 6 van het Europees Verdrag voor de Rechten van de Mens.
54. Dit alles heeft tot gevolg dat op het moment dat de GBA de Beslissing velde, er geen debat was geweest over het bestaan van gerechtvaardigde belangen in hoofde van X en zij enkel de Privacyverklaring had van X om daar uitspraak over te doen. Echter, een privacyverklaring alleen volstaat niet om te kunnen nagaan of er rechtmatig kan worden gesteund op een rechtsgrond voor een bepaalde verwerking. Bovendien, zoals Uw Hof reeds heeft geoordeeld, kunnen de door de GBA ingeroepen motieven slechts dan een beslissing schragen wanneer zij blijken uit de stukken van het dossier waarop de GBA vermocht acht te slaan.
55. Meer bepaald, een privacyverklaring, waarin wordt geïdentificeerd welke rechtsgrond van toepassing is op welk verwerkingsdoeleinde, is slechts een weerslag van de analyse die dient te zijn uitgevoerd om te bepalen of de concrete verwerking die in de praktijk door de verwerkingsverantwoordelijke wordt vooropgesteld, ook daadwerkelijk voldoet aan alle relevante wettelijke vereisten voor de toepassing van die rechtsgrond. In casu hebben de belangenafwegingen opgesteld door X aangetoond dat de verwerkingen in kwestie inderdaad kunnen gebaseerd zijn op haar gerechtvaardigde belangen.
56. Het voorgaande verklaart deels waarom de motivering van de Beslissing gebrekkig is wat betreft de rechtsgrond voor de verwerking van persoonsgegevens voor doeleinden ex artikel 4.3 van de Privacyverklaring van X, alsook wat betreft de rechtsgrond voor de doorgiften aan derde partijen ex artikel 6 van de Privacyverklaring van X.
57. Er zijn echter andere zaken voorhanden waarin werd vastgesteld dat beslissingen van de GBA gebrekkig gemotiveerd zijn. Zowel in arresten van Uw Hof van 23 oktober 2019; als dat van 19 februari 2020, werden beslissingen van de GBA vernietigd wegens motiveringsgebreken. In nog een ander arrest, dat van 9 oktober 2019, overwoog uw Hof, *prima facie*, dat de bestreden beslissing "zonder dat daaromtrent een tegensprekelijk debat werd gevoerd – niet lijkt te voldoen aan de voornoemde wet van 29 juli 1991 doch het Marktenhof vermag niet om ambtshalve deze beslissing, waarvan de rechtsgeldigheid en conformiteit aan de algemene beginselen van behoorlijk bestuur, niet wordt betwist, te sanctioneren".
58. Nochtans verplichten artikelen 2 en 3 van de wet van 29 juli 1991 betreffende de uitdrukkelijke motivering van de bestuurshandelingen, de administratieve overheid (in casu de GBA) in de akte (in casu de Beslissing) de juridische en feitelijke overwegingen op te nemen die aan de Beslissing ten grondslag liggen en dat op 'afdoende' wijze.
59. Het afdoend karakter van de motivering betekent dat de motivering pertinent moet zijn, dit wil zeggen dat ze duidelijk met de Beslissing te maken moet hebben, en dat ze draagkrachtig moet zijn, dit wil zeggen dat de aangehaalde redenen moeten volstaan om de Beslissing te dragen.
PAGE 01-00001823325-0031-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 32
165
60. De belangrijkste bestaansreden van de motiveringsplicht, zoals die wordt opgelegd door de voormelde wet van 29 juli 1991, bestaat erin dat de betrokkene in de hem aanbelangende Beslissing zelf de motieven moet kunnen aantreffen op grond waarvan ze werd genomen, opdat de betrokkene met kennis van zaken zou kunnen uitmaken of het aangewezen is de Beslissing te bestrijden.
