| Repertoriumnummer |
| --- |
| 2021 / 5617 |
| Datum van uitspraak |
| 07 juli 2021 |
| Rolnummer |
| 2021/AR/320 |
Uitgifte
| Uitgereikt aan | Uitgereikt aan | Uitgereikt aan |
| --- | --- | --- |
| op € BUR | op € BUR | op € BUR |
Niet aan te bieden aan de ontvanger
Eindarrest : ongegrond
# Hof van beroep
# Brussel
Sectie Marktenhof
19de kamer A
Kamer voor marktzaken
# Arrest
| Aangeboden op |
| --- |
| Niet te registreren |
Hof van beroep Brussel – 2021/AR/320 – p. 2
INZAKE :
De NV NATIONALE DIENST VOOR PROMOTIE VAN KINDERARTIKELEN, (hierna onder haar handelsnaam N.D.P.K. N.V.), ON 0424.581.272, met maatschappelijke zetel te 1082 SINT-AGATHA-BERCHEM, Keizer Karellaan 576 bus 8, verzoekende partij,
vertegenwoordigd door mr. COTON Fanny en mr. CUSTERS Anne loco HENROTTE Jean-François, advocaten, beiden kantoorhoudende te 4000 LIEGE, Boulevard d’Avroy 280
tegen beslissing nr. 04/2021 van de Geschillenkamer van de Gegevensbeschermingsautoriteit genomen op 27 januari 2021
TEGEN :
De GEGEVENSBESCHERMINGSAUTORITEIT, hierna aangeduid als “GBA”, onafhankelijke openbare instelling (toezichthoudende autoriteit), ON 0694.679.950, met maatschappelijke zetel te 1000 BRUSSEL, Drukpersstraat 35, verwerende partij,
vertegenwoordigd door haar raadslieden mr. CLOOTS Elke, mr SOTTIAUX Stefan en mr ROETS Joos, advocaten, allen kantoorhoudende te 2018 ANTWERPEN, Oostenstraat 38 bus 201
***
Gelet op de procedurestukken:
- de beslissing nr. 04/2021 genomen op 27 januari 2021 door de Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna de "Bestreden Beslissing"),
- het verzoekschrift tot hoger beroep neergelegd door de NV NATIONALE DIENST VOOR PROMOTIE VAN KINDERARTIKELEN (hierna "NDPK") op 26 februar 2021,
- het akkoord geaccteerd ter zitting van 10 maart 2021ussen de partijen omtrent de voorwaardelijk opschorting van de voorlopige tenuitvoerlegging en de publicatie van de Bestreden Beslissing;
- de conclusies neergelegd door Verzoekster en de GBA;
Hof van beroep Brussel – 2021/AR/320 – p. 3
Gehoord de advocaten van partijen ter openbare terechtzittingen van 9 en 23 juni 2021 en gelet op de stukken die zij neerlegden waarna de zaak in beraad werd genomen voor uitspraak op 15 juli 2021.
# I. Relevante feiten en procedurele voorgaanden (samengevat)
NDPK heeft voor de GBA uiteengezet dat zij een privéonderneming is die zich alleen tot (aanstaande) moeders richt. De kern van haar activiteiten is (nog steeds) de verdeling van dozen (bekend bij het bredere publiek als 'Roze Dozen') en van tijdschriften en gidsen. Roze Dozen worden aangeboden op verschillende momenten : (i) tijdens de zwangerschap, (ii) bij de geboorte, (iii) als de baby ongeveer 4 maanden is, (iv) wanneer het kind 1 jaar wordt, en (v) wanneer het kind naar de eerste kleuterklas gaat. De Roze Dozen bevatten telkens een ander aanbod van productstalen en kortingsbonnen voor producten en voor diensten, aangepast aan de leeftijd van het kind. De Roze Dozen worden door een netwerk van partners verdeeld, waar de (aanstaande) ouders de dozen kunnen ophalen.
De GBA stelt dat de dozen worden aangeboden aan de (aanstaande) moeders en hun kind en NDPK vermeldt dat ze enkel aanbiedingen doet aan (aanstaande) moeders.
De eerste Roze Dozen worden beschikbaar gesteld via (geboortelijst)winkels, materniteiten, gynaecologen en apotheken, en kunnen daar zonder opgave van persoonsgegevens worden meegenomen door (aanstaande) ouders. Bij ontvangst van die Roze Dozen worden (aanstaande) ouders uitgenodigd om zich in te schrijven op het aanbod van NDPK, door het invullen van een antwoordkaart of postkaart¹ of door een inschrijving via de website van NDPK. Daarbij worden (aanstaande) ouders verzocht om de volgende persoonsgegevens mee te delen:
- (i) Naam en voornaam ouder
- (ii) E-mail adres ouder
- (iii) Telefoonnummer ouder
- (iv) Geboortedatum ouder
- (v) Adres ouder
- (vi) Gegevens m.b.t. het (toekomstige) kind/de kinderen van de ouders (geboortedatum of verwachte geboortedatum kind, geslacht kind, andere kinderen en hun geboortedatum en geslacht, eventueel naam van het kind/de kinderen).
¹ Dit was althans het geval ten tijde van de klacht die tot onderhavige procedure heeft geleid.
Hof van beroep Brussel – 2021/AR/320 – p. 4---
In dit kader wenden diverse bedrijven die producten en diensten aanbieden voor (aanstaande) moeders zich tot NDPK opdat er een advertentie, een staal of promotie wordt opgenomen in het tijdschrift, de gids of de Roze Doos die wordt aangeboden.
NDPK stelt dat het de e-mailadressen van (aanstaande) moeders alleen overdraagt aan zijn langetermijnpartners, namelijk [...], [...] en [...].
Naast deze drie partnerschappen stelt NDPK aan andere bedrijven die producten en diensten aanbieden aan (aanstaande) moeders, de gegevens (na toestemming) ter beschikking, naar eigen zeggen op tijdelijke basis en voor eenmalig gebruik. NDPK stelt dat het daarbij niet mogelijk is om alle potentiële partners met naam op te noemen wanneer zij de toestemming vraagt van (aanstaande) moeders. Alleen de activiteiten kunnen worden aangegeven.
Op 19 september 2019 ontvangt de Gegevensbeschermingsautoriteit een **klacht** van een moeder die zich had ingeschreven door het invullen van een antwoordkaart voor de ontvangst van de Roze Dozen.
De klacht volgde op een telefoontje dat de klager ontving op haar gsm-nummer, waarbij een Nederlands bedrijf genaamd “Kinderplezier” haar een pakket kinderboeken aanbood. Het Nederlands bedrijf kende haar naam, haar geboortedatum, de naam en de geboortedatum van haar zoontje, haar e-mailadres en haar gsm-nummer. Kinderplezier deelde de klager mee dat haar gegevens door NDPK aan Kinderplezier werden meegedeeld. De klager stelt dat de doorgifte van haar gegevens op niet-transparante wijze gebeurde, met name aan bedrijven die zij nergens kon terugvinden in het privacybeleid van NDPK, en dat zij zich er ook niet bewust van was dat NDPK haar gegevens verkocht aan commerciële partners die haar telefonisch zouden kunnen contacteren na opgave van haar gegevens bij NDPK.
De klager heeft NDPK verzocht haar gegevens te verwijderen uit haar bestanden en de doorgifte van haar gegevens stop te zetten. De klager stelt evenwel vast dat zij ook na het indienen van een bezwaar bij NDPK nog steeds commerciële aanbiedingen van derde partners van NDPK ontvangt.
Op 30 september 2019 verklaart de Eerstelijnsdienst van de GBA de klacht ontvankelijk op grond van de artikelen 58 en 60 van de wet van 3 december 2017 ‘tot oprichting van de Gegevensbeschermingsautoriteit’ (hierna: “WOG”). Zij maakt de klacht over aan de Geschillenkamer, overeenkomstig artikel 62, § 1, WOG. De klager wordt hiervan op 30 september 2019 in kennis gesteld op grond van artikel 61 WOG.
Hof van beroep Brussel – 2021/AR/320 – p. 5
Op 8 oktober 2019 beslist de Geschillenkamer op grond van artikel 63, 2°, en artikel 94, 1°, WOG een onderzoek te vragen aan de Inspectiedienst van de GBA, omdat een aantal nader gespecifieerde feitelijke elementen nog te onduidelijk zijn om over te kunnen gaan tot de behandeling ten gronde. De klager wordt door de Geschillenkamer per brief van 8 oktober 2019 op de hoogte gesteld van de overmaking aan de Inspectiedienst.
Op 28 januari 2020 stelt de Inspectiedienst een verslag op van haar onderzoek, dat zij overmaakt aan de Voorzitter van de Geschillenkamer overeenkomstig artikel 91, § 2, WOG.
Het inspectieverslag focust op de rol van NDPK als verwerkingsverantwoordelijke en niet op de onderneming Kinderplezier, de commerciële partner die in de klacht wordt vermeld omdat zij de klager had opgebeld met een aanbod voor kinderboeken. Het gaat om een Nederlandse vennootschap zonder vestiging in België. De Inspectiedienst stelt niet bevoegd te zijn om nuttige onderzoekshandelingen te verrichten met betrekking tot een dergelijke buitenlandse onderneming.
Het verslag geeft aan dat volgens de Inspectiedienst inbreuken zijn gepleegd op de volgende bepalingen van de AVG:
- de artikelen 5.1.a), 12, 13 en 14, nu de commerciele hoofdactiviteiten van NDPK (reclame, mediarepresentatie, handel in personsgegevens) Niet op afdoende transparante wijze worden gecommuniceerd aan (aanstaande) moeders;
- articel 5.2, nu NDPK de naleving van de beginselen inzake verwerking van personsgegevens Niet kan aantonen (d.i. de verantwoordingsplicht van de verwerkingsverantwoordelijk);
- articel 6, nu NDPK Niet beschikt over een afdoende rechtsgrond om de verwerking van de personsgegevens te rechtvaardigen, noch onder articel 6.1.a) (toestemming), noch onder articel 6.1.f) (gerechtvaardigd belang), nu Niet voldaan is aan de voorwaarden die de AVG hiertoe oplegt;
- de artikelen 5 en 25, aangezien de gegevensverwerking disproportioneel is en NDPK Niet kan aantonen dat de doorhaar genomen maatregelen een doeltreffende bescherming bieden van de rechten en vrijheden van de betrokken moeders en kinderen;
- articel 28.3, nu er geen verwerkingsovereenkomst werden gesloten:tussen NDPK en verwerker Paradisio (nv Stabe);
- articel 31, nu NDPK de Inspectiedienst onjuiste, onvolledige en minstens onduidelijke informatie bezorgde aangaande zowelhaar klanten als de verdeleris van de geschenkdozen.
Op 20 april 2020 beslist de Geschillenkamer dat het dossier gereed is voor behandeling ten gronde (art. 95, § 1, 1°, WOG). Op diezelfde dag worden de betrokken partijen per
Hof van beroep Brussel – 2021/AR/320 – p. 6
aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Een kopie van de klacht, een kopie van het inspectieverslag alsmede de inventaris van de stukken van het dossier worden als bijlage bij die brief aan de partijen bezorgd.
Op 8 mei 2020 meldt de raadsman van NDPK aan de Geschillenkamer dat hij kennis heeft genomen van de klacht en aanvaardt hij dat alle communicatie omtrent de zaak elektronisch geschiedt (art. 98, 1°, WOG). Verder vraagt hij om een volledige kopie van het dossier, nu enkele stukken zouden ontbreken (art. 95, § 2, 3°, WOG), en verzoekt hij om een hoorzitting te organiseren. De raadsman van NDPK verzoekt daarnaast ook om de procedure voor de Geschillenkamer in het Frans te laten verlopen. Op 20 mei 2020 herhaalt de raadsman van NDPK dit verzoek.
Op 20 mei 2020 deelt de Geschillenkamer aan de partijen mee dat het volledige geïnventariseerde dossier zal worden overgemaakt, en dat de conclusietermijnen worden aangepast zodat de partijen kennis kunnen nemen van de ontbrekende stukken alvorens hun verweer voor te bereiden. De conclusiekalender wordt aangepast als volgt: uiterste datum voor ontvangst van de conclusie van antwoord van NDPK op 8 juli 2020, uiterste datum voor de ontvangst van de conclusie van repliek van de klager op 29 juli 2020, en uiterste datum voor ontvangst van de conclusie van repliek van NDPK op 19 augustus 2020.
Het verzoek van NDPK om de zaak verder in het Frans te behandelen wordt afgewezen. Ter motivering verwijst de Geschillenkamer naar artikel 57 WOG, naar het feit dat het onderzoek van de Inspectiedienst volledig in het Nederlands werd gevoerd, en naar het feit dat er in de voorgaande fasen van de procedure geen bezwaar was omtrent het gebruik van het Nederlands als proceduretaal.
De Geschillenkamer deelt tot slot mee dat de datum van de hoorzitting zal worden vastgelegd zodra de conclusietermijnen verstreken zijn.
Op 28 mei 2020 maakt de Geschillenkamer een integrale kopie van het dossier over aan de partijen.
De hoorzitting vindt plaats op 25 november 2020, in aanwezigheid van NDPK. Na afloop van de hoorzitting maakt NDPK nog diezelfde dag een aantal bijkomende stukken over aan de Geschillenkamer en aan de klager.
Op 9 december 2020 maakt de Geschillenkamer aan NDPK haar voornemen kenbaar om een administratieve geldboete op te leggen. Ook het bedrag van de voorgenomen geldboete wordt
Hof van beroep Brussel – 2021/AR/320 – p. 7
meegedeeld, teneinde NDPK de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd.
Op 29 december 2020 heeft NDPK omstandig geantwoord en de elementen vermeld van belang voor de bepaling van de sanctionering.
