Beslissing ten gronde nr. 1/2026

(12)maanden. Dit betekent dus dat alle logs van 2019 tot en met 2021 met betrekking tot het e-mailadres [e-mail klager] en [e-mail klager] ondertussen onherroepelijk verwijderd werden […] waardoor bepaalde essentiële bewijsmiddelen met betrekking tot de klacht ook definitief verwijderd zijn.” 8 12. De Geschillenkamer stelt echter vast dat de argumentatie van de verweerder om geen inzage te geven in de persoonsgegevens van de klager, gebaseerd is op het feit dat de emails van de klager niet toekomen op de Microsoftomgeving van de verweerder dankzij de /dev/null maatregel9: “in onderhavige zaak had [verweerder] absoluut geen toegang meer tot de inkomende e-mails op het e-mailadres van [de klager] na overdracht van de emailadressen. Sterker nog: door de devnull-actie werden alle inkomende e-mails onmiddellijk verwijderd in de mailwachtrij in Postfix, en niet doorgestuurd naar de 7 HvJEU Arrest van 9 januari 2025, Österreichische Datenschutzbehörde, C-416/23 ECLI:EU:C:2025:3, para. 50. 8 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 44. 9 Aangaande de /dev/null-maatregel: ‘the null device is a device file that discards all data written to it but reports that the write operation succeeded’ van https://en.wikipedia.org/wiki/Null_device, geconsulteerd op 25 april 2025. Machinevertaling: ‘het null-apparaat is een apparaatbestand dat alle gegevens weggooit die erop zijn geschreven, maar meldt dat de schrijfbewerking is geslaagd’. Zie ook randnummers 22 e.v. van deze beslissing. Beslissing ten gronde 01/2026 — 6/21 Office365-omgeving van [de verweerder]. De inkomende e-mails kwamen dus nooit in de mailboxen van [de klager] terecht.”10 13. Van twee dingen één; ofwel komen de e-mails niet toe op de Microsoftomgeving van de verweerder en bestaan er ook geen logs die gebruikt hadden kunnen worden als bewijs in deze zaak, ofwel bestaan er logs van de e-mails die toekomen op de Microsoftomgeving van de verweerder die gebruikt hadden kunnen worden als bewijs in deze zaak, wat zou betekenen dat de verweerder dus wel toegang tot deze e-mails had. 14. Het auditrapport dat door de verweerder werd toegevoegd aan de stukken 11 stelt duidelijk: “Uit het onderzoek blijkt dat de Office365 mail-infrastructuur die ten tijde van [de klager] bestond, door [de verweerder] bij de overname werd gewijzigd. In plaats van inkomende mails rechtstreeks aan de Office365-server te bezorgen, werden ze afgeleverd aan een Postfix-mailsysteem.”12 en concludeert: “Het ‘devnull’-mechanisme werd geïmplementeerd en uit de logs blijkt dat het effectief werkte en er dus geen mails bestemd voor [de klager] doorgestuurd werden naar de Office365-omgeving.”13 15. De verweerder is ook van mening dat hij niet redelijkerwijze ervan uit kon gaan dat de klager een klacht zou indienen aangaande de verwerking van zijn e-mailadressen. De verweerder vernam pas van de klacht op 8 februari 2024, terwijl de feiten dateren van februari 2019. De Geschillenkamer stelt echter vast dat de vermeende inbreuk slechts op 9 februari 2021 aan het licht kwam en dat de klager de verweerder voor een eerste keer contacteerde op 23 maart 2021. In dit eerste schrijven van de klager, vermeldde deze duidelijk: “Bij gebreke aan de ontvangst van de gevraagde kopie van de e-mails alsook van het bewijs van de hierboven verzochte acties […]zal de cliënt onverwijld een klacht neerleggen bij de Gegevensbeschermingsautoriteit.”14 Daarenboven stelt de Geschillenkamer vast dat de verweerder de effectiviteit van de /dev/null-maatregel aantoont met e-mail logs van februari tot en met maart 2021. Deze logs werden opgevraagd bij de IT-dienst “na ontvangst van het eerste schrijven van de raadslieden van [de klager]” 15. De verweerder werd dus op de hoogte gebracht van het geschil en een mogelijke klacht bij de GBA binnen de twee maanden na het vaststellen van de vermeende inbreuk; dit toont aan dat de verweerder op dat moment reeds bewijsmateriaal verzamelde. 16. De Geschillenkamer oordeelt dat de rechten van de verdediging in hoofde van de verweerder niet zijn geschonden, temeer omdat de verweerder zijn argumenten schriftelijk 10 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 65. 11 Zie hiervoor randnummer 22 van deze beslissing. 12 Bijlage D.7 bij stuk 23, Stukkenbundel verweerder syntheseconclusie van 2 mei 2024, p. 3. 13 Ibid, p. 7. 14 Bijlage aan stuk 2, formulier klacht – schending van privacy door nv verweerder van 25 april 2022, stuk 10. 