GEGEVENSBESCHERMINGSAUTORITEIT contra VERREYDT

(1).

(1)Zie concl. OM. Thesaurus CAS: PRIVELEVEN (BESCHERMING VAN) Vrije woorden: Algemene verordening gegevensbescherming - Verwerking van persoonsgegevens - Weigering toestemming - Verlies van voordeel of dienst - Gevolg Wettelijke bepalingen: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot ... - 27-04-2016 - Artt. 2, eerste lid, 4, 2), 5, eerste lid, c), en 57 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot ... - 27-04-2016 - Preambule, punt 141 Fiche 2 De Gegevensbeschermingsautoriteit die na onderzoek van een klacht vaststelt dat een praktijk daadwerkelijk aanleiding geeft tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens is bevoegd om corrigerende maatregelen te nemen ook al werden de persoonsgegevens van de klager zelf niet verwerkt

(1).

(1)Zie concl. OM. Thesaurus CAS: PRIVELEVEN (BESCHERMING VAN) Vrije woorden: Inbreuk op grondbeginselen van bescherming van persoonsgegevens - Gegevensbeschermingsautoriteit - Klacht - Geen verwerking van persoonsgegevens van de klager - Gevolg Wettelijke bepalingen: Wet 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit - 03-12-2017 - Artt. 4, § 1, eerste lid, 63, 72 en 100, § 1 - 11 ELI link Pub nr 2017031916 Fiches 3 - 4 Het verlies van een voordeel of dienst bij weigering van toestemming kan de mogelijkheid van een echte vrije keuze doen ontbreken en een nadelig gevolg uitmaken in de zin van punt 42 van de preambule bij de Algemene Verordening Gegevensbescherming

(1).

(1)Zie concl. OM. Thesaurus CAS: EUROPESE UNIE - VERDRAGSBEPALINGEN - Beginsels Vrije woorden: Verdrag betreffende de werking van de Europese Unie - Rechtstreeks toepasselijk - Algemene verordening gegevensbescherming - Verwerking van persoonsgegevens - Weigering toestemming - Verlies van voordeel of dienst - Gevolg Wettelijke bepalingen: Verdrag van 25 maart 1957 betreffende de werking van de Europese Unie - 25-03-1957 - Art. 288, tweede lid - 01 Link Justel databank 19570325-01 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot ... - 27-04-2016 - Artt. 4, 11), en 6, eerste lid Thesaurus CAS: PRIVELEVEN (BESCHERMING VAN) Vrije woorden: Verwerking van persoonsgegevens - Weigering toestemming - Verlies van voordeel of dienst - Gevolg Wettelijke bepalingen: Verdrag van 25 maart 1957 betreffende de werking van de Europese Unie - 25-03-1957 - Art. 288, tweede lid - 01 Link Justel databank 19570325-01 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot ... - 27-04-2016 - Artt. 4, 11), en 6, eerste lid Annotaties Publicaties: Juristenkrant-De Juristenkrant - 2021, nr. 437, p. 16. - VAN GREMBERGHE, Thomas; Noot'E-ID als klantenkaart: enkele lessen' Tekst van de beslissing Nr. C.20.0323.N GEGEVENSBESCHERMINGSAUTORITEIT, met zetel te 1000 Brussel, Drukpersstraat 35, ingeschreven bij de KBO onder het nummer 0694.679.950, eiseres, vertegenwoordigd door mr. Johan Verbist, advocaat bij het Hof van Cassatie, met kantoor te 2000 Antwerpen, Amerikalei 187/302, waar de eiseres woonplaats kiest, tegen VERREYDT bv, met zetel te 2200 Herentals, Ring 99, ingeschreven bij de KBO onder het nummer 0428.824.132, verweerster, vertegenwoordigd door mr. Bruno Maes, advocaat bij het Hof van Cassatie, met kantoor te 1170 Brussel, Terhulpensesteenweg 177/7, waar de verweerster woonplaats kiest. I. RECHTSPLEGING VOOR HET HOF Het cassatieberoep is gericht tegen het arrest van het hof van beroep te Brussel, sectie Marktenhof, van 19 februari 2020. Advocaat-generaal Els Herregodts heeft op 22 september 2021 een schriftelijke conclusie neergelegd. Raadsheer Bart Wylleman heeft verslag uitgebracht. Advocaat-generaal Els Herregodts heeft geconcludeerd. II. CASSATIEMIDDELEN De eiseres voert in haar verzoekschrift dat aan dit arrest is gehecht, twee middelen aan. III. BESLISSING VAN HET HOF Beoordeling Eerste middel Tweede onderdeel 1. Krachtens artikel 2, lid 1, Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming, hierna AVG) is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Krachtens artikel 4, 2), AVG wordt onder “verwerking” verstaan: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. Artikel 5, lid 1, c), AVG bepaalt dat persoonsgegevens toereikend moeten zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (“minimale gegevensbescherming”). Krachtens artikel 57 AVG verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:

1. a)zij monitort en handhaaft de toepassing van deze verordening; (…)
2. f)zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is; (…)
3. h)zij verricht onderzoeken naar de toepassing van deze verordening, onder meer op basis van informatie die zij van een andere toezichthoudende autoriteit of een andere overheidsinstantie ontvangt. Punt 141 van de preambule bij deze verordening bepaalt dat “iedere betrokkene het recht dient te hebben om een klacht in te dienen bij één enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen overeenkomstig artikel 47 van het Handvest voor de grondrechten van de Europese Unie indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening (…).” 2. Krachtens artikel 4, § 1, eerste lid, van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit is deze autoriteit verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. Krachtens artikel 63 van voornoemde wet kan de aanhangigmaking bij de inspectiedienst gebeuren: 1° wanneer het directiecomité ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens; 2° wanneer de geschillenkamer naar aanleiding van een klacht beslist heeft dat een onderzoek door de inspectiedienst nodig is; (…) 6° uit eigen beweging wanneer zij ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. De wetsgeschiedenis verduidelijkt betreffende voornoemd artikel 63, 2°, dat de inspectiedienst aldus wordt gevat “wanneer een betrokkene van oordeel is dat inbreuk is gemaakt op zijn rechten uit hoofde van de AVG en hierover een klacht indient bij de Gegevensbeschermingsautoriteit en die overeenkomstig artikel 62, § 1, aan de geschillenkamer wordt overgemaakt. De geschillenkamer kan vervolgens beslissen dat een onderzoek gevoerd dient te worden.” Krachtens artikel 72 van voornoemde wet mogen de inspecteur-generaal en de inspecteurs, onverminderd de bepalingen van dit hoofdstuk, overgaan tot elk onderzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd. Krachtens artikel 100, § 1, van deze wet heeft de geschillenkamer de bevoegdheid om corrigerende maatregelen te nemen, onder meer: (…) 9° te bevelen dat de verwerking in overeenstemming wordt gebracht, of om (…) 13° administratieve geldboeten op te leggen. 3. Uit het geheel van voornoemde wetsbepalingen volgt onmiskenbaar dat een betrokkene het recht heeft om een klacht in te dienen bij de Gegevensbeschermingsautoriteit tegen een verwerkingspraktijk waarvan hij meent dat deze inbreuk maakt op zijn rechten uit hoofde van de AVG, zoals het recht om zijn persoonsgegevens minimaal te laten verwerken, krachtens artikel 5, lid 1, c), AVG, opdat hij van een voordeel of dienst kan genieten. Dit is ook het geval wanneer de persoonsgegevens van de betrokkene zelf niet werden verwerkt, maar deze het voordeel of de dienst niet heeft verkregen, doordat hij, precies omwille van het bestaan van de vermeend inbreukmakende praktijk, zijn toestemming met de verwerking heeft geweigerd. Wanneer de Gegevensbeschermingsautoriteit, na onderzoek van een dergelijke klacht, vaststelt dat de praktijk daadwerkelijk aanleiding geeft tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, zoals het beginsel van minimale gegevensverwerking vervat in artikel 5, lid 1, c), AVG, is zij bevoegd om corrigerende maatregelen te nemen en desgevallend een administratieve geldboete op te leggen, ook al werden de persoonsgegevens van de klager zelf niet verwerkt. Er wordt immers ook inbreuk gemaakt op de rechten van de klager uit hoofde van de AVG, wanneer deze verplicht wordt om zijn persoonsgegevens te laten verwerken volgens die inbreukmakende praktijk opdat hij van een voordeel of dienst kan genieten. 