Beslissing ten gronde nr. 107/2024

1/21 Geschillenkamer Beslissing ten gronde 107/2024 van 23 augustus 2024 In zijn arrest van 22 januari 2025 (2024/AR/1615) heeft het Marktenhof deze beslissing gedeeltelijk vernietigd en heeft het, op grond van zijn bevoegdheid tot volledige rechtspraak, de door de Geschillenkamer opgelegde administratieve boete teruggebracht tot 5.000 euro Dossiernummer : DOS-2022-02420 Betreft: klacht over een antwoord dat werd gegeven na een vertraging van meer dan 14 maanden na de uitoefening van het recht van inzage van de klager De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 20191 ; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna "de klager"; 1 Het nieuwe reglement van interne orde van de GBA als gevolg van de wijzigingen door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (GBA) is op 01/06/2024 in werking getreden. Overeenkomstig artikel 56 van de wet van 25 december 2023 is het alleen van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die vanaf die datum zijn gestart: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde-van-degegevensbeschermingsautoriteit.pdf. Dossiers die vóór 01/06/2024 zijn aangevat, zoals in dit geval, zijn onderworpen aan de bepalingen van de WOG zoals die bestond vóór de wijzigingen door de wet van 25 december 2023, en aan de bepalingen van het reglement van interne orde zoals het bestond vóór die datum. Beslissing ten gronde 107/2024 — 2/21 De verweerder: I. 1. Y, hierna “de verweerder”. Feiten en procedure Op 7 juni 2022 dient de klager bij de Gegevensbeschermingsautoriteit een klacht in tegen de verweerder. 2. De klacht betreft het gevolg dat werd gegeven aan de uitoefening van het recht van inzage door de klager. 3. De klager was een klant van de verweerder, een telecommunicatiebedrijf. Tussen 27 januari 2021 en 26 februari 2021 wijzigt de verweerder verschillende abonnementen en facturen van de klage, hoewel de klager geen verzoek in die zin heeft ingediend. 4. Op 27 augustus 2021, aan het einde van een bemiddelingsprocedure die op 26 juni 2021 door de klager is ingeleid bij de Ombudsdienst voor telecommunicatie, sluit de Ombudsman de procedure, omdat hij van mening is dat alle door de klager gevraagde relevante informatie is verstrekt. In de loop van deze procedure deelt de verweerder de klager mee dat de ongemakken die hij heeft ondervonden in verband met de verschillende abonnementen en facturen bij de verweerder te wijten zijn aan menselijke fouten. Na dit antwoord verklaart de klager dat hij nog steeds wacht op een precieze opheldering van de situatie. 5. Op 25 januari 2022 neemt de klager via zijn Messenger-chat contact op met de verweerder en vraagt om de contactgegevens van diens functionaris voor gegevensbescherming (hierna "DPO"). Deze antwoordt dat hij geen e-mailadres van de DPO heeft, maar dat hij het verzoek toch in de chat zal behandelen. 6. Diezelfde dag geeft de klager aan dat hij gebruik wil maken van zijn recht van inzage op grond van artikel 15 van de AVG, en preciseert hij geïnformeerd te willen worden voor de periode van 1 januari 2021 tot en met 31 december 2021. Hij geeft ook aan dat hij een antwoord wil in een tabelformaat dat hij in de chat vermeldt, met voor elke inzage van zijn persoonlijke gegevens de volgende elementen: datum, medewerker of "medewerkersnummer" en reden(

1. en)van de inzage. 7. Dezelfde dag nog vraagt de verweerder de klager om zijn verzoek te verduidelijken. Deze antwoordt de volgende dag dat zijn verzoek eenvoudig en duidelijk is. 8. Op 13 maart 2022 herinnert de klager de verweerder aan zijn verzoek om inzage en deelt mee dat indien hij vóór eind maart 2022 geen antwoord krijgt, een klacht bij de GBA zal worden ingediend. Diezelfde dag vraagt de verweerder, opnieuw via de chat, de klager om nadere uitleg om de nodige controles te kunnen uitvoeren. De klager antwoordt dat hij wil weten wie van de werknemers van de verweerder inzage heeft gehad van zijn persoonsgegevens. De verweerder antwoordt dat hij dit onmogelijk kan weten en dat het Beslissing ten gronde 107/2024 — 3/21 verzoek "buiten zijn bevoegdheid valt". De klager geeft nogmaals aan dat zijn verzoek is gericht aan de DPO en dat als hij vóór eind maart geen antwoord heeft ontvangen, hij een klacht zal indienen bij de GBA. De medewerker van de verweerder (verantwoordelijk voor de chat) antwoordt door de klager uit te nodigen opnieuw contact met hem op te nemen als hij een ander verzoek heeft. 