7 OKTOBER 2021 C.20.0323.N/1
Hof van Cassatie van België
Arrest
Nr. C.20.0323.N
GEGEVENSBESCHERMINGSAUTORITEIT, met zetel te 1000 Brussel,
Drukpersstraat 35, ingeschreven bij de KBO onder het nummer 0694.679.950,
eiseres,
vertegenwoordigd door mr. Johan Verbist, advocaat bij het Hof van Cassatie, met
kantoor te 2000 Antwerpen, Amerikalei 187/302, waar de eiseres woonplaats
kiest,
tegen
VERREYDT bv, met zetel te 2200 Herentals, Ring 99, ingeschreven bij de KBO
onder het nummer 0428.824.132,
verweerster,
vertegenwoordigd door mr. Bruno Maes, advocaat bij het Hof van Cassatie, met
kantoor te 1170 Brussel, Terhulpensesteenweg 177/7, waar de verweerster woon-
plaats kiest.
7 OKTOBER 2021 C.20.0323.N/2
I. RECHTSPLEGING VOOR HET HOF
Het cassatieberoep is gericht tegen het arrest van het hof van beroep te Brussel,
sectie Marktenhof, van 19 februari 2020.
Advocaat-generaal Els Herregodts heeft op 22 september 2021 een schriftelijke
conclusie neergelegd.
Raadsheer Bart Wylleman heeft verslag uitgebracht.
Advocaat-generaal Els Herregodts heeft geconcludeerd.
II. CASSATIEMIDDELEN
De eiseres voert in haar verzoekschrift dat aan dit arrest is gehecht, twee middelen
aan.
III. BESLISSING VAN HET HOF
Beoordeling
Eerste middel
Tweede onderdeel
1. Krachtens artikel 2, lid 1, Verordening (EU) 2016/679 van 27 april 2016 be-
treffende de bescherming van natuurlijke personen in verband met de verwerking
van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot in-
trekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming,
hierna AVG) is deze verordening van toepassing op de geheel of gedeeltelijk ge-
automatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die
in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgeno-
men.
Krachtens artikel 4, 2), AVG wordt onder “verwerking” verstaan: een bewerking
of een geheel van bewerkingen met betrekking tot persoonsgegevens of een ge-
heel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procédés,
7 OKTOBER 2021 C.20.0323.N/3
zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of
wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzen-
ding, verspreiden of op andere wijze ter beschikking stellen, aligneren of combi-
neren, afschermen, wissen of vernietigen van gegevens.
Artikel 5, lid 1, c), AVG bepaalt dat persoonsgegevens toereikend moeten zijn, ter
zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij
worden verwerkt (“minimale gegevensbescherming”).
Krachtens artikel 57 AVG verricht elke toezichthoudende autoriteit op haar
grondgebied de volgende taken: a) zij monitort en handhaaft de toepassing van
deze verordening; (…) f) zij behandelt klachten van betrokkenen, of van organen,
organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van
de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke
termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name
indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit
noodzakelijk is; (…) h) zij verricht onderzoeken naar de toepassing van deze ver-
ordening, onder meer op basis van informatie die zij van een andere toezichthou-
dende autoriteit of een andere overheidsinstantie ontvangt.
Punt 141 van de preambule bij deze verordening bepaalt dat “iedere betrokkene
het recht dient te hebben om een klacht in te dienen bij één enkele toezichthou-
dende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een
doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het
Handvest voor de grondrechten van de Europese Unie indien hij meent dat in-
breuk is gemaakt op zijn rechten uit hoofde van deze verordening (…).”
2. Krachtens artikel 4, § 1, eerste lid, van de wet van 3 december 2017 tot op-
richting van de Gegevensbeschermingsautoriteit is deze autoriteit verantwoorde-
lijk voor het toezicht op de naleving van de grondbeginselen van de bescherming
van de persoonsgegevens, in het kader van deze wet en van de wetten die bepa-
lingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.
Krachtens artikel 63 van voornoemde wet kan de aanhangigmaking bij de inspec-
tiedienst gebeuren: 1° wanneer het directiecomité ernstige aanwijzingen vaststelt
van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de
grondbeginselen van de bescherming van de persoonsgegevens, in het kader van
7 OKTOBER 2021 C.20.0323.N/4
deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de
verwerking van persoonsgegevens; 2° wanneer de geschillenkamer naar aanlei-
ding van een klacht beslist heeft dat een onderzoek door de inspectiedienst nodig
is; (…) 6° uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt van het
bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbe-
ginselen van de bescherming van de persoonsgegevens, in het kader van deze wet
en van de wetten die bepalingen bevatten inzake de bescherming van de verwer-
king van persoonsgegevens.
De wetsgeschiedenis verduidelijkt betreffende voornoemd artikel 63, 2°, dat de
inspectiedienst aldus wordt gevat “wanneer een betrokkene van oordeel is dat in-
breuk is gemaakt op zijn rechten uit hoofde van de AVG en hierover een klacht
indient bij de Gegevensbeschermingsautoriteit en die overeenkomstig artikel 62, §
1, aan de geschillenkamer wordt overgemaakt. De geschillenkamer kan vervol-
gens beslissen dat een onderzoek gevoerd dient te worden.”