61. De materiële motiveringsplicht houdt in dat iedere administratieve rechtshandeling moet steunen op motieven waarvan het feitelijk bestaan naar behoren is bewezen en die in rechte ter verantwoording van die handeling in aanmerking kunnen genomen.
62. Hiernavolgend zal X aantonen op welke punten de motivering van de Beslissing niet afdoende is, hetgeen tot gevolg heeft dat de Beslissing dient vernietigd te worden. Gezien de GBA een administratieve sanctie heeft opgelegd voor alle vermeende inbreuken samen en niet een afzonderlijke sanctie per vermeende inbreuk, is de (gebrekkige) motivering betreffende de verwerking van persoonsgegevens voor doeleinden ex artikel 4.3 van de Privacyverklaring van X alsook wat betreft de rechtsgrond voor de doorgiften aan derde partijen ex artikel 6 van de Privacyverklaring van X, niet afsplitsbaar van de rest van de Beslissing. Dit heeft tot gevolg dat de Beslissing in haar geheel dient vernietigd te worden."
# 6.2.
In de klacht zoals zij ter kennis gebracht werd aan X (stuk 1 dossier GBA) beklaagt de heer V ² zich erover dat X via dwang overgaat tot het verwerken van gevoelige persoonsgegevens voor het verlenen van zijn hospitalisatieverzekering. Indien de klant geen expliciete toelating verleent voor alle verwerking krijgt hij geen dekking voor de hospitalisatieverzekering. De klager vindt dit geen probleem voor de hospitalisatieverzekering zelf maar wel voor de verwerkingen opgesomd in punt 4.3 van de privacyverklaring.
Dat punt stelt dat X de gegevens verwerkt:
Op basis van het gerechtvaardigd belang van X, voor:
hetuitvoeren van computertesten;
het bewaken van de kwaliteit van de Dienstverlening;
het opleiden van personeel;
monitoring en rapportage;
het voorkomen van misbruik en fraude;
de opslag van opnamen van videobewaking gedurende de wettelijkkeperiode;
het opstellen van statistieken van gecodeerde gegevens, inclusief big data;
het verstrekken van informatie, ongeacht de communicatiemiddelen, over de commerciele acties, producten en Diensten van X en van de groep waartoe het behoort."
² Dit is geen persoon die in zijn hoedanigheid van burger een klacht indient maar wel in zijn hoedanigheid van functionaris gegevensbescherming van de vereniging [...]. Bij mail van 9 september 2019 (stuk 14 dossier GBA) beklaagt de heer V zich er overigens over dat hij met betrekking tot de rechtspleging voor de Geschillenkamer als privépersoon werd aangeschreven door X daar waar zijn klacht uitgaat van zijn bedrijf.
PAGE 01-00001823325-0032-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 33
766
Bij aangetekende brief van 24 juli 2019 (stuk 6 GBA) geeft de Geschillenkamer van de GBA aan X kennis van de klacht die klaar is voor behandeling ten gronde.
De klacht zelf is verwoord in het elektronisch ingevuld formulier (stuk 3 zelfde dossier), waarin de klager stelt:
"X hanteert dit al reeds lang, meer dan een jaar na intrede van de kaderwet bescherming van persoonsgegevens van 30 juli 2018, hebben zij hier nog steeds geen aanpassing voor aangebracht. In bijlage vind je het formulier voor de klanten als bewijs. Als burger heb je geen keuze en zij verwerken dit zo van heel veel klanten, per definitie is dit een inbreuk met hoog risico, bovendien wil ik de DPIA (GBEB) privacy analyse opvragen welke een verplichting is voor het verwerken van gegevens met een hoog risico voor burgers".
In het kader van het in staat stellen van de zaak heeft X een uitvoerige conclusie genomen waarbij zij zich verdedigt met betrekking tot de problematiek van de uitdrukkelijke toestemming (stuk 13 GBA).
De bestreden beslissing (stuk 39 GBA) draagt als titel "gebrek aan transparantie in de privacyverklaring van een verzekeringsmaatschappij".