Op 27 januari 2021 neemt de Geschillenkamer een beslissing ten gronde (het betreft de Bestreden Beslissing).
# II. Voorwerp van de vorderingen
1. Het beroep van Verzoekster strekt er toe:
IN HOOFDORDE
Het door appellante ingestelde beroep ontvankelijk en gegrond te verklaren.
De bestreden beslissing 04/2021 van de Geschillenkamer van de GBA van 28 januari 2021 (kenmerk DOS-2019-04798) te vernietigen wegens schending van de rechten van verdediging, schending van het onpartijdigheidsbeginsel, overschrijding van bevoegdheid, gebrekkige motivering en schending van het evenredigheidsbeginsel ;
IN ONDERGESCHIKTE ORDE:
Vast te stellen dat de uitgesproken sanctie in de bestreden beslissing niet deugdelijk gemotiveerd is en het evenredigheidsbeginsel schendt.
Slechts een opschorting van de uitspraak of een berisping uit te spreken.
IN MEER ONDERGESCHIKTE ORDE:
Slechts een geldboete op te leggen van 2.500 EUR.
IN ELK GEVAL, BETREFFENDE DE PUBICITEIT:
Aan de GBA te bevelen de publicatie in te trekken van de bestreden beslissing binnen een week na tussenkomst van het arrest. Ondergeschikt aan de GBA te bevelen de voorlopige maatregelen, zoals vastgesteld in de beschikking dd. 10 maart 2021, ook na tussenkomst van het eindarrest blijven eerbiedigen.
Hof van beroep Brussel – 2021/AR/320 – p. 8
De GBA te veroordelen tot het intrekken van alle berichten op sociale media die zij en haar leden naar aanleiding van de bestreden beslissing hebben gepubliceerd, dit binnen een week na tussenkomst van het arrest.
De GBA te veroordelen tot het publiceren, op eerste verzoek van NDPK, op haar website van het arrest van het Marktenhof, dit vergezeld van een neutrale persbericht op haar website en berichten op sociale media (Twitter, Linkedin, Facebook), zulks vergezeld van een neutrale persbericht op Twitter, Linkedin, Facebook en in twee Nederlandstalige en Franstalige tijdschriften.
De GBA te verbieden verder over deze procedure te delen.
# **IN ELK GEVAL, BETREFFENDE DE KOSTEN VAN HET GEDING:**
De GBA te veroordelen tot de kosten van het geding, daarin inbegrepen het rolrecht en de rechtsplegingsvergoeding, deze laatste begroot op 1.440,00 EU in hoofde van N.D.P.K.
2. De GBA vraagt het Marktenhof :
In hoofdorde: te verklaren dat de vordering van appellante ongegrond is;
- In ondergeschikte orde: voor zover Uw Hof zou oordelen dat de bestreden beslissing gedeeltelijk moet worden vernietigd, namelijk in de mate dat zij een inbreuk op artikel 7, derde lid, AVG, artikel 8 AVG, artikel 13 AVG, artikel 24 AVG of artikel 28, derde lid, AVG vaststelt, de bestreden beslissing enkel op dit punt te vernietigen en de opgelegde geldboete van 50.000 EUR te handhaven, maximaal over te gaan tot een proportionele vermindering van de opgelegde geldboete naar een geldboete van 45.000 EUR;
- Hoe dan ook, appellante te veroordelen tot de kosten van het geding, m.i.v. het basisbedrag van de rechtsplegingsvergoeding voor niet in geld waardeerbare vorderingen.
3. Ter terechtzitting van 23 juni 2021 hebben alle partijen de indexering van de rechtsplegingsvergoeding gevraagd.
# **III. Middelen aangevoerd door de partijen**
Hof van beroep Brussel – 2021/AR/320 – p. 9
**Middel 3 van Verzoekster (de voorgaande middelen betreffen het verzoek voorlopige maatregelen waaromtrent partijen een regeling troffen) : schending van de rechten van verdediging**
Eerste onderdeel van het middel : NDPK had geen kennis van de tegen haar geformuleerde beschuldigingen
Tweede onderdeel van het middel : onvolledigheid van de ontvangen stukken
Derde onderdeel van het middel : noodzaak om de vervolgingen te splitsen
Vierde onderdeel van het middel : taalgebruik tijdens de procedure
**Middel 4: de geschillenkamer heeft haar bevoegdheid overschreden**
Eerste onderdeel van het middel : temporele onbevoegdheid
Tweede onderdeel van het middel : materiele onbevoegdheid
**Middel 5: schending van het onpartijdigheidbeginsel**
**Middel 6: schending van de motiveringsplicht van de GBA**
Eerste onderdeel van het middel : schending van de motiveringsplicht betreffende de feiten en de duur van de schendingen
Tweede onderdeel van het middel : schending van de motiveringsplicht betreffende de rechtsgrond van de verwerking
Derde onderdeel van het middel : schending van de motiveringsplicht betreffende de transparantieplicht
Vierde onderdeel van het middel : schending van de motiveringsplicht betreffende de technische en organisatorische maatregelen
Vijfde onderdeel van het middel : schending van de motiveringsplicht betreffende de minimale gegevensverwerking
Zesde onderdeel van het middel : schending van de motiveringsplicht betreffende de verantwoordingsplicht
Hof van beroep Brussel – 2021/AR/320 – p. 10
Zevende onderdeel van het middel : schending van de motiveringsplicht betreffende de verwerkingsovereenkomst
Middel 7: in ondergeschikte orde : betreffende de sanctie : misbruik van bevoegdheden van de GBA en schending van het proportionaliteitsbeginsel van de sanctie
Eerste onderdeel van het middel : geen boete nodig
Tweede onderdeel van het middel: inzake de hoogte van de geldboete
Middel 8 : betreffende de publicatiemaatregelen na behandeling ten gronde
Eerste onderdeel van het middel : geen verdere publicatie van de Bestreden Beslissing
Tweede onderdeel van het middel : intrekking van de publicatie van het persbericht en de posten van de GBA op sociale media
Derde onderdeel van het middel : intrekking van de posten van de leden van de GBA op sociale media
Vierde onderdeel van het middel : publicatie van het arrest, persbericht en posten op sociale netwerken
Vijfde onderdeel van het middel : geen andere berichten door de GBA en haar leden op sociale netwerken of interviewen in de pers.
De GBA ontwikkelt in haar conclusies verweermiddelen tegen elk van de hogervermelde middelen van Verzoekster.
# IV. De Bestreden Beslissing
De Geschillenkamer van de GBA stelt het volgende vast in de Bestreden Beslissing:
1. een inbreuk op artikel 5.1.a) AVG, gezien het gebrek aan transparante informatieverstrekking waarbij een onjuiste perceptie gecreëerd wordt t.a.v. de betrokkenen, waaronder de klager. Het is voor de betrokkenen immers niet duidelijk dat NDPK een privéonderneming is die als activiteit het verhandelen van persoonsgegevens heeft, en geen vzw of overheidsinitiatief. Er is een duidelijke wanverhouding tussen de beloofde voordelen en de niet duidelijk toegelichte activiteit van het verhandelen van persoonsgegevens.
Hof van beroep Brussel – 2021/AR/320 – p. 11
2. een inbreuk op article 5.1.c) junto article 25 AVG, vermits NDPK Niet de passende technische en organisatorische maatregelen heeft getroffen om ervoor te zorgen dat alleen personsgeveens worden verwerkt dieoodzakelijk+zijn voor elk specifiek doel van de verwerking.De bewaartermijn van 18aar is disproportioneel t.a.v.de initiele toestemming en redelijkke verwachtingen van de klager en andere betrokkenen.De oorspronkelijk aangeboden producten (voordelen) betreffen immers vooral babyspullen;
3. een inbreuk op article 6 AVG, in het bijzonder article 6.1.a) en f) AVG, vermits er geen sprake is van een vrijie, specifieke, geinformeerde en ondubbelzinnige toestemming van de klager, en evenmin van een gerechtvaardigd belang in hoofde van NDPK dat zwaarder doorweegt dan de belangen, grondrechten en fundamentele vrijheden van de betrokkenen;
4. een inbreuk op article 7.3 AVG, vermits de toestemming die werden gegeven ten tijde van de klacht nicht even makkelijk kon worden ingetrokken dan dat ze kon worden gegeven;
5. een inbreuk op article 13 AVG, gelet op de gebrekkige, nicht transparante informatieverstrekking;
6. een inbreuk op article 24 AVG, vermits NDPK geen passende technische en organisatorische maatregelen heeft getroffen rekening houdend met de aard, omvang, context en doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van betrokkenen;
7. een inbreuk op article 28.3 AVG, gelet op het gebrek aan verwerkersovereenkomstussen NDPK en een partner van NDPK die ten tijde van de klacht invulkaarten bewaarde voor NDPK, hetgeen een verwerking van personsgeveensuitmaakt zoals bedoeld in article 4.2 AVG.
De Geschillenkamer beveelt dienvolgens dat de verwerking in overeenstemming moet worden gebracht met de geschonden bepalingen van de AVG (art. 58.2.d) AVG en art. 100, § 1, 9°, WOG). Naast deze corrigerende maatregel wordt ook een administratieve geldboete van 50.000 euro opgelegd (art. 83.2 AVG; art. 100, § 1, 13°, en art. 101 WOG). De Geschillenkamer beslist eveneens dat de beslissing ten gronde in het algemeen belang kenbaar moet worden gemaakt aan het publiek, en besluit om de beslissing te publiceren op de website van de GBA met vermelding van de identificatiegegevens van NDPK (art. 100, § 1, 16°, WOG).
# V. Bespreking en beoordeling door het Marktenhof
# a. Ontvankelijkheid van het ingestelde beroep
Hof van beroep Brussel – 2021/AR/320 – p. 12---
De ontvankelijkheid van het door NDPK ingestelde beroep wordt niet betwist door de GBA. Het beroep is tijdig ingesteld en vormelijk regelmatig.
# **b. Grond van de zaak**
# **Vooraf**
Partijen en vooral NDPK maken in hun lange syntheseconclusies vergelijkingen met allerlei andere beslissingen van de Geschillenkamer of het Marktenhof, waaruit zij vervolgens steun voor hun standpunten in deze zaak menen te kunnen afleiden.
Partijen trachten met die redenering een soort van bindende precedentwaarde toe te kennen aan eerdere beslissingen van de Geschillenkamer of het Marktenhof. Die redenering gaat uiteraard niet op.
Het Belgische rechtssysteem kent geen bindende precedentwaarde toe, noch aan administratieve, noch aan rechterlijke beslissingen (zie o.m. art. 6 Ger.W. en art. 237 Sw.). Elke beslissing van een rechter (en dit geldt evenzo voor elke beslissing van een administratieve overheid, mits het gelijkheidsbeginsel niet wordt geschonden) is specifiek en strekt zich niet uit tot een ander dan het behandelde geval.
Het Marktenhof beoordeelt elk beroep niet alleen op basis van algemene rechtsprincipes wat de rechtspleging en de grond van de zaak betreft (voor dit laatste inzonderheid de regels van behoorlijk bestuur *sensu lato*) maar tevens op basis van de concrete feiten (en bewijzen) die van zaak tot zaak verschillen en waarvan de verschillen in één dossier ten opzichte van de feiten (en bewijzen) in een ander dossier, kunnen leiden tot ogenschijnlijk andersluidende uitspraken.
# **Middel 3 van Verzoekster $^{2}$ : schending van de rechten van verdediging**
**Eerste onderdeel van het middel : NDPK had geen kennis van de tegen haar geformuleerde beschuldigingen**
# **Principes en standpunten van partijen**
$^{2}$ De eerste twee middelen van verzoekster betreffen het verzoek voorlopige maatregelen waaromtrent partijen een regeling troffen derwijze dat deze middelen zonder voorwerp zijn geworden.
Hof van beroep Brussel – 2021/AR/320 – p. 13
De Geschillenkamer is een van de zes organen van de Gegevensbeschermingsautoriteit (GBA). Als administratief geschillenorgaan van de GBA behandelt zij klachten en neemt zij beslissingen. De Geschillenkamer is een bestuurlijke overheid en geen rechtbank, ook al doet de procedure binnen de Geschillenkamer soms wel enigszins denken aan een procedure voor een rechtbank.
In de procedure voor de Geschillenkamer van de Gegevensbeschermingsautoriteit is niet voorzien in een soort Openbaar Ministerie of Parket. De Inspectiedienst kent louter die bevoegdheden die haar krachtens de WOG werden toebedeeld. De procedure voor de Gegevensbeschermingsautoriteit is niet te vergelijken met deze in een strafrechtelijke procedure, hoewel er uiteraard waarborgen zijn die de rechten van verdediging moeten verzekeren in het licht van artikel 6 EVRM.
NDPK meent dat haar rechten van verdediging zouden zijn geschonden door de Geschillenkamer omdat zij geen kennis kon nemen van de tegen haar geformuleerde “beschuldigingen” en in het bijzonder omtrent vermeende inbreuken op de artikelen 8 en 24 AVG.
De GBA betwist dit: De GBA beargumenteert dat de bestreden beslissing geen enkele inbreuk vaststelt op artikel 8 AVG, en dat de bestreden beslissing zelfs nergens verwijst naar artikel 8 AVG.
De GBA geeft, wat de mogelijke inbreuk op artikel 24 AVG betreft, toe dat die niet uitdrukkelijk werd genoemd in de brief waarbij de Geschillenkamer aan de partijen meedeelde dat het dossier gereed was voor een behandeling ten gronde (stuk 18 van de GBA). De GBA beargumenteert dat artikel 24 AVG evenwel slechts een concretisering is van – en hangt dus onlosmakelijk samen met – artikel 5 AVG, dat wél uitdrukkelijk was vermeld in de betrokken brief van de Geschillenkamer.