15 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 30. Beslissing ten gronde 01/2026 — 7/21 heeft kunnen neerleggen en hij zich mondeling heeft kunnen verdedigen tijdens de hoorzitting. II.3. Afbakening van de behandeling van de klacht: de scope van de klacht 17. De Geschillenkamer heeft reeds in eerdere beslissingen 16 geoordeeld dat een werkgever in principe de e-mailadressen en mailboxen van werknemers moet afsluiten op het moment van het vertrek van de werknemer. De Geschillenkamer heeft in haar beslissingen hierover altijd rekening gehouden met een redelijke termijn waarbinnen het e-mailadres kan blijven bestaan zodat correspondenten van de vertrokken werknemer via een automatisch bericht op de hoogte kunnen worden gebracht tot wie ze zich moeten richten aangezien hun contactpersoon niet meer werkzaam is bij de organisatie. Deze redelijke termijn bedraagt standaard 1 maand en kan in bepaalde omstandigheden verlengd worden naar 3 maanden. 18. De klager stelde in zijn klacht: “Via deze weg heeft de [klager] vernomen dat dit e-mailadres, bijna twee jaar nadat hij zijn werkzaamheden bij [verweerder] beëindigde, nog steeds actief was.”17 (nadruk door klager) en “Vanzelfsprekend is het ontoelaatbaar dat de e-mailadressen van de [klager] na al die tijd nog altijd actief waren.”18 De klacht was klaarblijkelijk gericht tegen het blijven voortbestaan van de e-mailadressen voor een langere periode. Daarenboven was de klager ook van mening dat de specifieke technische maatregel die werd toegepast op deze mailboxen niet belette dat zijn rechten geschonden werden. Deze technische maatregel werd volgens de verweerder ten vroegste 5 maanden na het vertrek van de klager19 ingevoerd. 19. De Geschillenkamer stelt op basis van de klacht vast dat de door de klager beoogde verwerkingen plaats vinden na de redelijke termijn van maximaal 3 maanden, waarna het emailadres en de mailbox definitief verwijderd zouden moeten zijn. Na deze periode werden de mailboxen van de klager echter gemigreerd naar de nieuwe ICT-omgeving van de verweerder. De toenmalige infrastructuurmanager verklaart dat de migratie van de mailboxen op 21 april 2020 plaatsvond: “het enige bestand van belang is de verandering die is gebeurd op 21 april 2020. Dit was de verandering van Frontbridge (O365) naar de [verweerder] (onze eigen data relay center)”20 (vrije vertaling door de Geschillenkamer). Dezelfde infrastructuurmanager verklaart dat voor een dergelijke migratie eerst de 16 O.a. Beslissing 64/2020 van 29 september 2020, beslissing 138/2024 van 19 november 2024, beslissing 134/2025 van 21 augustus 2025, … 17 Stuk 2, formulier klacht – schending van privacy door [verweerder] van 25 april 2022, punt 4 onder de titel ‘uw klacht’. 18 Ibid, punt 5 onder de titel ‘uw klacht’. 19 Alhoewel er na de hoorzitting bijkomend werd geconcludeerd over de invoering van deze technische maatregel, bleek het niet meer mogelijk te achterhalen op welk moment exact deze maatregel werd ingevoerd. De verweerder stelt echter in haar aanvullende conclusie dat deze aannemelijk op 7 juli 2019 werd ingevoerd: bijlage 20250606 aanvullende conclusie [verweerder] v1 bij stuk 37, aanvullende conclusie van 6 juni 2025 randnummer 6. 20 Bijlage D.11. Verklaring van [X] bij Stuk 38, Aanvullende conclusie, Mail van 28/05/2025, bullet 3: “only record of interest is the change occurred on 2020-04-21. This was the change from Frontbridge (O365) to [verweerder] (our data centre relays).” Beslissing ten gronde 01/2026 — 8/21 gegevens bepaald worden die moeten worden overgezet. Deze gegevens zouden bestaan uit een lijst van usernames (gekoppeld aan een mailbox en onedrive), die wordt verkregen van de lokale beheerder. Daarna zou een derde partij de eigenlijke data overzetten. 21 Op basis van deze verklaring stelt de Geschillenkamer vast dat, ondanks het feit dat de klager de verweerder reeds meer dan een jaar had verlaten, zijn e-mailadressen en bijbehorende mailboxen alsnog werden weerhouden teneinde deze over te zetten naar de nieuwe ICTomgeving van de verweerder. 20. De huidige beslissing zal het beheer van de e-mailadressen en de mailboxen van de klager door de verweerder na deze migratie beoordelen, hetgeen overeenkomt met de scope van de klacht. 