De GBA betwist niet dat de vraag naar gerechtvaardigd belang pas mondeling gesteld werd op de hoorzitting alwaar de klager niet aanwezig was.
De GBA stelt bij conclusie: "Wat betreft de weergave, in het PV, van de algemene vraag inzake het gerechtvaardigd belang waarop X zich beroept om andere dan gezondheidsgegevens te verwerken (alsook het summiere antwoord daarop van X), formuleerde X géén bedenkingen of bezwaren."
De GBA voegt toe: "Op 25 maart 2020 heeft de Geschillenkamer, met inachtneming van het arrest van 19 februari 2020 van Uw Hof,³ aan X het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve boete, en het overwogen bedrag daarvan meegedeeld, teneinde X daaromtrent te horen, voordat de sanctie effectief zou worden opgelegd (stuk 30)."
6.3.
Overeenkomstig de WOG wordt de Geschillenkamer van de GBA op één van de volgende manieren gevat (artikel 92):
1° door de eerstelijnsdienst, overeenkomstig articikel 62, § 1, voor de behandeling van een klacht;
\(2^{\circ}\) door een betrokken partij die, overeenkomstig de artikelen 71 en 90, hoger beroep instelt gegen maatregelen van de inspectiedienst;
\(3^{\circ}\) door de inspectiedienst nadat deze een onderzoek heeft afgesloten overeenkomstig articikel 91 § 2.
³ Marktenhof, 19 februari 2020, rolnr. 2020/1471.
PAGE 01-00001823325-0033-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 34
167
Eens gevat kan de geschillenkamer (artikel 94):
1° een onderzoek vragen aan de inspectiedienst overeenkomstig artikel 63, 2°;
2° de inspectiedienst verzoeken om een aanvullend onderzoek te verrichten wanneer de geschillenkamer wordt gevat overeenkomstig artikel 92, 3°;
3° de klacht behandelen zonder uit eigen beweging de inspectiedienst te hebben gevat.
Deze tekst stelt niet dat de Geschillenkamer van de GBA “op eigen initiatief” een vervolging kan instellen waarbij deze Geschillenkamer “zelf” door haarzelf ontwikkelde grieven kan voorleggen aan de betrokkene.
De aanhangigmaking bij de inspectiedienst kan gebeuren (artikel 63 WOG):
“1° wanneer het directiecomité ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens;
2° wanneer de geschillenkamer naar aanleiding van een klacht beslist heeft dat een onderzoek door de inspectiedienst nodig is;
3° door de geschillenkamer in het kader van een verzoek tot het verrichten van een aanvullend onderzoek;
4° op verzoek van het directiecomité, met het oogmerk samen te werken met een gegevensbeschermingsautoriteit van een andere staat;
5° op verzoek van het directiecomité in geval de Gegevensbeschermingsautoriteit gevat wordt door een rechterlijke instantie of een administratieve toezichthouder;
6° uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.”
Indien de Geschillenkamer van de GBA, naar aanleiding van de behandeling van een klacht, van mening is dat een onderzoek vereist is dan kan zij de inspectiedienst vatten hetgeen te dezen niet gebeurd is.
De wetgever heeft het steeds over “de klacht” en niet over een eigen stellingname van de Geschillenkamer van de GBA zelf. Het is overigens niet verantwoord naar de regels van behoorlijk bestuur sensu lato dat een administratieve overheid of een orgaan ervan eerst zelf zou opwerpen dat de betrokkene een bepaalde inbreuk zou gepleegd hebben om daarna – in dezelfde samenstelling – deze inbreuk te beoordelen en te sanctioneren. Het is precies om dergelijke praktijken te vermijden dat de wetgever de mogelijkheid heeft voorzien opdat de Geschillenkamer van de GBA in een dergelijk geval de inspectiedienst zou vatten om door deze een onderzoek te laten verrichten.