9. Op 9 juni 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht op grond van artikel 62, § 1, van de WOG aan de Geschillenkamer overgemaakt. 10. Op 27 februari 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. Op dezelfde datum worden de betrokken partijen per aangetekende brief in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd 10 april 2023, deze voor de conclusie van repliek van de klager op 1 mei 2023 en deze voor de conclusie van repliek van de verweerder op 22 mei 2023.. 11. Op 2 maart 2023 stemt de verweerder ermee in alle communicatie omtrent de zaak elektronisch te ontvangen en geeft hij aan gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. Hij vraagt in dezelfde e-mail ook een kopie van het dossier (artikel 98, § 2, 3°, WOG), die hem op 14 maart 2023 wordt toegezonden. 12. Op 22 maart 2023 stemt de klager ermee in alle communicatie omtrent de zaak elektronisch te ontvangen. 13. Op 28 maart 2023 voldoet de verweerder aan het verzoek om inzage van de klager door de activiteitenlogboeken met betrekking tot het contract van de klager voor het hele jaar 2021 te verstrekken. Om redenen van veiligheid en vertrouwelijkheid heeft de verweerder alle "logins" geanonimiseerd. 14. Op 7 april 2023 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. Deze dient een syntheseconclusie in. Zijn argumenten worden in punt 16 hieronder samengevat. 15. Op 30 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Samengevat bepleit de klager hierin het volgende: - Dat zijn klacht gegrond wordt verklaard; Beslissing ten gronde 107/2024 — 4/21 - Zijn rechten op grond van de artikelen 12 en 15 van de AVG werden niet geëerbiedigd door de verweerder omdat deze hem niet in staat stelde contact op te nemen met zijn DPO, omdat hij met anderhalf jaar vertraging op zijn verzoek om inzage heeft geantwoord, en omdat hij nooit heeft geantwoord met betrekking tot de doeleinden waarvoor zijn werknemers toegang hadden tot het account en de persoonsgegevens van de klager; - Dat een strengere straf dan een waarschuwing wordt opgelegd, gezien het aantal verzoeken en aanmaningen dat hij heeft gedaan; 16. - Dat alle hem betreffende persoonsgegevens worden geanonimiseerd; - Dat de verweerder niet wordt geanonimiseerd. Op 22 mei 2023 ontvangt de Geschillenkamer de syntheseconclusie van de verweerder. Samengevat verdedigt deze hierin het volgende: - Het was niet zijn verantwoordelijkheid om inzage te geven van de door de klager gevraagde informatie, met dien verstande: (
2. i)dat de persoonsgegevens van de werknemers van de verweerder geen persoonsgegevens van de klager zelf zijn en dat diezelfde werknemers niet kunnen worden beschouwd als ontvangers van de gegevens in de zin van artikel 15.1.c)2 van de AVG, (
3. ii)dat de klager ten tijde van het indienen van de klacht over alle informatie beschikte, aangezien het contactadres van de DPO van de verweerder te vinden was op de website van de verweerder en dat hij op 30 juli 2021 in kennis was gesteld van de antwoorden op de andere door hem ingediende verzoeken, en (iii) dat het in artikel 15 van de AVG verleende recht geen absoluut recht is, en dus op bepaalde grenzen kan stuiten wanneer het wordt afgewogen tegen de rechten en vrijheden van derden (artikel 15. AVG), zoals in dit geval waar de rechten en vrijheden van de werknemers van de verweerder prevaleren boven het recht van inzage van de klager; - Het niet naleven van de antwoordtermijn zoals bepaald in artikel 12.3 van de AVG kan op zich geen aanleiding zijn voor een sanctie; - De Geschillenkamer kan geen beslissing nemen over de schendingen die de klager in zijn e-mail van 23 maart aanvoert, maar die niet zijn opgenomen in de brief waarin wordt gevraagd om conclusies in te dienen die zij op 27 februari 2023 naar de partijen stuurde, aangezien van de verweerder niet kan worden verwacht dat hij zich daartegen verweert; - De door de klager aangevoerde schendingen moeten ongegrond worden verklaard als de Geschillenkamer ze toch onderzoekt. 2 In de conclusie van de verweerder wordt artikel 15.1.