Krachtens artikel 72 van voornoemde wet mogen de inspecteur-generaal en de in-
specteurs, onverminderd de bepalingen van dit hoofdstuk, overgaan tot elk onder-
zoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig
achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming
van de persoonsgegevens, in het kader van deze wet en van de wetten die bepa-
lingen bevatten inzake de bescherming van de verwerking van persoonsgegevens,
waarop zij toezicht uitoefenen, werkelijk worden nageleefd.
Krachtens artikel 100, § 1, van deze wet heeft de geschillenkamer de bevoegdheid
om corrigerende maatregelen te nemen, onder meer: (…) 9° te bevelen dat de
verwerking in overeenstemming wordt gebracht, of om (…) 13° administratieve
geldboeten op te leggen.
3. Uit het geheel van voornoemde wetsbepalingen volgt onmiskenbaar dat een
betrokkene het recht heeft om een klacht in te dienen bij de Gegevensbescher-
mingsautoriteit tegen een verwerkingspraktijk waarvan hij meent dat deze inbreuk
maakt op zijn rechten uit hoofde van de AVG, zoals het recht om zijn persoons-
gegevens minimaal te laten verwerken, krachtens artikel 5, lid 1, c), AVG, opdat
hij van een voordeel of dienst kan genieten. Dit is ook het geval wanneer de per-
soonsgegevens van de betrokkene zelf niet werden verwerkt, maar deze het voor-
7 OKTOBER 2021 C.20.0323.N/5
deel of de dienst niet heeft verkregen, doordat hij, precies omwille van het bestaan
van de vermeend inbreukmakende praktijk, zijn toestemming met de verwerking
heeft geweigerd.
Wanneer de Gegevensbeschermingsautoriteit, na onderzoek van een dergelijke
klacht, vaststelt dat de praktijk daadwerkelijk aanleiding geeft tot een inbreuk op
de grondbeginselen van de bescherming van de persoonsgegevens, zoals het be-
ginsel van minimale gegevensverwerking vervat in artikel 5, lid 1, c), AVG, is zij
bevoegd om corrigerende maatregelen te nemen en desgevallend een administra-
tieve geldboete op te leggen, ook al werden de persoonsgegevens van de klager
zelf niet verwerkt. Er wordt immers ook inbreuk gemaakt op de rechten van de
klager uit hoofde van de AVG, wanneer deze verplicht wordt om zijn persoonsge-
gevens te laten verwerken volgens die inbreukmakende praktijk opdat hij van een
voordeel of dienst kan genieten.
4. Uit de vaststellingen van de appelrechters en de stukken waarop het Hof
vermag acht te slaan, blijkt dat:
- een klant van de verweerster een klacht heeft ingediend bij de eiseres omdat
zij, om een klantenkaart te verkrijgen en van kortingen op haar aankopen te
kunnen genieten, verplicht werd om haar elektronische identiteitskaart te laten
lezen in het computersysteem van de verweerster en zij ten gevolge van een
weigering hiervan en bij gebrek aan alternatief, zoals het verstrekken van de
strikt noodzakelijke persoonsgegevens op papier, niet van het voordeel van de
kortingen kon genieten;
- uit het inspectieverslag van de eiseres blijkt dat de klantgegevens die door
middel van lezing van de elektronische identiteitskaart worden bewaard, de
volgende zijn: naam, voornamen, adres, geboortedatum, geslacht, vanaf wan-
neer de betrokkene klant is en het bedrag van de aankopen, en dat de barcode
van de elektronische identiteitskaart waarin het rijksregisternummer is vervat,
door de verweerster gelinkt wordt aan de gegevens van de klant;
- de eiseres in de litigieuze beslissing van 17 september 2019 heeft geoordeeld
dat een inbreuk op artikel 5, lid 1, c), AVG bewezen is, doordat de verwerking
van de klantgegevens het beginsel van minimale gegevensverwerking niet
eerbiedigt, omdat zij het gebruik van het rijksregisternummer impliceert dat is
7 OKTOBER 2021 C.20.0323.N/6
opgenomen in de barcode van de elektronische identiteitskaart, hetgeen niet ter
zake dienend is, en zij de bewaring inhoudt van gegevens inzake geslacht en
geboortedatum, die evenmin ter zake dienend zijn.
5. De appelrechters oordelen dat “er door de klaagster in casu geen eID-kaart
werd aangeboden en er dus geen enkele verwerking van haar gegevens is ge-
beurd. Derhalve toont [de eiseres] geen daadwerkelijke inbreuk in verband met
persoonsgegevens aan.”
6. Door op die grond te oordelen dat een inbreuk op artikel 5, lid 1, c), AVG
niet bewezen is en de litigieuze beslissing van de eiseres te vernietigen, terwijl
niet vereist is dat de persoonsgegevens van de klager daadwerkelijk verwerkt zijn
opdat de eiseres naar aanleiding van een klacht corrigerende maatregelen of een
administratieve geldboete kan opleggen, na de vaststelling dat een praktijk bestaat
die aanleiding geeft tot een inbreuk op het beginsel van minimale gegevensver-
werking, verantwoorden de appelrechters hun beslissing niet naar recht.
