Beslissing ten gronde nr. 101/2026

(2015)5 van het Comité van Ministers van de lidstaten van de Raad van Europa bij het vertrek van een werknemer duidelijk stelt: “Als werkgevers de inhoud van een account van een werknemer moeten recupereren voor het efficiënt beheer van de organisatie, zouden ze dit moeten doen voor zijn of haar vertrek en, wanneer mogelijk, in zijn of haar bijzijn. “12 (vrije vertaling door de Geschillenkamer). II.2.3. Fase 3: één maand na het eindigen van de samenwerking tussen de klager en de verweerder 21. Eén maand (of, mits een duidelijk onderbouwde verlenging, tot maximum 3 maanden) na het effectieve einde van de samenwerking zijn de persoonsgegevens in de mailbox van de klager, inclusief het e-mailadres zelf, niet meer noodzakelijk en moeten ze conform het principe van doelbinding van artikel 5.1.b AVG en de minimale gegevensverwerking van artikel 5.1.c AVG definitief worden verwijderd. Gezien de onvermijdelijke mix van persoonsgegevens en bedrijfsgegevens in de mailbox, betekent dit in de praktijk meestal het definitief wissen van de volledige mailbox. II.3. Schending van artikel 5.1.

1. a)juncto artikel 6.1 van de AVG vanwege het niet hebben van een rechtsgrond om de mailbox van de klager actief te houden na 1 maand na het vertrek van de klager 22. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of, zoals in casu, doorgaan met een gegevensverwerking zonder zich te beroepen op één van de in artikel 6.1 AVG opgesomde rechtmatigheidscriteria, wat de concretisering is van het rechtmatigheidsbeginsel als bedoeld in artikel 5.1
2. a)AVG. 23. De klager stelt in haar klacht dat haar samenwerking met de verweerder was geëindigd in april 2023. Nadat zij had vastgesteld dat de mailbox nog actief was, had zij de verweerder hierover op 24 januari 2024 gecontacteerd. Diezelfde dag bevestigde de functionaris voor gegevensbescherming van de verweerder (hierna ‘DPO’) dat het e-mailadres nog Committee of Ministers, Recommendation CM/Rec

(2015)5 of the Committee of Ministers to member States on the processing of personal data in the context of employment van 1 april 2015, randnummer 14.5 : “If employers need to recover the contents of an employee’s account for the e cient running of the organisation, they should do so before his or her departure and, when feasible, in his or her presence.” 12 Beslissing ten gronde 101/2026 — 9/60 niet was gedeactiveerd. Als verklaring voor dit langer bewaren van de persoonsgegevens in de mailbox van de klager stelde de DPO op 20 februari 2024: “Gelet op uw functie binnen [verweerder], meenden wij dat het meer opportuun voorkwam uw out-of-office meldingen langer te behouden, eerder dan na 1 maand uw mailbox af te sluiten.”13 Op de dag van de klacht op 23 april 2024, zijnde 1 jaar na het einde van de samenwerking tussen de klager en de verweerder, was de mailbox volgens haar nog steeds actief.

1. De verweerder bevestigt dat de klager als zelfstandig consulente bij hem actief was en in dat kader over een persoonlijk e-mailadres op het domein van de verweerder beschikte. De verweerder erkent eveneens dat “de mailbox van de klager inderdaad niet (tijdig) werd verwijderd na de deactivering, en per abuis in de ‘back-up’-modus bleef staan”
2. Het proces voor het afsluiten en verwijderen van mailboxen van vertrokken medewerkers was ten tijde van het vertrek van de klager beperkt tot het maandelijks oplijsten van vertrokken medewerkers, waarna op de dag van het vertrek de ICT-dienst alle toegangen blokkeerde en een maand na het vertrek de mailboxen handmatig verwijderde. De verweerder benadrukt dat het bijhouden van de mailbox van de klager een éénmalige, menselijke fout betrof.
3. De verweerder beschouwt het deactiveren van de mailbox als een soort back-up modus en stelt “dat de persoonsgegevens opgenomen in de mailbox van klager de facto reeds ‘verwijderd’ zijn daar zij niet meer actief verwerkt worden.”15 In deze back-up modus heeft niemand meer toegang tot de mailbox, tenzij een specifieke procedure wordt gevolgd waarbij expliciet toegang wordt gevraagd en moet worden geautoriseerd alvorens er toegang wordt gegeven. Deze toegangsprocedure werd niet geïnitieerd op de mailbox van de klager nadat hij gedeactiveerd was.
4. Ten slotte stelt de verweerder dat ook de klager een deel van de verantwoordelijkheid draagt aangezien zij al sinds september 2023 op de hoogte zou geweest zijn dat haar mailbox nog actief was en dit pas in januari 2024 zou gemeld hebben aan de verweerder. II.3.
5. Beoordeling van de rechtsgrond in fase 2
6. De Geschillenkamer oordeelt dat de verdere verwerking in fase 2 kan worden gebaseerd op het gerechtvaardigd belang van de verweerder op grond van artikel 6.1.f AVG. Dit gerechtvaardigd belang is echter beperkt: • in duur: met name tot de duur van 1 maand. De Geschillenkamer kan een eventuele verlenging van deze duur met 2 maanden aanvaarden mits een duidelijke, nieuwe 13 Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail van 20 februari 2024 om 14:48hr. 14 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
7. 15 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
8. Beslissing ten gronde 101/2026 — 10/60 belangenafweging deze verlenging onderbouwt, rekening houdende met het feit dat de klager reeds langer dan een maand is vertrokken en sindsdien ook geen enkele controle meer heeft kunnen uitoefenen op haar mailbox of account. • in doelstelling: met name het informeren van de contactpersonen van de klager, enerzijds om de continuïteit van de bedrijfsvoering te garanderen door een andere contactpersoon aan te duiden die de taken van de klager heeft overgenomen en anderzijds om alle contactpersonen erop te wijzen dat ze niet meer (kunnen) communiceren met de klager via het nog bestaande e-mailadres. Dit tweede doel is van belang om transparant te zijn naar alle contacten van de klager zodat zij weten dat de e-mails (en de persoonsgegevens daarin) die ze verzenden, niet meer toekomen bij de bedoelde correspondent.
9. Aangaande de duur van deze verwerking op basis van het gerechtvaardigd belang, stelt de Geschillenkamer vast dat de DPO in zijn communicatie met de klager aangaf dat de duur van één maand verlengd zou zijn: “Wel is het zo dat uw mailbox langer ‘actief’ is gebleven dan normaal wordt voorzien in het standaardbeleid van [verweerder] hieromtrent. Echter, gelet op uw functie binnen [verweerder], meenden wij dat het meer opportuun voorkwam uw out-of-offices meldingen langer te behouden, eerder dan na 1 maand uw mailbox af te sluiten.”16 In de conclusies stelt de verweerder echter dat een verlenging niet van toepassing was: “In het geval van de Klager was er echter geen sprake van een bewuste afwijking van de standaardtermijn van één maand.”17 Aangezien er geen enkele belangenafweging voor een eventuele verlening is aangetoond, oordeelt de Geschillenkamer dat de duurtijd van één maand van toepassing was en dat de verwerking van de persoonsgegevens van de klager op 1 juni 2023 niet meer gebaseerd kon zijn op het gerechtvaardigd belang van de verweerder.
10. Aangaande het doel van de verwerking onder het gerechtvaardigd belang, met name het informeren van de contacten van de klager, stelt de Geschillenkamer vast dat de verweerder als verwerkingsverantwoordelijke het middel om dit doel te bereiken, in casu het out of office bericht, had gedelegeerd aan de klager. De verweerder stelt: “Het is voor een bedrijf zoals dat van Verweerster immers niet mogelijk om voor elke vertrekkende medewerkers [sic] een out-of-office bericht in te stellen. […] Aangezien dit bericht binnen de Verweerster zo uiteenlopend kan zijn en ook om de accuraatheid te bevorderen, wordt het opmaken van de out-of-office gedelegeerd aan de vertrekkende medewerker zelf.”18 Bijlage 5, E-mail Verweerster van 20 februari 2024 (4:11 PM) bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
11. 16 17 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
12. 18 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
13. Beslissing ten gronde 101/2026 — 11/60
14. Naast het delegeren van deze cruciale verantwoordelijkheid in het kader van het verder verwerken van de persoonsgegevens op basis van het gerechtvaardigd belang, blijkt uit het dossier zelf dat er ook niet werd gecontroleerd of het out-of-office bericht wel (correct) was ingesteld op het moment dat de klager was vertrokken. Uit de stukken blijkt immers dat er geen correct out-of-office bericht werd verzonden na het vertrek van de klager. Het out of office bericht dat werd verzonden, was door de klager zelf ingesteld, naar eigen zeggen enige tijd voor haar effectieve vertrek en bijgevolg zonder de informatie die het gerechtvaardigd belang zou moeten dienen. De tekortkoming werd pas vastgesteld door de DPO nadat de klager de verweerder had gecontacteerd in januari
15. Slechts op 6 april 2024 stelde de DPO voor om de out-of-office correct te zetten.19 Ondanks deze delegatie en dit gebrek aan controle, oordeelt de Geschillenkamer dat de verweerder wel degelijk een gerechtvaardigd belang had om de persoonsgegevens van de klager verder te verwerken in haar mailbox tot één maand na het vertrek van de klager.
16. Op basis van de stukken die de verweerder heeft toegevoegd aan zijn conclusies stelt de Geschillenkamer vast dat het doel voor de verdere verwerking was uitgebreid naar het recupereren van informatie uit de mailbox van de klager na haar vertrek. In de managementprocessen van 2016 wordt immers melding gemaakt van een automatische e-mail naar de managers met als inhoud al de gedeactiveerde accounts van die maand: • “[…] • deze lijst van gedeactiveerde accounts wordt automatisch verzonden naar een bestemmelingenlijst van de verweerder om de managers te melden dat de accounts zullen worden verwijderd op het einde van de maand, tenzij er een uitzondering wordt gevraagd • op basis van een ICT-ticket kan deze uitzondering aangevraagd worden, waardoor de account op ‘niet verwijderen’ wordt ingesteld • […]”20 In deze maandelijkse interne e-mail ter verwijdering van de mailboxen van de vertrokken medewerkers wordt deze uitzondering verduidelijkt, met name om informatie uit de mailbox van de gedeactiveerde account te halen alvorens deze definitief wordt verwijderd. Het bericht leest als volgt: Bijlage 12, E-mailverkeer Klager en Verweerster van 6 april 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
17. 19 Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
18. 20 Beslissing ten gronde 101/2026 — 12/60 “Hieronder vinden jullie een lijst van alle betaalde collega’s en uitgebreide medewerkers die [verweerder] hebben verlaten in de laatste maand(en). Hun toegang tot de systemen van de [verweerder] zijn al geblokkeerd. Wees er u van bewust dat de accounts en alle persoonsgegevens (fileserver windows en unix, mailbox, onedrive) effectief verwijderd zullen worden op de eerste werkdag na de 21e van deze maand. Hebt u meer tijd nodig om hier bedrijfskritieke informatie uit te halen of [verweerder] gerelateerde informatie over te zetten naar een cloudomgeving? Maak dan een ICT ticket aan om deze verwijdering van gegevens uit te stellen (voor maximum 3 maanden).”(nadruk in origineel)(vrije vertaling door de Geschillenkamer) . 21 De Geschillenkamer oordeelt dat deze doelstelling (informatie uit de mailbox van een gedeactiveerd account halen) niet valt onder het gerechtvaardigd belang van de verweerder om een mailbox verder te verwerken na het vertrek van de klager en mogelijk in strijd zou zijn met de Wet op de Elektronische Communicatie en op de Strafwet
19. Er ligt echter geen bewijs voor dat er effectief toegang geweest zou zijn tot de mailbox van de klager, waardoor de Geschillenkamer oordeelt dat enige verwerking op basis van deze tweede doelstelling niet is aangetoond.
