1/14 Geschillenkamer Beslissing ten gronde tot 10/2019 van 25/11/2019 Dossiernummer: DOS-2018-06068 Onderwerp: Klacht tegen een kandidaat voor gemeenteraadsverkiezingen wegens nietnaleving van het finaliteitsbeginsel in de context van het verzenden van verkiezingspropaganda De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Y. Poullet en C. Boeraeve, leden, die in haar huidige samenstelling de zaak overneemt; Gezien Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming) hierna "AVG" genoemd; Gelet op de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (hierna "WOG" genoemd); Gelet op het huishoudelijk reglement van de Gegevensbeschermingsautoriteit zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken in het dossier; Heeft de volgende beslissing genomen: Beslissing met betrekking tot 10/2019 van 25/11/2019- 2/14 I. Terugwerkende kracht van de procedure Gelet op de klacht die X op 21 oktober 2018 bij de Gegevensbeschermingsautoriteit heeft ingediend; Gelet op de aanvullende elementen die X op 21 november 2018 aan de Gegevensbeschermingsautoriteit heeft verstrekt en die deze laatste op 21 november 2018 heeft ontvangen; Gelet op het besluit van maandag 10 december 2018 van de Eerstelijnsdienst van de Gegevensbeschermingsautoriteit, die de klacht ontvankelijk heeft verklaard en de klacht op dezelfde datum heeft doorgestuurd naar de Geschillenkamer; Gelet op de beslissing die de Geschillenkamer op haar zitting van 19 december 2018 heeft genomen om een onderzoek door de inspectiedienst te vragen overeenkomstig de artikelen 63.2° en 94.1° WOG; Gelet de raadpleging van de Inspecteur-generaal op dezelfde datum; Gelet op het verslag en de notulen van het onderzoek van de Inspecteur-generaal die op 4 april 2019 aan de Geschillenkamer zijn toegezonden en waarvan de bevindingen in dit besluit zijn overgenomen (zie punt III); Gelet op de beslissing die de Geschillenkamer op haar zitting van 15 mei 2019 heeft genomen om te oordelen dat het dossier klaar was om ten gronde te worden behandeld overeenkomstig de artikelen 95, § 1, 1° en 98 van de WOG; Gezien de mededeling op 20 mei 2019 van het verslag en de notulen van het onderzoek van de Inspecteur-generaal aan de partijen en de uitnodiging van de Geschillenkamer aan de partijen om hun argumenten volgens een vastgesteld tijdschema naar voren te brengen; Gelet op de e-mail van 6 juni 2019 van Meester W waarmee hij de Geschillenkamer in kennis stelt van zijn tussenkomst als raadsman van de kandidaat bij de gemeenteraadsverkiezingen Y en waarmee hij reeds aangeeft dat zijn cliënt na afloop van de uitwisseling van bevindingen wenst te worden gehoord in toepassing artikel 51 van het Huishoudelijk reglement van de Gegevensbeschermingsautoriteit; ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 3/14 Gelet op de conclusies van X, ontvangen op 12 juni 2019; Gelet op de bevindingen die op 17 juli 2019 werden ingediend door Meester W, raadsman van de kandidaat bij de gemeenteraadsverkiezingen Y; Gezien de hoorzitting tijdens de vergadering van 5 november 2019, tijdens welke de klagende partij persoonlijk is verschenen en werd bijgestaan door Meester Z en tijdens welke de kandidaat voor de verkiezingen werd vertegenwoordigd door zijn raadsman, Meester W; Gelet op de notulen van de hoorzitting van 5 november 2019, waarvan de inhoud is samengevat in punt IV van dit besluit. II. De feiten en het onderwerp van de klacht De klagende partij is een inwoner van de gemeente ... en kandidaat bij de gemeenteraadsverkiezingen van oktober 2018 in die gemeente op een lijst die concurreert met die van de kandidaat bij de gemeenteraadsverkiezingen Y, de verweerder. De heer Y is de burgemeester van ... sinds 2006, opnieuw verkozen in deze functie na de gemeenteraadsverkiezingen van oktober