Het onderdeel is gegrond.
7. Er is geen aanleiding tot het stellen van de prejudiciële vraag aan het Hof
van Justitie van de Europese Unie.
Vierde onderdeel
8. Artikel 288, lid 2, VWEU bepaalt dat een verordening een algemene strek-
king heeft. Zij is verbindend in al haar onderdelen en is rechtstreeks toepasselijk
in elke lidstaat.
Krachtens artikel 6, lid 1, AVG is de verwerking alleen rechtmatig indien en voor
zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de be-
trokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgege-
vens voor een of meer specifieke doeleinden.
Krachtens artikel 4, 11), AVG wordt onder “toestemming” van de betrokkene ver-
staan: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waar-
mee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve
handeling hem betreffende verwerking van persoonsgegevens aanvaardt.
7 OKTOBER 2021 C.20.0323.N/7
Punt 42 van de preambule bij deze verordening bepaalt dat “toestemming niet mag
worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije
keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige
gevolgen.”
9. Uit het geheel van voornoemde bepalingen volgt dat ook het verlies van een
voordeel of dienst bij weigering van toestemming de mogelijkheid van een echte
vrije keuze kan doen ontbreken en een nadelig gevolg kan uitmaken in de zin van
punt 42 van de preambule, ten gevolge waarvan de toestemming niet wordt geacht
vrij te zijn verleend in de zin van artikel 4, 11), AVG.
10. De appelrechters stellen vast dat de eiseres in de litigieuze beslissing van 17
september 2019 heeft geoordeeld dat een inbreuk op artikel 6, lid 1, a), AVG be-
wezen is, aangezien een toestemming niet geacht wordt vrij gegeven te zijn indien
de betrokkene deze niet zonder nadelige gevolgen kan weigeren of intrekken en er
in voorliggend geval geen sprake is van zulke vrije toestemming, doordat de kla-
ger, en bij uitbreiding alle klanten, enkel van kortingen kunnen genieten door
middel van hun elektronische identiteitskaart en de verweerster geen enkel alter-
natief aanbiedt voor de aanmaak van een klantenkaart teneinde van dit voordeel te
kunnen genieten.
11. Zij oordelen vervolgens dat:
- de eiseres, betreffende het ontbreken van een alternatief, verwijst naar een nog
niet toepasselijke wetgeving, namelijk artikel 6, § 4, van de wet van 19 juli
1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelin-
genkaarten en de verblijfsdocumenten, zoals gewijzigd bij wet van 25 novem-
ber 2018, dat nog niet van toepassing was op het ogenblik van de feiten die ten
grondslag lagen aan huidig geschil;
- de eiseres verder ten onrechte uitgaat van de onbewezen assumptie dat de
klaagster een onbetwistbaar nadeel zou lijden door het feit dat ze door de aan-
maak van een klantenkaart te mislopen, kortingen zou mislopen. Dit vormt
geen nadeel omdat alleen een mogelijk extra voordeel verloren gaat.
12. Door aldus niet na te gaan of de beslissing van de eiseres inzake de vrije
toestemming met het inlezen van de elektronische identiteitskaart om kortingen te
verkrijgen, correct was op grond van de artikelen 6.1, a), en 4, 11), AVG, name-
7 OKTOBER 2021 C.20.0323.N/8
lijk of krachtens die rechtstreeks toepasselijke bepalingen een alternatief moest
worden geboden voor het verkrijgen van kortingen waarbij, specifiek krachtens
die bepalingen, het verlies van het voordeel van die kortingen bij weigering van
toestemming ook een nadelig gevolg kan inhouden, en op die grond te oordelen
dat een inbreuk op artikel 6, lid 1, a), AVG niet bewezen is, schenden de appel-
rechters de voormelde bepalingen.
Het onderdeel is gegrond.
(…)
Dictum
Het Hof,
Vernietigt het bestreden arrest, in zoverre dit oordeelt dat een inbreuk op de artikelen
5, lid 1, c), en 6, lid 1, a), AVG niet bewezen is en de litigieuze beslissing van de
eiseres op die grond vernietigt.
Beveelt dat van dit arrest melding zal worden gemaakt op de kant van het
gedeeltelijk vernietigde arrest.
Houdt de kosten aan en laat de beslissing daaromtrent aan de feitenrechter over.
Verwijst de aldus beperkte zaak naar het hof van beroep te Brussel, sectie
Marktenhof, anders samengesteld.
Dit arrest is gewezen te Brussel door het Hof van Cassatie, eerste kamer, samen-
gesteld uit sectievoorzitter Eric Dirix, als voorzitter, sectievoorzitter Koen
Mestdagh, en de raadsheren Bart Wylleman, Ilse Couwenberg en Sven
Mosselmans, en in openbare rechtszitting van 7 oktober 2021 uitgesproken door
sectievoorzitter Eric Dirix, in aanwezigheid van advocaat-generaal Els
Herregodts, met bijstand van griffier Vanity Vanden Hende.