PAGE 01-00001823325-0034-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 35
768
# 6.4.
Uit het proces-verbaal van de hoorzitting van 28 januari 2020 (stuk 25 GBA) blijkt dat de leden van de Geschillenkamer mondeling de vraag hebben gesteld “waaruit het gerechtvaardigd belang bestaat waarop X zich beroept waarop de verwerking van andere dan gezondheidsgegevens zou zijn gebaseerd”.
Het proces-verbaal vermeldt vervolgens het mondeling antwoord van X, waarna de beslissing volgde van de Geschillenkamer dat er geen aanleiding was om de debatten te heropenen (zie hiervoor).
# 6.5.
De GBA heeft ervoor geopteerd om een uitzonderlijk laagdrempelig systeem te voorzien voor het indienen van een klacht met name het invullen van een online formulier. Deze werkwijze houdt een gevaar in, te weten dat de klacht (vaak) niet op een juridisch verantwoorde wijze is geformuleerd doch eerder in de bewoordingen van de klager die zich vaak beperkt tot het “in the picture” stellen of aanhalen van een beweerde feitelijkheid.
Wanneer de Geschillenkamer van de GBA dan oordeelt dat de klacht kan worden behandeld, doch de formulering van de klacht niet aanpast en de genoemde feitelijkheden niet verwoordt naar de mogelijke inbreuken op de privacywetgeving sensu lato met vermelding van de betreffende wetsartikels, kan zij de betrokkene in het ongewisse laten over de eigenlijke juridische draagwijdte en mogelijke gevolgen van de klacht.
Het Marktenhof is van oordeel dat hij/zij ten aanzien van wie een klacht wordt behandeld (die aanleiding kan geven tot een sanctie, waaronder een administratieve geldboete) op klare, duidelijke, ondubbelzinnige en transparante wijze kennis moet hebben van de eigenlijke aantijging zowel in feite als in rechte derwijze dat hij/zij zich op een correcte wijze kan verdedigen.
De vermelding van de inbreuken (lees: de artikels van de privacywetgeving sensu lato) is daarbij primordiaal.
De sanctionering die de wetgever aan de Geschillenkamer van de GBA heeft toegestaan vergt dat degene die zich verdedigt klaar en duidelijk weet waartegen hij zich te verdedigen heeft.
Het kan zeker de klager niet ten kwade geduid worden dat deze zich in zijn klacht beperkt tot het vermelden van vermeende feitelijkheden die volgens hem in strijd zijn met de privacywetgeving, doch het kan niet zo zijn dat de betrokkene die zich te verdedigen heeft, meer in het juridisch ongewisse wordt gelaten dan degene die zich voor eender welke strafrechtelijke of administratieve inbreuk sensu lato te verantwoorden heeft.
# 6.6.
Het is de Geschillenkamer van de GBA – nadat zij oordeelt dat het dossier klaar is voor behandeling ten gronde – uiteraard toegestaan om de mogelijke inbreuken op de privacywetgeving sensu lato (veel) ruimer te zien dan de inbreuk(en) waarvoor de initiële klager zich tot de GBA had gewend.
PAGE 01-00001823325-0035-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 36
469
Het is de Geschillenkamer zeker toegestaan om zelfs geheel andere inbreuken te weerhouden dan deze waardoor het dossier bij de Geschillenkamer terechtkwam.
Los van de vraag of de Geschillenkamer van de GBA zulks enkel kan nadat zij eerst de inspectiedienst heeft gevat om één en ander in detail na te gaan, maakt het evenwel een manifest misbruik van behoorlijk bestuur uit om een betrokkene zich te laten verdedigen en schriftelijke conclusie te laten nemen aangaande één of meer welbepaalde inbreuken (zoals deze *prima facie* voorkomen in de klacht en in de aan de betrokkene gerichte oproeping) om hem dan – ter gelegenheid van de hoorzitting – mondeling andere mogelijke inbreuken voor te leggen waarop dan later – zo blijkt – de beslissing zal worden gesteund.