- In zijn klacht verklaart X dat hij van de heer Y een brief met verkiezingspropaganda op datum van 9 oktober 2018 heeft ontvangen - een brief op het briefpapier van de gemeente ... kabinet van de Burgemeester en onder de enveloppe van het kabinet van de Burgemeester - waarin deze laatste, met ondertekening in zijn hoedanigheid van burgemeester, hem het volgende heeft geschreven: "Beste X, Zes jaar geleden hebben de burgers van .... opnieuw hun vertrouwen in mij gesteld als Burgemeester. Zo had ik de gelegenheid om u te ontmoeten tijdens een burgervergadering of om een brief van u te ontvangen waarin u mij de vragen, verwachtingen of problemen kon uitleggen waarmee u te maken had. Zoals u kunt zien, heb ik me altijd beschikbaar gesteld (...). Volgende zondag wordt u opgeroepen om te stemmen (...). ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 4/14 Ik zou daarom uw steun willen vragen om mij in staat te stellen om mijzelf te blijven inzetten met hetzelfde enthousiasme en dezelfde motivatie als Burgemeester van alle ... (…) Uw burgemeester (Handtekening) Y." De heer X hekelt het feit dat de heer Y een databank heeft opgezet en zijn persoonsgegevens heeft verzameld zonder hem daarvan op de hoogte te stellen, een databank die ook de gegevens bevat van alle andere burgers van de gemeente die in zijn hoedanigheid van Burgemeester om de tussenkomst van de heer Y hebben verzocht. Tijdens de hoorzitting van 5 november 2019 heeft hij in dit verband verklaard dat hij niet persoonlijk om de tussenkomst van de heer Y heeft verzocht, maar dat hij een buurman vergezelde die dit verzoek tijdens zijn afspraak aan hem had gedaan. Hij hekelt ook het feit dat zijn gegevens tijdens de verkiezingscampagne van oktober 2018 zijn hergebruikt om hem de bovengenoemde brief te sturen. III. Het verslag en de notulen van het onderzoek van de Inspecteurgeneraal De Inspecteur-generaal maakt in op grond van zijn verslag en de notulen van het onderzoek de volgende vaststellingen: "In zijn antwoordbrief [gelezen naar aanleiding van het verzoek van de Inspecteur-generaal om informatie] legt de heer Y uit dat de aanvullende lijst [de lijst van personen die op hem in de hoedanigheid burgemeester beroep hebben gedaan] tussen 2012 en 2018 is opgesteld in het kader van zijn functie als Burgemeester van de gemeente ... Het omvat de contactgegevens van burgers die om een afspraak hebben verzocht of zich schriftelijk tot de hem hebben gewend om hun grieven kenbaar te maken teneinde informatie, bijstand of advies in te winnen in een zaak die hen betreft. Het is op basis van de kiezerslijst, met kruisverwijzingen met de gegevens van de aanvullende lijst, dat hij zijn verkiezingsbrief heeft verzonden". In het genoemde rapport van de Inspecteur-generaal wordt ook opgemerkt dat deze aanvullende lijst de volgende gegevens bevat: voornaam, achternaam, adres, telefoonnummer van de personen die contact hebben opgenomen met de heer Y in zijn hoedanigheid van Burgemeester en het doel van het contact. IV. ... De notulen van de hoorzitting van 5 november 2019 Beslissing met betrekking tot 10/2019 van 25/11/2019- 5/14 Tijdens de hoorzitting van 5 november 2019 heeft de raadsman van de klagende partij de argumenten die deze laatste tijdens de procedure schriftelijk heeft ingediend, mondeling toegelicht. De klagende partij drong er in het bijzonder op aan - zoals reeds vermeld in punt II - dat hij niet persoonlijk om de interventie van de heer Y had verzocht, maar een