7 OKTOBER 2021 C.20.0323.N/9
V. Vanden Hende S. Mosselmans I. Couwenberg
B. Wylleman K. Mestdagh E. Dirix
VERZOEKSCHRIFT/1
UITTREKSEL UIT DE VOORZIENING IN CASSATIE
VOOR: de GEGEVENSBESCHERMINGSAUTORITEIT, onafhanke-
lijke openbare instelling met rechtspersoonlijkheid, met maat-
schappelijke zetel te 1000 Brussel, Drukpersstraat 35, ingeschreven
in de Kruispuntbank der Ondernemingen onder het nummer
0694.679.950,
eiseres tot cassatie,
bijgestaan en vertegenwoordigd door ondergetekende advocaat bij
het Hof van Cassatie Johan Verbist, kantoor houdend te 2000
ANTWERPEN 1, Amerikalei 187/302, alwaar keuze van woonst
wordt gedaan,
TEGEN: de nv VERREYDT, met maatschappelijke zetel te 2200 Herentals,
Ring (NDW) 99, ingeschreven in de Kruispuntbank der Onderne-
mingen onder het nummer 0428.824.132,
verweerster in cassatie,
*
* *
VERZOEKSCHRIFT/2
Eiseres heeft de eer een arrest aan uw beoordeling voor te leggen dat op 19
februari 2020 op tegenspraak tussen de partijen werd gewezen door de Sectie
Marktenhof (19e kamer A) van het Hof van Beroep te Brussel (2019/AR/1600).
VERZOEKSCHRIFT/3
EERSTE MIDDEL TOT CASSATIE
Geschonden wetsbepalingen
De artikelen 4 § 1, 63, 72 en 100 § 1 van de Wet van 3 december 2017
tot oprichting van de Gegevensbeschermingsautoriteit;
De artikelen 1319, 1320 en 1322 van het Burgerlijk Wetboek;
Preambule 42 en de artikelen 2.1, 4 2), 4.11, 5.1 c), 5.2, 6.1 en 57.1 a),
f) en h) van de Verordening (EU) 2016/679 van het Europees Parle-
ment en de Raad van 27 april 2016 betreffende de bescherming van
natuurlijke personen in verband met de verwerking van persoonsgege-
vens en betreffende het vrije verkeer van die gegevens en tot intrek-
king van Richtlijn 95/46/EG (algemene verordening gegevensbe-
scherming) (hierna: AVG);
Artikel 288, tweede lid van het Verdrag betreffende de werking van de
Europese Unie (VWEU), zoals gecoördineerd door het Verdrag van
Lissabon van 13 december 2007, goedgekeurd bij Wet van 19 juni
2008 (BS 19 februari 2009), bij Decreet van de Vlaamse Gemeen-
schap/het Vlaamse Gewest van 10 oktober 2008 (BS 5 november
2008), bij Decreet van de Franse Gemeenschap van 23 mei 2008 (BS
15 juli 2008), bij Decreet van de Duitstalige Gemeenschap van 19 mei
2008 (BS 15 juli 2008), bij Decreet van het Waalse Gewest van 22 mei
2008 (BS 29 mei 2008), bij Decreet van het Waalse Gewest van 22
mei 2008 (BS 30 mei 2008), bij Ordonnantie van het Brusselse Hoofd-
stedelijk Gewest van 10 juli 2008 (BS 6 augustus 2008), bij Ordonnan-
tie van de Gemeenschappelijke Gemeenschapscommissie van 10 juli
2008 (BS 6 augustus 2008) en bij Decreet van de Franse Gemeen-
schapscommissie van 17 juli 2008 (BS 26 augustus 2008).
Artikel 149 van de Grondwet.
Aangevochten beslissing
De appelrechters oordelen dat de beslissing d.d. 17 september 2019 op on-
wettige wijze genomen is inzake de vastgestelde inbreuken op artikel 5.1 c) AVG
en 6.1 AVG, en zij vernietigen de beslissing, op grond van volgende motieven:
VERZOEKSCHRIFT/4
“8. Bespreking – de gronden tot vernietiging
8.1. Inbreuk op artikel 5.1. c) AVG
[Verweerster] laat gelden:
[…]
[Eiseres] betoogt dienaangaande:
[…]
De bestreden beslissing overweegt:
De Inspectiedienst bevestigt aldus de klacht in die zin dat geen alternatief
wordt aangeboden aan klanten die wel een klantenkaart wensen, maar niet
hun elektronische identiteitskaart wensen te laten gebruiken door de ver-
weerder voor de aanmaak van een dergelijke klantenkaart, dit terwijl het
verkrijgen van de toestemming en het aanbieden van een alternatief vol-
gens de Inspectiedienst wel is vereist.