# **Bespreking door het Marktenhof**
In casu steunt de beslissing van de Geschillenkamer op geen enkele manier op artikel 8 AVG. Er kan zich logischerwijze dus ook geen probleem stellen met de rechten van de verdediging van NDPK in dit kader. Voor wat de mogelijke inbreuk op artikel 24 AVG betreft, stelt het Marktenhof vast dat deze (pas) werd vermeld door de Geschillenkamer op het formulier voor reactie tegen de voorgenomen boete van 9 december 2020 op de volgende wijze:
Hof van beroep Brussel – 2021/AR/320 – p. 14
In de onderhavige zaak is de Geschillenkamer voornemens vast te stellen dat de verweerder, NV NDPK¹ voor het niet op correcte wijze inlichten van burgers over de verhandeling in persoonsgegevens en het ontbreken van een correcte juridische basis voor deze verhandeling, de volgende bepalingen van de Algemene Verordening Gegevensbescherming (hierna: **AVG**)² hebben overtreden.
Meer bepaald heeft de Geschillenkamer rekening houdend met de argumentatie van de verweerder, het voornemen een administratieve geldboete op te leggen ten aanzien van die verweerder, in verband met de volgende inbreuken op de AVG:
a. **artikel 5, lid 1, a) AVG**, gezien het gebrek aan transparante informatieverstrekking waarbij een onjuiste perceptie gecreëerd wordt t.a.v. de betrokkenen, waaronder de klager. Het initiatief van de dozen wordt in de perceptie van betrokkenen eerder gelinkt aan een vzw of een overheidsinitiatief waarbij het voor onder meer de klager als betrokkene niet duidelijk is dat het een privé onderneming betreft die bovendien als activiteit het verhandelen van persoonsgegevens heeft. Er is een duidelijke wanverhouding tussen de beloofde voordelen en die niet duidelijk toegelichte activiteit;
b. **artikel 5, lid 1, c) jᵉ artikel 25 AVG**, gezien de verweerder niet de passende technische en organisatorische maatregelen heeft getroffen om ervoor te zorgen dat alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. De bewaartermijn van 18 jaar is disproportioneel t.a.v. de initiële toestemming en redelijke verwachtingen van de klager en andere betrokkenen. De oorspronkelijk aangeboden producten (voordelen) betreffen immers allerlei babyspullen;
c. **artikel 6, lid 1, a) AVG**, gezien er geen sprake kan zijn van vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming van de klager (cfr. artikel 4, punt 11) AVG). De klager kende immers niet alle parameters bij het geven van de toestemming waardoor de toestemming niet geïnformeerd is gegeven;
d. **artikel 7, lid 3 AVG**, gezien de toestemming door betrokkenen ten tijde van de klacht niet even makkelijk kon worden ingetrokken dan dat ze kon worden gegeven;
e. **artikel 13 AVG**, gezien de gebrekkige, niet transparante informatieverstrekking ten aanzien van betrokkenen;
f. **artikel 24 AVG**, gezien de verweerder rekening houdend met de aard, omvang, context en doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van betrokkenen geen passende technische en organisatorische maatregelen heeft getroffen;
g. **artikel 28, lid 3 AVG**, gezien het gebrek aan verwerkersovereenkomst tussen de verweerder en één van hun partners die ten tijde van de klacht invulkaarten bewaarde voor de verweerder, wat een verwerking van persoonsgegevens uitmaakt zoals bedoeld in artikel 4, lid 2 AVG.
Dit formulier werd overgemaakt door de Geschillenkamer aan NDPK die de gelegenheid kreeg daarop schriftelijk te reageren. NDPK heeft op 29 december 2020 een uitgebreide schriftelijke reactie op dit zogenaamd boeteformulier meegedeeld.
Er is geen enkele verplichting om verweermiddelen in te dienen betreffende het boeteformulier. Het indienen van verweermiddelen is echter een gelegenheid voor de vermeende overtreder (in casu NDPK) om zijn of haar argumenten te laten horen met het oog op zijn of haar verdediging, om elementen aan te voeren die niet zouden aanwezig zijn in het dossier en die het begrip ervan zouden vergemakkelijken of om elementen te onderstrepen die een impact zouden kunnen hebben op de bepaling van het bedrag van de administratieve
Hof van beroep Brussel – 2021/AR/320 – p. 15
geldboete (rechtvaardigingsgronden, verzachtende omstandigheden of omstandigheden die aanleiding kunnen geven tot het toekennen van een uitstel).
Via de reactie op het zogenaamde boeteformulier kan de vermeende overtreder zelfs nog nieuwe feiten of argumenten aanvoeren die niet eerder waren vermeld in zijn of haar schriftelijke verweer. Via deze reactie krijgt de vermeende overtreder dus alsnog de kans om zijn of haar rechten van verdediging in het kader van de administratieve afhandeling van de klacht, te laten gelden. De omstandigheid dat het antwoordformulier slechts een gelimiteerd aantal woorden reactie zou toelaten, is hierbij niet pertinent. De omvang van de reactie en dus van het uitoefenen van de rechten van verdediging kan door de Geschillenkamer immers niet rechtsgeldig beperkt worden.
Artikel 5, leden 1 en 2 AVG en artikel 24 AVG (dat de verantwoordelijkheid van de verwerkingsverantwoordelijke oplijst) zijn met elkaar verbonden zoals de GBA betoogt: ze verplichten kort gezegd de verwerkingsverantwoordelijke de naleving van de bepalingen van de AVG te organiseren en te kunnen aanduiden.
Nu de zogenaamde “procedure” bij de behandeling van een klacht voor de Geschillenkamer niet zomaar mag vergeleken worden met de rechtspleging in een gerechtelijke procedure (zoals deze geregeld wordt door het Ger. W.) heeft dit tot gevolg dat onder welke bewoordingen, op welke wijze, mits welke vormelijke elementen of stukken de partijen zich ook mogen uitdrukken en verweren, niet relevant op zich is, doch dat deze “procedure” hoe dan ook de vermeende overtreder de mogelijkheid moet geven zijn of haar recht van verdediging te laten gelden.
Het Marktenhof moet nagaan of de rechten van verdediging sensu lato zijn nageleefd, op welk moment of onder welke vorm dit de facto is geschied is daarbij niet relevant.
NDPK toont niet op afdoende wijze aan dat haar rechten van verdediging op dit punt werden geschonden. Dit onderdeel van haar middel is niet gegrond.
# Tweede onderdeel van het middel : onvolledigheid van de ontvangen stukken
# Principes en standpunten van partijen
Het Reglement Interne Orde van de GBA voorziet:
Art. 49 Voor de raadpleging van het dossier en voor het eventueel bekomen van afschriften is artikel 47 van dit reglement van toepassing.
Hof van beroep Brussel – 2021/AR/320 – p. 16
Art. 47 Indien een partij het dossier ter plaatse wil raadplegen op grond van artikel 95, § 2, 3° van de GBA-wet, dient deze contact op te nemen met het secretariaat van de geschillenkamer teneinde een afspraak vast te leggen. Het secretariaat zorgt ervoor dat, binnen de maand op een vastgestelde datum, het dossier aanwezig is en stelt een lokaal ter beschikking. Het dossier dient alle stukken te bevatten, desgevallend met uitzondering van de stukken waaruit de identiteit van de indiener van de klacht kan worden afgeleid. Partijen kunnen eveneens vragen om een afschrift van het dossier, of een gedeelte ervan, te bekomen of per post te laten toezenden. De GBA kan beslissen dat er kosten zijn verbonden aan het afleveren van afschriften. De identiteit van de klager wordt in beginsel bekendgemaakt.
N.D.P.K. stelt dat ze niet tijdig kennis heeft kunnen nemen van het volledige dossier van de inspectiedienst van de GBA.
De GBA geeft toe dat het dossier initieel niet volledig was en in weerwil van het hogervermeld Reglement niet alle stukken bevatte.
De raadsman van NDPK meldde op 8 mei 2020 en op 20 mei 2020 aan de Geschillenkamer dat enkele stukken waarnaar werd verwezen in het verslag van de Inspectiedienst ontbraken in de eerder aan NDPK overgemaakte kopie van het dossier (stukken 22 en 23 van de GBA). De Geschillenkamer deelde op 20 mei 2020 aan de betrokken partijen mee dat de conclusietermijnen werden opgeschort wegens het ontbreken van enkele stukken in het dossier dat was overgemaakt aan de betrokken partijen (stuk 24 en 25 van de GBA). Er werd een nieuwe conclusiekalender vastgelegd waarbij NDPK tijd kreeg tot 8 juli 2020 om haar eerste conclusie in te dienen. Op 28 mei 2020 ontvingen de betrokken partijen alle stukken waarover de Geschillenkamer beschikt(e) ook integraal (stuk 26 van de GBA).
NDPK stelt ook dat haar rechten van verdediging werden geschonden omdat zij niet in het bezit zou gesteld zijn van alle bijlagen bij het verslag van de Inspectiedienst aan de Geschillenkamer. Dit argument betreft vermeende briefwisseling uitgaande van de vroegere ‘privacycommissie’ of de voormalige Commissie voor de Bescherming van de Persoonlijke Levenssfeer (verder “CBPL”) als voorloper van de GBA. De GBA werpt onder meer op dat die briefwisseling niet wordt aangehaald door de Geschillenkamer en dat de bestreden beslissing er niet op steunt.
NDPK stelt tot slot dat de klaagster nog bepaalde stukken toevoegde aan het dossier nadat de Geschillenkamer de partijen al had meegedeeld dat het dossier klaar was voor behandeling. Volgens de GBA hebben de door de klaagster op 27 april 2020 (stuk 20 GBA) en op 29 mei 2020 (stuk 27 GBA) bijgebrachte elementen, het voorwerp van de klacht helemaal niet gewijzigd, maar werden ze door de klaagster net ter ondersteuning van haar eigenlijke klacht naar voren gebracht.
Hof van beroep Brussel – 2021/AR/320 – p. 17
# **Bespreking door het Marktenhof**
NDPK lijkt in haar verzoekschrift en in haar conclusie te suggereren dat er in het dossier, dat haar op 28 mei 2020 integraal werd overgemaakt, nog steeds stukken ontbreken. Dit klopt echter niet: het hele dossier, zoals gekend bij de Geschillenkamer, werd (uiteindelijk) overgemaakt aan NDPK.
NDPK heeft tijdens de procedure ook niet meer gemeld aan de Geschillenkamer dat er ook nadien nog stukken ontbraken (quod non) en de Geschillenkamer heeft geen rekening gehouden met stukken die partijen niet hadden, noch met irrelevante stukken waarvoor zij niet bevoegd zou zijn.
NDPK heeft tijdens de hoorzitting van 25 november 2020 uitgebreid de gelegenheid gehad te reageren op de door de klaagster bijgebrachte bijkomende (2) stukken.
NDPK toont niet op afdoende wijze aan dat haar rechten van verdediging op dit punt werden geschonden.
Dit onderdeel van haar middel is niet gegrond.
# **Derde onderdeel van het middel : noodzaak om de vervolgingen te splitsen**
# **Principes en standpunten van partijen**
NDPK stelt dat de GBA had moeten overgaan tot een splitsing van :
- de zaak betreffende het voorwerp van de klacht : werk er direct marketing gevoerd zonder dat waarvoort een rechtsgeldige toestemming was ? (klacht over een möglichke inbreuk op artikelen 6 (eigenlijk articlel 6.1.a) \(j^{\circ}7\) AVG) (zie punt 2.4.2.1),
- een andere zaak betreffende de vaststellingen verricht door de Inspectiedienst buiten het kader van de klacht (mogelijk inbreuken op artikelen 5, 6, 12, 13, 14, 25, 28, 31, 37 en 38 AVG).
Zij roept geen rechtsgrond in om deze stelling te onderbouwen maar poneert dat “niets rechtvaardigde ... dat de klagende partij opmerkingen zou mogen maken over vermeende schendingen van de AVG die niet voorwerp zijn van haar klacht”. Zij beklaagt zich verder om de nota’s die de klaagster indiende en om het feit dat ze de pers te woord stond.
De GBA wijst op haar discretionaire bevoegdheid om een zaak al dan niet te splitsen in twee afzonderlijke zaken. In casu besloot de Geschillenkamer om dat niet te doen, vermits (het
Hof van beroep Brussel – 2021/AR/320 – p. 18---
Marktenhof citeert de Bestreden Beslissing) “*in de onderhavige zaak alle vaststellingen van de Inspectiedienst rechtstreeks of onrechtstreeks verband houden met het voorwerp van de klacht. Alle vaststellingen maken deel uit van één dossier*” (overw. 116). De Geschillenkamer vervolgde verder nog dat: “*alle juridische aspecten van het dossier [bovendien] relevant [zijn] voor de klager en haar minderjarige kind, nu hun persoonsgegevens door de verweerder verwerkt werden of worden. Het zijn deze verwerkingen die aan een uitgebreid onderzoek werden onderworpen. Alle vaststellingen van de Inspectiedienst zijn dan ook nauw verbonden met het voorwerp van de klacht*” (overw. 117).
### **Bespreking door het Marktenhof**
In het kader van discretionaire bevoegdheden kan de rechter door middel van de beginselen van behoorlijk bestuur nagaan of het bestuur de haar toegemeten bevoegdheid binnen de grenzen van de rechtmatigheid heeft uitgeoefend. Hierbij beschikt de rechter slechts over een marginaal toetsingsrecht. De rechter mag het aangeklaagde gedrag slechts als foutief bestempelen wanneer het ingaat tegen de opvattingen van elk normaal voorzichtig en redelijk bestuurlijk orgaan. Dit is onder meer het geval wanneer de beslissing niet op concrete gegevens zou berusten en in zou gaan tegen de redelijkheid, en het bestuur bijgevolg een kennelijke beoordelingsfout zou begaan. Het redelijkheidsbeginsel beperkt de discretionaire bevoegdheid enkel doordat het niet duldt dat hetgeen beslist is in kennelijke wanverhouding staat tot de feiten (daarin begrepen alle dossierstukken) waarop de beslissing is gebaseerd.