buurman had vergezeld die een dergelijke stap had ondernomen. Zijn raadsman benadrukte het feit dat de eerste gegevensverzameling niet aan klagende partij was meegedeeld. Wat betreft de heer Y, zijn raadsman lichtte ook mondeling de schriftelijke argumenten toe die hij eerder had ingediend. Hij benadrukte dat de heer Y inderdaad de lijst van contacten die hem raadpleegden in zijn hoedanigheid van Burgemeester enerzijds en de lijst van kiezers anderzijds had gekruist, en hij zich, in ieder geval gedeeltelijk, ook een aantal medeburgers had kunnen herinneren die hem tijdens zijn ambtsperiode hadden geraadpleegd door de lijst van kiezers te doorbladeren en hen schriftelijk aan te schrijven. Hij merkte ook op dat alleen deze lijst werd vergeleken met de kiezerslijst en geen enkele andere lijst van een andere gemeentelijke dienst / afdeling waar de inwoners beroep op hadden gedaan. V. Wat betreft de bevoegdheid van de GBA, in het bijzonder de Geschillenkamer Wat betreft de bevoegdheid van de Gegevensbeschermingsautoriteit, in het bijzonder Geschillenkamer Overeenkomstig artikel 4 § 1 van de WOG is de Gegevensbeschermingsautoriteit verantwoordelijk voor het toezicht op de naleving van de fundamentele beginselen van de bescherming van persoonsgegevens in het kader van de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (GBA) en de wetten met bepalingen inzake de bescherming van de verwerking van persoonsgegevens. Overeenkomstig artikel 33 §1 van de GBA is de Geschillenkamer het administratieve geschillenorgaan van de Autoriteit. Zij ontvangt klachten van de Eerstelijnsdienst en stuurt deze door op grond van artikel 62, § 1, van de WOG, d.w.z. ontvankelijke klachten indien deze, overeenkomstig artikel 60, § 2 van de WOG, in een van de landstalen zijn opgesteld; zij bevatten een overzicht van de feiten en de informatie die nodig is voor het identificeren van de verwerking van de persoonsgegevens waarop zij betrekking hebben en die onder de bevoegdheid van de Gegevensbeschermingsautoriteit vallen. In een arrest van 23 oktober 20191 heeft het Marktenhof in dit verband bevestigd dat: 1 Hof van beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, arrest dd. 23 oktober
- ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 6/14 “De bevoegdheid van de GBA strekt zich enkel uit tot het oordelen over een correcte naleving van de AVG en de Belgische privacywetgeving zoals duidelijk omschreven in de GBA-wet”. 2 . Bijgevolg is de Gegevensbeschermingsautoriteit niet bevoegd om zich uit te spreken over een eventuele schending van het huishoudelijk reglement van de gemeenteraad van ... (artikel 75-17), die geen inbreuk vormt op de regels inzake gegevensbescherming, noch over de geldigheid van een beslissing omtrent de niet-ontvankelijkheid van een verzoek om een burgerinterpellatie dat door de klager is ingediend, twee klachten die door klager naar voren zijn gebracht in het kader van de conclusies die hij heeft ingediend die geen betrekking hebben op de naleving van de fundamentele beginselen van de bescherming van persoonsgegevens met betrekking tot de vastgestelde verwerking van persoonsgegevens zoals gedefinieerd in artikel 4 1) en 2) van de Algemene Verordening inzake Gegevensbescherming (AVG). VI. Wat betreft de redenen voor de beslissing Wat betreft de inbreuk op de verplichting om de gegevens te verwerken op een manier die consistent is met het doel waarvoor ze zijn verzameld Als verwerkingsverantwoordelijke is de heer Y verplicht de beginselen inzake gegevensbescherming na te leven en moet hij kunnen aantonen dat deze worden nageleefd (verantwoordingsplicht - artikel 5.