20. Op basis van de syntheseconclusie van de verweerder stelt de Geschillenkamer vast dat er een derde doel zou bestaan om de persoonsgegevens verder te verwerken onder het gerechtvaardigd belang, met name inzage geven in de mailbox aan de klager na diens vertrek: “Tot slot wordt de mailbox van de ex-medewerkers juist in deze back-upmodus geplaatst om, naast het weergeven van een ‘out of office’-bericht na hun vertrek, via een geijkte procedure, te kunnen voldoen aan eventuele verzoeken van ex-medewerkers waarvoor Verweerster nog toegang zou vereisen tot de betreffende mailbox.”23 Het beleid inzake e-mails van de verweerder, dat werd opgesteld nadat de klager een klacht had ingediend24, verwoordt dit als volgt: “De mailbox wordt opgezet naar een shared mailbox zodat indien echt noodzakelijk, er toegang tot de mailbox kan worden gegeven.”25 Om dit beleid te duiden geeft de verweerder twee voorbeelden: “[…] Student heeft [verweerder] verlaten en moet nog documenten hebben uit zijn mailbox voor zijn phd. […] Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 34; “Below, you find a list of all payroll colleagues and extended workers who have left [verweerder] in the past month(s). Their access to the [verweerder] systems has been disabled already. Be aware that the accounts and all personal data (fileserver windows and unix, mailbox, onedrive) will be effectively removed on the first workday after the 21th of this month. Do you need more time to retrieve business critical information or to transfer [verweerder] related content to a cloud environment? Create an ICT ticket to postpone this removal (for a maximum of 3 months).” 21 22 Zie hiervoor randnummer 19 van deze beslissing. 23 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
21. 24 Zie hiervoor randnummer 75 van deze beslissing. 25 Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
22. Beslissing ten gronde 101/2026 — 13/60 Medewerker heeft [verweerder] verlaten en heeft nog een belangrijke mail in zijn mailbox staan ivm een bepaald contract, […].26 Deze derde doelstelling zit echter reeds vervat in het recht op inzage uit artikel 15 AVG, dat kan uitgeoefend worden voor zolang de gegevens verwerkt worden, en kan dus niet ingeroepen worden als een aparte doelstelling door de verweerder om een verwerkingsgrond op te baseren.
23. De Geschillenkamer oordeelt dat de verweerder een gerechtvaardigd belang had om de persoonsgegevens in de mailbox van de klager voor de duur van 1 maand verder te verwerken teneinde de contacten van de klager te kunnen informeren dat zij niet meer werkzaam was bij de verweerder en teneinde een nieuwe contactpersoon de verweerder aan te kunnen reiken aan de professionele contacten van de klager. II.3.
24. Beoordeling van de rechtsgrond in fase 3
25. De Geschillenkamer stelt vast dat de verwijdering van de (persoonsgegevens in de) mailbox na 1 maand na het einde van de samenwerking tussen de klager en de verweerder, in casu op 1 juni 2023, niet heeft plaatsgevonden. In de conclusies erkent de verweerder dat de mailbox niet was verwijderd.27
26. De verweerder argumenteert dat de mailbox wel was gedeactiveerd, waardoor er geen toegang meer was tot de gegevens in de mailbox. De verweerder beschouwt de persoonsgegevens in de gedeactiveerde mailbox als “de facto reeds ‘verwijderd’ […] daar zij niet meer actief verwerkt worden”
28. De Geschillenkamer stelt echter vast dat de persoonsgegevens niet ‘de facto reeds zijn verwijderd’: • Ten eerste bevestigde de DPO op 24 januari 2024 aan de klager dat de mailbox nog actief was: “ik inderdaad ook zag dat je mailbox nog actief staat want ik heb een mail kunnen sturen. […] Blijft wel het feit dat de mailbox al geschrapt had moeten zijn […]”
29. Op 6 april 2024 stelt de DPO aan de klager voor om de mailbox offline te halen, zodat er ook geen mails meer op zouden kunnen worden ontvangen: “Je account is disabled, met andere woorden, er kan niemand aan en kan niet gebruikt worden maar de mailbox staat wel nog steeds open mails te ontvangen. […] Er zijn een paar opties 26 Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
30. 27 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
31. 28 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
32. Bijlage 2, E-mailverkeer Klager en Verweerster van 24 januari 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
33. 29 Beslissing ten gronde 101/2026 — 14/60 […] – We kunnen de mailbox offline halen en opslaan in een PST op een veilige locatie zodat er niemand aan kan en ook geen mails op toe komen”
34. • Ten tweede stelt de DPO in zijn schrijven aan de GBA van 2 mei 202431 dat de mailbox sinds midden februari 2024 zou gedeactiveerd zijn, waardoor niemand toegang zou hebben maar waardoor de mailbox wel nog e-mails zou kunnen ontvangen. • Ten derde heeft de verweerder naar aanleiding van het verzoek tot inzage van de klager een nieuwe licentie genomen op de mailbox, zodat deze niet verwijderd zou worden door het nieuwe systeem dat was ingevoerd. In de syntheseconclusie van de verweerder van 27 augustus 2024 staat dat deze licentie ‘onlangs’ werd gekoppeld aan de mailbox van de klager.32 • Ten vierde staat in de management processen van 2016 in de stukken te lezen dat een ex-medewerker geen enkele toegang meer heeft tot de account, maar dat de mailbox wel nog zichtbaar is in de ‘Active Directory’ van de verweerder: “Deactivering van de account Deactivering van een account zal de volgende gevolgen hebben: • De (gewezen) medewerker kan niet inloggen met deze account • Alle office365 licenties zijn ingetrokken • De (gewezen) medewerker heeft geen toegang meer tot de mailbox van deze account • De (gewezen) medewerker heeft geen toegang meer tot gegevens van deze account • De (gewezen) medewerker kan geen applicaties gebruiken die op de ActiveDirectory/OpenLDAP van de verweerder staan • De (gewezen) medewerker is geen lid meer van veiligheidsgroepen/distributielijsten. Ook voor deze die gebruik maken van de account die gebaseerd is op naam. Bijlage 12, E-mailverkeer Klager en Verweerster van 6 april 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus
35. 30 Bijlage 1B, bijlage bij e-mail van 2 mei 2024 gericht aan de Gegevensbeschermingsautoriteit bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, p. 1 onder feitenrelaas. 31 32 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer
36. Beslissing ten gronde 101/2026 — 15/60 De account van de (gewezen) medewerker is gedeactiveerd, maar zal zichtbaar zijn in de ActiveDirectory tot verwijdering van de account.”33 (nadruk en vrije vertaling door de Geschillenkamer).
37. De Geschillenkamer oordeelt dat het beperken van de toegang tot persoonsgegevens niet gelijk kan gesteld worden aan het verwijderen van persoonsgegevens. Zolang de gegevens nog bewaard worden en nog toegankelijk zijn, al is de toegang zeer beperkt, worden ze nog verwerkt, blijven er bijgevolg risico’s bestaan en moet de verwerkingsverantwoordelijke kunnen aantonen dat alle principes van de gegevensbescherming zijn gerespecteerd, waaronder het hebben en kunnen aantonen van een rechtsgrond.
38. De Geschillenkamer merkt op dat de door de verweerder vermelde ENISA publicatie van 18 oktober 2011 aangaand ‘the right to be forgotten’34 eerder een probleemstelling rond het recht op gegevenswissing betreft, waarbij de focus op persoonsgegevens in een open systeem, zoals het internet, ligt. Deze publicatie spreekt ook van gesloten systemen, maar dan in die zin dat het makkelijker is om gegevens met zekerheid te wissen in dergelijke systemen aangezien er meer controle mogelijk is. Het systeem van de verweerder kan beschouwd worden als een dergelijk gesloten systeem. Het beperken van de toegang tot persoonsgegevens wordt in deze publicatie niet gelijkgesteld met het verwijderen van gegevens, wat de verweerder wel had moeten doen. Ook de door de verweerder vermelde aanbeveling van het Comité van Ministers van de Raad van Europa35 handelt over maatregelen die moeten worden genomen op het moment van vertrek van de werknemer en is niet dienstig in dit geval. Deze aanbeveling zegt niets over het uiteindelijke verwijderen van de mailbox, noch over een eventuele rechtsgrond voor verwerking na het vertrek van de werknemer. Daarentegen zegt deze aanbeveling wel dat de verweerder voldoende maatregelen moet nemen om de bedrijfsnoodzakelijke informatie te verwijderen uit de mailbox vóór het vertrek van de klager. Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, p. 6: Account inactivation 33 Inactivation of an account will have the following consequences: • The (former) employee cannot login with this account. • All office365 licenses are revoked. • The (former) employee cannot access the mailbox of this account. • The (former) employee cannot access data […] of this account • The (former) employee cannot use applications which authenticate to [verweerder]’s ActiveDirectory/OpenLDAP • The (former) employee is no longer member of Security groups/Distributionlists. Also, for which ‘account name based’ membership is used. The account of the (former) employee is inactivated, but will be visible in ActiveDirectory until Account removal.” 34 ENISA, The right to be forgotten – between expectations and practice van 18 oktober
39. Committee of Ministers, Recommendation CM/Rec

(2015)5 of the Committee of Ministers to member States on the processing of personal data in the context of employment van 1 april 2015. 35 Beslissing ten gronde 101/2026 — 16/60 39. Alhoewel de verweerder geen enkele afweging in het kader van een gerechtvaardigd belang overmaakt en stelt dat de verdere verwerking een menselijke fout betrof en niet de bedoeling was, zal de Geschillenkamer alsnog deze afweging maken om na te gaan of er eventueel een gerechtvaardigd belang zou kunnen zijn. 40. Overeenkomstig de rechtspraak van het Hof van Justitie36 dient de verweerder aan te tonen dat: a. De belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); b. De beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); c. De afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de klager doorweegt in het voordeel van de verweerder of van een derde (de “afwegingstoets”). 41. Aangaande de doeltoets lijkt het enige doel waarvoor de mailbox van de klager langer dan één maand verwerkt zou kunnen worden te liggen in het informeren van de contacten van de klager dat zij niet meer werkzaam is bij de verweerder. De Geschillenkamer heeft hierboven reeds geoordeeld dat deze verwerking niet rechtmatig zou kunnen steunen op een gerechtvaardigd belang, zijnde het verlenen van inzage in de mailbox aan derden in het kader van het recupereren van bedrijfsgevoelige informatie of aan de klager zelf.37 42. Aangaande de noodzakelijkheidstoets stelt de Geschillenkamer vast dat de out of office berichten die dienden om deze contacten op de hoogte te brengen, niet toereikend waren voor de externe contacten van de klager aangezien dit bericht er enkel van uitging dat de klager slechts sporadisch zou kunnen reageren op e-mails, zonder dat het duidelijk werd gemaakt dat de klager niet meer werkte voor de verweerder. Er werd in geen van beide out of office berichten gewag gemaakt van een andere medewerker bij de verweerder die de dossiers van de klager had overgenomen of opvolgde. Aangezien de verwerking niet toereikend was voor het nagestreefde doel, kon de verwerking ook niet noodzakelijk geweest zijn voor dit doel. Het gebrek aan noodzaak op zich is voldoende om te oordelen dat deze verwerking niet kan gebaseerd worden op het gerechtvaardigd belang van de verweerder. 43. Ten overvloede stelt de Geschillenkamer vast aangaande de afwegingstoets dat de klager niet op de hoogte was van deze voortdurende verwerking onder een nieuwe rechtsgrond met een ander doel. Uit de stukken bleek ook dat de klager reeds langer in 36 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74. 37 Zie hiervoor randnummer 31 en 32 van deze beslissing. Beslissing ten gronde 101/2026 — 17/60 een beperkt regime werkzaam was bij de verweerder38, waardoor het verder verwerken van haar persoonsgegevens in haar mailbox nadat zij uiteindelijk was vertrokken buiten de redelijke verwachtingen van de klager vielen, zeker indien deze verwerking voortduurde in de tijd: “Concluante ging ervan uit dat haar account na haar vertrek onmiddellijk zou worden verwijderd en dat de afzender een standaard non-Delivery Report of een bounce-back bericht zou ontvangen waarin duidelijk werd vermeld dat het account was verwijderd.”39 Aangezien de klager geen weet had van deze voortdurende verwerking, deze voortdurende verwerking niet verwachtte en niet op de hoogte werd gebracht van deze voortdurende verwerking, had de klager geen enkele controle meer op haar persoonsgegevens. De Geschillenkamer oordeelt dat het voortdurend verder verwerken van deze persoonsgegevens om redenen van continuïteit in de bedrijfsvoering niet in verhouding is met het totale gebrek van enige controle op dit verder verwerken. 44. Op basis van het gestelde in randnummers 41-43 oordeelt de Geschillenkamer dat de verweerder de voortdurende verwerking van persoonsgegevens in de mailbox van de klager niet kon baseren op zijn gerechtvaardigd belang. 45. De Geschillenkamer oordeelt dat de verweerder de persoonsgegevens van de klager en haar contacten in haar professionele mailbox onrechtmatig heeft verwerkt nadat er niet langer een gerechtvaardigd belang bestond om deze persoonsgegevens verder te verwerken , in casu na 1 juni 2023, en dus een inbreuk heeft gepleegd op artikel 5.1.a AVG juncto artikel 6.1 AVG. 46. De verweerder argumenteert dat na het verzoek tot inzage van de klager, de verweerder opnieuw een gerechtvaardigd belang had om de mailbox te bewaren zonder deze te verwijderen. De Geschillenkamer benadrukt dat een dergelijk argument het eerdere gebrek aan een rechtsgrond onmogelijk kan rechtvaardigen, aangezien de klacht en het verzoek tot inzage er net kwamen omdat de mailbox niet tijdig was verwijderd. Ten overvloede benadrukt de Geschillenkamer dat de mailbox intact werd bewaard, terwijl er andere technische mogelijkheden bestaan om de inhoud van de mailbox veilig te bewaren, zonder dat deze actief moet blijven. De verweerder heeft hiervoor zelf een voorstel gedaan in zijn mail van 6 april 2024: “[…] maar de mailbox staat wel nog steeds open om mails te ontvangen. Dit is zeker niet ideaal en zouden we graag anders zien maar niet zonder jou (sic) input. Er zijn een paar opties die we kunnen doen om deze scheve situatie toch iets te verbeteren: […] We kunnen de mailbox offline halen en opslaan in een PST op een veilige locatie zodat er niemand aan kan en ook geen mails op toe komen 38 Stuk 16, Conclusies + Stukken klager van 2 augustus 2024, randnummer 1. 39 Ibid. Beslissing ten gronde 101/2026 — 18/60 […]”40. De Geschillenkamer stelt vast dat de verweerder er niet voor kiest deze meest veilige optie meteen te gebruiken wanneer hij vaststelt dat er iets is fout gelopen. Met deze technische maatregel had hij de verwerking van de persoonsgegevens kunnen beperken in het kader van het nieuwe doel (inzage verlenen aan de klager) en de nieuwe rechtsgrond (gerechtvaardigd belang van de verweerder gezien deze lopende procedure). Het is niet de verantwoordelijkheid van de ex-medewerker, in casu de klager, om hierover te beslissen, deze beslissing ligt bij de verwerkingsverantwoordelijke. II.4. Schending van artikel 5.1.b), artikel 5.1.