Het Marktenhof kan haar appreciatie echter niet in de plaats stellen van het bestuur om reden dat een andere benadering van de feiten haar opportuun zou lijken. Het beroep van artikel 108 § 1 WOG geeft geen tweede kans aan de partij tegen wie de klacht is gericht. De rechter die zich zou inlaten met de beoordeling van de opportuniteit van de bestuursbeslissing zou de scheiding der machten tussen de administratie en de rechtscolleges schenden.
Het door NDPK aangehaalde ‘feit’ als zou de GBA in het ene geval wel splitsen en in het andere geval niet, is niet pertinent zoals hierboven reeds uiteengezet aangezien elk dossier / geschil op de eigen merites wordt beoordeeld.
De GBA heeft in dit concrete geval haar beslissing om niet te splitsen gemotiveerd. De betrokkenheid van de klaagster is verankerd in artikel 77.2 AVG.
Uit het voorgaande volgt dat de gemotiveerde beslissing van de Geschillenkamer om te dezen de vervolgingen niet te splitsen geen schending van de rechten van verdediging van NDPK uitmaakt.
Ook dit onderdeel van het middel is niet gegrond.
Hof van beroep Brussel – 2021/AR/320 – p. 19
# Vierde onderdeel van het middel : taalgebruik tijdens de procedure
# *Principes en standpunten van partijen*
Op 8 mei 2020 vraagt de raadsman van NDPK om de procedure voor de Geschillenkamer in het Frans te laten verlopen (stuk 22 van de GBA). Op 20 mei 2020 herhaalt de raadsman van NDPK dit verzoek (stuk 23 van de GBA).
Het verzoek van NDPK om de zaak verder in het Frans te behandelen wordt afgewezen. Ter motivering verwijst de Geschillenkamer naar artikel 57 WOG, naar het feit dat het onderzoek van de Inspectiedienst volledig in het Nederlands werd gevoerd, en naar het feit dat er in de voorgaande fasen van de procedure geen bezwaar was omtrent het gebruik van het Nederlands als proceduretaal.
NDPK beroept zich op de nota *talenbeleid* gehanteerd door de Geschillenkamer (gepubliceerd op 7 januari 2021, zie stuk 47 van NDPK) De GBA geeft aan dat voormelde nota evenwel nog niet gepubliceerd was op het ogenblik dat de Geschillenkamer in onderhavige procedure aan de partijen meedeelde dat het dossier gereed was voor behandeling ten gronde.
NDPK stelt verder dat de GBA NDPK tijdig had moeten informeren van haar rechten omtrent het taalgebruik, hetgeen volgens haar duidelijk niet gebeurd is. De GBA beroept zich op het feit dat de website van NDPK in drie talen is opgesteld (Nederlands, Frans en Engels), en dat de interactie tussen NDPK en de betrokkenen ook in deze drie talen verloopt.
# *Bespreking door het Marktenhof*
Artikel 57 WOG stelt:
De Gegevensbeschermingsautoriteit hanteert de taal waarin de procedure wordt gevoerd naar gelang van de behoeften die eigen zijn aan de zaak.
Dit artikel vormt alleszins geen wettelijke basis voor een verzoek tot taalwijziging.
Het is onbetwist en onbetwistbaar dat de taalwet van 15 juni 1935 niet van toepassing is op de procedure gevoerd voor de GBA. In principe moet iedere persoon/rechtspersoon tegen wie een klacht vervolgd wordt de gelegenheid hebben zich te verdedigen in zijn eigen taal (en niet in die van de klager). Het onttrekken van de vervolgde partij aan zijn of haar taal kan, onder meer, een schending uitmaken van de rechten van verdediging.
Hof van beroep Brussel – 2021/AR/320 – p. 20
De GBA die een autonome overheidsdienst is met rechtspersoonlijkheid, is een centrale dienst waarvan de werkkring het ganse land bestrijkt in de zin van de wetten van 18 juli 1966 op het gebruik van talen in bestuurszaken. Uit dien hoofde is zij in haar betrekkingen met het publiek, particulieren en private bedrijven wel onderworpen aan de bepalingen uit de artikelen 40 tot en met 45 van de vermelde taalwetten. Geen der partijen uit onderhavig geding verwijst naar deze taalwetten. De nota talenbeleid van de GBA dient de bepalingen uit de toepasselijke taalwetten te respecteren. Desgevallend moet het Marktenhof daarop toezien in het kader van haar volle rechtsmacht. De GBA voert wel terecht aan dat deze nota talenbeleid niet van toepassing was op het ogenblik dat de Geschillenkamer in onderhavige procedure aan de partijen meedeelde dat het dossier gereed was voor behandeling ten gronde.
In zoverre een onderneming zoals NDPK het voorwerp uitmaakt van een onderzoek door de Inspectiedienst, is zij in principe gerechtigd zich uit te drukken in de landstaal die zij verkiest. De taal van de klager lijkt prima facie geen voldoende objectief criterium te zijn ter bepaling van de taal van het onderzoek en de taal van het ontwerp van beslissing. De GBA stelt wel terecht dat het personeel van NDPK probleemloos in het Nederlands met de Inspectiedienst en met de Geschillenkamer heeft gecommuniceerd. Nu NDPK – wiens zetel zich in het tweetalig gebied Brussel bevindt – in het Nederlands heeft gecorrespondeerd met de Inspectiedienst, mag daaruit afgeleid worden dat zij conform artikel 41 § 1 van de voornoemde taalwet aanvaard heeft dat de organen van de GBA voor hun betrekkingen met NDPK gebruik hebben gemaakt van die van de drie talen waarvan de betrokkenen zich hebben bediend. Indien (niettegenstaande dat zij werkzaam is in Brussel en het gehele Belgische grondgebied, en zich dus van de drie landstalen bedient) NDPK van oordeel was dat zij zich niet in het Nederlands kon uitdrukken / verdedigen ten overstaan van de klacht, dan diende zij dit van meet af aan te melden aan de Inspectiedienst en dan diende zij met deze dienst in de door haar gekozen landstaal te corresponderen.
Het daaropvolgend verzoek van de raadsman van NDPK tot taalwijziging heeft in casu derhalve niet alleen geen wettelijke basis, het is ook dilatoir.
Uit het voorgaande volgt dat er evenmin tot een schending van de rechten van verdediging van NDPK kan worden besloten op grond van de beslissing van de Geschillenkamer om de taal niet te wijzigen.
Ook dit onderdeel van het middel is niet gegrond.
# **Middel 4: de geschillenkamer heeft haar bevoegdheid overschreden**
# **Eerste onderdeel van het middel : temporele onbevoegdheid**
Hof van beroep Brussel – 2021/AR/320 – p. 21
# **Principes en standpunten van partijen**
De Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL), beter bekend onder de benaming van Privacycommissie is een Belgische overheidsinstelling die toezag op de bescherming van de privacy bij de verwerking van persoonsgegevens.
Op 25 mei 2018 werd, ten gevolge van de invoering van de Europese Algemene Verordening (AVG) de privacycommissie omgevormd tot de GBA.
Volgens NDPK heeft de GBA wel rekening gehouden met de elementen die aan de AVG voorafgingen, aangezien in de bestreden beslissing sprake is van het feit dat:
"verweerder (...) al een zeer groot aantal jaren haar activiteiten uit(oefent) en er gedurende al die jaren niet in is geslaagd haar businessmodel aan te passen aan de wetgeving betreffende persoonsgegevensbescherming (...)."
NDPK citeert ook veelvuldig uit het rapport van de Inspectiedienst en uit de persberichten die de GBA naar aanleiding van de bestreden beslissing verspreidde en is van mening dat de GBA ten onrechte rekening heeft gehouden met een precedent of een langdurige inbreuk in haren hoofde.
De GBA argumenteert dat de Geschillenkamer nergens uitspraak heeft gedaan over feiten van voor 25 mei 2018 (inwerkingtreding AVG). Volgens de GBA stelt de Geschillenkamer enkel vast dat NDPK zich niet aan de nieuwe regels heeft geconformeerd, hoewel gegevensverwerking de kern van haar bedrijfsmodel uitmaakt en de CBPL NDPK al had verzocht zich in regel te stellen.
# **Bespreking door het Marktenhof**
Door middel van de WOG werd de CBPL (opgericht in 1992) grondig hervormd. De structuur werd fundamenteel gewijzigd en de rol van de GBA als onderzoeksorgaan werd versterkt.
NDPK stelt dus correct dat de GBA niet, zonder meer, een rechtsopvolger van de CBPL kan genoemd worden.
Het Marktenhof heeft enkel rechtsmacht om te oordelen over beslissingen van de Geschillenkamer van de GBA. Het heeft geen rechtsmacht om te oordelen over uitspraken gedaan door de Inspectiedienst of over persberichten uitgegeven door leden van de GBA.
De bestreden beslissing heeft in de door NDPK geciteerde paragraaf geen uitspraak gedaan over een precedent of een langdurige inbreuk. NDPK toont dan ook niet aan dat de GBA zich in de bestreden beslissing bezondigd heeft aan temporele bevoegdheidsoverschrijding.
Dit onderdeel van het vierde middel is ongegrond.
Hof van beroep Brussel – 2021/AR/320 – p. 22
# Tweede onderdeel van het middel : materiele onbevoegdheid
# Principes en standpunten van partijen
Volgens NDPK heeft de klaagster op 27 april 2020 (dus na de beslissing van de Geschillenkamer dat de zaak klaar was om ten gronde te worden behandeld) bijkomende informatie overgemaakt aan de Geschillenkamer, met de vraag deze mee op te nemen in het dossier (stuk 20 van de GBA). De GBA stelt dat uit deze informatie blijkt dat de klaagster ondanks het bij NDPK aangetekende bezwaar, zeven maanden later nog steeds telefoonoproepen ontvangt van commerciële partners van NDPK, in casu Bond Moyson, en dit hoewel de klaagster zich intussen ook inschreef op de bel-me-niet-meer-lijst.
Opnieuw op 29 mei 2020 maakt de klaagster bijkomende informatie over aan de Geschillenkamer, met de vraag deze mee op te nemen in het dossier (stuk 27 van de GBA – stuk 17 van NDPK). De GBA stelt dat uit deze bijkomende informatie blijkt dat de klaagster nog steeds wordt aangeschreven door commerciële partners van NDPK, in weerwil van haar eerder bezwaar.
Volgens de GBA hebben de door de klaagster op 27 april 2020 (stuk 20 GBA) en op 29 mei 2020 (stuk 27 GBA) bijgebrachte elementen, het voorwerp van de klacht helemaal niet gewijzigd, maar werden ze door de klaagster net ter ondersteuning van haar eigenlijke klacht naar voren gebracht. Van een materiële bevoegdheidsoverschrijding kan er dus steeds volgens de GBA geen sprake zijn.
# Bespreking door het Marktenhof
Art. 92. WOG stelt :
De geschillenkamer kan worden gevat: 1° door de eerstelijnsdienst, overeenkomstig artikel 62, § 1, voor de behandeling van een klacht; 2° door een betrokken partij die, overeenkomstig de artikelen 71 en 90, hoger beroep instelt tegen maatregelen van de inspectiedienst; 3° door de inspectiedienst nadat deze een onderzoek heeft afgesloten overeenkomstig artikel 91 § 2.
Het is onbetwist dat in onderhavig geval de Geschillenkamer rechtsgeldig gevat is door een klacht die ontvankelijk werd verklaard door de eerstelijnsdienst. Vervolgens heeft de Geschillenkamer beslist de Inspectiedienst te vatten voor een onderzoek.
Hof van beroep Brussel – 2021/AR/320 – p. 23
Volgens het Reglement van Interne Orde (RIO) wordt de identiteit van de klager in principe bekendgemaakt (artikel 47 RIO) en wordt het de betrokken partijen (waaronder dus ook de klaagster) toegelaten stukken bij het dossier te voegen (artikel 48 RIO):
Een partij die stukken bij het dossier wil voegen, moet deze neerleggen op het secretariaat binnen de door de zetelende leden van de geschillenkamer bepaalde termijn. Binnen dezelfde termijn deelt zij deze mee aan de andere inzake zijnde partijen.
NDPK toont niet aan dat de GBA in dit concrete geval haar bevoegdheid zou overschreden hebben door artikel 92 WOG te schenden. De stukken die de klaagster toevoegde aan het dossier ter ondersteuning van haar klacht werden meegedeeld aan NDPK die de gelegenheid kreeg er tegenspraak over te voeren.
Ook dit onderdeel van middel 4 is ongegrond.
# **Middel 5: schending van het onpartijdigheidbeginsel**
# *Principes en standpunten van partijen*
NDPK verwijt aan de GBA in haar beslissing 4/2021 in randnummer 110 een “a priori (...) inbreuk die zij zou lezen in het dossier in concreto aan te wijzen” en stelt dat zulks op vooringenomenheid zou wijzen.
NDPK stelt ook dat de GBA en haar leden in de media en op sociale netwerken allerlei berichten betreffende onderhavige zaak verspreiden. Het geven van interviews op de radio (Radio2) of in geschreven media door de voorzitter van de Geschillenkamer, die zetelde ten tijde van de bestreden beslissing, was steeds volgens NDPK, niet gepast.