4. Uit de vaststellingen van de appelrechters en de stukken waarop het Hof vermag acht te slaan, blijkt dat: - een klant van de verweerster een klacht heeft ingediend bij de eiseres omdat zij, om een klantenkaart te verkrijgen en van kortingen op haar aankopen te kunnen genieten, verplicht werd om haar elektronische identiteitskaart te laten lezen in het computersysteem van de verweerster en zij ten gevolge van een weigering hiervan en bij gebrek aan alternatief, zoals het verstrekken van de strikt noodzakelijke persoonsgegevens op papier, niet van het voordeel van de kortingen kon genieten; - uit het inspectieverslag van de eiseres blijkt dat de klantgegevens die door middel van lezing van de elektronische identiteitskaart worden bewaard, de volgende zijn: naam, voornamen, adres, geboortedatum, geslacht, vanaf wanneer de betrokkene klant is en het bedrag van de aankopen, en dat de barcode van de elektronische identiteitskaart waarin het rijksregisternummer is vervat, door de verweerster gelinkt wordt aan de gegevens van de klant; - de eiseres in de litigieuze beslissing van 17 september 2019 heeft geoordeeld dat een inbreuk op artikel 5, lid 1, c), AVG bewezen is, doordat de verwerking van de klantgegevens het beginsel van minimale gegevensverwerking niet eerbiedigt, omdat zij het gebruik van het rijksregisternummer impliceert dat is opgenomen in de barcode van de elektronische identiteitskaart, hetgeen niet ter zake dienend is, en zij de bewaring inhoudt van gegevens inzake geslacht en geboortedatum, die evenmin ter zake dienend zijn. 5. De appelrechters oordelen dat “er door de klaagster in casu geen eID-kaart werd aangeboden en er dus geen enkele verwerking van haar gegevens is gebeurd. Derhalve toont [de eiseres] geen daadwerkelijke inbreuk in verband met persoonsgegevens aan.” 6. Door op die grond te oordelen dat een inbreuk op artikel 5, lid 1, c), AVG niet bewezen is en de litigieuze beslissing van de eiseres te vernietigen, terwijl niet vereist is dat de persoonsgegevens van de klager daadwerkelijk verwerkt zijn opdat de eiseres naar aanleiding van een klacht corrigerende maatregelen of een administratieve geldboete kan opleggen, na de vaststelling dat een praktijk bestaat die aanleiding geeft tot een inbreuk op het beginsel van minimale gegevensverwerking, verantwoorden de appelrechters hun beslissing niet naar recht. Het onderdeel is gegrond. 7. Er is geen aanleiding tot het stellen van de prejudiciële vraag aan het Hof van Justitie van de Europese Unie. Vierde onderdeel 8. Artikel 288, lid 2, VWEU bepaalt dat een verordening een algemene strekking heeft. Zij is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat. Krachtens artikel 6, lid 1, AVG is de verwerking alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
4. a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden. Krachtens artikel 4, 11), AVG wordt onder “toestemming” van de betrokkene verstaan: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. Punt 42 van de preambule bij deze verordening bepaalt dat “toestemming niet mag worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.” 