Hierbij verwijst de Inspectiedienst tevens naar art. 6, 54 van de wet van 19
juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de
vreemdelingenkaarten en de verblijfsdocumenten, zoals van toepassing
met ingang van 23 december 2018, en waarin is bepaald dat de elektroni-
sche identiteitskaart enkel mag gelezen of gebruikt worden met de vrije,
specifieke en geïnformeerde toestemming van de houder ervan. Wanneer
een voordeel of dienst wordt aangeboden aan een burger via zijn elektro-
nische identiteitskaart in het kader van een informaticatoepassing, moet
eveneens een alternatief worden voorgesteld dat het gebruik van de elek-
tronische identiteitskaart niet vereist. Verder verwijst de Inspectiedienst
dienaangaande ook naar Aanbeveling nr. 03/2011 teneinde de toestem-
mingsvereiste en het aanbod van een alternatief te ondersteunen.
De Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteits-
kaarten, de vreemdelingenkaarten en de verblijfsdocumenten vermeldt
thans in artikel 6 5 4 tweede en derde lid:
Het Rijksregisternummer en de foto van de houder mogen enkel gebruikt
worden indien hiertoe gemachtigd is door. of krachtens een wet, een de-
creet of een ordonnantie. De elektronische identiteitskaart mag enkel gele-
VERZOEKSCHRIFT/5
zen of gebruikt worden met de vrije, specifieke en geïnformeerde toestem-
ming van de houder van de elektronische identiteitskaart. Wanneer een
voordeel of dienst aangeboden wordt aan een burger via zijn elektronische
identiteitskaart in het kader van een informaticatoepassing, moet eveneens
een alternatief dat het gebruik van de elektronische identiteitskaart niet
vereist, voorgesteld worden aan de betrokken persoon.
Deze tekst werd toegevoegd door de wet van 25 november 2018 en trad in
werking op 23 december 2018. Deze wet is dus niet toepasselijk op de fei-
ten die ten grondslag liggen aan huidig geschil vermits de klacht dateert
van 28 augustus 2018.
Ten tijde van de klacht luidde deze tekst als volgt:
"§ 4. Elke geautomatiseerde controle van de kaart door optische of andere
leesprocédés moet het voorwerp uitmaken van een koninklijk besluit, na
advies van het sectoraal comité van het Rijksregister bedoeld in artikel 15
van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de
natuurlijke personen. "
De motieven van de inspectiedienst - waarvan [eiseres] stelt dat zij als
grondslag dienen voor de beslissing - zijn onwettig. Een wet die absoluut
niet toepasselijk was op het moment van de klacht en een "aanbeveling"
die geen wettelijke kracht heeft, kunnen niet als grondslag dienen voor het
beoordelen van een gedraging, als zijnde strijdig met de vigerende wetge-
ving.
Er is niet aangetoond, en dienvolgens niet afdoende bewezen, dat ten tijde
van de klacht een alternatief moest geboden worden.
De bestreden beslissing overweegt verder:
"De Geschillenkamer merkt daarbij bovendien op dat de verwerking van
de klantgegevens (naam, voornamen, adres, geboortedatum, geslacht,
vanaf wanneer de betrokkene klant is en het bedrag van de aankopen) het
beginsel van minimale gegevensverwerking niet respecteert, vermits het
gegeven 'geslacht en geboortedatum' eveneens niet ter zake dienend zijn.
Hierbij gaat de Geschillenkamer er vanuit dat de klantenkaart niet wordt
VERZOEKSCHRIFT/6
gebruikt voor het controleren van de minimumleeftijd voor alcoholver-
koop.
Doordat de handelswijze van verweerder voor wat betreft de aanmaak van
klantenkaarten het beginsel van minimale gegevensverwerking niet naleeft,
is de Geschillenkamer bijgevolg van oordeel dat de inbreuk op art. 5.1. c)
A VG is bewezen."
Er werd door de klaagster in casu geen EID-kaart aangeboden en er is
dus geen enkele verwerking van haar gegevens gebeurd. Derhalve toont
[eiseres] geen daadwerkelijke inbreuk in verband met persoonsgegevens
aan.
Er moest aan de klaagster toen wettelijk (nog) geen alternatief geboden
worden. Dit is anders sedert 23 december 2018 maar die regelgeving kan
door [eiseres] niet retroactief worden toegepast.
De Geschillenkamer gaat bovendien ten onrechte uit van een aantal onbe-
wezen assumpties:
• dat een klantenkaart van een drankenhandel niet zou gebruikt worden ter
controle van het verbod van verkoop van alcohol aan minderjarigen;
• dat klaagster een onbetwistbaar nadeel zou lijden door het feit dat ze
door de aanmaak van een klantenkaart te mislopen, kortingen zou mislo-
pen. Dit vormt geen nadeel omdat alleen een mogelijk extra voordeel ver-
loren wordt (het Hof benadrukt). Het is anders wanneer de EID-kaart
wordt gevraagd om een wettelijk of contractueel recht (bijvoorbeeld het
recht op garantie) te bekomen of te behouden.
Een inbreuk op art. 5.1. c) AVG is in dit concrete geval dienvolgens niet
bewezen.
Het zesde middel van [verweerster] is wat dit punt betreft gegrond.