4. b)van de AVG aangehaald. Bij lezing daarvan blijkt echter dat de verweerder punt 15.1.
5. c)van de verordening bedoelt. Beslissing ten gronde 107/2024 — 5/21 17. Op 29 april 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 31 mei 2024. 18. Op 31 mei 2024 worden de partijen gehoord door de Geschillenkamer. 19. Op 10 juni 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 20. Op 12 juni 2024 ontvangt de Geschillenkamer een aantal formele opmerkingen van de verweerder over het proces-verbaal, dat overeenkomstig artikel 54, tweede lid, van het Reglement van interne orde bij de notulen wordt gevoegd. 21. Op 17 juni 2024 ontvangt de Geschillenkamer enkele opmerkingen van de klager over het proces-verbaal. Deze vereisen substantiële wijzigingen in het proces-verbaal, die niet kunnen worden doorgevoerd, aangezien de debatten werden gesloten aan het einde van de hoorzitting. 22. Op 3 juli 2024 stelt de Geschillenkamer de verweerder in kennis van haar voornemen om een administratieve boete op te leggen en van het bedrag daarvan met de bedoeling de verweerder de gelegenheid te geven zich te verdedigen voordat de boete effectief wordt opgelegd. 23. Op 22 juli 2024 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete en het bedrag daarvan. De inhoud van de reactie van de verweerder is samengevat in de punten 85 en volgende. II. Motivering II.1. Wat betreft de vermeende inbreuk op het recht van inzage (artikel 15 van de AVG) II.1.1. Wat betreft de inhoud van het antwoord van de verweerder op het recht van inzage 24. De Geschillenkamer herinnert eraan dat artikel 4.1) van de AVG persoonsgegevens definieert als “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; […] ». 25. Een verwerking van persoonsgegevens verwijst naar "een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, Beslissing ten gronde 107/2024 — 6/21 ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens »3. 26. Volgens artikel 15.1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. Indien dat het geval is, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van de informatie die in artikel 15.1.
6. a)tot en met
7. h)wordt vermeld, zoals het doeleinde van de verwerking van zijn gegevens, de eventuele ontvangers van zijn gegevens, en informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. 27. Lid 3 van artikel 15 bepaalt: "De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. […]". Dit lid vormt één recht met het eerste lid van hetzelfde artikel4. Bovendien blijkt uit de jurisprudentie van het HvJ-EU dat dit recht voor de betrokkene de mogelijkheid inhoudt om "de reproductie van uittreksels uit documenten of zelfs volledige documenten of uittreksels uit databanken […]”5 te verkrijgen indien dit van essentieel belang blijkt. Dit recht kan echter niet los worden gezien van artikel 15.4, waarin staat dat het moet worden afgewogen tegen de rechten en vrijheden van anderen, indien van toepassing. 28. De Geschillenkamer wijst erop dat het recht van inzage een essentiele vereiste is van het recht op gegevensbescherming, aangezien het de "toegangspoort" is tot de uitoefening van de andere rechten die de AVG aan de betrokkene toekent 6. 29. In het onderhavige geval blijkt dat de klager op 25 januari 2022 zijn recht van inzage heeft uitgeoefend, een verzoek waaraan de verweerder op 28 maart 2023 heeft voldaan door de klager een gedeeltelijk geanonimiseerde versie te verstrekken van de activiteitenlogs met betrekking tot zijn contract voor het hele jaar 2021. De verweerder voegt er in zijn conclusie aan toe dat de klager tijdens de bemiddelingsprocedure (zie punt 4), die op 27 augustus 2021 werd afgesloten, al soortgelijke vragen had gesteld als die in zijn verzoek om inzage, met dien verstande dat de Ombudsman van mening was dat alle relevante informatie aan de klager was meegedeeld. 30. In dit verband moet worden verduidelijkt dat een verwerkingsverantwoordelijke in geen geval kan worden vrijgesteld van zijn verplichting om gevolg te geven aan de uitoefening van 3 AVG, artikel 4.2. 