1. c)en artikel 5.1.
2. e)van de AVG vanwege een schending van het principe van doelbinding in combinatie met dataminimalisatie en opslagbeperking van de persoonsgegevens in de mailbox van de klager na 1 maand na het vertrek van de klager 47. Gezien deze principes werden beoordeeld in combinatie met de beoordeling van de andere vermeende inbreuken, zal de Geschillenkamer niet expliciet ingaan op deze vermeende schending. De argumenten van de partijen aangaande deze vermeende schending worden meegenomen in de beoordeling van de andere vermeende schendingen. II.5. Schending van de artikelen 12 en 13 AVG vanwege het niet verstrekken van de nodige informatie aangaande de verwerking van persoonsgegevens in de mailbox van de klager na 1 maand na het vertrek van de klager 48. Het vertrek van een medewerker uit een organisatie is een significante wijziging in de verwerking van de persoonsgegevens van deze medewerker en van zijn contacten. Ten eerste wijzigt het verwerkingsdoel en de verwerkingsgrond, ten tweede komen de emails niet meer toe bij de bestemmeling van de e-mail, zijnde de ex-medewerker en ten derde verliest de betrokkene alle controle over zijn persoonsgegevens die zijn opgeslagen in de mailbox op het domein van de werkgever. Conform de artikelen 12 en 13 AVG moeten de ex-medewerker en zijn contacten van deze gewijzigde verwerkingen op de hoogte gebracht worden. 49. Bij haar vertrek moest de klager dus op de hoogte gesteld worden dat haar persoonsgegevens in haar mailbox (verder) verwerkt worden met een ander doel, op basis van een andere rechtsgrond en met een beperkte bewaarperiode. Deze transparantie moet haar in staat stellen eventuele maatregelen te nemen ter controle van deze gegevens en verwerking, ook al verliest ze elke directe controle over deze persoonsgegevens. Bijlage 12, E-mailverkeer Klager en Verweerster van 6 apirl 2024 bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 40 Beslissing ten gronde 101/2026 — 19/60 50. Ook de contacten van de klager, die menen hun eigen persoonsgegevens met de klager te delen, moeten op de hoogte gesteld worden dat de klager geen toegang meer heeft tot haar mailbox en dat hun persoonsgegevens dus niet meer toekomen bij de klager, zodat deze contacten kunnen stoppen met het delen van hun persoonsgegevens via dit kanaal en eventuele rechten op deze persoonsgegevens kunnen uitoefenen. 51. De klager stelt dat zij niet voldoende informatie had aangaande de verwerking van haar persoonsgegevens in de mailbox na haar vertrek, en dat er evenmin een procedure bestond om na haar vertrek alsnog toegang te krijgen tot haar mailbox. De klager stelt eveneens nooit het standaardbeleid inzake uitdiensttreding van de verweerder te hebben ontvangen, noch begeleid te zijn geweest in haar vertrek bij de verweerder. De klager meent daardoor dat de verweerder haar privacy-beleid enkel theoretisch heeft benaderd, maar niet heeft toegepast in de praktijk. 52. De verweerder wijst op zijn privacy-beleid, waarvan de privacyverklaring en verschillende transparantiedocumenten deel uitmaken. Eén van deze transparantiedocumenten betreft het standaardbeleid inzake uitdiensttreding met een bijgevoegde checklist. In deze checklist staat dat de klager zelf een out-of-office bericht had moeten instellen aangezien deze verantwoordelijkheid naar de vertrekkende medewerker was gedelegeerd om redenen van schaalgrootte en accuraatheid. Daarenboven beschouwt de verweerder het deactiveren41 van de mailbox na het vertrek van de klager als gelijkwaardig aan het verwijderen van de persoonsgegevens, waardoor geen verdere notificaties moesten worden gedaan aan de klager. 53. Tenslotte heeft de DPO op de vragen en bedenkingen van de klager geantwoord en heeft hij de klager aangemoedigd om hem te contacteren indien er nog vragen of problemen zouden zijn, waar de klager niet op in is gegaan. 54. De verweerder is dan ook van mening dat een eenmalige, menselijke fout, waardoor de mailbox niet tijdig gewist was, geen afbreuk doet aan zijn algemeen AVG-conform beleid, waaronder de transparantie van de verwerking. II.5.1. Beoordeling van de transparantieverplichting in fase 2 55. De Geschillenkamer heeft reeds geoordeeld dat het deactiveren van de mailbox van de klager geen de facto verwijdering van persoonsgegevens van de klager betreft42. Dus bestond er wel degelijk een transparantieplicht aangaande de verwerking van de persoonsgegevens die aanwezig waren en nog toekwamen in de mailbox van de klager. De verweerder spreekt doorheen zijn conclusies van deactiveren en in back up modus plaatsen, maar stelt zelf dat beide wezenlijk hetzelfde betekenen: “De mailbox van Klager verkeerde na deactivatie dan ook in een soort ‘back-up modus.” in Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 35. 41 42 Zie hiervoor randnummers 36-37 van deze beslissing. Beslissing ten gronde 101/2026 — 20/60 56. Ondanks de verschillende stukken die de verweerder heeft toegevoegd aan het dossier, stelt de Geschillenkamer vast dat nergens is terug te vinden dat het afsluiten van de mailbox, de gewijzigde rechtsgrond en het gewijzigde doel van de verwerking en de bewaartermijn van de persoonsgegevens werden meegedeeld aan de klager. De verweerder toont evenmin aan dat deze informatie beschikbaar was op zijn website, op zijn intranet of in zijn privacy verklaring. De enige twee stukken die een dergelijke mededeling benaderen, zijn stuk 17 (offboarding checklist) en stuk 26 (Kennisartikel via [verweerder] Employee Center). Beide documenten geven de klager de opdracht aan ICT te melden dat ze de verweerder zou verlaten en zelf een out-of-office bericht in te stellen, maar was verder niet transparant over hoe haar persoonsgegevens in de mailbox verder verwerkt of verwijderd zouden worden. 57. Aangaande de transparantie naar derden toe, stelt de Geschillenkamer vast dat de volgende out-of-office berichten waren ingesteld: • Naar interne correspondenten: “Dit e-mail adres is niet langer in gebruik. Je kan [klager] contacteren op [XXX].”(vrije vertaling Geschillenkamer). • Naar externe correspondenten: “Beste, dank je wel voor je bericht. Ik ben momenteel offline met zeer beperkte toegang tot het internet. Gelieve rekening te houden met enige vertraging in mijn antwoorden. Vriendelijke groeten, [klager].”(vrije vertaling Geschillenkamer). 43 58. Het bericht voor de interne collega’s informeerde voldoende dat de klager geen deel meer uitmaakte van de verweerder, zodat de correspondenten op de hoogte waren dat hun persoonsgegevens niet meer toekwamen bij de klager. Gezien het interne collega’s van dezelfde organisatie betrof, zou men ervan uit kunnen gaan dat zij toegang hadden tot voldoende informatie om een andere correspondent bij de verweerder te kunnen aanspreken voor hun communicatie. 59. Het bericht voor de externe collega’s laat echter uitschijnen dat de klager slechts tijdelijk afwezig of moeilijk bereikbaar was en maakt dus niet duidelijk aan derden dat hun correspondentie en hun persoonsgegevens niet meer door de klager zouden worden verwerkt. De klager toont dit in de klacht ook aan met enkele voorbeelden van communicatie waarin haar correspondent in het ongewisse bleef of de communicatie was toegekomen bij de klager of niet.44 43 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 8: • Naar interne correspondenten: “This email address is no longer in use. You can contact [Klager] on [XXX]” Naar externe correspondenten: “Dear, thanks for your email. I am currently offline with very limited access to internet. Please accept some delay in my reply. Regards, [klager]” 44 Bijlage 3 en 4 bij stuk 2, Klachtenformulier van 23 april 2024. Beslissing ten gronde 101/2026 — 21/60 60. Alhoewel de verweerder in zijn beleid en in zijn conclusies de verantwoordelijkheid voor een goede communicatie in de vorm van een out-of-office bericht aan de klager delegeert, is de verweerder de verwerkingsverantwoordelijke en dus ook verantwoordelijk voor deze transparantie. Ook al vraagt de verweerder in zijn beleid aan de klager om een conform out-of-office bericht in te stellen, ontslaat dit de verweerder niet van zijn verantwoordelijkheid om voldoende transparant te zijn naar derden aangaande de verwerking van hun persoonsgegevens die via e-mail in de mailbox van de klager terecht komen na diens vertrek, niet in het minst omdat de klager geen enkele controle meer heeft op deze persoonsgegevens die zich op de servers onder controle van de verweerder bevinden. De Geschillenkamer stelt vast dat de verweerder geen enkele controle heeft uitgevoerd op de beide out-of-office berichten van de klager en slechts na de e-mail van de klager van 24 januari 2024, zijnde 7 maanden na het vertrek van de klager, heeft vastgesteld dat deze transparantieplicht naar derden, extern aan de organisatie, niet was voldaan. 61. De Geschillenkamer oordeelt dat de verweerder niet heeft voldaan aan zijn transparantieplicht ten aanzien van de verdere verwerking van de persoonsgegevens van de klager en van haar contacten die extern zijn aan de organisatie na het vertrek van klager bij de verweerder en daarmee een inbreuk heeft gepleegd op de artikelen 12 en 13 AVG. 62. De Geschillenkamer stelt vast dat de maatregelen ter transparantie naar de contacten van de klager, met name het instellen van een out-of-office bericht op de gedeactiveerde mailbox van de klager, niet zijn opgenomen in de managementprocessen, terwijl ze er wel degelijk deel van uitmaken. Daarenboven laat de stand van de techniek toe deze maatregel te automatiseren om menselijke fouten te voorkomen en/of een technische controle op deze maatregel in te stellen om eventuele menselijke fouten vast te stellen en te corrigeren. In dat opzicht stelt de Geschillenkamer vast dat er wel een automatische mail vertrekt naar de managers van de verweerder om te melden dat er accounts zullen worden verwijderd zodat zij een uitzondering op deze verwijdering kunnen vragen.45 63. Met gelijkaardige technische maatregelen had de verweerder het kennisdocument en de checklist met de gepaste technische maatregelen ook automatisch naar de klager kunnen verzenden voor haar vertrek. II.5.2. Beoordeling van de transparantieplicht in fase 3 64. De Geschillenkamer stelt vast dat de verwerking van de persoonsgegevens van de klager na de termijn van 1 maand na haar vertrek niet paste binnen het beleid aangaande de 45 Zie hiervoor bullet nummer 6 van randnummer 70 van deze beslissing. Beslissing ten gronde 101/2026 — 22/60 verwerking van persoonsgegevens in de mailbox van de klager. De verweerder verwijst hiervoor meermaals naar een eenmalige menselijke fout, waardoor fase 2 werd verlengd, zonder ooit de persoonsgegevens te wissen. Het probleem van transparantie bevindt zich in dit dossier dus in fase 2, waardoor de Geschillenkamer niet zal ingaan op de transparantie aangaande fase 3. II.6. Beoordeling van de schending van artikel 24 AVG 65. Artikel 24 AVG acht het de verantwoordelijkheid van de verwerkingsverantwoordelijke om voldoende technische en organisatorische maatregelen te nemen teneinde de overeenstemming tussen de verwerking van persoonsgegevens en de principes van de AVG te waarborgen en aan te tonen. Overweging 39 AVG verduidelijkt: ‘Om ervoor te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan’. 66. De klager stelt dat de verweerder niet voldoende technische en organisatorische maatregelen heeft genomen om haar mailbox correct te beheren en af te sluiten na haar vertrek, zeker in het licht van de huidige stand van de technologie. De klager wijst vooral op het feit dat dit beheer nog handmatig moest gebeuren, waardoor er een onnodig risico op menselijke fouten ontstond. De klager is dan ook van mening dat het herzien van deze praktijk veel eerder had moeten worden ondernomen. 