Het kan niet dat aan een betrokkene gevraagd wordt zich te verdedigen nopens welbepaalde tegen hem naar voor gebrachte *feitelijke grieven* om dan (min of meer bij verrassing) de betrokkene te sanctioneren omwille van een inbreuk op een of meer andere regels die in de klacht niet vermeld waren.
#### 6.7.
Met betrekking tot de behandeling van de administratieve procedure voor de Geschillenkamer van de GBA bepaalt artikel 98 WOG:
“Wanneer de geschillenkamer beslist dat het dossier gereed is voor behandeling ten gronde, stelt zij onverwijld de betrokken partijen per aangetekende zending in kennis van de bepalingen zoals vermeld in artikel 95, § 2, alsook van:
1° de mogelijkheid om alle communicatie omtrent de zaak elektronisch te aanvaarden;
2° de mogelijkheid om hun verweermiddelen in te dienen en om te verzoeken om gehoord te worden;
3° de mogelijkheid om alle stukken die zij nuttig achten bij het dossier te voegen.”
Artikel 95 § 2 WOG stelt:
“§ 2. In de gevallen vermeld in § 1, 4° tot 6°, stelt zij onverwijld de betrokken partijen per aangetekende zending in kennis van:
1° het feit dat een dossier aanhangig is;
2° de inhoud van de klacht, desgevallend met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid;
3° de mogelijkheid tot het raadplegen en het kopiëren van het dossier bij het secretariaat van de geschillenkamer, desgevallend met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid, alsmede van de dagen en de uren waarop die raadpleging mogelijk is.”
PAGE 01-00001823325-0036-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 37
170
Uit het samen lezen van deze artikels moet afgeleid worden dat de wetgever in de administratieve procedure van klachtenbehandeling een soort van procedure heeft willen invoeren die een zekere vorm van vergelijkbaarheid heeft met een gerechtelijke procedure (zoals deze geregeld is in het Ger. W.).
De beslissingen van de geschillenkamer van de GBA zijn louter administratieve beslissingen, die wat de rechtskracht betreft niet gelijk te stellen zijn met rechterlijke beslissingen, maar die nochtans in de mate dat dit redelijk mogelijk is, zoveel mogelijk de vorm van een rechterlijke beslissing moeten trachten te benaderen. Daartoe is vereist dat ook de rechtsplegingsregels, die gelden opdat een rechtsgeldige beslissing zou kunnen tot stand komen, in de mate van het mogelijke moeten gevolgd worden.
Ook al is de Geschillenkamer van de GBA geen orgaan dat voldoet aan de vereisten van de onafhankelijke en onpartijdige rechter, toch dient zij – conform de regels van behoorlijk bestuur die zij verplicht is na te leven - in alle openheid en met zoveel mogelijk wapengelijkheid te communiceren met de betrokkene ten aanzien van wie zij een klacht vervolgt.
Het geeft blijk van onbehoorlijk bestuur om de betrokkene niet voorafgaand aan de behandeling van het dossier in te lichten over de exacte aantijgingen of inbreuken waaraan hij zich – volgens het gevoerde onderzoek – zou schuldig kunnen maken. Het is om die reden dat artikel 95 § 2, 2° WOG stelt dat de betrokkene kennis moet krijgen van de klacht. De betrokkene moet zich kunnen verdedigen “tegen de aantijgingen van de klacht”.
Indien de Geschillenkamer van de GBA van oordeel is dat de inbreuk een ander feit of gedrag tot voorwerp heeft dan datgene dat in de klacht is omschreven, dan behoort het minstens 4 aan de Geschillenkamer van de GBA om dat klaar en duidelijk en ondubbelzinnig in de oproeping (voorzien in artikel 95 § 2 WOG) aan de betrokkene kenbaar te maken zodat deze zich hieromtrent schriftelijk kan verdedigen (via de door hem of zijn advocaat genomen conclusies).