4 HvJ-EU, arest van 4 mei 2023, Österreichische Datenschutzbehörde, C-487/11, punt 32. 5 HvJ-EU, arrest van 12 januari 2023, Österreichische Post AG, C154/12, punt 41. 6 HvJ-EU, arrest van 12 januari 2023, Österreichische Post AG, C154/12, ECLI:EU:C:37:37, punten 37 en 38; HvJ-EU, arrest van 20 december 2017, Nowak, C-434/16, punt 57; HvJ-EU, arrest van 17 juli 2014, Y.S., C-141/12 en C-372/12, punt 44; HvJ-EU, arrest van 7 mei 2009, Rijkeboer, punt 52. Beslissing ten gronde 107/2024 — 7/21 het recht van inzage op grond van het feit alléén dat de klager al over de gevraagde informatie beschikte voordat hij dat recht uitoefende. Artikel 12.5 bepaalt dat de uitoefening van een van de in de artikelen 15 tot en met 22 van de AVG genoemde rechten kan worden geweigerd indien het verzoek van de betrokkene duidelijk ongegrond of buitensporig is, maar de verweerder heeft zich op geen van deze uitzonderingen beroepen. In ieder geval moet het gebruik van een van deze uitzonderingen krachtens artikel 12.4 van de AVG zo snel mogelijk en uiterlijk "binnen één maand na ontvangst van het verzoek [...]" aan de betrokkene worden meegedeeld - dit is niet het geval in de uitwisselingen tussen de klager en de verweerder. 31. Met betrekking tot de inhoud van het gevolg dat aan het verzoek om inzage is gegeven, verklaarde de klager in zijn conclusie dat hij ontevreden was (
8. a)omdat hij geen extra uitleg had gekregen over de doeleinden van de verwerkingen die door de werknemers van de verweerder waren uitgevoerd, en (
9. b)omdat hij de identiteit niet had gekregen van de werknemers van de verweerder die de genoemde verwerkingen hadden uitgevoerd. Tijdens de hoorzitting van 31 mei 2024 (zie punt 18) verklaarde de klager echter uitdrukkelijk dat hij tevreden was met het antwoord dat de verweerder hem had gestuurd naar aanleiding van zijn verzoek om inzage van 25 januari 2022 - maar niet met de manier waarop het antwoord was gegeven. De Geschillenkamer vindt het niettemin belangrijk om het hierna volgende onderzoek uit te voeren, aangezien zij op geen enkele wijze wordt ontheven van de taak om de naleving van de AVG te onderzoeken door het feit dat een deel van de klacht niet langer ontvankelijk is7.
10. a)Toegang tot de doeleinden van de verwerkingen 32. Enerzijds blijkt uit de stukken van het dossier dat de verweerder op 28 maart 2023 een gedeeltelijk geanonimiseerde versie van de activiteitenlogs met betrekking tot het contract van de klager voor het hele jaar 2021 heeft meegedeeld. Bovendien verklaarde de klager dat hij tevreden was met de gegevens die hij naar aanleiding van de e-mail van 28 maart 2023 had ontvangen. 33. Voor de Geschillenkamer is het verzoek van de klager met betrekking tot de doeleinden van de verwerkingen dan ook afgehandeld.
11. b)Toegang tot de identiteit van de werknemers die de verwerkingen hebben uitgevoerd 34. Anderzijds merkt de Geschillenkamer op dat de verweerder heeft geweigerd toegang te verlenen tot de persoonsgegevens van zijn werknemers (zie de punten 7 en 16) - een verzoek dat op 25 januari 2022 door de klager was ingediend. 7 Beslissing 63/2020 van 22 september 2020 van de Geschillenkamer, punt 16. Beslissing ten gronde 107/2024 — 8/21 35. In dit verband wijst de Geschillenkamer erop dat de persoonsgegevens van werknemers geen persoonsgegevens van de betrokkene zijn, waardoor ze buiten de werkingssfeer van artikel 15 van de AVG vallen8. In overweging 63 van de AVG staat echter dat dit er niet toe mag leiden dat "de betrokkene alle informatie wordt onthouden" door een verwerkingsverantwoordelijke. ». 36. Bovendien blijkt uit de rechtspraak van het HvJ-EU dat, gelet op de essentiële rol van het recht van inzage voor de betrokkenen, deze laatsten toegang kunnen krijgen tot de persoonsgegevens van de werknemers van een verwerkingsverantwoordelijke die hun persoonsgegevens heeft verwerkt indien dit noodzakelijk blijkt voor de uitoefening van de andere rechten die de AVG hun garandeert 9. Bovendien moet het recht van inzage van de betrokkene in kwestie worden afgewogen tegen - zoals uiteengezet in artikel 15.4 van de AVG - de rechten en vrijheden van anderen (in dit geval de werknemers van de verweerder). 