21. De Geschillenkamer stelt vast dat zowel de klager als de verweerder veel aandacht besteden aan de zakelijke overname van het vennootschap van de klager door de verweerder, de functie van de klager in de verschillende vennootschappen en de contractuele afspraken tussen de klager en de verweerder aangaande een nietconcurrentiebeding en het overnemen van het klantenbestand. De Geschillenkamer gaat niet in op eventuele verwerkingen van persoonsgegevens gedurende deze zakelijke overnameperiode gezien deze periode niet in de scope van de klacht werd weerhouden door de klager. II.4. Verwerking van persoonsgegevens 22. In hoofdorde wijst de verweerder in zijn conclusies op de materiële onbevoegdheid van de GBA omdat hij geen persoonsgegevens van de klager zou verwerken. Hij had immers een technische maatregel ingesteld (hierna ‘/dev/null maatregel’) die verzekerde dat hij geen toegang had tot de inhoud van de e-mails die nog toekwamen op de mailboxen van de klager. De verweerder toont dit aan met een technisch auditrapport 22 van twee beëdigde technische gerechtsdeskundigen (hierna ‘auditrapport’), dat hij toevoegt aan de stukken. Met dit auditrapport tracht de verweerder aan te tonen dat de /dev/null maatregel die hij had ingesteld op de mailboxen van de klager wel degelijk verzekerde dat de verweerder geen toegang had tot de inhoud van de e-mails die op de twee e-mailadressen van de klager toekwamen. 23. Artikel 4.1 van de AVG definieert een persoonsgegeven als: ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een 21 Ibid, bullet 2. 22 Bijlage D.7, Auditrapport gerechtsdeskundigen bij stuk 23, Stukkenbundel verweerder syntheseconclusie van 2 mei 2024. Beslissing ten gronde 01/2026 — 9/21 identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon’. 24. De Geschillenkamer stelt vast dat de twee e-mailadressen waar de klager naar verwijst, beiden zijn voornaam en naam als identificator bevatten en dus op zich al persoonsgegevens zijn. In casu linkt het e-mailadres de naam van de klager aan de domeinnaam van een vennootschap waar hij sinds 13 februari 2019 geen deel meer van uitmaakte. De Geschillenkamer oordeelt dat het laten voortbestaan van beide emailadressen alleen al een verwerking van persoonsgegevens is van een geïdentificeerd persoon. 25. Alle informatie over deze twee e-mailadressen, zowel de metadata als de boodschap in de e-mails zelf, in casu de volledige mailboxen achter deze e-mailadressen, zijn bijgevolg eveneens persoonsgegevens in de zin van de AVG. Het auditrapport zegt hierover: “Een email bestaat uit een header en een body. De header bevat informatie over de afzender, de bestemmeling, de tijd, enz … De body van een mail bevat het bericht zelf met eventuele bijlagen. […] Tijdens dit hele proces blijven zowel de header als de body van de e-mail intact. […]23 26. De Geschillenkamer stelt op basis van het auditrapport vast dat de persoonsgegevens verbonden aan de twee e-mailadressen wel degelijk verwerkt worden: “Wanneer een email wordt ontvangen door een relay-server, worden zowel de header als de body van de email als geheel ontvangen door de mailserver. De relay-server analyseert de header van de e-mail om te bepalen waar die naartoe gestuurd moet worden. Deze analyse omvat het controleren van de geadresseerde(n), het bepalen van de bestemmingsmailserver en het uitvoeren van eventuele filterings- of beveiligingscontroles op basis van de headerinformatie. […] Elke mail wordt dus tijdelijk, integraal bewaard in een wachtrij (queue).”24 27. De verweerder argumenteert dat door de /dev/null maatregel de e-mails naar de emailadressen van de klager nooit toekwamen op de mail-omgeving van de verweerder, aangezien ze technisch werden afgeleid naar een virtuele vuilnisbak door de relay-server. De verweerder kon dus naar eigen zeggen nooit inzage hebben in de e-mails, waaruit hij afleidt dat hij geen persoonsgegevens van de klager verwerkte. 28. De Geschillenkamer stelt echter vast dat de verweerder na ontvangst van het eerste schrijven van de klager de e-mail-logs van de bewuste e-mailadressen had opgevraagd bij 23 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 28. 24 Ibid. Beslissing ten gronde 01/2026 — 10/21 haar IT-dienst. In een voorbeeld van deze e-mail-log25, dat de verweerder in de stukken had toegevoegd, is de verzender van de e-mail aan de klager zichtbaar; in casu was dit een aanbieder van tankkaarten. De Geschillenkamer stelt op basis van dit voorbeeld van de verweerder vast dat deze, via zijn IT-dienst, toegang heeft tot de e-mail-logs van de berichten die verzonden werden naar het nog bestaande e-mailadres van de klager en daardoor minstens zicht had op wie een e-mail naar een van de twee e-mailadressen van de klager heeft gestuurd. 