9. Uit het geheel van voornoemde bepalingen volgt dat ook het verlies van een voordeel of dienst bij weigering van toestemming de mogelijkheid van een echte vrije keuze kan doen ontbreken en een nadelig gevolg kan uitmaken in de zin van punt 42 van de preambule, ten gevolge waarvan de toestemming niet wordt geacht vrij te zijn verleend in de zin van artikel 4, 11), AVG. 10. De appelrechters stellen vast dat de eiseres in de litigieuze beslissing van 17 september 2019 heeft geoordeeld dat een inbreuk op artikel 6, lid 1, a), AVG bewezen is, aangezien een toestemming niet geacht wordt vrij gegeven te zijn indien de betrokkene deze niet zonder nadelige gevolgen kan weigeren of intrekken en er in voorliggend geval geen sprake is van zulke vrije toestemming, doordat de klager, en bij uitbreiding alle klanten, enkel van kortingen kunnen genieten door middel van hun elektronische identiteitskaart en de verweerster geen enkel alternatief aanbiedt voor de aanmaak van een klantenkaart teneinde van dit voordeel te kunnen genieten. 11. Zij oordelen vervolgens dat: - de eiseres, betreffende het ontbreken van een alternatief, verwijst naar een nog niet toepasselijke wetgeving, namelijk artikel 6, § 4, van de wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten, zoals gewijzigd bij wet van 25 november 2018, dat nog niet van toepassing was op het ogenblik van de feiten die ten grondslag lagen aan huidig geschil; - de eiseres verder ten onrechte uitgaat van de onbewezen assumptie dat de klaagster een onbetwistbaar nadeel zou lijden door het feit dat ze door de aanmaak van een klantenkaart te mislopen, kortingen zou mislopen. Dit vormt geen nadeel omdat alleen een mogelijk extra voordeel verloren gaat. 12. Door aldus niet na te gaan of de beslissing van de eiseres inzake de vrije toestemming met het inlezen van de elektronische identiteitskaart om kortingen te verkrijgen, correct was op grond van de artikelen 6.1, a), en 4, 11), AVG, namelijk of krachtens die rechtstreeks toepasselijke bepalingen een alternatief moest worden geboden voor het verkrijgen van kortingen waarbij, specifiek krachtens die bepalingen, het verlies van het voordeel van die kortingen bij weigering van toestemming ook een nadelig gevolg kan inhouden, en op die grond te oordelen dat een inbreuk op artikel 6, lid 1, a), AVG niet bewezen is, schenden de appelrechters de voormelde bepalingen. Het onderdeel is gegrond. (…) Dictum Het Hof, Vernietigt het bestreden arrest, in zoverre dit oordeelt dat een inbreuk op de artikelen 5, lid 1, c), en 6, lid 1, a), AVG niet bewezen is en de litigieuze beslissing van de eiseres op die grond vernietigt. Beveelt dat van dit arrest melding zal worden gemaakt op de kant van het gedeeltelijk vernietigde arrest. Houdt de kosten aan en laat de beslissing daaromtrent aan de feitenrechter over. Verwijst de aldus beperkte zaak naar het hof van beroep te Brussel, sectie Marktenhof, anders samengesteld. Dit arrest is gewezen te Brussel door het Hof van Cassatie, eerste kamer, samengesteld uit sectievoorzitter Eric Dirix, als voorzitter, sectievoorzitter Koen Mestdagh, en de raadsheren Bart Wylleman, Ilse Couwenberg en Sven Mosselmans, en in openbare rechtszitting van 7 oktober 2021 uitgesproken door sectievoorzitter Eric Dirix, in aanwezigheid van advocaat-generaal Els Herregodts, met bijstand van griffier Vanity Vanden Hende. PDF document ECLI:BE:CASS:2021:ARR.20211007.1N.4 Gerelateerde publicatie(
5. s)Conclusie O.M.: ECLI:BE:CASS:2021:CONC.20211007.1N.4 geciteerd door: ECLI:BE:GBAPD:2022:DEC.20220727.3 ECLI:BE:GBAPD:2022:DEC.20220727.4 Print deze pagina Afdrukformaat S M L XL Nieuwe JUPORTAL-zoekopdracht Sluit Tab <div