De GBA benadrukt dat de bestreden beslissing enkel gewag maakt van ‘mogelijke’ inbreuken. De GBA stelt ook dat nergens uit blijkt dat de Geschillenkamer niet onpartijdig was ten tijde van het nemen van de bestreden beslissing. Bovendien kan volgens de GBA de Geschillenkamer niet gelijk worden gesteld met een rechterlijke instantie. Dit geldt al zeker voor de GBA in haar geheel, waarvan de communicatie met de pers in hoofdzaak uitging. De GBA onderstreept tot slot dat de nationale toezichthoudende autoriteiten onder de AVG tot taak hebben om “bij het brede publiek de bekendheid met en het inzicht in de risico’s, regels, waarborgen en rechten in verband met de verwerking [te bevorderen].”
# *Bespreking door het Marktenhof*
Volgens artikel 6, § 1 EVRM en artikel 47 Handvest heeft eenieder recht op een eerlijke en openbare behandeling door een onafhankelijke en onpartijdige rechtbank. Het Hof in Straatsburg legt soepelheid aan de dag: de instantie die in eerste aanleg over een burgerlijk
Hof van beroep Brussel – 2021/AR/320 – p. 24---
geschil of een strafvervolging oordeelt, moet de waarborgen van onafhankelijkheid en onpartijdigheid niet bieden indien zijn beslissing vatbaar is voor latere toetsing door een rechtsprekend orgaan dat over een volledige rechtsmacht beschikt. Volgens het Hof in Straatsburg moet deze rechtsmacht omvatten ‘de bevoegdheid om de bestreden beschikking van het lagere orgaan op alle punten, zowel feitelijk als juridisch, te wijzigen’. De volle rechtsmacht die de WOG toekent aan het Marktenhof bij de beoordeling van de wettigheid van de beslissingen van de Geschillenkamer, is dus nodig om schendingen van het EVRM te voorkomen. Het Marktenhof – onder het toezicht van het Hof van Cassatie – is immers de enige rechter in het beslissingsproces inzake gegevensbescherming.
Als administratief overheidsorgaan is de Geschillenkamer wel gehouden het onpartijdigheidsbeginsel als algemeen beginsel van behoorlijk bestuur te eerbiedigen.
In de bestreden beslissing (paragraaf 110) stelt de Geschillenkamer:
*“Het kan ook niet zijn dat de Geschillenkamer vooringenomen zou overkomen, door a priori een inbreuk die zij zou lezen in het dossier in concreto aan te wijzen in haar beslissing om de partijen uit te nodigen verweermiddelen in te dienen en gehoord te worden overeenkomstig artikel 98 WOG. Integendeel, de Geschillenkamer heeft de bepalingen van het recht waar zich potentieel (op basis van de klacht én het onderzoek en navolgend verslag van de Inspectiedienst) een probleem stelt of problemen stellen, precies aangeduid, juist met het oogmerk om de rechten van verdediging te waarborgen en niet vooringenomen voor te komen.”*
Uit deze passage op zich blijkt geen vooringenomenheid alhoewel het allicht voorzichtig zou geweest zijn om overal melding te maken van ‘mogelijke’ inbreuken vooraleer de Geschillenkamer daaromtrent een beslissing treft.
De rechter onthoudt zich van commentaar op zijn beslissingen, ook al worden ze bekritiseerd in de media of in de rechtsleer, of worden ze hervormd in hoger beroep of vernietigd in cassatie. De motivering van zijn beslissingen is zijn manier om zijn mening uit te drukken. Dit principe geldt echter niet voor de leden van het GBA. Met betrekking tot negatieve publiciteit zoals die zou blijken uit de pers of uit mededelingen van leden van de Geschillenkamer van de GBA over de bestreden beschikking, heeft het Marktenhof geen rechtsmacht (zie verder onder de bespreking van Middel 8). Het is aan NDPK om zich, indien nodig, te wenden tot de hoven en rechtbanken van de rechterlijke orde. Het Marktenhof heeft geen rechtsmacht om zich uit te spreken over de subjectieve rechten van partijen die beweerdelijk zouden geschaad zijn door publicaties of mededelingen van leden van de GBA.
Hof van beroep Brussel – 2021/AR/320 – p. 25
Er ligt geen bewijs voor van mededelingen die zouden gedaan zijn door of in naam van de Geschillenkamer van de GBA voorafgaand aan het treffen van de bestreden beslissing. Alle mededelingen waarnaar NDPK verwijst, dateren van na de bestreden beslissing.
Er wordt dan ook niet aangetoond dat het onpartijdigheidsbeginsel zou zijn geschonden.
Middel 5 van NDPK is ongegrond.
# **Middel 6: schending van de motiveringsplicht van de GBA**
# **Eerste onderdeel van het middel : schending van de motiveringsplicht betreffende de feiten en de duur van de schendingen**
# *Principes en standpunten van partijen*
Volgens NDPK heeft de GBA ten onrechte geen rekening gehouden met :
- het feit dat NDPK bestaat sinds de jaren 50, verwijl de GBA slechts bevoegd is sinds mei 2018.
- het aantal gegevens dat door NDPK worden verwerkt, worden overschat.
- Dat de "gegevenshandel" de hoofdactiviteit zou zijn van NDPK. Dat is onjuist. De verdeling van cadeaudozen is en blijft de hoofdactiviteit waarvoor de partners de gegevens van de moeders Niet ontvangen.
- Ook de compliance stappen ondernomen door NDPK worden nicht in acht genomen in de bestreden beslissing. Integendeel, in de bestreden beslissing worden verwezen maar de situatie op de dag van de klacht alsof deze nog steeds actueel was, hetgeen Niet overeenstemt met de werkelijkheid.
De materiële motiveringsplicht houdt in dat iedere administratieve rechtshandeling moet steunen op motieven waarvan het feitelijk bestaan naar behoren is bewezen en die in rechte ter verantwoording van die handeling in aanmerking kunnen komen. Dit is niet het geval volgens NDPK omdat de bestreden beslissing ernstige onnauwkeurigheden bevat met betrekking tot de duur van de inbreuk (vóór de inwerkingtreding van de AVG en nadat NDPK maatregelen heeft genomen).
Artikel 6.1. AVG stelt dat een verwerking van persoonsgegevens door een verwerkingsverantwoordelijke slechts rechtmatig is indien en voor zover aan ten minste één van de in artikel 6.1 AVG opgesomde voorwaarden is voldaan. NDPK baseert zich op artikel 6.1.a) (toestemming) en artikel 6.1.f) (gerechtvaardigd belang) AVG, afhankelijk van het feit of de verzameling van persoonsgegevens dateert van resp. na en voor 25 mei 2018. De Geschillenkamer kwam tot het besluit dat NDPK zich noch op de toestemming van de
Hof van beroep Brussel – 2021/AR/320 – p. 26
betrokkenen, noch op een gerechtvaardigd belang kan beroepen en dat de verwerking van persoonsgegevens door NDPK bijgevolg onrechtmatig is.
De bestreden beslissing is volgens de GBA op deze punten ook voldoende gemotiveerd, en kan dus niet op die grond vernietigd worden.
# Bespreking door het Marktenhof
Het komt het Marktenhof niet toe het feitenonderzoek over te doen om zich aldus in de plaats te stellen van de GBA; het Marktenhof kan enkel nagaan of de ingeroepen feiten werkelijk bestaan. Volgende feiten blijken werkelijk te bestaan:
NDPK heeft al jarenlang een bepaald zakelijk model waar bij cadeaudozen worden verdeld gegen het uitwisselen van bepaalde gegevens door aanstaande moeders;
In dat model worden dus gegevens verwerkt. NDPK geeft zich geen details over de exacte hoeveelheid gegevens.
De Geschillenkamer doet in de bestreden beslissing géén uitspraak over het (beweerde) nieuwe online intekensysteem van NDPK, maar énkel over het intekensysteem zoals dat gold ten tijde van de klacht. De Geschillenkamer stelt in de bestreden beslissing immers een inbreuk vast op artikel 6.1.a) AVG: “gezien er geen sprake kan zijn van vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming van de klager (cfr. artikel 4, punt 11) AVG). De klager kende immers niet alle parameters bij het geven van de toestemming waardoor de toestemming niet geïnformeerd is gegeven.” (overw. 188).
Het is bovendien in ieder geval zo dat de Geschillenkamer geldig gevat blijft op grond van een klacht, zelfs al werden de interne processen intussen aangepast. De Geschillenkamer heeft dus terecht vastgesteld dat er zich een probleem voordeed met de vrije toestemming van de klaagster.
Er wordt geen schending aangetoond van de motiveringsplicht betreffende de feiten en de duur van de schendingen.
Het eerste onderdeel van het middel 6 is niet gegrond.
Tweede onderdeel van het middel : schending van de motiveringsplicht betreffende de rechtsgrond van de verwerking
# Principes en standpunten van partijen
Artikel 6 van de AVG stelt:
Hof van beroep Brussel – 2021/AR/320 – p. 27
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
Artikel 4, 11) van de AVG stelt:
„toestemming” van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt;
Artikel 6.1.f AVG stelt:
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
NDPK is van oordeel dat de bezwaren in het dossier omtrent het niet voldoende vrije, geïnformeerde en specifieke karakter van de toestemming ongegrond zijn omdat slechts een potentieel bijkomend voordeel verloren zou gaan voor de klaagster.
Zij argumenteert dit bladzijdenlang aan de hand van rechtspraak en rechtsleer waarnaar zij verwijst.
Artikel 6 lid 1 a) betreft de toestemming van de betrokkene als rechtsgrond voor de verwerking van de persoonsgegevens. De GBA stelt dat het niet duidelijk was voor de klaagster met welk doel gegevens worden verwerkt, aan wie gegevens worden doorgegeven...; zij had geen werkelijke controle over haar gegevens; het was niet even makkelijk haar toestemming in te trekken. De GBA stelt in essentie dat de toestemming in het geval van de klaagster niet voldoende vrij, geïnformeerd en specifiek was en dat het niet eenvoudig was om de toestemming in te trekken met schrapping of wissing van de gegevens van de klaagster.
De Geschillenkamer concludeert ook tot een schending van artikel 6 lid 1, punt f) AVG, omwille van het feit dat zij niet kan vaststellen dat NDPK beschikt over een afdoende rechtsgrond om de verwerking van de persoonsgegevens te rechtvaardigen onder art. 6, lid 1, punt f) AVG (gerechtvaardigd belang). Er is volgens de GBA niet voldaan aan de voorwaarden die de AVG hiertoe oplegt. NDPK stelt hierover in essentie dat (i) NDPK niet moest nagaan of een andere rechtsgrond dan rechtmatig belang mogelijk was, dat (ii) de betrokkenen wél konden verwachten hoe er met hun persoonsgegevens zou worden omgesprongen en dat zij dus niet
Hof van beroep Brussel – 2021/AR/320 – p. 28
zouden zijn “verrast” in hun gerechtvaardigde verwachtingen, en dat (iii) aan NDPK niet kan worden verweten dat bepaalde van haar commerciële partners geen gevolg hebben gegeven aan verzoeken van bezwaar of gegevenswissing.
# **Bespreking door het Marktenhof**
NDPK beklaagt zich over de inhoud en motivering van de bestreden beslissing maar toont zelf niet aan:
- Dat de toestemming van de klaagster beantwoordde aan alle vereisten van de AVG en vlot kon worden ingetrokken met schrapping of wissing van gegevens tot gevolg;
- Welk zwaarder wegend gerechtvaardigd belang zij zou kunnen inroepen (art. 6.1.f))
- Of een dergelijk belang opweegt tegen de redelijke verwachtingen, belangen en rechten van betrokkenen waaronder klaagster
- Waar zij zelf voorafgaandelijk een belangenafweging zou hebben gemaakt.
De rechtspraak en rechtsleer waarnaar NDPK in dit kader verwijst, is niet van dien aard dat zij de analyse van de Geschillenkamer in dit verband, die het Marktenhof hier onderschrijft, zou ondermijnen.
De bestreden beslissing blijkt op dit vlak toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
De aangehaalde motieven bestonden op het tijdschip van de bestreden beslissing en blijken uit de bewoordingen van de bestreden beslissing en de stukken uit het administratief dossier (verslag van de inspectiedienst).
Het tweede onderdeel van het middel 6 is niet gegrond.
# **Derde onderdeel van het middel : schending van de motiveringsplicht betreffende de transparantieplicht**
# **Principes en standpunten van partijen**
Artikel 5.1.a van de AVG stelt:
Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”);
Hof van beroep Brussel – 2021/AR/320 – p. 29
Artikel 12.1 van de AVG stelt:
De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.
Artikel 13 van de AVG stelt:
1. Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens al de volgende informatie:
a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;
c) de verwerkingsdoeleinden waarvoor de personsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op articikel 6, lid 1, punt f), is gebaseerd;
d) in voorkomend geval, de ontvangers of categorieën van ontvangers van de personsgegevens;
e) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de personsgegevens door te gehen aan een derde land of een internationale organisatie; of er al dan Niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in articel 46, articel 47 of articel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zich, hoe er een kopie van kan worden verkreten of waar ze+kunnen worden geraadpleegd.
2. Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien
Hof van beroep Brussel – 2021/AR/320 – p. 30
dat niet mogelijk is, de criteria ter bepaling van die termijn;
b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
4. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.
Volgens NDPK voldoet zij aan alle hogervermelde transparantievereisten.
De GBA betwist dit en stelt dat de commerciële activiteiten van de verweerder gericht op reclame, mediarepresentatie en handel in persoonsgegevens niet op afdoende transparante wijze worden gecommuniceerd aan de betrokkenen waaronder klaagster.
# **Bespreking door het Marktenhof**
De inbreuken op de transparantieverplichting worden deugdelijk gemotiveerd in paragrafen 166 tot en met 172 van de bestreden beslissing.