Ter gelegenheid van de hoorzitting kan de betrokkene weliswaar mondeling reageren op de bemerkingen van het aangewezen lid of de aangewezen leden van de Geschillenkamer doch, indien dan de Geschillenkamer van mening is dat de inbreuk(en) ruimer is (zijn) dan datgene wat in de oproeping was gesteld, dan behoort het om daaromtrent zeer transparant te communiceren en de wapengelijkheid en de rechten van verdediging te respecteren.
De Geschillenkamer van de GBA stelt dat X de mogelijkheid kreeg zich te verdedigen over de boete die de geschillenkamer zich voornam om haar op te leggen. Welnu, net in dezelfde context en om dezelfde motieven behoorde het aan de Geschillenkamer van de GBA om het debat te heropenen – met de mogelijkheid voor de betrokkene om opnieuw schriftelijk en mondeling te reageren – op de gewijzigde aantijgingen van inbreuk(en).
Uit de voorliggend stukken blijkt dat te dezen de Geschillenkamer deze principes van elementair transparant behoorlijk bestuur - waarbij de rechten van verdediging ten volle worden gerespecteerd – niet heeft nageleefd.
4 Voor zover de Inspectiedienst niet zou (moeten) gevat worden.
PAGE 01-00001823325-0037-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 38
771
De stelling van de Geschillenkamer van de GBA dat X ter gelegenheid van de hoorzitting gevraagd werd (hetgeen werd vermeld in het proces-verbaal van de hoorzitting) stelling te nemen betreffende de algemene vraag inzake het gerechtvaardigd belang waarop X zich beroept om andere dan gezondheidsgegevens te verwerken en dat X hierop slechts een summier antwoord formuleerde zonder bedenkingen of bezwaren verantwoordt de bestreden beslissing niet op afdoende wijze.
X moest de gelegenheid krijgen – nadat de grief klaar en duidelijk schriftelijk geformuleerd werd – om daaromtrent een schriftelijke conclusie te nemen. De motivering van de Geschillenkamer van de GBA moet immers door het Marktenhof kunnen getoetst worden in relatie tot de middelen of argumenten die de betrokkene heeft ontwikkeld in diens conclusie.
In de brief van 14 april 2020 (stuk 37 GBA) wordt gesteld dat de termijn voor antwoord door X wordt bepaald op uiterlijk 8 mei 2020 en voegt eraan toe “deze termijn komt de Geschillenkamer als redelijk voor, gelet op de eerder beperkte omvang van het verzoek van de Geschillenkamer om te reageren op de voorgenomen sanctie, hetwelk bovendien geen heropening van de debatten inhoudt”.
De omstandigheid dat het Marktenhof in een arrest van 19 februari 2020 (in een andere zaak) gesteld heeft dat de Geschillenkamer van de GBA, alvorens een administratieve geldboete op te leggen, de betrokkene over dit voornemen moet informeren en hem de gelegenheid moet geven hierop te reageren heeft niet tot gevolg dat de Geschillenkamer van de GBA voor alle overige nieuwe elementen (andere dan het opleggen van een geldboete) over een vrijgeleide zou beschikken. Het door het Marktenhof gestelde principe geldt uiteraard voor alle nieuwe elementen die niet het voorwerp hebben uitgemaakt van de klacht en de bijhorende dossierstukken zoals zij aan de betrokkene werden ter kennis gebracht. Dat het Marktenhof in voornoemd arrest enkel de administratieve sanctie vermeld heeft, is uiteraard (enkel) te wijten aan het feit dat het Hof geen uitspraak doet in algemene bewoordingen, maar enkel oordeelt in een welbepaald geschil en ten aanzien van de welbepaalde geschilpunten die in dat geschil aan de orde zijn.
6.8.