67. De verweerder wijst op zijn standaardbeleid en stelt dat er voldoende technische en organisatorische maatregelen bestaan aangaande het behandelen van de mailboxen van zijn werknemers. De problemen inzake de mailbox van de klager waarvan sprake in haar klacht betreffen een eenmalige menselijke fout. De verweerder stelt dat er reeds een veranderingstraject was ingezet vóór de klacht. Dit veranderingstraject zou het schrappen van gedeactiveerde accounts automatiseren, zodat deze fout niet meer zou kunnen gebeuren. Een dergelijk veranderingstraject is echter complex en duur, aldus verweerder, waardoor dit tijd neemt om te verwezenlijken. Verder wijst de verweerder op de deactivering van de mailbox en het wegnemen van de licentie erop, waardoor niemand nog toegang had tot deze mailbox. 68. De Geschillenkamer stelt vast dat er 65 personen op de lijst van vertrokken werknemers van 1 juni 2023 stonden die de organisatie hadden verlaten in mei 2023.46 De verweerder stelt zelf dat hij een grote organisatie is waar per jaar ongeveer duizend personen Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 46 Beslissing ten gronde 101/2026 — 23/60 toekomen en vertrekken47. Aangaande dit verloop van personeel stelt de verweerder zelf in zijn conclusie dat: • enerzijds het “voor een bedrijf zoals dat van Verweerster immers niet mogelijk [is] om voor elke vertrekkende medewerkers (sic) een out-of-office bericht in te stellen. […] Aangezien dit bericht binnen de Verweerster zo uiteenlopend kan zijn […] wordt het opmaken van de out-of-office gedelegeerd aan de vertrekkende medewerker zelf.”48 en • anderzijds het “(e-mail) account alsook de corresponderende mailbox binnen de Microsoft-omgeving van Verweerster spreekwoordelijk naar het ‘vuilbakje’ gesleept [wordt].”49 69. Gezien de hoeveelheid en diversiteit aan persoonsgegevens in een mailbox van een medewerker, zoals hierboven50 reeds aangehaald, zijn de risico’s aangaande de verwerking van de persoonsgegevens in deze mailboxen, waaronder deze van de klager en haar contacten, aanzienlijk. Het afsluiten van dergelijke mailboxen en communicatiemiddelen vergt bijgevolg voldoende technische en organisatorische maatregelen ter bescherming van deze persoonsgegevens. De stand van de techniek laat reeds geruime tijd toe deze maatregelen te automatiseren en/of sluitend te controleren, ook indien het proces nog handmatig zou verlopen. 70. Op basis van de informatie in het dossier stelt de Geschillenkamer vast dat het afsluiten van de mailboxen van vertrekkende medewerkers voor de verweerder een zeer vaak terugkerende taak is die reeds volgens een bepaalde, gestandaardiseerde procedure lijkt te verlopen. Op basis van de management processen51 van de verweerder in de stukken stelt de Geschillenkamer vast dat het proces als volgt verloopt: • op basis van informatie van de human resources afdeling worden de te deactiveren accounts na controle automatisch klaargezet voor deactivatie op de juiste dag; • alle nodige informatie van de te deactiveren accounts wordt automatisch verzameld ter voorbereiding van het deactiveren; • elke te deactiveren account wordt automatisch bijgeschreven op de lijst van te deactiveren accounts, waarna de lijst automatisch wordt verzonden naar de helpdesk; 47 Stuk 34, PV Hoorzitting van 3 december 2025, p. 3. 48 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 59. 49 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 31. 50 Zie hiervoor randnummer 11 van deze beslissing. Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 51 Beslissing ten gronde 101/2026 — 24/60 • op de juiste dag wordt de account handmatig gedeactiveerd door de ICT-tweede lijn dienst; • op de eerste dag van elke maand wordt automatisch een overzicht gemaakt van gedeactiveerde accounts; • deze lijst van gedeactiveerde accounts wordt automatisch verzonden naar een bestemmelingenlijst van de verweerder om de managers te melden dat de accounts zullen worden verwijderd op het einde van de maand, tenzij er een uitzondering wordt gevraagd; • op basis van een ICT-ticket kan deze uitzondering aangevraagd worden, waardoor de account op ‘niet verwijderen’ wordt ingesteld; • na controle door de ICT-tweede lijn dienst wordt de lijst van te verwijderen accounts door de medewerker verzonden naar de ICT-infra dienst; • de ICT-infra dienst verwijdert handmatig alle te verwijderen accounts en zendt een lijst met effectief verwijderde accounts terug naar de ICT-tweede lijn dienst; • de ICT-tweede lijn dienst zet de account op ‘verwijderd’. 71. Aangaande de mailbox van de klager stelt de Geschillenkamer vast dat haar account wel degelijk op de lijst van te verwijderen mailboxen van de ICT-tweede lijn dienst stond en dat deze lijst wel degelijk was verzonden naar de ICT-infra dienst52. Uit de feiten blijkt dat de mailbox echter niet is verwijderd. 72. Ten eerste stelt de Geschillenkamer vast dat het effectief verwijderen van de mailbox niet was geautomatiseerd terwijl het wel een typisch proces is dat, gezien de stand van de techniek, makkelijk kan geautomatiseerd worden. Ten tweede stelt de Geschillenkamer vast dat er wel een controlemaatregel bestond op het verwijderen van de mailbox, met name het terugzenden van de lijst van effectief verwijderde mailboxen. Deze maatregel werd echter duidelijk niet opgevolgd. Daarenboven was er geen enkele technische controle op de uitvoering van deze maatregel, terwijl dit wel mogelijk was, bijvoorbeeld door het technisch vergelijken van de lijst van te verwijderen mailboxen met de lijst van de verwijderde mailboxen om een alarm te geven wanneer deze twee lijsten niet overeen komen. 73. Aangezien er geen controle is op de verwijdering van de mailboxen en aangezien deze processen niet automatisch verliepen, kan de verweerder op geen enkele manier aantonen, conform de artikelen 5.2 en 24 AVG, dat de klager effectief de enige was waarvoor het handmatige proces was misgelopen. In dat kader stelde de Geschillenkamer Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 52 Beslissing ten gronde 101/2026 — 25/60 aan de hand van de lijst van vertrekkende medewerkers van mei 2023 vast dat er een medewerker opstond die volgens de data de organisatie reeds op 4 oktober 2022 had verlaten, maar waarvan op 1 juni 2023 pas de verwijdering van de mailbox werd doorgegeven aan de ICT-dienst.53 74. De verweerder wijst erop dat hij een verbetertraject had opgestart, waarbij een aanbesteding werd uitgeschreven midden 2022. In de conclusies stelt de verweerder echter dat enkel de laatste stap van het proces volledig geautomatiseerd zou verlopen en dit pas vanaf september 2024.54 De Geschillenkamer stelt vast dat dit verbetertraject geen soelaas bood op het moment van het vertrek van de klager, aangezien de procedures nog steeds handmatig verliepen. Ondanks het feit dat de nood aan nieuwe processen reeds in juni 2022 was erkend, werd er op dat moment niet overgegaan op het effectief controleren van de handmatige processen, wat echter wel was voorzien in de managementprocessen. 75. De verweerder wijst in dit verband op zijn standaardbeleid inzake mailboxen, dat is bijgevoegd in de stukken. Het standaardbeleid dat de verweerder voorlegt is echter opgesteld na het vertrek van de klager. Het beleid spreekt immers van een oud en een nieuw proces55 terwijl het nieuwe proces maar ten vroegste in december 202356 in voege was, met name 7 maanden na het vertrek van de klager. De verweerder legt geen ander beleid dan de managementprocessen voor dat geldig was op het moment van de klacht. 76. De managementprocessen57 dateren van 31 mei 2016 en zijn dus nooit aangepast sinds de invoering van de AVG en de toepassing ervan door de Geschillenkamer aangaande het afsluiten van de mailboxen van vertrokken medewerkers, waarvan de verweerder op de hoogte had moeten zijn. Uit deze managementprocessen leidt de Geschillenkamer af dat de procedure die geldig was ten tijde van het vertrek van de klager nog steeds deze procedure van 2016 was en dat de verweerder bezwaarlijk kan spreken van “Verweerster (her)evalueert en analyseert immers regelmatig haar processen om, rekening houdend met de nieuwe stand van de techniek en de uitvoeringskosten, deze te optimaliseren”58 of van “Deze proactieve benadering [die] onderstreept dat Verweerster haar Bijlage 13, E-mailverkeer ICT-dienst met betrekking tot schrapping accounts bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 53 54 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 46. Bijlage 3, beleid [verweerder] inzake e-mails bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024: “Dit proces is geldig voor de nieuwe en de oude manier van werken”. 55 56 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 12. Bijlage 22, Internal Personal Accuont Management Processes bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 57 58 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 74. Beslissing ten gronde 101/2026 — 26/60 verantwoordelijkheden serieus neemt en streeft naar voortdurende naleving van de AVG.”59 77. De Geschillenkamer oordeelt dat de verweerder onvoldoende technische en organisatorische maatregelen had genomen of aantoont genomen te hebben om de mailbox van de klager te wissen nadat er geen rechtsgrond meer bestond om de persoonsgegevens in de mailbox verder te verwerken en daarmee een inbreuk heeft gepleegd op artikel 24 AVG. 78. Het feit dat de verweerder in een verbetertraject zat om deze tekortkoming aan te passen, zal door de Geschillenkamer mee worden genomen bij de beoordeling van de gepaste corrigerende maatregelen en sancties. II.7. Schending van de artikelen 12 en 15 AVG 79. De klager stelt dat de verweerder geen inzage heeft verleend in haar mailbox, die nog steeds niet was verwijderd op het moment van het verzoek, noch in de gevraagde loggegevens van de mailbox. De door de verweerder voorgestelde oplossing is zeer onevenwichtig aangezien de klager maar zeer beperkte toegang zou krijgen tot de persoonsgegevens en dit slechts na een uitgebreide filtering door en onder toezicht van de verweerder. Het was voor de klager niet duidelijk of zij persoonsgegevens uit de mailbox zou mogen kopiëren, wie de neutrale persoon zou zijn die hierbij aanwezig zou zijn, of deze neutrale persoon ook de inhoud van de privé-mails zou kunnen bekijken en hoe de voorafgaande filtering zou worden uitgevoerd. De rechtvaardiging voor deze praktijk zou ook te algemeen zijn gesteund op het ‘beschermen van bedrijfsgeheimen en bedrijfsgevoelige informatie’. 80. De verweerder stelt dat zijn DPO tijdig en adequaat heeft gereageerd op het verzoek tot inzage, zonder daarbij andere wetsbepalingen van de AVG of daarbuiten te negeren. De verweerder verwijst daarbij naar bedrijfsgevoelige gegevens die verbonden zijn aan zijn activiteiten en waartoe de klager ook toegang had tijdens de uitoefening van haar functie. De verweerder wou dan ook enkel bij het opslaan van gegevens uit de mailbox een filtering uitvoeren zodat de rechten en vrijheden van derden en het zakengeheim van de verweerder gegarandeerd zouden kunnen worden. Om dit te verwezenlijken, deed de DPO een evenwichtig voorstel door de klager uit te nodigen in de kantoren van de verweerder en enkel toe te zien op de gegevens die zouden worden gekopieerd uit de mailbox. De klager heeft de verweerder niet de kans gegeven deze handelswijze toe te lichten, en te preciseren wie zou worden ingeschakeld als neutraal persoon en hoe het toezicht zou plaatsvinden. 59 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 65. Beslissing ten gronde 101/2026 — 27/60 81. De Geschillenkamer stelt vast dat de klager de verweerder contacteerde op 24 januari 2024 om te melden dat haar e-mail adres nog actief was, waarbij zij ook inzage en een kopie vroeg in haar persoonsgegevens en in haar mailbox voor de laatste 9 maanden sinds haar vertrek. Op 20 februari 2024 stelde de DPO volgende werkwijze voor teneinde het verzoek tot inzage in te kunnen willigen: “In aanwezigheid van een neutraal persoon krijgt u toegang tot de betreffende mailbox, dit gebeurt vanuit een [verweerder] kantoor en met behulp van een [verweerder] apparaat. De beschikbare mails moeten worden gefilterd op mails die na uw vertrek zijn ontvangen en op externe afzenders, aangezien alle interne contacten een correcte out-of-office mail ontvingen. Op deze manier worden de bedrijfsgeheimen van [verweerder] gerespecteerd en u toch de mogelijkheid geboden om uw persoonlijke mails te filteren en desgewenst op te slaan. […]”60 Op 6 maart 2024 herhaalde de DPO zijn voorstel tot inzage in de mailbox van de klager en legde nu een tijdslimiet op aan de klager: “Daarnaast blijft het voorstel met betrekking tot de inzage van uw persoonsgegevens, zoals uiteengezet in onze vorige communicatie, uiteraard nog steeds geldig. Indien u alsnog wenst in te gaan op dit voorstel, dan vernemen we dit graag van u binnen de veertien