NDPK neemt aanstoot aan een zin in paragraaf 167 van de bestreden beslissing:
Hof van beroep Brussel – 2021/AR/320 – p. 31
Deze problematiek hangt samen met het oordeel van de Geschillenkamer over de geldigheid van de toestemming. De klager en andere betrokkenen vernemen niet voldoende duidelijk wat de precieze activiteiten van de verweerder inhouden. Het feit dat de klager denkt dat de verweerder een vzw of overheidsinitiatief uitmaakt illustreert dit feit. Er moet transparantere informatie aangeboden worden aan betrokkenen, bijvoorbeeld over het feit dat betrokkenen bepaalde voordelen verkrijgen enkel indien zij in ruil hiervoor hun persoonsgegevens geven.
In de aangehaalde zin geeft de GBA enkel een perceptie van de klaagster weer: de GBA betwist niet dat NDPK ook gekend onder de naam ‘Family Service’ een onderneming is in de zin van het Wetboek van Economisch Recht en zij moet de perceptie van de klaagster dan ook niet verder staven of ontkrachten.
NDPK richt zich ook in conclusies op dit punt tegen het verslag van de inspectiedienst en niet rechtstreeks tegen de motivering van de bestreden beslissing. Nochtans heeft het Marktenhof geen rechtsmacht aangaande de inspectiedienst en is de motivering van de Geschillenkamer in de bestreden beslissing op dit vlak afdoend.
Verder verwijst NDPK naar de regels omtrent het bedrijfsgeheim om haar weigering haar partners op haar website te vermelden te staven. Het is echter duidelijk dat de AVG vereist dat de aan de betrokkenen meegedeelde informatie ook werkelijk transparant is, hetgeen in casu niet het geval was. De activiteiten van NDPK raken immers aan de kern van de AVG zoals de GBA terecht stelt. De GBA voert ook aan dat het recht op de bescherming van persoonsgegevens een in de EU verdragen en de AVG beschermd fundamenteel recht is, dat slechts kan worden beperkt in door de wetgever voorziene gevallen. Noch de Europese wetgeving, noch de Belgische wetgeving ter uitvoering van artikel 23 AVG voorziet in een beperking van de publicatie van de naam van ontvangers van persoonsgegevens.
De bestreden beslissing blijkt op dit punt toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
Het derde onderdeel van het middel 6 is niet gegrond.
Vierde onderdeel van het middel : schending van de motiveringsplicht betreffende de technische en organisatorische maatregelen
# Principes en standpunten van partijen
De GBA stelt in de bestreden beslissing dat NDPK niet de passende technische en organisatorische maatregelen heeft getroffen om ervoor te zorgen dat alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de
Hof van beroep Brussel – 2021/AR/320 – p. 32
verwerking. Meer specifiek stelde ze vast dat NDPK volgende mankementen niet voldoende kon weerleggen:
- Geen registratie van verzoeken tot rectificatie
- Geen bewijs dat NDPK gevolg geeft aan verzoeken tot wissing/rectificatie.
NDPK gaat in dit kader uitgebreid in op de vaststellingen van de Inspectiedienst, en stelt dat de Inspectiedienst volgens haar ten onrechte meent dat NDPK bijkomende contractuele waarborgen had moeten voorzien in de relatie met haar commerciële partners, en haar ten onrechte verwijt dat haar commerciële partners niet correct zouden omgaan met verzoeken van de betrokkenen.
NDPK meent verder dat er op haar geen verplichting rust om verzoeken tot rectificatie bij te houden, en dat zij de e-mailadressen van betrokkenen die om een wissing van hun gegevens verzochten mocht bijhouden om te vermijden dat deze personen en nieuw account zouden aanmaken. De bestreden beslissing is volgens NDPK ook tegenstrijdig waar de beslissing, enerzijds, stelt dat NDPK moet aantonen dat alle gegevens worden gewist na een verzoek tot wissing, maar dit, anderzijds, niet kan aantonen omdat de gegevens naar eigen zeggen effectief door haar werden gewist.
# Bespreking door het Marktenhof
NDPK richt zich ook in conclusies op dit punt tegen het verslag van de inspectiedienst en niet rechtstreeks tegen de motivering van de bestreden beslissing. Nochtans heeft het Marktenhof geen rechtsmacht aangaande de inspectiedienst en is de motivering van de Geschillenkamer in de bestreden beslissing op dit vlak afdoend.
De Geschillenkamer kon immers vaststellen dat een en ander niet afdoende werd gedocumenteerd door NDPK, doordat er geen register werd bijgehouden van de verzoeken tot rectificatie en er evenmin werd gedocumenteerd hoe er werd omgesprongen met verzoeken tot wissing.
Het klopt wel, zoals de GBA in conclusies toegeeft, dat de AVG de concrete vraag van het bewijs van een gegevenswissing niet regelt. Hier moet dan ook pragmatisch mee worden omgesprongen. Zo kon in ieder geval worden vastgesteld door de GBA dat het niet nodig is de e-mailadressen van de betrokkenen, die om een gegevenswissing hebben verzocht, te bewaren om een nieuwe registratie te vermijden.
De bestreden beslissing blijkt op dit punt toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
Hof van beroep Brussel – 2021/AR/320 – p. 33
Het vierde onderdeel van het middel 6 is niet gegrond.
**Vijfde onderdeel van het middel : schending van de motiveringsplicht betreffende de minimale gegevensverwerking**
**Principes en standpunten van partijen**
De GBA stelt dat het feit dat de gegevens bewaard worden gedurende 18 jaar, disproportioneel is en de redelijke verwachtingen van betrokkenen te buitengaat.
In paragraaf 175 van de bestreden beslissing stelt de GBA dan ook:
*Ten minste moet de verweerder expliciet vermelden dat de persoonsgegevens 18 jaar worden bijgehouden en daar de betrokkene ook met regelmaat aan herinneren, alsook aan de mogelijkheid de relatie op te zeggen.*
NDPK argumenteert in dit kader dat de bewaartermijn van 18 jaar niet als disproportioneel kan worden beschouwd, in essentie omdat een kind tot de leeftijd van 18 jaar deel uitmaakt van een gezin en het gezin dus baat kan hebben bij de “aanbiedingen” die worden ontvangen via de commerciële partners van NDPK. NDPK erkent daarbij dat de Roze Dozen evenwel slechts relevant zijn voor de betrokkenen totdat de kinderen de leeftijd van 6 jaar hebben bereikt.
**Bespreking door het Marktenhof**
Gelet op de concrete omstandigheden van de zaak die hoger reeds werden toegelicht, en in het bijzonder het feit dat het voor de betrokkenen niet duidelijk is dat de bewaartermijn dermate lang is, kon de Geschillenkamer besluiten tot een schending van het beginsel van minimale gegevensverwerking, te meer daar de betrokkenen niet regelmatig worden herinnerd aan de gegevensverwerking.
De bestreden beslissing blijkt op dit punt toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
Het vijfde onderdeel van het middel 6 is niet gegrond.
**Zesde onderdeel van het middel : schending van de motiveringsplicht betreffende de verantwoordingsplicht**
**Principes en standpunten van partijen**
Hof van beroep Brussel – 2021/AR/320 – p. 34
Artikel 5.1.c) AVG bepaalt dat verwerkte persoonsgegevens toereikend moeten zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit is het principe van “minimale gegevensverwerking”. Artikel 5.2 AVG bepaalt dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van artikel 5.1. AVG en moet kunnen aantonen dat deze bepaling ook effectief wordt nageleefd. Dit is het principe van de “verantwoordingsplicht”.
De artikelen 24 en 25 AVG werken die beginselen nader uit als volgt:
- De verwerkingsverantwoordelijke moet de passende technische en organisatorische maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen.
- De verwerkingsverantwoordelijke moet passende technische en organisatorische maatregelen treffen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan.
De GBA stelt dat het inspectieverslag er op verschillende punten op wijst dat NDPK tekort schiet bij de naleving van de verantwoordingsplicht uit artikel 5.2 AVG (stuk 16 GBA, onder meer p. 6 en p. 13).
NDPK stelt in essentie dat er haar ten onrechte (ze verwijt de Geschillenkamer een motiveringsgebrek in deze hoofde) tekortkomingen op volgende punten werden verweten:
a. de activiteit van de handel in persoonsgegevens door de partners zou niet op afdoende wijze duidelijk zijn;
b. Registratie van de verzoeken tot rectificatie;
c. Bewijs van effectieve wissing;
d. De bewaring van de e-mailadres van de klaagster na haar uitoefening van het recht op wissen.
# **Bespreking door het Marktenhof**
De Geschillenkamer stelt vast dat NDPK niet aantoont dat “de activiteit van de handel in persoonsgegevens door de partners op afdoende wijze duidelijk is voor de betrokkenen”, dat er “evenmin een registratie [werd] bijgehouden van de verzoeken tot rectificatie” en dat NDPK
Hof van beroep Brussel – 2021/AR/320 – p. 35
niet kon “bewijzen dat er een effectieve wissing van de persoonsgegevens had plaatsgevonden. Sterker nog, de verweerder stelt dat zij de e-mailadressen van de betrokkenen die om de wissing van hun persoonsgegevens hebben gevraagd toch bewaren om ervoor te zorgen dat er later geen nieuw account kan worden aangemaakt via hetzelfde e-mailadres” (overw. 178 van de bestreden beslissing).
NDPK meent ten onrechte dat er op haar geen verplichting rust om verzoeken tot rectificatie bij te houden, en dat zij de e-mailadressen van betrokkenen die om een wissing van hun gegevens verzochten mocht bijhouden om te vermijden dat deze personen en nieuw account zouden aanmaken. De bestreden beslissing is volgens NDPK ook tegenstrijdig waar de beslissing, enerzijds, stelt dat NDPK moet aantonen dat alle gegevens worden gewist na een verzoek tot wissing, maar dit, anderzijds, niet kan aantonen omdat de gegevens naar eigen zeggen effectief door haar werden gewist. Hierbij moet zoals de GBA terecht betoogt een onderscheid worden gemaakt tussen twee zaken:
- Enerzijds, moet NDPK konnen aantonen dat zij gevolg geeft aan verzoeken van betrokkenen (of dat nu verzoeken tot rectificatie of verzoeken tot wissing zich). De Geschillenkamer kon vaststellen dat een en ander Niet afdoende werden gedocumenteerd door NDPK, doordat er geen register werden bijgehonden van de verzoeken tot rectificatie en er evenmin werden gedocumenteerd hoe er werden omgesprongen met verzoeken tot wissing. In casu documenteerde NDPK op geen enkele wijze hoe er met verzoeken van betrokkenen werden omgegaan. Het is ook zo dat de bestreden beslissing werden gemotiveerd.
- Anderzijds, klopt het dat de AVG de concrete vraag van het bewijs van een gevevenswissing Niet regelt zoals hiervoor reeds werden uiteengezet. In ieder geval kon worden vastgesteld dat het Niet nodig is de e-mailadressen van de betrokkenen die om een gevevenswissing hebben verzocht te bewaren om een neue registratie te vermijden.
De bestreden beslissing blijkt ook op dit punt toereikend te zijn gemotiveerd : ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
Het zesde onderdeel van het middel 6 is niet gegrond.
Zevende onderdeel van het middel : schending van de motiveringsplicht betreffende de verwerkingsovereenkomst
Principes en standpunten van partijen
De GBA oordeelde in de bestreden beslissing betreffende artikel 28, lid 3 AVG :
Hof van beroep Brussel – 2021/AR/320 – p. 36
“181. De verweerder heeft nagelaten om een verwerkersovereenkomst aan te gaan tussen haarzelf en één van haar partners, die ten tijde van de klacht invulkaarten bewaarde voor de verweerder. Dit is een verwerking van persoonsgegevens zoals bedoeld in artikel 4 1) en 2) AVG.
182. Volgens de verweerder viel dit bewaren door de NV Stabe niet onder het materieel toepassingsgebied van de AVG, nu het louter bewaren van de invulkaarten geen persoonsgegevensverwerking zou uitmaken in de zin van artikel 2 AVG.
183. Artikel 2, lid 1 AVG bepaalt dat de AVG van toepassing is “op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen, of die bestemd zijn om daarin te worden opgenomen.” (de Geschillenkamer onderstreept)
184. Nu de invulkaarten ab initio bestemd zijn om te worden opgenomen in een bestand (door de verweerder), is het bewaren van de invulkaarten door de NV Stabe wel degelijk een verwerking in de zin van de AVG.
185. De Geschillenkamer stelt aldus een schending van artikel 28 lid 3 AVG vast in hoofde van de verweerder, nu die laatste een verwerkingsovereenkomst had moeten sluiten met de NV Stabe, hetgeen de verweerder heeft nagelaten.”
NDPK bouwt haar volledige redenering op rond de stelling dat de papieren postkaarten verzameld door NV Stabe op instructie van NDPK geen ‘bestand’ uitmaken en dat deze postkaarten (en de verwerking ervan) niet onder het materieel toepassingsgebied van de AVG zouden vallen. NDPK bestempelt de rol van NV Stabe als die van een ‘brievenbus’. NV Stabe zou geen verwerker zijn en er diende dus geen verwerkingsovereenkomst opgesteld te worden nog steeds volgens de redenering van NDPK. Bovendien houdt de GBA ten onrechte geen rekening met het stopzetten door NDPK van de ‘praktijk’ met de postkaarten.
De GBA stelt dat de kaarten vervolgens bestemd waren om opgenomen te worden in een bestand, hetgeen overigens ook niet wordt betwist door NDPK. Zodra een verantwoordelijke de bedoeling heeft om persoonsgegevens te verwerken in de vorm van een bestand, is de AVG van toepassing, ook al wordt die bedoeling niet onmiddellijk geconcretiseerd.³ De AVG is van toepassing op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
### **Bespreking door het Marktenhof**
De AVG geldt voor verwerkingen die helemaal automatisch gaan, of voor een deel. Bijvoorbeeld verwerkingen in een computer of database. Maar de AVG geldt ook voor
³ D. DE BOT, De toepassing van de Algemene Verordening Gegevensbescherming in de Belgische context. Commentaar op de AVG, de Gegevensbeschermingswet en de Wet Gegevensbeschermingsautoriteit, Mechelen, Kluwer, 2020, p. 225, nr. 582 (stuk 42 GBA).