- van de AVG). Hij moet ook alle daartoe noodzakelijke maatregelen nemen (artikel 24 van de AVG). Het beginsel van de doelbinding is een basisbeginsel van de gegevensbescherming. Het is sinds 1981 vastgelegd in artikel 5 b) van het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS 108), en bepaald in artikel 6, § 1 b), van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en in artikel 4 § 1, 2° van de Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten aanzien van tot de verwerking van persoonsgegevens. Toen het recht op gegevensbescherming in 2000 als artikel 8 in het Handvest van de grondrechten van de Europese Unie als grondrecht werd verankerd, werd het beginsel van de doelbinding als een essentieel onderdeel van dat recht aangemerkt
- Dit beginsel is 3 Artikel 8 van het Handvest van de grondrechten van de Europese Unie:
- Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens. ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 7/14 logischerwijs opgenomen in artikel 5.1.b) van de AVG in het kader van de beginselen inzake de verwerking van persoonsgegevens (hoofdstuk II). Artikel 5 § 1 b) van de AVG bepaalt overigens dat: "
- De persoonsgegevens moeten: (...) b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden; verdere verwerking voor archiveringsdoeleinden van algemeen belang, voor wetenschappelijk of historisch onderzoek of voor statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd overeenkomstig artikel 89, lid 1" (doelbinding). Met andere woorden, dit beginsel vereist dat gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Verdere verwerking van persoonsgegevens voor andere doeleinden dan de doeleinden waarvoor de gegevens oorspronkelijk werden verzameld, is alleen toegestaan indien deze verdere verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens oorspronkelijk werden verzameld, rekening houdend met het verband tussen de doeleinden waarvoor zij werden verzameld en de beoogde verdere verwerking, het kader waarbinnen de persoonsgegevens werden verzameld, de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkene en het bestaan van passende waarborgen. Een verenigbaar doel is bijvoorbeeld een doel dat de betrokkene kan voorzien of dat als verenigbaar kan worden beschouwd op grond van een wettelijke bepaling (zie artikel 6.
- van de AVG). In haar nota "Verkiezingen", die sinds begin 2000 op haar website is gepubliceerd en bijgewerkt na de inwerkingtreding van de AVG4, vermeldt de gegevensbeschermingsautoriteit dat: In die optiek is het dus niet toegelaten om persoonsgegevens die zich in voornoemde bestanden [wat bijvoorbeeld zowel openbare of professionele bestanden kan betreffen] bevinden te hergebruiken voor verkiezingspropaganda. In die gevallen is de verwerking van
- Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan.
- Een onafhankelijke autoriteit ziet toe op de naleving van deze regels. 4 Verwerking van persoonsgegevens met het oog op gepersonaliseerde verzending van verkiezingspropaganda en eerbiediging van de persoonlijke levenssfeer van de burgers: fundamentele beginselen, https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/Nota_verkiezingen_AVG.pdf ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 8/14 persoonsgegevens strijdig met de oorspronkelijke finaliteit, wat strafbaar is onder artikel 83
(5)van de AVG." De nota geeft verder aan: "Bij wijze van voorbeeld mogen persoonsgegevens van burgers die bekomen werden in de uitoefening van een schepenambt niet opnieuw gebruikt worden voor de organisatie van een kiescampagne. Het gaat dan om oneigenlijk gebruik van informatie die men rechtmatig verkregen heeft bij het uitoefenen van een schepenambt. Dergelijk gebruik van persoonsgegevens is niet alleen ongeoorloofd vanwege het principe van doelbinding maar verstoort bovendien de gelijkheid tussen de politieke partijen en de gelijkheid tussen de kandidaten. De wetgeving beoogt alle kandidaten op een gelijke voet te behandelen door hen toegang te geven tot dezelfde gegevens, namelijk die van de kiezerslijsten." Elk daaropvolgend onverenigbaar gebruik is verboden, op twee uitzonderingen na die in punt 6.4 van de AVG worden genoemd. Wanneer de betrokkene toestemming heeft gegeven voor verdere verwerking voor een specifiek doel of wanneer de verwerking is gebaseerd op een wettelijke bepaling die een noodzakelijke en evenredige maatregel in een democratische samenleving vormt, met name ter bescherming van belangrijke doelstellingen van algemeen belang, heeft de voor de verwerkingsverantwoordelijke niettemin de mogelijkheid om dergelijke persoonsgegevens verder te verwerken voor andere doeleinden, ongeacht of deze al dan niet verenigbaar