De klager vroeg om een DPIA (= een data protection impact assessment). Dat is een instrument om vooraf de privacy risico’s van een gegevensverwerking in kaart te brengen en om daarna maatregelen te kunnen nemen om de risico’s te verkleinen.
Nu de Geschillenkamer van de GBA de stelling van X dienaangaande heeft gevolgd, dient op dit punt niet ingegaan te worden.
6.9.
Uit wat voorafgaat blijkt dat de hiervoor gestelde regels (punten 6.5 tot 6.7) niet werden nageleefd. Het principiële middel van gebrek aan afdoende motivering wordt door de GBA niet concreet weerlegd. De ingeroepen motieven kunnen slechts dan een beslissing schragen wanneer zij blijken uit de stukken van het dossier waarop de autoriteit (GBA) vermocht acht te slaan.
De GBA stelt weliswaar op onaantastbare wijze het bestaan vast van de feiten waarop hij steunt; de gevolgen die hij daaruit afleidt worden aan zijn oordeel en beleid overgelaten doch het Marktenhof
PAGE 01-00001823325-0038-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 39
772
gaat na of de GBA uit de door hem vastgestelde feiten geen gevolgtrekkingen heeft gemaakt die op grond van die feiten geenszins kunnen worden verantwoord.
Om die redenen miskent de bestreden beslissing de regels van behoorlijk bestuur en dient zij vernietigd te worden.
# 7. Beslissing.
De bestreden beslissing wordt vernietigd.
# 8. De gerechtskosten.
De GBA is de in het ongelijk gestelde partij. De kosten worden vereffend op de rechtsplegingsvergoeding voor niet in geld waardeerbare geschillen zijnde € 1.440,00.
# OM DEZE REDENEN,
HET HOF,
Rechtdoende op tegenspraak ;
Gelet op artikel 24 van de wet van 15 juni 1935 betreffende het gebruik der talen in gerechtszaken;
Verklaart het hoger beroep ontvankelijk en gegrond;
Vernietigt de bestreden beslissing nummer 24/2020 dossier DOS-2019-02902 van 14 mei 2020 van de Geschillenkamer van de Gegevensbeschermingsautoriteit inzake X;
Veroordeelt de Gegevensbeschermingsautoriteit tot de kosten van het hoger beroep, vereffend op 1.460 euro (€ 20,00 Budgettair Fonds + € 1.440 rechtsplegingsvergoeding).
Veroordeelt de Gegevensbeschermingsautoriteit, overeenkomstig artikel 269/2 van het Wetboek der registratie-, hypotheek- en griffierechten tot betaling aan de Belgische Staat, FOD Financiën, van het rolrecht hoger beroep ten bedrage van 400,00 euro;
PAGE 01-00001823325-0039-0040-02-01-4
Hof van beroep Brussel – 2020/AR/813 – p. 40
773
Dit arrest werd gewezen door het Marktenhof – kamer negentien A van het hof van beroep te Brussel, samengesteld uit:
M. BOSMANS
A-M. WITTERS
O. DUGARDYN
die alle zittingen hebben bijgewoond en die over de zaak hebben beraadslaagd, bijgestaan door
B. VANDERGUCHT
Raadsheer dd. voorzitter
Raadsheer
Plaatsvervangend raadsheer
B. VANDERGUCHT
O. DUGARDYN
A-M. WITTERS
M. BOSMANS
De heer M. BOSMANS, Raadsheer dd. voorzitter verkeert in de onmogelijkheid om de uitgesproken beslissing te ondertekenen.
Het arrest werd door uitgesproken in openbare burgerlijke terechtzitting van het Marktenhof – kamer negentien A van het hof van beroep te Brussel op 18 november 2020,
waar aanwezig waren:
M. BOSMANS
B. VANDERGUCHT
Raadsheer dd. voorzitter
Griffier,
B. VANDERGUCHT
M. BOSMANS
PAGE 01-00001823325-0040-0040-02-01-4