Hof van beroep Brussel – 2021/AR/320 – p. 37
persoonsgegevens die al in een bestand zitten of daarin komen, zoals papieren dossiers of zoals in dit geval ingevulde postkaarten. De AVG geldt niet voor een enkele losse handgeschreven aantekening waar toevallig een naam van een persoon in staat.
De GBA kon rechtmatig vaststellen dat NV Stabe persoonsgegevens verwerkte in opdracht van NDPK. Dit betekent onder meer dat NV Stabe zich aantoonbaar moest houden aan de schriftelijke instructies van NDPK en dat alle afspraken vermeld dienden te worden in een verwerkersovereenkomst
De bestreden beslissing is op dit punt afdoend gemotiveerd: ze is gerechtvaardigd door 1) feitelijke en 2) juridische motieven die 3) de bestreden beslissing naar redelijkheid dragen.
Het zevende onderdeel van het middel 6 is niet gegrond.
# **Middel 7: in ondergeschikte orde : betreffende de sanctie : misbruik van bevoegdheden van de GBA en schending van het proportionaliteitsbeginsel van de sanctie**
# **Eerste onderdeel van het middel : geen boete nodig**
# *Principes en standpunten van partijen*
In de bestreden beslissing oordeelde de GBA als volgt:
190. Voorts acht de Geschillenkamer het passend om, naast deze corrigerende maatregel, een administratieve geldboete op te leggen (artikel 83, lid 2 AVG; artikel 100, §1, 13° WOG en artikel 101 WOG). De Geschillenkamer wijst erop dat een administratieve boete in veel gevallen – waaronder het onderhavige geval – de passende maatregel is die in voldoende mate doeltreffend, evenredig en afschrikwekkend zijn. De handhaving van het Unierecht door de lidstaten moet aan deze eisen voldoen, ter uitvoering van de verplichting tot loyale samenwerking (artikel 4, lid 3, van het EU Verdrag). Deze eisen gelden dus niet alleen bij het opleggen van een boete overeenkomstig artikel 83, lid 1 AVG, maar ook bij de keuze tussen de verschillende typen sancties die zijn voorzien in artikel 58, lid 2 AVG en artikel 100 WOG. Waar de Geschillenkamer het gepast acht om een handeling die reeds heeft plaatsgevonden te sanctioneren, bieden de AVG en de WOG slechts zeer beperkte alternatieven, die in veel gevallen bovendien nog onvoldoende doeltreffend, evenredig en afschrikwekkend zijn”.
NDPK betoogt dat een boete niet nodig was, volgens haar moet de bestreden beslissing vernietigd worden voor ‘het misbruik door de Geschillenkamer van de GBA van haar bevoegdheid om te sanctioneren door middel van het opleggen van een administratieve
Hof van beroep Brussel – 2021/AR/320 – p. 38
geldboete zonder te overwegen dat de andere sancties van artikel 100 van de GBA wet het resultaat beoogd door de wetgever kunnen bereiken’.
Volgens de GBA bevat de bestreden beslissing een uitdrukkelijke motivering voor de sanctie die de Geschillenkamer oplegt, die gesteund is op deugdelijke, afdoende en draagkrachtige motieven, met name:
- de aard, de duur en de ernst van de inbreuk;
- de economisch precaire omstandigheden voor de onderneming, en de mogelijke impact van een hoge administratieve geldsanctie op de onderneming en haar personeelsleden;
- de uitzonderlijke omstandigheden van de COVID-19 gezondheidscrisis, die er evenwel niet toe nopen de boete t.a.v. NDPK te verlagen;
- de nodige afschrikkende werking van de sanctie.
De GBA laat ook gelden dat de Geschillenkamer NDPK, vóór de bestreden beslissing werd genomen, op de hoogte heeft gesteld van de aard en de omvang van de sanctie die zij overwoog (stuk 37 GBA). Zoals vereist door het Marktenhof,⁴ kreeg NDPK de gelegenheid om zich te verweren m.b.t. het voorgenomen boetebedrag van 50.000 euro, vóór de Geschillenkamer zich over de sanctie zou uitspreken.
# Bespreking door het Marktenhof
Als de GBA één of meer inbreuken op de regelgeving vaststelt, moet de GBA bepalen welke corrigerende maatregel(en) het meest geschikt is (of zijn) om die inbreuk aan te pakken. De maatregelen die daarbij ter beschikking staan, worden opgelijst door artikel 58, lid 2, onder b) tot en met j) AVG. Daarbij bepaalt met name artikel 58, lid 2, onder i) AVG dat de toezichthouder de bevoegdheid heeft om, naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete op te leggen op grond van artikel 83 AVG. Dat houdt in dat een administratieve geldboete zowel een op zichzelf staande (corrigerende) maatregel kan zijn als een maatregel die wordt genomen in combinatie met andere corrigerende maatregelen (en dus een soort van aanvullende maatregel is). De strafbaarstellingen van artikel 83, lid 4 tot en met 6 AVG laten toe om bij de meeste inbreuken een administratieve geldboete op te leggen. Dat neemt niet weg dat de toezichthouder de verantwoordelijkheid heeft om altijd de meest geschikte maatregel(en) te kiezen.
Administratieve geldboetes vormen dus samen met de andere corrigerende maatregelen (zoals voorzien door artikel 58 AVG) een krachtig onderdeel van het instrumentarium inzake handhaving waar de GBA over beschikt.
⁴ Marktenhof, Verreydt nv t. GBA, 19 februari 2020.
Hof van beroep Brussel – 2021/AR/320 – p. 39
Het komt steeds aan de GBA toe te beoordelen of, rekening houdend met de concrete omstandigheden, een geldboete moet worden opgelegd. Als die beoordeling leidt tot de conclusie dat een geldboete wenselijk is, moet de GBA (onder mogelijkheid tot toetsen door het Marktenhof) nagaan/beoordelen of de op te leggen geldboete evenredig is en dus niet een onevenredige last of sanctie zou vormen.
Het Marktenhof laat zich niet in met de beleidskeuze van de Geschillenkamer van de GBA om al dan niet een administratieve geldboete op te leggen. Het Marktenhof beoordeelt wel, geval per geval of, door het opleggen van een administratieve geldboete (eventueel samen met andere sancties) de proportionaliteit van de sanctie sensu lato niet geschonden is. M.a.w., om een administratieve geldboete op te leggen moet de beslissing op afdoende wijze motiveren waarom er in het concrete geval aanleiding is tot het opleggen van een dergelijke boete en de boete zelf (zowel gezien vanuit het oogpunt dat zij één van de mogelijke sancties is, als wat de omvang ervan betreft) moet een proportionaliteit vertonen met de inbreuk en de overige elementen van de concrete zaak.
De bestreden beslissing bevat te dezen een uitdrukkelijke motivering voor de sanctie – in casu de administratieve geldboete - die de Geschillenkamer oplegt. Dat te dezen een administratieve geldboete wordt opgelegd is gesteund op deugdelijke, afdoende en draagkrachtige motieven. Er wordt door NDPK geen enkel misbruik of onwettelijkheid sensu lato in dit verband aangetoond. Het loutere feit dat het laakbare gebruik van postkaarten met persoonsgegevens via een derde onderneming werd stopgezet, houdt niet in dat de GBA geen sanctie zou kunnen opleggen voor bewezen inbreuken op de AVG.
Het eerste onderdeel van het middel 7 is ongegrond.
# Tweede onderdeel van het middel: inzake het bedrag van de geldboete
# Principes en standpunten van partijen
De bestreden beslissing motiveert de omvang van de geldboete als volgt:
"119 [...] a. De ernst van de inbreuk:
Inbreuken op artikel 5, 6 en 7 AVG geven aanleiding tot de hoogste geldboeten in artikel 83, lid 5 AVG.
Uit de gecombineerde inbreuken van artikel 13, 24, 25 en 28 AVG, blijkt dat de verwerkingsverantwoordelijke nagelaten heeft haar verwerkingen in overeenstemming te brengen met de wetgeving inzake persoonsgegevensbescherming, hoewel de verwerking van die persoonsgegevens tot de kern van haar bedrijfsactiviteiten hoort.
Hof van beroep Brussel – 2021/AR/320 – p. 40
Uit alle elementen van het dossier blijkt dat er onvoldoende rekening werd gehouden met de verwachtingen van de burger en de implicaties voor de persoonsgegevensbescherming.
b. De duur van de inbreuk:
De verweerder oefent al een zeer groot aantal jaren haar activiteiten uit en is er gedurende al die jaren niet in geslaagd haar businessmodel aan te passen aan de wetgeving betreffende persoonsgegevensbescherming, wat nochtans raakt aan de kern van haar activiteiten.
c. De omvang van de inbreuk:
Het aantal geaffecteerde betrokkenen is van aanzienlijke omvang. Het betreft volgens de vaststellingen van de Inspectiedienst op het moment van haar onderzoek immers persoonsgegevens afkomstig van 21,10% van de Belgische populatie, en in elk geval een aanzienlijk aantal betrokkenen.
De Geschillenkamer heeft kennis genomen van hetgeen door de verweerder hieromtrent wordt tegengeworpen in haar reactie op het boeteformulier (supra, paragrafen 101 en 102). Vooreerst stelde de Geschillenkamer al vast dat de gegevens van minderjarige kinderen die door de verweerder louter als persoonsgegevens van de ouder (“kenmerk van de moeder”) worden beschouwd, ook aan de kinderen als betrokkenen dienen te worden toegeschreven. Het gaat wel degelijk ook om persoonsgegevensverwerkingen van die kinderen.
Vervolgens stelt de Geschillenkamer vast dat de verweerder zelf niet het correcte aantal betrokkenen van wie zij persoonsgegevens verwerkt kan aanduiden (“ruim onder 1.000.000”), hetgeen op zich al opvallend is, in het licht van de technische en organisatorische maatregelen die de verweerder moet nemen om ervoor te zorgen dat de persoonsgegevens voldoen aan de beginselen inzake de verwerking van persoonsgegevens, waaronder de juistheid van persoonsgegevens, de verplichting inzake opslagbeperking en de minimale gegevensverwerkingsplicht.
De Geschillenkamer beschouwt de schatting van de Inspectiedienst als de meest betrouwbare en stelt vast dat de verweerder geen bijkomende elementen aandraagt die dit cijfer als schatting kunnen tegenspreken.
d. De nodige afschrikwekkende werking om verdere inbreuken te voorkomen:
Uit dit dossier blijkt dat onvoldoende rekening wordt gehouden met de persoonsgegevensbescherming van betrokkenen wat eigenlijk centraal zou moeten staan gezien het businessmodel van de verweerder. Het verwerken van persoonsgegevens maakt immers een kernactiviteit uit van de verweerder. Sterker nog, de verweerder verhandelt deze persoonsgegevens met derde partners. Het is dus van cruciaal belang dat dergelijke databrokers/ondernemingen conform de bepalingen van de AVG functioneren.
Hof van beroep Brussel – 2021/AR/320 – p. 41
De feiten, omstandigheden en vastgestelde inbreuken nopen daarom tot een boete die tegemoetkomt aan de nood om een voldoende afschrikwekkende werking ('effet dissuasif') te hebben, waarbij de verweerder voldoende sterk worden gesanctioneerd, opdat praktijken met dergelijke inbreuken niet zouden worden herhaald, en opdat de verweerder voortaan meer aandacht zou besteden aan persoonsgegevensbescherming.
192. De Geschillenkamer wijst erop dat de andere criteria van art. 83.2. AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld.
193. De Geschillenkamer neemt akte van wat de verweerder in de reactie op het boeteformulier kenbaar maakt, en houdt meer bepaald rekening met de economisch precaire omstandigheden voor de onderneming, en de mogelijke impact van een hoge administratieve geldsanctie op de onderneming en haar personeelsleden. De Geschillenkamer benadrukt echter dat economisch gezond ondernemen nooit ten koste mag gaan van grondrechten van burgers, zoals vervat in artikel 8 Handvest van de Europese Unie en zoals gespecificeerd in de AVG. Het is ook aan de verweerder als verwerkingsverantwoordelijke om haar verantwoordelijkheid te nemen om te zorgen dat zij voldoende technische en organisatorische maatregelen neemt om te zorgen dat haar verwerkingen in overeenstemming met de AVG verlopen, hetgeen in casu niet het geval is, waaruit de nalatigheid van de verweerder blijkt.
194. De Geschillenkamer meent dat in enkele sectoren van de economie er reden is om, gezien de uitzonderlijke omstandigheden van de COVID-19 gezondheidscrisis, een administratieve geldsanctie in bepaalde mate te verlagen, zonder dat dit afbreuk doet aan de nodige afschrikwekkende werking van de boete. Voor de activiteiten van verweerder, waarbij de opbrengsten vooral gerelateerd zijn aan het verhandelen van persoonsgegevens, bestaat hier echter geen specifieke reden toe. Gelet op het bovenstaande verlaagt de Geschillenkamer de in het boeteformulier voorgestelde hoogte van de boete niet en stelt de boete vast op 50.000 Euro.."
Volgens NDPK die opnieuw haar verweer gevoerd voor de Geschillenkamer herhaalt in conclusies voor het Marktenhof is daarbovenop de hoogte van de boete onvoldoende gemotiveerd, is de boete onevenredig en buitensporig en werd geen rekening gehouden met verzachtende omstandigheden. Volgens NDPK houdt de Geschillenkamer geen rekening met haar eigen rechtspraak of die van het Marktenhof en dient het Marktenhof indien een boete wordt opgelegd deze te verlagen naar 2.500 EUR.