29. De Geschillenkamer oordeelt dat de verweerder via de twee e-mailadressen van de klager geïdentificeerde persoonsgegevens van de klager verwerkt. De Geschillenkamer is bijgevolg bevoegd om deze klacht te behandelen op basis van het materiële toepassingsgebied van artikel 2 van de AVG. II.5. Het rechtmatigheidsbeginsel van artikel 5.1.a juncto artikel 6.1 AVG 30. De verweerder gaat in zijn vierde middel in op zijn verplichtingen conform de AVG en stelt dat hij steeds te goeder trouw heeft gehandeld en zelf niet verantwoordelijk was voor het afsluiten van de e-mailadressen. In vier punten argumenteert hij dat: • hij niet op de hoogte kon zijn van beslissing van de Geschillenkamer 64/2020 van 29 september 2020, waarbij de GBA haar zienswijze ten opzichte van het afsluiten van e-mailadressen in een professionele context plots zou gewijzigd hebben ten opzichte van de aanbeveling van de Commissie voor de Bescherming van de Persoonlijke Levenssfeer (de voorgang van de GBA, hierna ‘CBPL’) van 2012 aangaande de controle van de elektronische communicatie-instrumenten op de werkvloer26. • er duidelijke verschillen zijn tussen de context van de klacht en de context van beslissing 64/2020 gezien het implementeren van de /dev/null-maatregel op de emailadressen van de klager. • de klager zelf verantwoordelijk was voor het afsluiten van zijn e-mailadressen gezien hij zelf verwerkingsverantwoordelijke was op het moment van de verkoop van het vennootschap. • de huidige werkwijze van de verweerder sinds november 2020 wel conform beslissing 64/2020 is. 31. Aangaande de aanbeveling van de CBPL van 2012 is de verweerder van mening dat de behandeling van de mailboxen van de klager wel conform deze aanbeveling was en 25 26 Stuk 23, Stukkenbundel verweerder syntheseconclusie van 2 mei 2024, bijlage D.2. CBPL, Aanbeveling nr. 08/2012 betreffende de controle door de werkgever op het gebruik van elektronische communicatieinstrumenten op de werkvloer (CO-AR-2010-002) van 2 mei 2012. Beslissing ten gronde 01/2026 — 11/21 herneemt het volgende praktisch voorbeeld om deze conformiteit aan te tonen: “Het is niet altijd aanbevelenswaardig om in het automatisch antwoord aan de afzender te vermelden dat de werknemer niet langer deel uitmaakt van het personeel van het organisme; een dergelijke vermelding zal dan ook slechts mogelijk zijn mits expliciete en formele toestemming van de werknemer.”27 De Geschillenkamer stelt vast dat in de aanbeveling van 2012 drie praktische voorbeelden staan bij het onderdeel ‘ontslag van een werknemer’, waarvan de verweerder punt 3 aanhaalt. De Geschillenkamer stelt echter vast dat punt 1 overeenkomt met de situatie in dit dossier: “Ingeval van vertrek met opzeggingsprocedure een procedure voorzien […] in overleg met de werknemer op het ogenblik van zijn vertrek.” 28 Zoals de verweerder zelf heeft verklaard, kwam het vertrek van de klager niet als een verrassing en was er tijd en ruimte om in overleg te gaan met de klager, niet in het minst omdat er een contract werd onderhandeld tussen de klager en de verweerder aangaande de verkoop van het vennootschap en de overname van het klantenbestand. De Geschillenkamer oordeelt dat dit argument van de verweerder niet dragend is om de rechtmatigheid van de verwerking van de persoonsgegevens van de klager aan te tonen. 32. De Geschillenkamer stelt vast dat beslissing 64/2020 aangaande het afsluiten van een mailbox van een werknemer inderdaad werd genomen na het vertrek van de klager bij de verweerder en na de redelijke termijn zoals hierboven bepaald 29. Het feit dat deze beslissing nog niet bestond ten tijde van het vertrek van de klager bij de verweerder ontslaat de verweerder niet van de verantwoordelijkheid om de conformiteit van zijn verwerking met de AVG te garanderen en aan te tonen (conform artikelen 5.2 en 24.1 AVG). Daarenboven werd deze beslissing genomen op 29 september 2020. Uit de klacht blijkt dat de verweerder de verwerking van de e-mailadressen van de klager in februari 2021 nog steeds niet had aangepast conform de AVG. Hierboven30 werd immers aangetoond dat de /dev/null-maatregel slechts een deel van de verwerking vermijdt, met name het doorzenden van de e-mail naar de mailomgeving van de verweerder. Deze maatregel vermijdt niet dat de nog steeds bestaande e-mailadressen de klager blijven linken aan een vennootschap die hij reeds in 2019 had verlaten en dat de toekomende e-mails wel degelijk werden verwerkt. Hoewel de inhoud van de e-mails op zeer korte termijn werd gewist, bleven de logs van deze e-mails opvraagbaar bij de verweerder. 