8.2. Inbreuk op art. 6.1. AVG:
VERZOEKSCHRIFT/7
[Eiseres] steunt haar beslissing verder op een inbreuk op artikel 6.1. AVG,
te weten dat de rechtmatigheid van de verwerking afhankelijk is van de
toestemming van de betrokkene voor de verwerking van zijn persoonsge-
gevens voor een of meer specifieke doeleinden of de verwerking noodzake-
lijk is voor de behartiging van de gerechtvaardigde belangen van de ver-
werkingsverantwoordelijke of van een derde, behalve wanneer de belan-
gen of de grondrechten en de fundamentele vrijheden van de betrokkene
die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die
belangen, met name wanneer de betrokkene een kind is.
[Eiseres] stelt:
[…]
In de mate [eiseres] andermaal verwijst naar het ontbreken van een alter-
natief, verwijst zij alweer (zie punt 8.1 hiervoor) naar een nog niet toepas-
selijke wetgeving.
Het Marktenhof verwijst naar hetgeen onder punt 8.1 hiervoor werd ge-
steld.
De inbreuk op artikel 6.1. AVG is dienvolgens niet bewezen. Het zevende
middel van [verweerster] is wat dit punt betreft gegrond.
8.3. Besluit van punten 8.1 en 8.2:
In de mate dat de bestreden beslissing niet afdoende gemotiveerd is om re-
den dat bepaalde motieven van de bestreden beslissing onverenigbaar zijn
met de stukken uit het dossier en met de vigerende wettelijke bepalingen op
het moment van de klacht en het Marktenhof niet kan nagaan welk motief
of welke motieven dienvolgens de facto doorslaggevend zijn geweest om de
bestreden beslissing te rechtvaardigen, moet het Marktenhof vaststellen
dat de door [eiseres] aangehaalde motieven het bewezen verklaren van de
inbreuken (en als gevolg ervan evenzo het opleggen van sancties omwille
van deze beweerde inbreuken) niet kunnen schragen. De beslissing is om
die reden op onwettelijke wijze genomen en dient dienvolgens nietig ver-
klaard te worden” (bestreden arrest p. 24-29)
VERZOEKSCHRIFT/8
Grieven
(…)
Tweede onderdeel
Krachtens artikel 288, tweede lid VWEU heeft een verordening een alge-
mene strekking. Zij is verbindend in al haar onderdelen en is rechtstreeks toepas-
selijk in elke lidstaat.
Krachtens artikel 2.1 AVG is deze Verordening van toepassing op de ge-
heel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van
persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om
daarin te worden opgenomen.
Krachtens artikel 4 2) AVG dient onder ‘verwerking’ te worden begrepen,
een bewerking of een geheel van bewerkingen met betrekking tot persoonsgege-
vens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomati-
seerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan,
bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel
van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren
of combineren, afschermen, wissen of vernietigen van gegevens.
Krachtens artikel 5.1 c) AVG moeten persoonsgegevens toereikend zijn,
ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor
zij worden verwerkt (“minimale gegevensverwerking”).
Krachtens artikel 57.1 a), f) en h) AVG monitort en handhaaft elke toe-
zichthoudende autoriteit op haar grondgebied de toepassing van deze verordening;
zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigin-
gen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate
waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van
de vooruitgang en het resultaat van het onderzoek, met name indien verder onder-
zoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is; en
zij verricht onderzoeken naar de toepassing van deze verordening, onder meer op
basis van informatie die zij van een andere toezichthoudende autoriteit of een an-
dere overheidsinstantie ontvangt.
VERZOEKSCHRIFT/9
Krachtens artikel 4 § 1 van de Wet van 3 december 2017 tot oprichting van
de Gegevensbeschermingsautoriteit, is de Gegevensbeschermingsautoriteit ver-
antwoordelijk voor het toezicht op de naleving van de grondbeginselen van de be-
scherming van de persoonsgegevens, in het kader van deze wet en van de wetten
die bepalingen bevatten inzake de bescherming van de verwerking van persoons-
gegevens. Onverminderd de bevoegdheden van de Gemeenschaps- of Gewestre-
geringen, van de Gemeenschaps- of Gewestparlementen, van het Verenigd Colle-
ge of van de Verenigde Vergadering bedoeld in artikel 60 van de bijzondere wet
van 12 januari 1989 met betrekking tot de Brusselse instellingen, oefent de Gege-
vensbeschermingsautoriteit deze opdracht uit op het grondgebied van het hele
Koninkrijk, ongeacht welk nationaal recht op de betrokken verwerking van toe-
passing is.
Krachtens artikel 63 van diezelfde wet kan de aanhangigmaking bij de in-
spectiedienst gebeuren, onder meer, wanneer het directiecomité ernstige aanwij-
zingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een
inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in
het kader van deze wet en van de wetten die bepalingen bevatten inzake de be-
scherming van de verwerking van persoonsgegevens; wanneer de geschillenkamer
naar aanleiding van een klacht beslist heeft dat een onderzoek door de inspectie-
dienst nodig is; of uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt
van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de
grondbeginselen van de bescherming van de persoonsgegevens, in het kader van
deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de
verwerking van persoonsgegevens.