Volgens de GBA moet worden besloten dat :
Hof van beroep Brussel – 2021/AR/320 – p. 42
- de aard en de omvang van de opgelegde sanctie uitdrukkelijk en afdoende gemotiveerd werden in de bestreden beslissing zich en in het administratief dossier;
- NDPK ruimschoots de gelegenheid heeft gekreten om zich voor de Geschillenkamer op voorhand te verweren omtrent de aard en de omvang van de voorgenomen sanctie, en dat de Geschillenkamer afdoende rekening heeft gezchoolen met de opmerkingen die door NDPK in dit kader werden geformuleerd;
- de opgelegde administratieve geldboete van 50.000 EUR een doeltreffend, evenredig en aftschrikkend karakter heeft, zoals articlel 83.1 AVG vereist.
# Bespreking door het Marktenhof
De AVG voorziet geen specifiek prijskaartje of een vork voor specifieke inbreuken, maar slechts een bovengrens of maximumbedrag. Dit betekent in de praktijk dat de GBA niet alleen kan beslissen om aan de overtreder geen boete op te leggen, maar ook dat, als zij beslist een boete op te leggen, deze zich situeert tussen het minimum, gaande van 1 EUR, en het voorziene maximum. Welke geldboete wordt opgelegd wordt beslist door de GBA met inachtneming van de criteria die worden opgesomd door artikel 83, lid 2 AVG.
Na de behandeling van de inbreuken voor de Geschillenkamer (en alvorens een boete werd opgelegd) kreeg NDPK al een volledige met redenen omklede beslissing zowel in rechte als in feite. Zij kreeg de kans om tijdens de administratieve fase haar verweermiddelen tegen de voorgenomen omvang van de geldboete te laten gelden. Zo kunnen manifest ongegronde of ongemotiveerde boetes ab initio worden vermeden.
Het Marktenhof heeft niet tot rol en taak een loutere boeteherzieningsrechter te worden. De realiteit immers leert dat moest het Marktenhof, zonder meer, ingaan op elke vraag tot verlaging van de sanctie, elke nieuwe inbreukplegende partij onmiddellijk voor zichzelf het recht zou opeisen om slechts een 'minimumsanctie' te mogen ondergaan bij een eerste overtreding. Dit zou mogelijk het stelsel van de AVG en de slagkracht van de GBA uithollen hetgeen totaal niet de bedoeling kan zijn.
Het Marktenhof, oordelend met volle rechtsmacht, voert een legaliteits- en een proportionaliteitstoetsing van de sanctie door en zal de geldboete (enkel) verlagen of ongedaan maken bij ernstige en bewezen omstandigheden waarmee de Geschillenkamer geen of onvoldoende rekening zou gehouden hebben.
Het Marktenhof controleert de motivering van de Geschillenkamer. Die motivering moet noodzakelijkerwijze steunen op de concrete omstandigheden van het dossier dat voorligt en niet op beslissingen die de Geschillenkamer (of het Marktenhof) eerder heeft genomen in andere zaken zoals NDPK ten onrechte aanvoert.
Hof van beroep Brussel – 2021/AR/320 – p. 43---
Te dezen blijkt uit geen enkele element dat de criteria van artikel 83, lid 2 AVG zouden miskend zijn.
Het Marktenhof is na nazicht van oordeel dat de geldboete niet onevenredig is en afdoende werd gemotiveerd door de Geschillenkamer.
Het tweede onderdeel van Middel 7 is ongegrond.
## Middel 8 : betreffende de publicatiemaatregelen na behandeling ten gronde
### Eerste onderdeel van het middel : geen verdere publicatie van de Bestreden Beslissing
#### *Principes en standpunten van partijen*
NDPK vraagt dat aan de GBA bevolen wordt de publicatie van de bestreden beslissing 04/2021 totaal ongedaan te maken. Zij stelt dat de publicatie van de GBA beslissingen niet automatisch is voorzien in de WOG. Zij verwijst ook naar het publicatiebeleid van de GBA d.d. 23 december 2020 zoals gepubliceerd op haar website en stelt dat de publicatie in onderhavig geval geen legitiem doel dient en haar disproportionele schade veroorzaakt.
De GBA betoogt dat zij consequent alle beslissingen publiceert - ook die van het Marktenhof - op haar website, óók wanneer daarbij een door de Geschillenkamer genomen beslissing (geheel of gedeeltelijk) wordt vernietigd of wanneer de Geschillenkamer “op de vingers wordt getikt” over een aspect van haar besluitvorming of werking. Het gaat hoe dan ook niet op om te stellen dat de publicatie van de beslissing geen enkel legitiem doel zou dienen: de GBA publiceert consequent de door de Geschillenkamer en de door het Marktenhof genomen beslissingen, en dit in het publiek belang.
#### *Bespreking door het Marktenhof*
Dit onderwerp komt in de WOG bij twee gelegenheden aan bod (artikel 95.§1, 8° en 100.§1, 16°), bij de opsomming van de verschillende bevoegdheden van de Geschillenkamer bij de opvolging van haar dossiers. Bij die gelegenheden, zegt de wet:
*“De geschillenkamer beslist over de opvolging die het geeft aan het dossier en is bevoegd om [...] geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit”.*
Hof van beroep Brussel – 2021/AR/320 – p. 44
Het Marktenhof erkent het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer en die van het Marktenhof. Het publiceren van de beslissingen op de website van de GBA lijkt in het kader daarvan gerechtvaardigd.
Een andere vraag betreft de noodzaak de identificatiegegevens van de partijen rechtstreeks via de beslissing bekend te maken. Zeker in het geval van natuurlijke personen verdient pseudonimisering bijzondere aandacht. In casu gaat het overduidelijk om een rechtspersoon waarop de AVG wat dit specifieke aspect betreft niet van toepassing is.
Desondanks rijst ook de vraag naar de identificatie van rechtspersonen bij de publicatie van beslissingen. De publicatie van de identificatiegegevens van een rechtspersoon in een beslissing van de Geschillenkamer die openbaar is gemaakt, kan immers schade berokkenen, althans wanneer de beslissing nadelig is voor de rechtspersoon. De identificatie kan dus, tot op zekere hoogte, een bestraffend karakter hebben voor de geïdentificeerde partijen. Volgens de Geschillenkamer is dit niet altijd het geval. Het staat in elk geval vast dat het Marktenhof geen rechtsmacht heeft om te oordelen over eventuele schade berokkenende gedragingen door de Geschillenkamer, de GBA of individuele leden van hogervermelde organen.
Het Marktenhof is van oordeel dat het basisprincipe vergelijkbaar moet zijn met het principe dat van toepassing is op de persoonsgegevens. Identificatiegegevens van rechtspersonen die in het ongelijk worden gesteld, worden best gepseudonimiseerd / verwijderd, op enkele uitzonderingen na zoals:
- Publicatie opgelegd als sanctie (waarvoor dus de identificatie van de bestrafte rechtspersoon vereist is);
- Het behoud van de identificatiegegevens op verzoek van de rechtspersoon;
- De identificatie van de rechtspersoon is een zaak van algemeen belang.
In onderhavig geval heeft de Geschillenkamer de publicatie van de beslissing in haar geheel als volgt gemotiveerd (steunend op het algemeen belang) :
195. Het is in het algemeen belang de voorliggende beslissing kenbaar te maken aan het publiek, gezien de aard van de inbreuken, en het groot aantal betrokkenen in de Belgische samenleving.
196. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing overeenkomstig artikel 100, §1, 16° WOG gepubliceerd op de website van de Gegevensbeschermingsautoriteit met vermelding van de identificatiegegevens van de verweerder, en dit omwille van de specificiteit van de activiteiten van de verweerder en hun algemene bekendheid, die een zinvolle weglating van de identificatiegegevens niet goed mogelijk maken, alsmede van het algemeen belang van
Hof van beroep Brussel – 2021/AR/320 – p. 45---
*onderhavige beslissing, maar met weglating van de identificatiegegevens van de klager, gezien die identificatiegegevens niet noodzakelijk en relevant zijn bij de publicatie van de beslissing. De identificatiegegevens van partners van verweerder worden ook weggelaten.”*
Het Marktenhof oordeelt dat de publicatie van de bestreden beslissing in haar geheel aldus afdoende werd gemotiveerd door de Geschillenkamer.
Het eerste onderdeel van Middel 8 is ongegrond.
### Tweede onderdeel van het middel : intrekking van de publicatie van het persbericht en de posten van de GBA op sociale media
Hoewel de Geschillenkamer in principe discretionair beslist in elk van haar dossiers om al dan niet over te gaan tot het pseudonimiseren van de beslissing, dient de burger of de betrokken rechtspersoon niet blootgesteld te worden aan willekeur in dit verband. De bevoegde rechter kan desgevallend gevat worden. Het lijkt dan ook raadzaam voor de GBA een consistent beleid te voeren om beslissingen te pseudonimiseren met het oog op publicatie. De kans op reputatieschade, concurrentieschade en de mogelijke omvang ervan zijn elementen die de Geschillenkamer en de GBA moeten meenemen bij hun overweging om al dan niet bepaalde identificatoren weg te laten. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, is het nuttig beslissingen te publiceren op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen voortdurend integraal worden bekendgemaakt (zie, Beslissing 33/2020 van 19 juni 2020 van de Geschillenkamer die besliste om haar beslissing te publiceren maar de gegevens van de betrokken rechtspersoon te pseudonimiseren). Ook brengt het Marktenhof de principes in herinnering van artikel 54.2 AVG:
*“Ten aanzien van de vertrouwelijke informatie die hun bij de uitvoering van hun taken of de uitoefening van hun bevoegdheden ter kennis is gekomen, geldt voor het lid of de leden en de personeelsleden van elke toezichthoudende autoriteit zowel tijdens hun ambtstermijn als daarna het beroepsgeheim, zulks overeenkomstig Unierecht of lidstatelijk recht. Tijdens hun ambtstermijn geldt het beroepsgeheim met name voor meldingen van inbreuken op deze verordening door natuurlijke personen.”*
Het Marktenhof heeft echter zelf geen rechtsmacht om de GBA te bevelen persberichten of posten in te trekken. Het Marktenhof kan enkel rechtsgeldig gevat worden voor beslissingen van de Geschillenkamer van de GBA.
### Derde onderdeel van het middel : intrekking van de posten van de leden van de GBA op sociale media
Hof van beroep Brussel – 2021/AR/320 – p. 46
Het Marktenhof heeft zoals eerder gesteld zelf geen rechtsmacht om leden van de GBA te bevelen persberichten of posten in te trekken. Het Marktenhof kan enkel rechtsgeldig gevat worden voor beslissingen van de Geschillenkamer van de GBA.
**Vierde onderdeel van het middel : publicatie van het arrest, persbericht en posten op sociale netwerken**
Het Marktenhof neemt akte van de beslissing van de GBA om alle arresten van het Marktenhof op haar website te publiceren. In dit verband is dit onderdeel van het middel zonder voorwerp.
Het Marktenhof kan enkel rechtsgeldig gevat worden voor beslissingen van de Geschillenkamer van de GBA en heeft dus geen rechtsmacht om de GBA op te leggen persberichten of posten op sociale media te publiceren.
**Vijfde onderdeel van het middel : geen andere berichten door de GBA en haar leden op sociale netwerken of interviewen in de pers.**
Het Marktenhof heeft zoals eerder gesteld zelf geen rechtsmacht om de GBA of leden ervan te bevelen geen persberichten of posten op sociale media te publiceren. Het Marktenhof kan enkel rechtsgeldig gevat worden voor beslissingen van de Geschillenkamer van de GBA.
Middel 8 is deels onontvankelijk, deels zonder voorwerp en alleszins ongegrond.
# VI. De gerechtskosten
Verzoekster die in het ongelijk wordt gesteld, moet veroordeeld worden tot het basisbedrag van de rechtsplegingsvergoeding voor niet in geld waardeerbare vorderingen (geïndexeerd zoals gevorderd ter zitting), te weten 1.560 EUR.
OM DEZE REDENEN,
HET HOF,
Rechtdoende op tegenspraak ;
Gelet op artikel 24 van de wet van 15 juni 1935 betreffende het gebruik der talen in gerechtszaken;
Verklaart het beroep van verzoekster ontvankelijk maar ongegrond;
Hof van beroep Brussel – 2021/AR/320 – p. 47
Veroordeelt verzoekster tot de gerechtskosten verbonden aan het beroep, met inbegrip van de rechtsplegingsvergoeding van EUR 1.560 EUR.
Veroordeelt verzoekster, overeenkomstig artikel 269/2 van het Wetboek der registratie-, hypotheek- en griffierechten tot betaling aan de Belgische Staat, FOD Financiën, van het rolrecht hoger beroep ten bedrage van 400,00 euro, en tot het definitief ten laste nemen van de bijdrage van € 20,00 Budgettair Fonds;
Dit arrest werd gewezen door het Marktenhof – kamer negentien A van het hof van beroep te Brussel, samengesteld uit:
M. BOSMANS
Raadsheer dd. voorzitter
A-M. WITTERS
Raadsheer
O. DUGARDYN
Plaatsvervangend raadsheer
die alle zittingen hebben bijgewoond en die over de zaak hebben beraadslaagd, bijgestaan door
B. VANDERGUCHT Griffier,
B. VANDERGUCHT
O. DUGARDYN
A-M. WITTERS
M. BOSMANS
De heer O. DUGARDYN, Plaatsvervangend raadsheer verkeert in de onmogelijkheid om de uitgesproken beslissing te ondertekenen.
Het arrest werd door uitgesproken in openbare burgerlijke terechtzitting van het Marktenhof – kamer negentien A van het hof van beroep te Brussel op 7 juli 2021,
waar aanwezig waren:
M. BOSMANS
Raadsheer dd. voorzitter
Griffier,
B. VANDERGUCHT
B. VANDERGUCHT
M. BOSMANS