(14)dagen volgend op deze e-mail. […] Indien u ons te kennen geeft niet te willen ingaan op dit voorstel of ons geen datum communiceert binnen de veertien

(14)dagen volgend op deze e-mail, dan zal de mailbox volledig worden afgesloten daags na uw kennisgeving dat u niet wenst in te gaan op ons voorstel of daags na het verstrijken van voormelde termijn.” Diezelfde dag gaf de klager initieel aan op de werkwijze voor inzage in te willen gaan, waar ze later op de dag op terugkwam en stelde niet ter plaatse te willen komen voor inzage maar een kopie van haar persoonsgegevens conform artikel 15.3 AVG te willen ontvangen. De verweerder verzond de verwerkte persoonsgegevens van de klager via e-mail op 4 april 2024, waaronder een screenshot van de activiteitenregistratie van haar mailbox en verduidelijkte zijn positie aangaande de inzage in de mailbox zelf: “Ter aanvulling wil ik toch nog even meegeven dat het niet ter beschikking stellen van de mailbox niet een kwestie is van niet willen maar een kwestie is van niet mogen 60 Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail van 20 februari 2024 om 14u48. Beslissing ten gronde 101/2026 — 28/60 • [verweerder] kan je de volledige mailbox niet bezorgen omdat ze dan mogelijks inbreuk maken op confidentialiteitsregels want sommige mails kunnen daaraan onderhevig zijn • [verweerder] kan de laatste of niet-confidentiële mails niet bezorgen omdat er dan iemand toegang tot je mailbox moet krijgen en dat staan we ook niet toe omwille van privacy redenen.”61 Dezelfde dag maakt de DPO een dossier over ter inzage, waarbij wordt verduidelijkt: “De informatie die niet in dit pakket zit is de informatie die ze • […] • […] • Niet kunnen geven omdat ze er niet aankunnen zoals informatie uit mailboxen.”62 82. Op basis van deze communicatie stelt de Geschillenkamer vast dat de verweerder het recht van inzage beperkte tot e-mails die zijn toegekomen na 1 mei 2023 en enkel die emails die afkomstig waren van externe contacten. Als reden voor deze beperking werd ingeroepen dat er enerzijds wel een correcte out-of-office boodschap was ingesteld op de e-mails van interne collega’s en de bescherming van bedrijfsgeheimen. Enkel na deze filtering zou de klager haar persoonlijke e-mails kunnen filteren en eventueel bewaren. 83. Aangaande de voorafgaande filter die inzage in e-mails van de interne collega’s zou verhinderen, oordeelt de Geschillenkamer dat het al of niet correct instellen van een outof-office bericht geen criterium is om het recht van inzage van de klager te beperken, temeer omdat dit out-of-office bericht een verantwoordelijkheid van de verweerder betreft. 84. Aangaande de filter die inzage in e-mails voor het vertrek van de klager bij de verweerder zou verhinderen, oordeelt de Geschillenkamer dat het tijdstip van het ontvangen of verwerken van de persoonsgegevens geen criterium is om het recht van inzage van de klager te beperken. De persoonsgegevens zitten nog steeds in de mailbox en worden dus nog steeds verwerkt, waardoor ze dus nog steeds onderwerp kunnen zijn van een verzoek tot inzage. De Geschillenkamer stelt echter vast dat de klager enkel inzage vroeg in haar persoonsgegevens in de mailbox voor mails die de laatste negen maanden na haar vertrek zijn ontvangen, waardoor deze filter van de verweerder aanvaardbaar is. 61 Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail 1 van 4 april 2024 om 15u38. 62 Bijlage bij stuk 2, Klachtenformulier van 23 april 2024, mail 2 van 4 april 2024 om 15u38. Beslissing ten gronde 101/2026 — 29/60 85. Aangaande de filter omwille van het zakengeheim of het intellectueel eigendom van de verweerder, zoals gesteld in overweging 63 AVG, oordeelt de Geschillenkamer dat deze filter wel degelijk een criterium uitmaakt om het recht van inzage van de klager te beperken. In dat kader stelt de Geschillenkamer op basis van de hoorzitting vast dat de verweerder een classificatiesysteem hanteert dat de data opdeelt in ‘public’, ‘restricted’, ‘confidential’ en ‘stricly confidential’ data en dat de titel van de e-mail voldoende zou zijn om uit te maken of de e-mail een project behandelde dat moest beschermd worden.63 Op basis van deze indeling had de verweerder zonder risico voor zijn zakengeheimen in een eerste stap samen met de klager alle mails op metadata kunnen overlopen, om dan de bedrijfsgevoelige data eruit te filteren. In een tweede stap zou de klager dan volledige inzage en een kopie kunnen krijgen in alle data die niet op deze manier was uitgefilterd. 86. Gezien de mogelijke aanwezigheid van bedrijfsgeheimen in de mailbox van de klager, oordeelt de Geschillenkamer het proportioneel dat de klager deze inzage zou moeten uitoefenen binnen de beveiligde perimeter van de kantoren van de verweerder en op een toestel van de verweerder in aanwezigheid van een neutrale persoon tijdens stap 1. De rol van deze neutrale persoon zou beperkt zijn tot het verwijderen van de bedrijfsgevoelige data uit de mailbox op basis van de classificatie en de metadata van de berichten. 87. In zijn conclusies stelt de verweerder zijn argumentatie voor de filtering bij door te stellen dat de klager toegang zou krijgen tot haar volledige mailbox en dat deze filtering enkel van toepassing was in het geval de klager bepaalde persoonsgegevens zou willen kopiëren. De Geschillenkamer stelt vast dat deze interpretatie niet overeenstemt met wat de DPO aan de klager had gecommuniceerd in zijn e-mails van 20 februari 2024 en 6 maart 2024, waarin sprake is van een eerste filter, waarna de klager de rest van de e-mails zou kunnen filteren. Het standpunt dat de “Klager Verweerster zelfs niet de kans [heeft] gegeven om heel de werkwijze toe te lichten […]”64 gaat lijnrecht in tegen het transparantiebeginsel van artikel 12 AVG en bevestigt de onduidelijkheid in de communicatie aangaande eventuele filtering van de mailbox alvorens de klager deze zou mogen inkijken. 88. De Geschillenkamer oordeelt dat de verweerder niet de passende maatregelen heeft genomen om het recht van inzage van de klager in haar persoonsgegevens na haar vertrek bij de verweerder te faciliteren en dit recht van inzage ongefundeerd heeft beperkt tot enkel de mails waarvoor geen correcte out-of-officebericht was ingesteld, waardoor hij een inbreuk heeft gepleegd op de artikelen 12 en 15 AVG. 63 Stuk 34, PV hoorzitting van 3 december 2025, p. 5. 64 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 105. Beslissing ten gronde 101/2026 — 30/60 II.8. Schending van artikel 5.1.f AVG juncto artikel 5.2 AVG 89. Artikel 5.2 AVG stelt dat de verwerkingsverantwoordelijke de naleving van de AVGprincipes moet garanderen en moet kunnen aantonen. Eén van deze principes betreft het garanderen van de vertrouwelijkheid en de integriteit van de persoonsgegevens van de betrokkene, conform artikel 5.1.f AVG. 90. De klager stelt dat de verweerder onvoldoende maatregelen heeft genomen in de organisatie van zijn verwerking van persoonsgegevens om vervolgens aan te kunnen tonen aan de klager dat er geen toegang is geweest tot haar mailbox na haar vertrek en dat dus de vertrouwelijkheid en de integriteit van haar persoonsgegevens was gewaarborgd. De klager verwijst hiervoor naar een e-mail die op 13 augustus 2023 is toegekomen in haar mailbox en die ook staat geregistreerd als geopend. De klager haalt deze informatie uit de screenshot van de activiteitenregistratie van haar mailbox dat zij op 4 april 2024 heeft ontvangen na haar herhaaldelijk verzoek tot inzage. 91. De verweerder wijst opnieuw naar het deactiveren en het wegnemen van de licentie van de mailbox van de klager, waardoor niemand nog toegang had tot deze mailbox en de vertrouwelijkheid en de integriteit van de persoonsgegevens dus was gewaarborgd. Aangaande de beweerdelijk geopende e-mail wijst de verweerder op het tijdstip van ontvangst van de e-mail en het tijdstip van het vermeende openen van de e-mail dat hetzelfde is en midden in de nacht is. Wanneer een mail met een link of een bijlage toekomt op het domein van de verweerder, dan wordt deze in het kader van informatieveiligheid gescand op schadelijke inhoud. Deze scan laat in de activiteitenregistratie een spoor achter alsof de mail zou geopend zijn. Dit verklaart het nachtelijke tijdstip en de gelijktijdige registratie van toekomen en openen van de e-mail. Verder stelt de verweerder: “Ondanks wat Klager hieromtrent probeert te insinueren in haar conclusie onderbouwt Verweerster deze stelling uiteraard graag aan de hand van log files (stuk 23).65 92. De Geschillenkamer stelt inzake het verder verwerken van de persoonsgegevens in de mailbox van de klager na haar vertrek vast dat de mailbox nooit is gewist nadat er geen rechtsgrond voor de verwerking meer was en dat verschillende elementen in de stukken wijzen op een bijkomend doel, naast het informeren van de contactpersonen, met name het ophalen van bedrijfsgevoelige informatie uit de voor de klager afgesloten mailbox.66 Vanuit het standpunt van de klager is de vrees dat dit effectief gebeurd is dus niet onterecht en is het aan de verweerder om conform de artikelen 5.2 aan te tonen dat er geen toegang is geweest tot de mailbox na haar vertrek. 65 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 116. 66 Zie hiervoor randnummer 31 van deze beslissing. Beslissing ten gronde 101/2026 — 31/60 93. Concreet heeft de klager vastgesteld dat een bepaalde e-mail in haar mailbox is geopend na haar vertrek. De klager verwijst daarvoor naar de screenshots van het Customer Relationship Management systeem (CRM) die zij op 4 april 2024 had ontvangen na haar verzoek tot inzage. De Geschillenkamer stelt in de activiteitenlogs van de CRM van de mailbox van de klager, die de verweerder bijvoegt in zijn stukken67, vast dat op 13 augustus 2023, dus na het vertrek van de klager, om 01:20 een e-mail werd ontvangen en op hetzelfde moment dezelfde e-mail werd geopend. De verweerder wijst op zijn informatieveiligheidsbeleid en het screenen van binnenkomende e-mails om te verklaren waardoor de mail in het systeem geopend lijkt te zijn. 94. Conform artikel 5.2 AVG is het aan de verweerder om aan te tonen dat er na het vertrek van de klager geen toegang meer is genomen tot haar mailbox. Het meest geschikte middel om al of niet toegang tot deze mailbox aan te tonen zijn de log files van de authenticatie- en toegangspogingen tot deze mailbox, die ook in het kader van informatieveiligheid altijd worden geregistreerd. De verweerder verwijst in zijn conclusies naar stuk 23 (‘Logs m.b.t. de mailbox’) om aan te tonen dat er geen toegang is geweest tot de mailbox van de klager. Het is dus onweerlegbaar aangetoond dat de verweerder over de ‘log files’ van de authenticatie- en toegangspogingen tot de account van de klager beschikt. 