33. Aangaande de huidige werkwijze die sinds november 2020 zou worden toegepast, stelt de Geschillenkamer vast dat dit duidelijk niet geldt voor de e-mailadressen van de klager aangezien deze ten tijde van de klacht in februari 2021 nog steeds bestonden en bereikbaar waren. Aangaande de verantwoordelijkheid van de klager om zelf zijn e-mailadressen af te 27 Ibid, p. 52. 28 Ibid. 29 Zie hiervoor randnummer 17 e.v. van deze beslissing. 30 Zie hiervoor randnummers 24-29 van deze beslissing. Beslissing ten gronde 01/2026 — 12/21 sluiten heeft de Geschillenkamer reeds eerder in deze beslissing geoordeeld 31 dat het correct behandelen van de e-mailadressen van de klager bij zijn vertrek niet binnen de scope van deze klacht valt en dus niet behandeld wordt. Feit is dat de verweerder op het moment van de migratie van de mailboxen besloten heeft de mailboxen van de klager mee te migreren naar haar nieuwe e-mailomgeving ondanks dat de klager de onderneming reeds meer dan een jaar eerder had verlaten. 34. Artikel 6 AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke geen persoonsgegevens mag verwerken zonder zich te beroepen op één van de in artikel 6.1 AVG opgesomde rechtmatigheidscriteria, die de concretisering zijn van het rechtmatigheidsbeginsel als bedoeld in artikel 5.1 a AVG. 35. De Geschillenkamer stelt vast dat de verweerder zich baseert op het gerechtvaardigd belang van artikel 6.1.f AVG: “[verweerder] had een gerechtvaardigd belang (artikel 6.1.f AVG) om te opteren voor de devnull-actie voor de e-mailadressen van [de klager] om het over en weer zenden van e-mails te vermijden, wat de servers van [verweerder] zouden hebben vervuild. Het is ook een gebruikelijke werkwijze om ervoor te zorgen dat e-mails van non-actieve gebruikers niet meer toekomen, en automatisch worden verwijderd.”32 36. De Geschillenkamer oordeelt dat een mailbox van een medewerker, met het oog op het gerechtvaardigd belang van de verwerkingsverantwoordelijke in overeenstemming met de voorwaarden van artikel 6.1. f AVG, gedurende een bepaalde periode na het vertrek van de klager nog actief blijven, in zoverre dit beperkt blijft tot de automatische verzending van standaardcommunicatie omtrent het vertrek van een medewerker, zulks met het oog op het waarborgen van de goede werking van de onderneming en de continuïteit van haar diensten. Dit kan vanzelfsprekend enkel mits de overige bepalingen van de AVG eveneens worden gerespecteerd, inzonderheid artikel 13. 1

1. c)AVG, waaruit volgt dat voordat begonnen wordt met de verwerkingsactiviteiten moet worden bepaald welke rechtsgrondslag van toepassing is, en in verband met welk specifiek doel , met de verplichting voor de verwerkingsverantwoordelijke om de betrokkene hiervan in kennis te stellen. 37. De Geschillenkamer stelt vast dat de verweerder na de redelijke termijn de e-mailadressen blijft verwerken voor een nieuw gerechtvaardigd belang, m.n. het vermijden van ‘het vervuilen van de servers’ van de verweerder, mits de invoering van de /dev/null-maatregel. 31 Zie hiervoor randnummer 21 van deze beslissing. 32 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 67. Beslissing ten gronde 01/2026 — 13/21 38. Overeenkomstig de rechtspraak van het HvJEU33 dient de verweerder in het geval van gerechtvaardigd belang aan te tonen dat: a. De belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); b. De beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); c. De afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de klager doorweegt in het voordeel van de verweerder of van een derde (de “afwegingstoets”). 