Krachtens artikel 72 van diezelfde wet mogen de inspecteur-generaal en de
inspecteurs, onverminderd de bepalingen van dit hoofdstuk, overgaan tot elk on-
derzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij
nodig achten om zich ervan te vergewissen dat de grondbeginselen van de be-
scherming van de persoonsgegevens, in het kader van deze wet en van de wetten
die bepalingen bevatten inzake de bescherming van de verwerking van persoons-
gegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd.
Artikel 100, § 1 van diezelfde wet somt de maatregelen op die de geschil-
lenkamer kan opleggen.
VERZOEKSCHRIFT/10
Uit deze bepalingen, in hun onderlinge samenhang gelezen, volgt dat de
Gegevensbeschermingsautoriteit onderzoekend en sanctionerend kan optreden ten
aanzien van een praktijk die aanleiding kan geven tot een inbreuk op de grondbe-
ginselen van de bescherming van de persoonsgegevens, en dat zij meer in het bij-
zonder onderzoekend en sanctionerend kan optreden ten aanzien van een praktijk
die aanleiding kan geven tot een inbreuk op het beginsel van minimale gegevens-
verwerking.
Het is dus geenszins vereist dat er eerst een klager zijn gegevens daadwer-
kelijk op onwettige wijze laat verwerken, vooraleer eiseres zou kunnen optreden.
Dit zou ingaan tegen zowel de geest als de tekst van de Wet van 3 december 2017.
Wanneer eiseres, al dan niet op basis van een klacht, een praktijk vaststelt die aan-
leiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van
de persoonsgegevens, dan kan zij tegen deze praktijk onderzoekend en sanctione-
rend optreden, ook wanneer de gegevens van de klager zelf niet verwerkt zijn ge-
weest.
De litigieuze beslissing d.d. 17 september 2019 van eiseres viseert de han-
delswijze van verweerder voor wat betreft de aanmaak van klantenkaarten. “Uit
het inspectieverslag blijkt ook dat de klantgegevens die worden verwerkt de vol-
gende zijn: naam, voornaam, adres, geboortedatum, geslacht, vanaf wanneer de
betrokkene klant is en het bedrag van de aankopen. De barcode van de elektroni-
sche identiteitskaart waarin het rijksregisternummer is vervat, wordt door de
verweerder gelinkt aan de gegevens van de klant […] Doordat de handelswijze
van verweerder voor wat betreft de aanmaak van klantenkaarten het beginsel van
minimale gegevensverwerking niet naleeft, is de Geschillenkamer bijgevolg van
oordeel dat de inbreuk op art. 5.1. c) AVG is bewezen” (p. 6)
Dit betreft een door eiseres vastgestelde verwerking met betrekking tot per-
soonsgegevens in de zin van de AVG, en in ieder geval een praktijk die aanleiding
geeft of minstens kan geven tot een inbreuk op de grondbeginselen van de be-
scherming van de persoonsgegevens in de zin van de Wet van 3 december 2017.
De appelrechters overwegen dat er “door de klaagster in casu geen EID-
kaart [is] aangeboden en er is dus geen enkele verwerking van haar gegevens ge-
beurd. Derhalve toont [eiseres] geen daadwerkelijke inbreuk in verband met per-
soonsgegevens aan”.
VERZOEKSCHRIFT/11
Door op deze grond te oordelen dat een inbreuk op artikel 5.1 c) AVG niet
bewezen is en de litigieuze beslissing te vernietigen, daar waar een daadwerkelij-
ke verwerking van de gegevens van de klager geen noodzakelijke vereiste is opdat
de Gegevensbeschermingsautoriteit onderzoekend en sanctionerend kan optreden,
en het volstaat dat een praktijk wordt vastgesteld die aanleiding kan geven tot een
inbreuk op het beginsel van minimale gegevensverwerking, schenden de appel-
rechters de artikelen 2.1, 4 2), 5.1 c) en 57.1 a), f) en h) AVG, voor zoveel als no-
dig in samenhang gelezen met artikel 288, tweede lid VWEU, en de artikelen 4 §
1, 63, 72 en 100 § 1 van de Wet van 3 december 2017 tot oprichting van de Gege-
vensbeschermingsautoriteit.
In ondergeschikte orde verzoekt eiseres Uw Hof om de volgende prejudi-
ciële vraag te stellen aan het Hof van Justitie van de Europese Unie:
“Dient artikel 57.1, inzonderheid de bepalingen a), f) en h), van de Veror-
dening (EU) 2016/679 van het Europees Parlement en de Raad van 27
april 2016 betreffende de bescherming van natuurlijke personen in ver-
band met de verwerking van persoonsgegevens en betreffende het vrije
verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG, aldus te
worden begrepen dat de toezichthoudende autoriteit die een klacht ont-
vangt, en die na onderzoek van de klacht vaststelt dat sprake is van een
praktijk die aanleiding geeft tot een inbreuk op grondbeginselen van de
bescherming van de persoonsgegevens, hoewel er specifiek met betrekking
tot de klager geen daadwerkelijke verwerking van persoonsgegevens is
gebeurd nu hij daarvoor zijn toestemming niet had gegeven, niet sanctio-
nerend kan optreden met betrekking tot de vastgestelde praktijk?”