95. De Geschillenkamer stelt echter vast dat de verweerder in stuk 23 enkel de ‘log files’ van 22 juli 2024 tot 20 augustus 2024 heeft toegevoegd aan de stukken. De verweerder bevestigt dit in zijn conclusie: “Verweerster kan aantonen dat er voorbije maand geen handelingen of manipulaties in de mailbox hebben plaatsgevonden sinds het vertrek van de Klager (stuk 23)”(nadruk door Geschillenkamer)68. Met deze beperkte tijdsperiode waarin de ‘log files’ werden opgenomen in de stukken kan de verweerder niet aantonen dat van 1 mei 2023 tot 22 juli 2024 geen toegang is geweest tot de mailbox van de klager. 96. De Geschillenkamer stelt vast dat de verweerder geen log files van toegang tot de mailbox toevoegt van 1 mei 2023 tot 1 juni 2023, de periode waarin hij wel nog een gerechtvaardigd belang had om de mailbox van de klager te verwerken, maar ook de periode waarin de managers een uitzondering op het wissen van de mailbox konden vragen om bedrijfsgevoelige gegevens te recupereren.69 De verweerder stelt dat een dergelijke uitzondering niet is gevraagd en dat er dus geen toegang is genomen tot de mailbox, maar toont dit niet aan. In diezelfde periode, met name op 15 mei 2023, zit ook de mail waarvan de klager in haar klacht stelde dat deze geopend was na ontvangst, wat haar deed vermoeden dat er wel toegang was tot de mailbox. Zij haalde deze informatie 67 Bijlage 25, screenshots CRM-systeem bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 68 Stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024, randnummer 83. 69 Zie hiervoor bullet nummer 6 van randnummer 70 van deze beslissing. Beslissing ten gronde 101/2026 — 32/60 uit de activiteitenlogs van de mailbox die ze heeft ontvangen na haar verzoek tot inzage.70 De verweerder verwees voor dit openen van de e-mail naar zijn informatieveiligheidsbeleid, maar toont nergens aan dat er die dag/nacht geen toegang is genomen tot de mailbox, wat zijn stelling wel onweerlegbaar had kunnen aantonen aan de Geschillenkamer. 97. De Geschillenkamer stelt eveneens vast dat de verweerder (behoudens de in randnummer 95 genoemde logfiles voor een beperkte periode) geen log files toevoegt van de periode na 1 juni 2023, het moment waarop de mailbox gewist zou moeten zijn, tenzij een manager een uitzondering zou gekregen hebben. In deze periode, met name op 13 augustus 2023, stelt de Geschillenkamer vast dat er nog een e-mail vermeld stond die volgens de activiteitenlogs geopend zou zijn op hetzelfde moment van ontvangst.71 Ook voor deze periode en deze e-mail toont de verweerder niet aan dat er geen toegang is geweest tot de mailbox. 98. Tenslotte stelt de Geschillenkamer vast dat de DPO op 20 februari 2024 de klager liet weten dat er geen toegang was geweest tot de mailbox van de klager en stelde hij: “Dit werd bovendien expliciet bevestigd door onze ICT-dienst.”72 Ook hier laat de verweerder na enig bewijs van de afwezigheid van de toegang tot de mailbox of van de controle hiervan door de ICT-dienst toe te voegen, terwijl deze controle blijkbaar wel degelijk mogelijk was en was uitgevoerd. 99. De Geschillenkamer oordeelt dat de verweerder niet voldoende heeft aangetoond dat de vertrouwelijkheid en integriteit van de persoonsgegevens van de klager in haar mailbox werd gegarandeerd terwijl is aangetoond dat de verweerder hiertoe wel in staat was en daarmee een inbreuk heeft gepleegd op artikel 5.1.f AVG juncto artikel 5.2 AVG. 100. Inzake de argumentatie rond de instelling van het out-of-office bericht, verwijst de Geschillenkamer naar de eerdere beoordeling inzake de transparantieplicht van de verweerder hierover en gaat ze hier niet verder op in. II.9. Conclusie: vastgestelde inbreuken 101. De Geschillenkamer heeft in deze beslissing geoordeeld dat de verweerder een inbreuk heeft gepleegd op 70 Stuk 2, klachtenformulier van 23 april 2024, p. 3. 71 Stuk 25, Screenshots CRM-systeem bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. Bijlage 5, E-mail Verweerster van 20 februari 2024 (14:48) bij stuk 18, de syntheseconclusie van [verweerder] van 27 augustus 2024. 72 Beslissing ten gronde 101/2026 — 33/60 • artikel 5.1.a AVG juncto artikel 6.1 AVG doordat hij de persoonsgegevens van de klager en haar contacten in haar professionele mailbox onrechtmatig heeft verwerkt nadat er niet langer een gerechtvaardigd belang bestond om deze persoonsgegevens verder te verwerken , in casu na 1 juni 2023; • de artikelen 12 en 13 AVG doordat hij niet heeft voldaan aan zijn transparantieplicht ten aanzien van de verdere verwerking van de persoonsgegevens van de klager en van haar contacten die extern zijn aan de organisatie na het vertrek van klager bij de verweerder; • artikel 24 AVG doordat hij onvoldoende technische en organisatorische maatregelen had genomen of aantoont genomen te hebben om de mailbox van de klager te wissen nadat er geen rechtsgrond meer bestond om de persoonsgegevens in de mailbox verder te verwerken; • de artikelen 12 en 15 AVG doordat hij niet de passende maatregelen heeft genomen om het recht van inzage van de klager in haar persoonsgegevens na haar vertrek bij de verweerder te faciliteren en dit recht van inzage ongefundeerd heeft beperkt tot enkel de mails waarvoor geen correcte out-of-officebericht was ingesteld; • artikel 5.1.f AVG juncto artikel 5.2 AVG doordat hij niet voldoende heeft aangetoond dat de vertrouwelijkheid en integriteit van de persoonsgegevens van de klager in haar mailbox werden gegarandeerd terwijl is aangetoond dat de verweerder hiertoe wel in staat was. III. Corrigerende maatregelen en sancties 102. Volgens de bewoordingen van artikel 100.1 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; Beslissing ten gronde 101/2026 — 34/60 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, dat haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 103. Het is aan de Geschillenkamer om te beslissen over de meest geschikte sanctie in het licht van de vastgestelde inbreuken. III.1. Corrigerende maatrelen 104. Omwille van de inbreuk op artikel 24 AVG, doordat de verweerder onvoldoende technische en organisatorische maatregelen had genomen of aantoont genomen te hebben om de mailbox van de klager te wissen nadat er geen rechtsgrond meer bestond om de persoonsgegevens in de mailbox verder te verwerken, beveelt de Geschillenkamer om op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG voldoende technische en organisatorische maatregelen te nemen teneinde de persoonsgegevens in de mailboxen van vertrekkende medewerkers conform deze beslissing verder te verwerken en af te sluiten en dit aan te tonen aan de Geschillenkamer. Gezien deze maatregelen volgens de verweerder reeds genomen zijn73, rest hem enkel nog dit aan te tonen aan de Geschillenkamer en acht de Geschillenkamer een termijn van 30 dagen ruim voldoende om aan dit bevel te voldoen. Dit bevel is noodzakelijk om op korte termijn gelijkaardige onrechtmatige verwerkingen bij de verweerder te vermijden, in het bijzonder in het licht van het grote verloop van medewerkers bij de verweerder. 105. Omwille van de inbreuk op de artikelen 12 en 15 AVG, doordat de verweerder niet de passende maatregelen heeft genomen om het recht van inzage van de klager in haar 73 Stuk 39, Verweer van [verweerder] van 24 april 2026, p. 18, randnummer 8. Beslissing ten gronde 101/2026 — 35/60 persoonsgegevens na haar vertrek bij de verweerder te faciliteren en dit recht van inzage ongefundeerd heeft beperkt tot enkel de mails waarvoor geen correcte out-ofofficebericht was ingesteld, beveelt de Geschillenkamer om op grond van artikel 58.2.c AVG en artikel 100, § 1, 6° WOG inzage te verlenen aan de klager in al haar persoonsgegevens conform deze beslissing. 106. Dit bevel is noodzakelijk om de klager in staat te stellen volledige controle uit te kunnen oefenen op haar persoonsgegevens die onrechtmatig werden verwerkt na haar vertrek en waar ze tot op heden nog geen enkele controle heeft kunnen op uitoefenen gezien deze persoonsgegevens onder de volledige controle van de verweerder waren opgeslagen en het verzoek tot inzage nog niet was ingewilligd. Concreet stelt dit de klager ook in staat om eventuele gemiste communicatie omwille van een ontoereikende transparantie naar haar contacten toe alsnog te kunnen recupereren teneinde deze communicatierelatie eventueel te kunnen herstellen. 107. De Geschillenkamer neemt akte van het verzoek van de verweerder naar de modaliteiten ter uitvoering van dit recht van inzage. De Geschillenkamer meent echter dat het de verantwoordelijkheid van de verweerder is om in overleg met de klager de modaliteiten van de inzage te bepalen en daarbij mogelijks beroep te op een neutrale derde. 108. Omwille van de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG, doordat de verweerder de persoonsgegevens van de klager en haar contacten in haar professionele mailbox onrechtmatig heeft verwerkt nadat er niet langer een gerechtvaardigd belang bestond om deze persoonsgegevens verder te verwerken , in casu na 1 juni 2023, beveelt de Geschillenkamer om op grond van artikel 58.2.g AVG en artikel 100, § 1, 10° WOG alle persoonsgegevens aangaande de mailbox van de klager na het verlenen van inzage te verwijderen. Dit bevel is noodzakelijk aangezien het doel en de noodzaak om de persoonsgegevens in de mailbox verder te verwerken conform de initiële rechtsgrond of het gerechtvaardigd belang in de periode van 1 maand na het vertrek van de klager reeds lang is afgelopen en aangezien het langer bewaren van deze mailbox in het kader van deze procedure eveneens niet meer noodzakelijk is. 109. Omwille van de inbreuk op artikel 5.1.f AVG juncto artikel 5.2 AVG, doordat de verweerder niet voldoende heeft aangetoond dat de vertrouwelijkheid en integriteit van de persoonsgegevens van de klager in haar mailbox werden gegarandeerd, terwijl is aangetoond dat de verweerder hiertoe wel in staat was, beveelt de Geschillenkamer om op grond van artikel 58.2.d AVG en artikel 100, § 1, 9° WOG de registratie van de toegang tot de mailbox van de klager van 1 mei 2023 tot de wissing van de mailbox over te maken aan de klager, zonder evenwel persoonsgegevens van derden zichtbaar te laten, of aan te tonen dat deze gegevens niet meer beschikbaar zijn bij de verweerder. Beslissing ten gronde 101/2026 — 36/60 Dit bevel is noodzakelijk om de klager in staat te stellen te controleren of de vertrouwelijkheid van haar persoonsgegevens al of niet werd geschonden nadat zij geen enkele controle meer had over deze persoonsgegevens. 110. Enkel door inzage in alle persoonsgegevens in deze mailbox te verlenen aan de klager, door aansluitend deze mailbox te wissen en door aan te tonen dat er geen toegang is geweest tot deze mailbox in de tussentijd, krijgt de klager terug volledige controle over haar eigen persoonsgegevens die verwerkt werden op het domein en in opdracht van de verweerder. De verweerder krijgt een termijn van 30 dagen ter rekenen vanaf de kennisgeving van deze beslissing om deze vier bevelen uit te voeren en de klager terug controle te geven over haar persoonsgegevens in haar mailbox. III.2. Administratieve geldboete 111. Naast de corrigerende maatregelen om de verwerking in overeenstemming te brengen met de principes van de AVG, beslist de Geschillenkamer ook tot het opleggen van een administratieve geldboete met het oog op een krachtige handhaving van de regels van de AVG. Zoals duidelijk blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. 112. De Geschillenkamer wijst er ook op dat het haar soevereine verantwoordelijkheid als onafhankelijke administratieve autoriteit is — met inachtneming van de relevante artikelen van de AVG en de WOG — om de passende corrigerende maatregelen en sancties vast te stellen. Dit volgt uit artikel 83 van de AVG zelf, maar ook het Marktenhof heeft in haar rechtspraak het bestaan van een ruime discretionaire bevoegdheid van de Geschillenkamer benadrukt aangaande de keuze van de sanctie en de omvang ervan, zoals onder meer in zijn arresten van 7 juli 2021 en 6 september 202374. 113. Het feit dat het een eerste vaststelling van een door de verweerder gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.