zijn met de oorspronkelijke doeleinden. De Geschillenkamer verduidelijkt in dit verband dat de toestemming van de betrokkene betrekking moet hebben op de verdere verwerking voor een specifiek doeleinde en niet, in voorkomend geval, de basis moet vormen voor de legitimiteit van de eerste verwerking. Met andere woorden, het doet er in dit opzicht niet toe dat de eerste gegevensverwerking zelf gebaseerd is op toestemming. In ieder geval moet ervoor worden gezorgd dat de betrokkene in kennis wordt gesteld van deze andere doeleinden en van zijn rechten.5 Zowel in zijn antwoorden bij brief van 25 maart 2019 op de vragen van de Inspecteur-generaal als in de bevindingen die hij aan de Geschillenkamer heeft voorgelegd, betwist de heer Y niet dat hij de persoonsgegevens van een aanzienlijk aantal personen die hem van 2012 tot 2018 hadden geraadpleegd (in totaal 476 personen) heeft gekruist met de gegevens op de kiezerslijst om aan die eersten een brief te sturen waarin hij hen uitnodigt om zich de verleende dienst te herinneren en op 5 Verwerking van persoonsgegevens met het oog op gepersonaliseerde verzending van verkiezingspropaganda en eerbiediging van de persoonlijke levenssfeer van de burgers: fundamentele beginselen: https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/Nota_verkiezingen_AVG.pdf ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 9/14 hem te stemmen bij de gemeenteraadsverkiezingen in oktober. Ook het rapport van de Inspecteurgeneraal van 4 april 2019 maakt hier melding van. Tijdens de hoorzitting van 5 november 2019 benadrukt de heer Y het feit dat deze brief geen melding maakt van de verleende dienst en alleen gericht is aan de personen die erom hebben verzocht en niet aan al diegenen die tijdens zijn ambtstermijn als burgemeester een beroep zouden hebben gedaan op een of andere gemeentelijke dienst. Zoals de Geschillenkamer heeft beslist in haar beslissing 04/2019 van 28 mei 2019 6, is dit verdere gebruik van persoonsgegevens onverenigbaar met het basisdoeleinde van de verwerking en wordt het niet toegestaan door de AVG. Het argument dat de betrokkenen op deze lijst hun toestemming hebben gegeven, wordt door de Geschillenkamer verworpen. In tegenstelling tot wat verweerder beweert, is de toestemming - die trouwens zou moeten voldoen aan alle voorwaarden van artikel 7 van de AVG die de basis van de eerste verwerking zou vormen, niet van dien aard dat deze latere verwerking krachtens de artikelen 5 § 1b) en 6.4. en 6.4 van de AVG toelaatbaar zou zijn. Uit het voorgaande volgt, ten slotte, dat door gebruik te maken van een bestand dat aanvankelijk was samengesteld op basis van de persoonsgegevens van personen die hem raadpleegden in de hoedanigheid van Burgemeester tijdens de vorige ambtsperiode, om deze cliënten in het kader van de gemeenteraadsverkiezingen van oktober 2018 een brief te sturen - met hoofding van de Gemeente ..., kabinet van de burgemeester - met het verzoek om op hem te stemmen, de heer Y deze persoonsgegevens heeft verwerkt op een wijze die onverenigbaar is met het aanvankelijke doel van het verzamelen van deze gegevens - ook al is dat rechtmatig - en in strijd is met de artikelen 5 § 1
- b)en 6.4. van de AVG. De Geschillenkamer wijst er in het algemeen op dat elke verwerking van persoonsgegevens - met inbegrip van de eerste verzameling, maar ook het bewaren van de verzamelde gegevens in het bijzonder - gebaseerd moet zijn op een van de in artikel 6 van de AVG bedoelde rechtsgrondslagen. De rechten, met name het recht op informatie, van de betrokkene, zoals bepaald in hoofdstuk III van de AVG, moeten eveneens worden geëerbiedigd. De verzamelde gegevens kunnen bovendien, overeenkomstig artikel 5 § 1 e), van de AVG in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer worden bewaard dan nodig is voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt. VII. Over corrigerende maatregelen en sancties Volgens artikel 100 van de WOG is de Geschillenkamer bevoegd om: 1° de klacht zonder gevolg te klasseren; 6 Deze beslissing is gepubliceerd: https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/BETG04-2019ANO_FR.pdf ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 10/14 2° nietig te verklaren; 3° een opschorting van de uitspraak uit te spreken; 4° een transactie voor te stellen; 5° waarschuwingen of berispingen te formuleren; 6° tegemoet te komen aan de verzoeken van de betrokkene om deze rechten uit te oefenen; 7° te gelasten dat de betrokken persoon op de hoogte wordt gesteld van het veiligheidsprobleem; 8° de bevriezing, beperking of tijdelijk of permanent verbod van de verwerking te gelasten; 9° te gelasten dat de verwerking in overeenstemming wordt gebracht met de voorschriften; 10° de rechtzetting, beperking of verwijdering van gegevens en de mededeling daarvan aan de ontvangers van de gegevens te gelasten; 11° de intrekking van de accreditatie van de certificeringsinstanties te gelasten; 12° sancties op te leggen; 13° administratieve boetes op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere staat of internationale instantie te gelasten; 15° het dossier door te sturen naar het parket van de Procureur des Konings van Brussel, dat het de hoogte zal brengen van het gevolg dat aan het dossier is gegeven; 16° geval per geval te beslissen om haar besluiten te publiceren op de website van de Gegevensbeschermingsautoriteit. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 83 van de AVG en de artikelen 100, 13° en 101 van de WOG, voorziet artikel 83 van de AVG in een administratieve geldboete: "Artikel 83 AVG 1. Elke toezichthoudende autoriteit ziet erop toe dat de in de leden 4, 5 en 6 bedoelde administratieve boetes die uit hoofde van dit artikel worden opgelegd voor inbreuken op deze verordening, in alle gevallen doeltreffend, evenredig en afschrikkend zijn. 2. Afhankelijk van de specifieke kenmerken van elk geval worden naast of in plaats van de in artikel 58, lid 2, punten
- a)tot en met
- h)en
- j)bedoelde maatregelen administratieve boetes opgelegd. Bij de beslissing om al dan niet een administratieve boete op te leggen en bij de beslissing over het bedrag van de administratieve boete wordt in elk geval rekening gehouden met de volgende elementen:
- a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de betrokken verwerking en het aantal betrokkenen en de omvang van de schade die zij hebben geleden;
- b)het feit dat de overtreding opzettelijk of uit onachtzaamheid is begaan; ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 11/14
- c)alle maatregelen die de verwerkingsverantwoordelijke of de verwerker heeft genomen om de door de betrokkenen geleden schade te beperken;
- d)de mate van verantwoordelijkheid van de verwerkingsverantwoordelijke of de verwerker, rekening houdend met de technische en organisatorische maatregelen die zij overeenkomstig de artikelen 25 en 32 hebben genomen;
- e)elke eerdere relevante schending die door de verwerkingsverantwoordelijke of de verwerker is begaan;
- f)de mate van samenwerking die met de toezichthoudende autoriteit is aangegaan om de inbreuk ongedaan te maken en eventuele negatieve effecten te beperken;
- g)de categorieën persoonsgegevens waarop de inbreuk betrekking heeft;
- h)de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of en in hoeverre de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
- i)indien de in artikel 58, lid 2 bedoelde maatregelen eerder tegen de betrokken verwerkingsverantwoordelijke of verwerker zijn gelast voor hetzelfde voorwerp, de naleving van die maatregelen;
- j)de toepassing van de overeenkomstig artikel 40 goedgekeurde gedragscodes of de overeenkomstig artikel 42 goedgekeurde certificeringsmechanismen, en
- k)andere verzwarende of verzachtende omstandigheden die van toepassing zijn op de omstandigheden van het geval, zoals financiële voordelen of verliezen die direct of indirect als gevolg van de schending zijn verkregen of vermeden. Wat de aard van de schending (artikel 83.2.a), van de AVG) betreft, herinnerde de Geschillenkamer eraan dat naleving van het doelbeginsel een essentieel en fundamenteel beginsel van gegevensbescherming is. Dit beginsel, dat is vastgelegd in artikel 5 van de AVG (hoofdstuk II Beginselen; artikel 5 - Beginselen inzake de verwerking van persoonsgegevens), is niet alleen van toepassing sinds de inwerkingtreding van de AVG op 24 mei 2018, maar ook sinds de inwerkingtreding in 1993 van de wet van 8 december 1992 betreffende de verwerking van persoonsgegevens die eraan voorafging. Niet-naleving van dit fundamentele beginsel is volgens de Geschillenkamer een ernstige schending. Het argument dat de heer Y niet alle omlijningen van deze verordening, die als "nieuw" wordt omschreven, onder de knie had, houdt dus geen stand. Dit gebrek aan controle doet niets af aan het feit dat op het moment van de feiten de naleving van het doelbeginsel al meer dan 25 jaar van kracht was. Wat betreft de intentie van de heer Y, deze is bewezen. Hij heeft niet gehandeld uit onachtzaamheid, maar heeft de lijst van personen die zich tot hem gericht hebben tijdens zijn vorige mandaat als ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 12/14 burgemeester bewust gebruikt om contact met hen op te nemen in het kader van de gemeenteraadsverkiezingen van oktober 2018 in ... Wat het doeleinde van de verwerking betreft (artikel 83.2.