(…)
Vierde onderdeel
Krachtens artikel 288, tweede lid VWEU heeft een verordening een alge-
mene strekking. Zij is verbindend in al haar onderdelen en is rechtstreeks toepas-
selijk in elke lidstaat.
VERZOEKSCHRIFT/12
Krachtens artikel 6.1 AVG is de verwerking alleen rechtmatig indien en
voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van
zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeen-
komst waarbij de betrokkene partij is, of om op verzoek van de be-
trokkene vóór de sluiting van een overeenkomst maatregelen te
nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke
verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de be-
trokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van
algemeen belang of van een taak in het kader van de uitoefening
van het openbaar gezag dat aan de verwerkingsverantwoordelijke is
opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerecht-
vaardigde belangen van de verwerkingsverantwoordelijke of van
een derde, behalve wanneer de belangen of de grondrechten en de
fundamentele vrijheden van de betrokkene die tot bescherming van
persoonsgegevens nopen, zwaarder wegen dan die belangen, met
name wanneer de betrokkene een kind is.
Krachtens artikel 4.11 AVG wordt onder ‘toestemming’ van de betrokkene
begrepen, elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting
waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige
actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.
Preambule 42 bepaalt daarover nog dat toestemming niet mag worden ge-
acht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft
of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
De beslissing d.d. 17 september 2019 van eiseres vermeldt daarover het
volgende:
“Er kan, volgens de Geschilkamer, in tegenstelling tot wat de verweerder
aanvoert, geen sprake zijn van toestemming als rechtsgrond voor de ver-
VERZOEKSCHRIFT/13
werking, aangezien de toestemming binnen de huidige werkwijze van de
verweerder geenszins kan worden beschouwd als een vrije toestemming in
de zin van art. 4.11 AVG, bij gebrek aan een alternatief systeem dat toe-
laat een klantenkaart aan te maken zonder gebruik van de elektronische
identiteitskaart, hetwelk het mogelijk maakt de betrokkene ook in dat geval
te laten genieten van kortingen […] Als algemene regel schrijft de AVG
voor dat als een betrokkene geen werkelijke keuze heeft, zich gedwongen
voelt om toestemming te geven of het voor hem negatieve gevolgen zal
hebben als hij of zij niet toestemt, de toestemming niet geldig is […] Door-
dat in voorliggend geval de klager, en bij uitbreiding alle klanten, enkel
van kortingen kunnen genieten door middel van hun elektronische identi-
teitskaart, en door de verweerder geen enkel alternatief wordt aangeboden
voor de aanmaak van een klantenkaart, teneinde van dit voordeel te kun-
nen genieten, is het duidelijk dat er geen sprake is van vrije toestemming
[…] De Geschillenkamer besluit dat de inbreuk op art. 6.1. AVG is bewe-
zen” (p. 7)
De appelrechters oordelen, deels via een verwijzing naar hun eerdere re-
dengeving, dat de motieven van de litigieuze beslissing onwettig zijn, nu deze mo-
tieven andermaal gesteund zijn op het gebrek aan een alternatief en dus op een
wet die niet van toepassing was op het moment van de klacht (met name de Wet
van 19 juli 1991 zoals gewijzigd door de Wet van 25 november 2018).
Daarmee geven de appelrechters evenwel een uitlegging aan de beslissing
die onverenigbaar is met de bewoordingen ervan. Uit de motieven van de litigieu-
ze beslissing, zoals hierboven aangehaald, blijkt immers dat de juridische grond-
slag wel degelijk gelegen is in artikel 6.1 AVG en artikel 4.11 AVG. Het is uit de-
ze bepalingen, voor zoveel als nodig in samenhang gelezen met Preambule 42
AVG, dat de vereiste van een ‘vrije toestemming’ wordt afgeleid en geconcreti-
seerd als zijnde een toestemming waarbij sprake moet zijn van een vrije keuze
zonder nadelige gevolgen.
In zoverre aldus de appelrechters aan de motieven van de litigieuze beslis-
sing een uitlegging geven die met de bewoordingen ervan onverenigbaar is, met
name door daarin te lezen dat de juridische grondslag van de beslissing te vinden
is in de Wet van 19 juli 1991 zoals gewijzigd door de Wet van 25 november 2018,
daar waar uit de bewoordingen blijkt dat de juridische grondslag wel degelijk te
vinden is in artikel 6.1 AVG en artikel 4.11 AVG, schenden de appelrechters de
bewijskracht van deze motieven (schending van de artikelen 1319, 1320 en 1322
van het Burgerlijk Wetboek).
VERZOEKSCHRIFT/14
In zoverre de appelrechters niet nagaan of de in de litigieuze beslissing op-
genomen juridische analyse inzake artikel 6.1 AVG en artikel 4.11 AVG correct
is, met name voor wat betreft de invulling van de vereiste ‘vrije toestemming’,
miskennen zij voorts de rechterlijke motiveringsplicht (schending van artikel 149
van de Grondwet) evenals de artikelen 6.1 en 4.11 AVG, voor zoveel als nodig in
samenhang gelezen met Preambule 42 AVG en artikel 288, tweede lid VWEU.
(…)