39. Vooreerst merkt de Geschillenkamer op dat de verweerder op geen enkele manier aantoont dat hij deze afwegingstoets heeft gemaakt, wat nochtans een vereiste is conform het verantwoordingsprincipe van artikel 5.2 AVG. De Geschillenkamer zal zelf overgaan tot een afweging van de belangen van de verweerder tegenover de belangen van de klager om te kunnen beoordelen of de verweerder zich op dit gerechtvaardigd belang kon beroepen om de e-mailadressen van de klager verder te verwerken na de redelijke termijn. Doeltoets: 40. Inzake het belang dat de verweerder met de verwerking nastreeft heeft het HvJEU reeds geoordeeld dat “Wat ten eerste de voorwaarde van de behartiging van een „gerechtvaardigd belang” betreft, moet er bij gebreke van een definitie van dit begrip in de AVG op worden gewezen […] dat een breed scala aan belangen in beginsel als gerechtvaardigd kan worden beschouwd.”34 Aangezien het vermijden van het vervuilen van de servers van een onderneming een legaal doel is dat alle ondernemingen nastreven, oordeelt de Geschillenkamer dat het belang van de verweerder voor deze verwerking gerechtvaardigd is. Noodzakelijkheidstoets: 41. Inzake de noodzaak van de verwerking door de verweerder, is de verwerking slechts gerechtvaardigd indien het nagestreefde belang niet bereikt kan worden op een andere manier die de fundamentele rechten en vrijheden van de klager minder aantast dan de huidige oplossing. Deze voorwaarde moet ook afgetoetst worden aan het principe van minimale gegevensverwerking van artikel 5.1.c AVG, dat stelt dat de verwerking toereikend, ter zake dienend en beperkt is tot wat noodzakelijk is. 35 33 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16, ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74. 34 HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 76. 35 HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 77 en 78. Beslissing ten gronde 01/2026 — 14/21 42. De verweerder beweerde dat het in stand houden van de e-mailadressen in combinatie met de /dev/null-maatregel een gebruikelijke werkwijze was om de servers van de verweerder ‘gezond’ te houden. De achterliggende gedachte is dat de e-mails zelf niet meer toekomen op de mailomgeving van de verweerder en automatisch worden verwijderd. Enkel op deze manier zou de verweerder kunnen vermijden dat “servers over en weer foutmeldingen zouden verzenden”36. 43. Het probleem van ‘over en weer foutmeldingen blijven sturen’ doet zich enkel voor wanneer de verzender van de e-mail naar de klager een mail zou sturen die het afgesloten emailadres van de klager zou beantwoorden met een ‘user unknown’ boodschap. Indien de zender van de e-mail eveneens zou beantwoorden met ‘user unknown’, zou er een pingpong van ‘user unknown’ berichten komen. Deze situatie is echter hoogst onwaarschijnlijk gezien de verzender van de e-mail naar het e-mailadres van de klager een ‘known user’ is. De stand van de techniek laat daarenboven toe dit mogelijk over en weer zenden van foutberichten te vermijden via andere middelen, waarbij de e-mailadressen van de klager wel volledig kunnen worden afgesloten en waarbij dus geen persoonsgegevens van de klager meer hoeven te worden verwerkt. De Geschillenkamer oordeelt dat de verwerking van de persoonsgegevens van de klager zoals georganiseerd door de verweerder niet noodzakelijk is aangezien er even efficiënte alternatieven bestaan om de servers van de verweerder te vrijwaren van vervuiling zonder dat de e-mailadressen van de klager moeten blijven bestaan. Conclusie: 44. Aangezien de drie voorwaarden voor het kunnen aantonen van een gerechtvaardigd belang cumulatief zijn en aangezien de verwerking van de persoonsgegevens niet noodzakelijk is, oordeelt de Geschillenkamer dat de verweerder zich niet kan baseren op het gerechtvaardigd belang van artikel 6.1.f AVG en dat de verwerking van de persoonsgegevens van de klager dus niet rechtmatig is conform artikel 5.1.a AVG. De argumentatie van de verweerder raakt niet aan de kern van deze problematiek. 45. De Geschillenkamer stelt een inbreuk vast op de artikelen 5.1.a AVG juncto 6.1 AVG aangezien de verweerder geen gerechtvaardigd belang heeft om de persoonsgegevens van de klager te verwerken na de migratie van de mailboxen en geen andere verwerkingsgrond voor de verwerking van de persoonsgegevens van de klager kan aantonen. 36 Stuk 21, Syntheseconclusie verweerder DOS-2022-01908 van 2 mei 2024, randnummer 10. Beslissing ten gronde 01/2026 — 15/21 II.6. De principes van doelbinding (artikel 5.1.b AVG), minimale gegevensverwerking (artikel 5.1.c AVG) en opslagbeperking (5.1.e AVG) 46. Aangezien de verwerking van persoonsgegevens van de klager niet rechtmatig was en bijgevolg niet mocht plaatsvinden, alsook het feit dat met name het principe van minimale gegevensverwerking in rekening wordt genomen voor de rechtvaardigingstoets ex artikel 6.1.f AVG, zal de Geschillenkamer niet meer ingaan op de beoordeling van de andere principes die werden aangehaald in de uitnodiging tot conclusies. II.7. Het recht van inzage van de klager (artikel 15 AVG) 47. Artikel 15 AVG geeft de klager het recht om uitsluitsel te krijgen of er gegevens van hem verwerkt worden en indien dit het geval is, inzage te krijgen in deze gegevens. 