- a)van de AVG), merkt de Geschillenkamer op dat die erin bestaat de ontvangers van de brief aan te moedigen om op een bepaalde kandidaat te stemmen. Dit is natuurlijk het doel van elke verkiezingscampagne, maar de naleving van de wet in het kader van de campagne is bijzonder belangrijk, vooral omdat hij als vertrekkende burgemeester de facto bekend is bij de kiezers. In dit verband heeft het Europees Comité voor gegevensbescherming (ECG) onlangs nogmaals gewezen op het belang van de regels inzake gegevensbescherming in de verkiezingscontext in de volgende termen: "de naleving van de regels inzake gegevensbescherming, ook in het kader van verkiezingsactiviteiten en -campagnes, is essentieel voor de bescherming van de democratie. Het is ook een middel om het vertrouwen van de burgers en de integriteit van de verkiezingen te behouden"7. De hoedanigheid als burgemeester van de heer Y sinds 2006 had, zoals de Geschillenkamer heeft benadrukt in haar besluit 04/2019 van 28 mei 2019 dat reeds geciteerd werd8, gepaard moeten gaan met een voorbeeldig gedrag met betrekking tot de naleving van de wetgeving, met inbegrip van de bescherming van gegevens, in het bijzonder in de verkiezingscontext. Deze hoedanigheid van openbare mandataris reeds op het moment van de feiten wordt door de Geschillenkamer beschouwd bij de beoordeling van de ernst van de inbreuk. Aangezien de heer Y sinds oktober 2018 ook opnieuw verkozen is in zijn functie als burgemeester, houdt de Geschillenkamer ook rekening met dit element bij de beoordeling van de effectiviteit van een eventuele sanctie die op grond van artikel 83 van de AVG wordt opgelegd. 7 Zie European Data Protection Board (EDPB), Statement 2/2019 on the use of personal data in the course of political campaigns (13 March 2019): “Compliance with data protection rules, including in the context of electoral activities and political campaigns, is essential to protect democracy. It is also a means to preserve the trust and confidence of citizens and the integrity of elections”. 8 De uitspraak van de Geschillenkamer 04/2019 van 28 mei 2019 stelt in dit verband dat: "Dit [lees de naleving van de regels van de AVG] is van toepassing op elke voor verwerkingsverantwoordelijke en a fortiori op de houder van een openbaar mandaat zoals een burgemeester. De burgers moeten erop kunnen vertrouwen dat de gegevens die zij aan een houder van een openbaar mandaat toevertrouwen bij de uitoefening van zijn functies, niet voor andere doeleinden zullen worden gebruikt, hetgeen in strijd is met de wet. Bovendien gaat het in dit geval om een gebruik voor persoonlijke doeleinden door de houder van dit mandaat. Van een burgemeester mag worden verwacht dat hij op de hoogte is van of naar behoren ingelicht over de verplichtingen in het kader van de AVG. Het feit dat de media veel aandacht besteden aan de toepassing van de AVG is ook van belang. De Geschillenkamer is van mening dat een burgemeester het goede voorbeeld moet geven als het gaat om het respecteren van de wet." ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 13/14 De Geschillenkamer merkt ook op dat de heer Y wat betreft de verwerkte gegevens (artikel 83.2.