1. i)AVG. Het instrument van administratieve boete heeft geenszins tot doel inbreuken te beëindigen; daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, § 1, 8° en 9° WOG. Hof van Beroep van Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2021/AR/320, pp. 37-47; Hof van Beroep van Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, 2020/AR/1160, p. 34. 74 Beslissing ten gronde 101/2026 — 37/60 114. Artikel 83.3 AVG schrijft de factoren voor waarmee voor elk concreet geval rekening moet worden gehouden bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan. De Geschillenkamer houdt met name rekening met de zwaarte van de inbreuken, de duur van de inbreuken, en het nodige afschrikwekkende effect om toekomstige inbreuken te vermijden. Om te vermijden dat de beoordeling van elke factor herhaald wordt, verwijst de Geschillenkamer naar de beoordeling hieronder, waarin het opleggen van een administratieve geldboete en de hoogte ervan samen worden beoordeeld. 115. Om in elk geval een doeltreffende, evenredige en afschrikkende boete op te leggen, wordt van de toezichthoudende autoriteiten verwacht dat ze de administratieve boetes aanpassen en daarbij binnen de marge blijven die in de EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (Versie 2.1, Vastgesteld op 24 mei 2023) is voorzien. Dit kan leiden tot aanzienlijke verhogingen of verlagingen van de boete, afhankelijk van de omstandigheden van de zaak. De toepassing van deze Richtsnoeren is noodzakelijk om de coherentie van de toepassing van de AVG te waarborgen. Overeenkomstig de EDPB Richtsnoeren worden administratieve geldboetes voor inbreuken op de AVG berekend op basis van een methode bestaande uit vijf stappen. Deze vijf stappen worden in de volgende paragrafen systematisch doorlopen. De Geschillenkamer herinnert eraan dat zij niet verplicht is criteria te onderzoeken die niet van toepassing zijn . III.2.1. Samenloop van inbreuken en de toepassing van artikel 83.3 van de AVG Eén inbreuk makende gedraging 116. Als eerste stap stelt de Geschillenkamer vast dat er sprake is van een en dezelfde inbreuk makende gedraging. De inbreuk makende verwerking van persoonsgegevens vormt een reeks verwerkingsactiviteiten die uit één enkele wil worden verricht en die contextueel, in ruimte en tijd met elkaar samenhangen. Zij moeten als “daarmee verband houdend” en als één enkele gedraging worden beschouwd. Concreet betreft het het langdurig verder verwerken van de persoonsgegevens in de mailbox van de klager nadat deze de samenwerking met de verweerder had stopgezet. 117. Op basis van deze gedraging heeft de Geschillenkamer geoordeeld dat twee van de vastgestelde inbreuken bestraft moeten worden met een administratieve boete, met name de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG en de inbreuk op de artikelen 12 en 13 AVG. Eenheid van handelingen Beslissing ten gronde 101/2026 — 38/60 118. De Geschillenkamer oordeelt dat de inbreuk op de artikelen 12 en 13 AVG naast de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG kan worden toegerekend bij het berekenen van de geldboetes. De bepalingen waarop inbreuken werden gemaakt streven namelijk onafhankelijke doelen na (het transparantiebeginsel en het beginsel van rechtmatigheid), waarbij de ene bepaling niet wordt uitgesloten of omvat door de toepasbaarheid van de andere, hetgeen het opleggen van afzonderlijke geldboetes rechtvaardigt. 119. Het rechtmatigheidsbeginsel betreft in dit dossier het gebrek aan rechtsgrond om de persoonsgegevens van de klager en haar contacten verder te verwerken nadat de verweerder geen gerechtvaardigd belang meer had. Zelfs indien de verdere verwerking na de verwerking onder het gerechtvaardigd belang transparant zou geweest zijn, zou de rechtmatigheid van de verwerking nog steeds geschonden zijn geweest. 120. Het transparantiebeginsel betreft in dit dossier het informeren van de klager aangaande de verdere verwerking van haar persoonsgegevens in haar mailbox en van haar contacten aangaande het beëindigen van de samenwerking tussen de klager en de verweerder. Zelfs indien de verwerking rechtmatig zou geweest zijn, zou het transparantiebeginsel nog steeds geschonden zijn geweest. 121. De Geschillenkamer verwijst als voorbeeld naar het Bindend besluit 1/2021: “Wat betreft de betekenis van artikel 83, lid 3, AVG, merkt het Comité op dat rekening houdend met de standpunten van de betrokken toezichthoudende autoriteiten in geval van meerdere inbreuken meerdere bedragen kunnen worden vastgesteld.” Voorts bepaalt artikel 83.3 AVG dat indien een verwerkingsverantwoordelijke opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, het totale bedrag van de geldboete niet hoger mag zijn dan het toegestane maximumbedrag voor de zwaarste inbreuk. Conclusie 122. Samenvattend oordeelt de Geschillenkamer dat zij twee afzonderlijke geldboetes kan opleggen, en dat de totale geldboete niet hoger kan zijn dan het maximumbedrag voor de zwaarste inbreuk. III.2.2. Uitgangsbedrag voor de berekening 123. De berekening van administratieve geldboeten begint bij een geharmoniseerd uitgangsbedrag op basis van de richtsnoeren 04/2022 van de EDPB . Hierbij wordt rekening gehouden met de indeling van inbreuken volgens hun aard op grond van artikel 83, leden 4 tot en met 6, AVG, de zwaarte van de inbreuk en de omzet van de onderneming. Beslissing ten gronde 101/2026 — 39/60 Indeling van inbreuken op grond van artikel 83, leden 4 tot en met 6 AVG 124. De AVG maakt een onderscheid tussen twee categorieën van inbreuken: de inbreuken die strafbaar zijn onder artikel 83.4 AVG enerzijds en de inbreuken die strafbaar zijn onder artikel 83.5 en 83.6 AVG anderzijds. Op de eerste categorie inbreuken staat een maximumboete van 10 000 000 EUR of 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. De tweede categorie kan leiden tot een boete van maximaal 20 000 000 EUR of 4 % van de van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 125. Voor de inbreuk op artikel 5.1a AVG juncto artikel 6.1 AVG bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
2. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 126. Voor de inbreuk op de artikelen 12 en 13 AVG bedraagt de zwaarste administratieve geldboete overeenkomstig artikel 83.5.
3. a)AVG tot 20 000 000 EUR of tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. 127. Aangezien de hogere boete van toepassing is, overeenkomstig artikel 83.5.
4. a)AVG, kan de Geschillenkamer een administratieve boete opleggen tot maximaal 20 000 000 EUR of maximaal 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit hoger is. Zwaarte van de inbreuken in elk individueel geval 128. Betreffende de inbreuk op artikel 5.1.a AVG juncto artikel 6.1 AVG (hierna ‘inbreuk op de rechtmatigheid’) a. Artikel 83.2.
5. a)AVG – De aard, ernst en duur van de inbreuk: 129. Betreffende de aard van de inbreuk neemt de Geschillenkamer in rekening dat het beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Het wordt eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat inbreuken op dit kernbeginsel van hoge zwaarte zijn. 130. Met betrekking tot de ernst van de inbreuk neemt de Geschillenkamer volgende elementen in rekening: • Aard van de verwerking: het betreft een verdere verwerking van de persoonsgegevens in de mailbox van de klager waarin zowel haar persoonsgegevens als persoonsgegevens van haar contacten verwerkt worden. De initiële verwerking was wel rechtmatig voor zowel de klager als haar contacten. Beslissing ten gronde 101/2026 — 40/60 • Omvang van de verwerking: het betreft de verdere verwerking van persoonsgegevens in de mailbox van de klager en bijgevolg haar persoonsgegevens maar ook de persoonsgegevens van haar contacten die met haar communiceerden. De klager had echter haar activiteiten bij de verweerder al afgebouwd, een feit waarvan de contacten reeds op de hoogte waren door de ingesteld out-of-office van de klager. • Doel van de verwerking: het enige doel voor een eventuele verdere verwerking van de persoonsgegevens van de klager en haar contacten in de mailbox na de beperkte periode van verwerking onder het gerechtvaardigd belang, bestond erin nog eventuele bedrijfsgevoelige gegevens te kunnen recupereren uit de mailbox van de klager. Deze doelstelling werd geformuleerd in interne communicatie van de verweerder. • Aantal betrokkenen: het betreft de mailbox van 1 persoon, waarin persoonsgegevens van de klager en een onbekend aantal contacten werden verder verwerkt. • Omvang van de schade: Er is geen informatie dat de niet-rechtmatige verdere verwerking heeft geleid tot een misbruik van de persoonsgegevens van de klager of van haar contacten. Gezien de professionele context van de mailbox, kan men verwachten dat deze persoonsgegevens eerder beperkt en niet-gevoelig zijn, alhoewel ook dringende, persoonlijke berichten in een dergelijke mailbox verwacht kunnen worden. Daarenboven had de klager zelf haar correspondenten reeds eerder op de hoogte gebracht dat ze via dat e-mailadres nog slechts beperkt (voor externen) of niet meer (voor internen) bereikbaar was. Op basis van deze beoordeling oordeelt de Geschillenkamer dat de ernst van de inbreuk van lage zwaarte is, aangezien het niet is aangetoond dat de persoonsgegevens effectief gebruikt werden, terwijl ze wel bewaard werden. 131. Betreffende de duur van de inbreuk, merkt de Geschillenkamer op dat de persoonsgegevens van de klager en haar contacten in de mailbox hadden moeten zijn gewist op 1 juni 2023, wat niet werd uitgevoerd. Vanaf 1 juni 2023 had de verweerder dus geen rechtsgrond meer om de persoonsgegevens te verwerken. Uit de conclusies van 2025 blijkt dat alle persoonsgegevens nog steeds in de mailbox zitten en beschikbaar zijn. Alhoewel de verweerder beweert dat hij sinds de melding van de klager over een eventuele procedure tegen de verweerder opnieuw een rechtsgrond heeft om de persoonsgegevens te bewaren, is deze nieuwe situatie een rechtstreeks gevolg van het niet verwijderen en dus verder verwerken van de persoonsgegevens zonder rechtsgrond en van het niet volledig inzage willen geven in de persoonsgegevens ondanks het verzoek van de klager. Deze wou immers eerst controleren welke communicatie zij gemist had, alvorens haar mailbox zou worden gewist, wat een legitieme bezorgdheid was, gezien de Beslissing ten gronde 101/2026 — 41/60 onrechtmatige verdere verwerking van de persoonsgegevens in deze mailbox. De Geschillenkamer oordeelt de duur van de inbreuk van gemiddelde zwaarte omdat de bewaring van alle persoonsgegevens tot op vandaag nog steeds voortduurt. Het argument dat de mailbox moest blijven bestaan omwille van deze procedure snijdt geen hout aangezien de afwezigheid van een rechtsgrond net deze procedure heeft veroorzaakt en aangezien er andere, technisch veiligere manieren bestaan om de nodige informatie voor deze procedure te bewaren. b. Artikel 83.2.