48. De verweerder argumenteert dat hij geen inzage kon geven aangezien de toekomende emails werden afgeleid naar een virtuele vuilbak door de /dev/null-maatregel. Om diezelfde reden kon hij ook geen kopie van de persoonsgegevens van de klager overmaken. 49. Hierboven37 oordeelde de Geschillenkamer echter dat de verweerder na de migratie van de mailboxen nog steeds persoonsgegevens van de klager verwerkte. Alhoewel de /dev/nullmaatregel de e-mailberichten zelf verwijderde binnen een zeer korte termijn, toonde de verweerder aan dat hij de afzender van deze e-mailberichten wel kon ophalen uit de logs van de omgeving waarop de e-mails initieel toekwamen. Gezien deze gegevens persoonsgegevens van de klager betroffen, had de klager het recht op het verkrijgen van deze persoonsgegevens. Op deze manier had de klager immers kunnen nakijken of er nog e-mails waren toegekomen van persoonlijke contacten die hij gemist zou hebben, zoals de e-mail die aan de basis lag van de klacht. 50. De Geschillenkamer oordeelt dat de verweerder een inbreuk beging op artikel 15 AVG door geen inzage te geven in de persoonsgegevens die van de klager nog werden verwerkt na de migratie van de mailboxen, met name de logs die werden bewaard van de e-mails die nog toekwamen op de twee e-mailadressen van de klager. II.8. Het recht op gegevenswissing (artikel 17 AVG) 51. Artikel 17.1 AVG geeft de klager het recht om wissing van al zijn gegevens te vragen en dit te bekomen wanneer (
2. d)de persoonsgegevens onrechtmatig zijn verwerkt. 52. De verweerder argumenteerde dat de /dev/null-maatregel de persoonsgegevens van de klager meteen verwijderde na ontvangst. 37 Zei hiervoor randnummer 29 van deze beslissing. Beslissing ten gronde 01/2026 — 16/21 53. Hierboven38 oordeelde de Geschillenkamer dat de persoonsgegevens van de klager onrechtmatig werden verwerkt na de migratie van de mailboxen. Naast het blijven voorbestaan van de beide e-mailadressen zelf, stelde de Geschillenkamer vast dat de logs van de toekomende e-mails wel degelijk toegankelijk waren voor de verweerder. Dit werd aangetoond door de verweerder zelf aangezien hij via de IT-dienst een voorbeeld van een dergelijke log had opgevraagd en toegevoegd aan de conclusie. 54. Aangezien deze persoonsgegevens onrechtmatig werden verwerkt, had de klager het recht deze wissing te verkrijgen en had de verweerder zowel de e-mailadressen zelf als alle logs die verbonden waren aan deze e-mailadressen moeten verwijderen binnen de dertig dagen na het verzoek van de klager. 55. De Geschillenkamer oordeelt dat de verweerder een inbreuk beging op artikel 17.1 AVG door alle persoonsgegevens van de klager niet te verwijderen ondanks zijn verzoek hiertoe. III. Corrigerende maatregelen en sancties III.1. Corrigerende maatregelen en sancties 56. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 38 Zie hiervoor randnummer 45 van deze beslissing. Beslissing ten gronde 01/2026 — 17/21 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. III.2. Ernst van de inbreuk 57. De Geschillenkamer heeft geoordeeld dat de verweerder geen rechtsgrond conform artikel 5.1.a AVG juncto artikel 6.1 AVG had om de e-mailadressen en de bijbehorende persoonsgegevens van de klager te verwerken na de migratie van de mailboxen door de verweerder. Betreffende de aard van de inbreuk neemt de Geschillenkamer in rekening dat het beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Het is eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat inbreuken op dit kernbeginsel derhalve zwaarwegende inbreuken vormen. 58. De Geschillenkamer heeft ook geoordeeld dat de verweerder geen inzage had verleend in de persoonsgegevens die hij nog verwerkte van de klager, ondanks diens herhaalde verzoeken. Het recht op inzage vormt de toegangspoort en derhalve ook de hoeksteen voor de uitoefening van andere rechten waarin de AVG voorziet, zoals het recht om bezwaar te maken tegen de verwerking van persoonsgegevens (artikel 21 AVG) en het zogenoemde recht op vergetelheid (artikel 17 AVG). Het is derhalve van uiterst belang dat betrokkenen die hun recht van inzage uitoefenen daadwerkelijk inzage verkrijgen in alle persoonsgegevens die hen betreffen en door de verwerkingsverantwoordelijke zijn verzameld. 