- a)van de AVG) alleen gebruik heeft gemaakt van de identificatiegegevens van de burgers die eerder contact met hem hebben opgenomen (naam, voornaam, adres), waarbij hij benadrukt dat de gegevens die werden verwerkt in het kader van de verzending waarop de klacht betrekking heeft, hem ook ter beschikking staan via het Kiesregister dat hij rechtmatig voor doeleinden van verkiezingspropaganda mag gebruiken - en dat hij zich althans ten dele had kunnen herinneren door de genoemde kieslijst te raadplegen. De Geschillenkamer is van mening dat, hoewel de categorieën van verwerkte persoonsgegevens (naam, voornaam en postadres) niet van dien aard zijn dat zij een onherstelbare inbreuk vormen op de persoonlijke levenssfeer en de bescherming van de gegevens van de geadresseerden van bovengenoemde brieven, in de verkiezingscontext en gezien het doel van de verwerking van deze brieven, het aantal betrokken personen
(476)- a fortiori gezien het aantal potentiële kiezers in een gemeente als ... - niet onbelangrijk is. Ook is vastgesteld dat er een kruisverwijzing van de lijsten heeft plaatsgevonden. De Geschillenkamer wijst erop dat de andere criteria van artikel 83.
- van de AVG in dit geval niet van dien aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de kamer in het kader van deze beslissing heeft vastgesteld. Gezien de hierboven uiteengezette elementen die specifiek zijn voor dit geval, is de geschillenkamer tot slot van mening dat de geconstateerde feiten en de niet-naleving van artikel 5 § 1 b) en 6.
- van de AVG een berisping (artikel 100 § 1, 5° WOG) gepaard met een administratieve boete van 5000 euro (artikel 100, § 1, 13 en 101 WOG), opgelegd aan de heer Y, rechtvaardigen als een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in artikel 83 van de AVG en rekening houdend met de in artikel 83 genoemde beoordelingscriteria. Om al deze redenen, en om alle openbare mandatarissen te herinneren aan de wet die van toepassing is op de bescherming van persoonsgegevens en aan het verbod om de bestanden van burgers te gebruiken voor andere doeleinden dan die waarvoor ze oorspronkelijk werden verzameld, acht de Geschillenkamer het noodzakelijk om haar beslissing openbaar te maken op basis van artikel 100, § 1, 16° WOG, en laat daarbij alle gegevens weg die de rechtstreekse identificatie van de partijen mogelijk maken. De Gegevensbeschermingsautoriteit handelt daarbij in overeenstemming met de wens van de wetgever voorzien in artikel 7, 2° van de Wet van 5 mei 2019 tot wijziging van het Wetboek van strafvordering en het Gerechtelijk wetboek wat betreft de publicatie van vonnissen en arresten, en anticipeert zo op de inwerkingtreding van deze bepaling (B.S. 16 mei 2019). OM DEZE REDENEN, ... Beslissing met betrekking tot 10/2019 van 25/11/2019- 14/14 Beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Een berisping uit te spreken tegen de heer Y op grond van artikel 100 § 1, 5° WOG; - Een administratieve boete van 5.000 euro op te leggen aan de heer Y in toepassing van de artikelen 100 § 1, 13° en 101 WOG; - De beslissing openbaar te maken op basis van artikel 100, § 1, 16° WOG door ze te publiceren op haar website https://www.gegevensbeschermingsautoriteit.be/ maar met weglating van alle elementen die de rechtstreekse identificatie van de partijen mogelijk maken. Op grond van artikel 108, § 1 WOG kan tegen deze beslissing binnen 30 dagen na de kennisgeving ervan beroep worden ingesteld bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerder. Hielke Hijmans Voorzitter van de Geschillenkamer