6. b)AVG – De opzettelijke of nalatige aard van de inbreuk: 132. In casu is er volgens de Geschillenkamer geen intentie in hoofde van de verweerder om met opzet de persoonsgegevens onrechtmatig verder te verwerken, doch is er minstens sprake van nalatigheid, waarmee wordt voldaan aan de vereisten van de rechtspraak van het Hof van Justitie van de EU75. Hoewel de verweerder argumenteert dat de verdere verwerking een eenmalige, menselijke fout betrof, blijkt uit de beslissing dat de verweerder nalatig is geweest op het vlak van de minimale technische en organisatorische maatregelen, met name het automatisch verwijderen van (alle persoonsgegevens
7. in)de mailbox van een vertrokken werknemer na een periode van verwerking onder het gerechtvaardigd belang. Daarenboven blijkt uit het dossier dat de verweerder op de hoogte was van eerdere beslissingen van de Geschillenkamer over het correct afsluiten van de mailbox van een ex-medewerker. Gezien de verweerder zelf spreekt van ongeveer 1000 vertrekkende medewerkers per jaar, had hij hier eerder en sneller voldoende maatregelen moeten nemen om eventuele menselijke fouten uit te sluiten. De Geschillenkamer oordeelt dat de nalatige aard van de inbreuk als van gemiddelde zwaarte moet worden beschouwd. c. Artikel 83.2.
8. g)AVG – De categorieën van persoonsgegevens waarop de inbreuk betrekking heeft: 133. De litigieuze verwerking betreft de persoonsgegevens van de klager en van haar contacten in haar professionele mailbox. Hoewel dergelijke persoonsgegevens prima facie niet van gevoelige of bijzondere aard zijn, oordeelt de Geschillenkamer dat zij niettemin behoren tot categorieën van persoonsgegevens waarvan betrokkenen doorgaans niet redelijkerwijs zouden verwachten dat die door de verweerder verder verwerkt zouden worden. Deze categorie wordt als neutraal beoordeeld. HvJEU, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, arrest van 5 december 2023, C-807/21, ECLI:EU:C:2023:950, randnummer 78. 75 Beslissing ten gronde 101/2026 — 42/60 134. In zijn reactie op het sanctieformulier, stelt de verweerder dat de duurtijd van de inbreuk niet aan hem te wijten is gezien hij op 2 mei 2024 de GBA om advies had gevraagd aangaande het verwijderen van de mailbox nadat de klager gevraagd had deze niet te verwijderen tot zij inzage had gehad. De verweerder voelt zich hierin gesterkt aangezien de Geschillenkamer ook een bevel tot inzage aan de verweerder oplegt. De verweerder stelt: “[verweerder] meent dan ook dat een ‘gemiddelde zwaarte’ voor de duur van de inbreuk onterecht is, nu deze duurtijd geheel te wijten is aan de keuze van de GBA om geen antwoord te geven op [verweerder]’s legitieme vraag of ze de mailbox mocht verwijderen, en de lange duurtijd van de procedure voor de Geschillenkamer. Een lage zwaarte is dan ook gepast.”76 135. De Geschillenkamer stelt vast dat de klager op 1 mei 2023 de verweerder verlaten heeft en heeft geoordeeld dat de verweerder voor één maand de persoonsgegevens van de klager kon verder verwerken omwille zijn gerechtvaardigd belang. 136. Ten eerste brengt de klager de verweerder zelf op de hoogte dat haar gegevens nog steeds, onrechtmatig, verwerkt worden in januari 2024, acht maanden nadat de verweerder geen gerechtvaardigd belang meer had en op dat moment 8x de duur van de verwerking onder het gerechtvaardigd belang. 137. Ten tweede brengt de klager de verweerder op 20 februari 2024 op de hoogte dat zij een dossier bij de GBA zal openen en meldt zij aan de verweerder op 6 maart 2024 dat haar mail zal toegevoegd worden aan de klacht bij de GBA. De verweerder was dus ten laatste op 6 maart 2024 op de hoogte van de intentie van de klager om klacht in te dienen bij de GBA. Deze klacht werd effectief ingediend op 23 april 2024. Het indienen van een adviesvraag door de verweerder bij de GBA, wanneer hij weet dat er een klacht is ingediend of ingediend zal worden, is geen argument om een inbreuk op de AVG te laten voortduren tot de GBA heeft geantwoord op de adviesvraag of een beslissing heeft genomen inzake de klacht, net omdat de doorlooptijd van dergelijke klachten bij de Geschillenkamer kan oplopen. Het is immers de verweerder die verwerkingsverantwoordelijke is voor deze verwerking. Deze verantwoordelijkheid gaat niet over op de GBA in geval van een adviesvraag hierover. De Geschillenkamer wijst er hierbij ten overvloede nog op dat in de AVG de verantwoordingsplicht (artikel 5.2 AVG) centraal staat. Het behoort niet tot de taak van de toezichthoudende autoriteit om advies te geven omtrent een individuele zaak, al zeker niet indien over juist deze zaak een procedure bij diezelfde toezichthoudende autoriteit aanhangig is. 138. Ten derde is deze klacht net het gevolg van de inbreuken van de verweerder op de bescherming van de persoonsgegevens van de klager. Eén van die inbreuken was het 76 Stuk 39, Verweer van [verweerder] van 24 april 2026, p. 16, randnummer 3. Beslissing ten gronde 101/2026 — 43/60 onterecht beperken van het recht van inzage van de klager, die op zoek was naar de emails die ze allemaal gemist had omdat de verweerder geen conforme transparantiemaatregelen had genomen naar haar contacten toe en omdat de verwerking bleef voortduren nadat het gerechtvaardigd belang van de verweerder was geëindigd. Het dilemma waarmee de verweerder dus werd geconfronteerd, werd volledig door zijn eigen gebrek aan opvolging van de mailbox van de klager en zijn beperkingen op haar recht van inzage veroorzaakt. De verweerder had dus transparanter met de klager kunnen communiceren over het verlenen van inzage, wat hij in de conclusies naar de Geschillenkamer wel heeft gedaan77, zodat er misschien wel een vergelijk had kunnen worden gevonden, de klager haar gemiste e-mails had kunnen controleren en de verweerder de mailbox had kunnen wissen voor er een klacht werd ingediend, in casu in het voorjaar van 2024. 139. Ten vierde stelt de Geschillenkamer vast dat de verweerder ervoor gekozen heeft gedurende de duur van deze procedure de mailbox gedeactiveerd te laten voortbestaan en terug een licentie aan deze mailbox te koppelen, terwijl er technische mogelijkheden bestaan om de inhoud van de mailbox te exporteren naar een PST-bestand en de mailbox zelf volledig te verwijderen. De verweerder kende deze technische mogelijkheid, want hij heeft ze zelf voorgesteld aan de klager op 6 april 2024. Alhoewel de persoonsgegevens nog steeds onrechtmatig verwerkt zouden worden, zou deze technische maatregel het risico op de verwerking van de persoonsgegevens van de klager wezenlijk verlaagd hebben en ondertussen toegelaten hebben de mailbox al te wissen zonder het recht op inzage van de klager te beperken, eventueel in de toekomst. 140. De Geschillenkamer oordeelt dat het verder verwerken van persoonsgegevens zonder rechtsgrond voor minstens acht maanden reeds voldoende grond is om de duur van de inbreuk te beoordelen als van gemiddelde zwaarte. Gezien de bezorgdheden van de klager duidelijk waren uit haar communicatie, met name dat ze inzage wou in de e-mails die ze gemist had, had de verweerder de mogelijkheid om deze inbreuken te stoppen en te verhelpen, maar verkoos hij te wachten op een antwoord van de GBA op een adviesvraag en de eventuele uitkomst van deze procedure. Door deze besluitloosheid van de verweerder is nu een situatie ontstaan waardoor de onrechtmatig verwerkte persoonsgegevens van de klager (en haar contacten) reeds voor bijna 3 jaar verwerkt worden in een bestaande mailbox met een actieve licentie. De Geschillenkamer ziet geen grond om de gemiddelde zwaarte voor de duur van de inbreuk te verlagen naar een lage zwaarte. 141. In zijn reactie op het sanctieformulier stelt de verweerder ook dat de inbreuk veroorzaakt werd door een eenmalige menselijke fout en dat er dus geen sprake was van nalatigheid 77 Zie hiervoor randnummer 87 van deze beslissing. Beslissing ten gronde 101/2026 — 44/60 zoals de Geschillenkamer had gesteld. Daarenboven had de verweerder al proactieve maatregelen genomen om de verwijdering van de mailboxen te automatiseren en had hij ten tijde van de hoorzitting al een validatiestap toegevoegd aan het bestaande proces om te verifiëren of alle gedeactiveerde accounts ook geschrapt werden na een maand. 142. Wat betreft de opzettelijkheid of nalatigheid van de inbreuken (criterium zoals opgenomen in artikel 83.2.b AVG) is er geen sprake van een duidelijk opzet bij de verweerder om de persoonsgegevens van de klager onrechtmatig te verwerken. Het morele element van de inbreuk is niettemin vastgesteld op grond van de jurisprudentie van het HvJEU78. Nalatigheid vereist immers een element van bewustzijn, maar geen element van wil. Aan dit element van bewustzijn is voldaan wanneer de aangesprokene van een bepaling het strafbare karakter van zijn gedrag had moeten kennen, ongeacht of hij zich ervan bewust was deze bepalingen te schenden. De doorslaggevende factor is dus of de aangesprokene van een bepaling kon weten of zijn gedrag onwettig was en niet of hij zich daar daadwerkelijk bewust van was. Van een verwerkingsverantwoordelijke wordt verwacht dat hij zich, in het kader van zijn zorgvuldigheidsplicht, informeert en vertrouwd maakt met de op hem van toepassing zijnde wetgeving en verplichtingen. In dit verband zijn de artikelen 5.1.a en 6.1 AVG zeer duidelijk en preciseren ze dat de verweerder enkel persoonsgegevens mag verwerken indien deze verwerking rechtmatig is en dus gebaseerd is op één van de rechtsgronden die zijn opgesomd in artikel 6.1 AVG. 143. De Geschillenkamer stelt vast dat de verweerder kennis heeft van het beheer van mailboxen van vertrokken werknemers, van het verder verwerken van deze mailboxen onder het gerechtvaardigd belang en van het afsluiten van deze mailboxen na één maand. Reeds in de managementprocessen van 2016 was voorzien dat de mailbox voor één maand blijft bestaan en dan onherroepelijk gewist wordt. Aangezien de verweerder deze regels rond het afsluiten van een mailbox kende, maar deze niet werden toegepast op de mailbox van de klager, is reeds voldoende reden voor de Geschillenkamer om te spreken van nalatigheid. 144. De Geschillenkamer heeft ook vastgesteld dat op de lijst van gedeactiveerde profielen van 1 juni 2023, waarop de klager stond vermeld, een ander profiel was opgenomen, waarvan de persoon achter het profiel volgens de lijst de verweerder had verlaten op 4 oktober 2022, zijnde 6 maanden voor zijn profiel werd gedeactiveerd en werd doorgegeven om gewist te worden. 145. Daarenboven heeft de Geschillenkamer vastgesteld dat in diezelfde managementprocessen ook sprake was van een laatste stap, met name het overmaken van de lijst van effectief gewiste mailboxen door de bevoegde dienst aan diegene die de HvJEU, Deutsche Wohnen SE t. Staatsanwaltschaft Berlin, arrest van 5 december 2023, C-807/21, ECLI:EU:C:2023:950, randnummer 78. 78 Beslissing ten gronde 101/2026 — 45/60 wissing van de mailboxen had aangevraagd. De aanvrager van de wissing, in casu de ‘ICT tweede lijnsdienst’, kon dus elke maand een controle uitvoeren op de effectieve wissing door de lijst van aanvragen te vergelijken met de lijst van effectief verwijderde mailboxen. Meer nog, de ICT tweede lijnsdienst werd na deze controle geacht de account status op ‘removed’ in te stellen. Niet alleen was de verweerder dus op de hoogte van het correct afsluiten van een mailbox, er bestond ook een contr