59. Tenslotte heeft de Geschillenkamer ook geoordeeld dat de verweerder weigerde de persoonsgegevens van de klager te wissen ondanks diens herhaalde verzoeken. Aangezien deze persoonsgegevens onrechtmatig werden verwerkt, mochten ze niet in het bezit zijn van de verweerder en zou enkel een onmiddellijke wissing van deze gegevens deze onrechtmatigheid afdoende kunnen rechtzetten. 60. De Geschillenkamer neemt echter ook in rekening dat de verweerder met de /dev/nullmaatregel de verwerking van deze persoonsgegevens trachtte te beperken. Alhoewel deze technische maatregel de verwerking van de persoonsgegevens niet vermeed, zoals gesteld door de verweerder, zorgde de maatregel ervoor dat de e-mailberichten zelf niet Beslissing ten gronde 01/2026 — 18/21 toekwamen op de Microsoftomgeving van de verweerder en a priori dus niet leesbaar waren voor het personeel van de verweerder. 61. Tenslotte is de Geschillenkamer gevoelig voor het feit dat de verweerder werkzaam is in de ICT-sector en gespecialiseerd is in cyberveiligheid. De verweerder wordt dus geacht op de hoogte te zijn van de modaliteiten en gevolgen van de technische maatregel die hij invoerde en van de stand van de techniek aangaande alternatieve maatregelen om deze verwerking van persoonsgegevens te vermijden. 62. De Geschillenkamer stelt vast dat, met inachtneming van het arrest ‘Deutsche Wohnen’ van het HvJEU39: • de verweerder niet onkundig kon zijn van het feit dat zijn gedragingen een inbreuk opleverden; • er geen enkel bewijs van opzet voorligt; • er slechts sprake is van een beperkte nalatigheid, gelet op de genomen maatregelen; en oordeelt dat, gezien het verstrijken van de tijd, een administratieve geldboete niet de meest nuttige maatregel zou zijn in deze zaak. III.3. Corrigerende maatregelen en sancties III.3.1. Corrigerende maatregelen 63. Nu de Geschillenkamer heeft vastgesteld dat de verweerder geen rechtsgrond had om de persoonsgegevens van de klager te verwerken, geen inzage had verleend aan de klager in de verwerkte persoonsgegevens en de wissing van de persoonsgegevens van de klager weigerde uit te voeren, ondanks diens herhaalde verzoeken, is het aan de orde corrigerende maatregelen te nemen lastens de verweerder. 64. In het kader van een effectieve rechtsbescherming onder artikel 47 van het Handvest van de Europese Unie en de effectieve handhaving die de wetgever met de AVG nastreeft, is het allereerst aan de orde de verweerder conform artikel 58.2.f AVG en artikel 100.8° WOG te bevelen de verwerking van de e-mailadressen en bijhorende mailboxen van de klager stop te zetten, inzage te geven in alle persoonsgegevens van de klager die nog beschikbaar zijn voor de verweerder en daarna alle persoonsgegevens van de klager aangaande deze e-mailadressen te verwijderen. De Geschillenkamer vermijdt met dit bevel het verderzetten van de onrechtmatige verwerking van de persoonsgegevens van de klager, geeft de klager alsnog inzage in zijn persoonsgegevens waar mogelijk en voldoet 39 HvJEU, Arrest van 5 december 2023, Deutsche Wohnen SE, C-807/21, ECLI:EU:C:2023:950, para. 76 - 78. Beslissing ten gronde 01/2026 — 19/21 dan aan het verzoek van de klager om al zijn persoonsgegevens uiteindelijk te wissen en de onrechtmatig bekomen persoonsgegevens te verwijderen. III.3.2. Sancties 65. In deze omstandigheden en omwille van de vastgestelde inbreuken op artikel 5.1.a AVG juncto 6.1 AVG, op artikel 15 AVG en op artikel 17.1 AVG besluit de Geschillenkamer om op grond van artikel 58.2.b AVG en artikel 100.5° WOG een berisping te formuleren ten aanzien van de verweerder aangezien: • hij persoonsgegevens van de klager verwerkte zonder hiervoor over een rechtsgrond te beschikken; • hij geen inzage had gegeven aan de klager in deze persoonsgegevens, ondanks herhaalde verzoeken van de klager en • hij de persoonsgegevens van de klager weigerde te wissen na diens herhaalde verzoeken, al werden deze persoonsgegevens onrechtmatig verwerkt. Beslissing ten gronde 01/2026 — 21/21 verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.41, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Directeur van de Geschillenkamer 6° de handtekening van de verzoeker of van zijn advocaat. 41 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.