37. De Geschillenkamer wijst er ook op dat het HvJ-EU een onderscheid maakt tussen de werknemer die in overeenstemming met de instructies en onder het gezag van zijn werkgever handelt , en de werknemer die buiten de instructies en het gezag van zijn werkgever handelt - de eersten genieten een grotere bescherming van hun identiteit dan de tweeden10. In dit geval heeft dit onderscheid echter geen enkele invloed. 38. De Geschillenkamer merkt op dat de klager in zijn conclusie niet het belang aantoont van het achterhalen van de identiteit van de medewerkers die zijn persoonsgegevens per ongeluk hebben verwerkt. Bovendien geeft de klager in zijn conclusie aan dat hij er belang bij heeft te weten voor welke doeleinden zijn persoonsgegevens zijn verwerkt, maar niet noodzakelijk wat de identiteit is van de werknemers die de verwerkingen hebben uitgevoerd. Tijdens de hoorzitting op 31 mei 2024 bevestigde de klager dat hij er geen belang bij heeft om toegang te krijgen tot de doeleinden waarvoor zijn gegevens werden verwerkt, of tot de identiteit van de werknemers die de verwerking uitvoerden. 39. Bijgevolg oordeelt de Geschillenkamer dat de rechten en vrijheden van de werknemers van de verweerder prevaleren boven het recht van de klager op toegang tot hun identiteit. 40. In elk geval wijst de Geschillenkamer erop, onder verwijzing naar de redenering van de verweerder, dat de werknemers van de verweerder niet kunnen worden beschouwd als ontvangers in de zin van artikel 15.1.
12. c)van de AVG 11. 41. Bijgevolg kan op grond van deze bepaling aan het eerste verzoek van de klager - betreffende de identiteit van de werknemers van de verweerder - niet worden voldaan. 8 HvJ-EU, arrest van 22 juni 2023, Pankki S, C-579/21, punt 83. 9 HvJ-EU, arrest van 22 juni 2023, Pankki S, C-579/21, punt 83. 10 Ibid., punt 73; zie ook beslissing 89/2023 van 28 juni 2023 van de Geschillenkamer, punt 22. 11 HvJ-EU, arrest van 22 juni 2023, Pankki S, C-579/21, punt 73. Beslissing ten gronde 107/2024 — 9/21 II.1.2. Wat betreft de procedures voor het uitoefenen van het recht van inzage (de artikelen 12.2, 12.3 en artikel 15 van de AVG) 42. Overeenkomstig artikel 12.1 van de AVG is het aan de verwerkingsverantwoordelijke om “passende maatregelen” te nemen "opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt […]”. 43. Bovendien is het aan de verwerkingsverantwoordelijke om de uitoefening van de rechten van de betrokkene te faciliteren (artikel 12.2 van de AVG) en hem onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 van de AVG informatie te verstrekken over het gevolg dat aan het verzoek is gegeven. Artikel 12.3 van de AVG bepaalt dat die termijn indien nodig met twee maanden kan worden verlengd, afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken. In een dergelijk geval stelt de verwerkingsverantwoordelijke de klager binnen één maand na ontvangst van het verzoek in kennis van die verlenging en van de redenen voor het uitstel. 44. Overweging 59 van de AVG bepaalt het volgende om de betrokkene in staat te stellen zijn rechten uit hoofde van de verordening uit te oefenen: "De verwerkingsverantwoordelijke dient ook middelen te verstrekken om verzoeken elektronisch in te dienen, vooral wanneer persoonsgegevens langs elektronische weg worden verwerkt.” In dit verband heeft de Geschillenkamer reeds eerder verklaard: "De betrokkene mag in elk geval op geen enkele wijze worden gestraft voor het feit dat hij het verzoek niet aan het juiste adres heeft gericht.”12 45. Bovendien legt het Europees Comité voor gegevensbescherming ("EDPB") in zijn Richtsnoeren 01/2022 over het recht van inzage13 uit dat deze mogelijkheid om de antwoordtermijn te verlengen een uitzondering vormt op de algemene regel en alleen uitzonderlijk in bepaalde omstandigheden mag worden gebruikt. Verder wijst de EDPB erop dat als een verwerkingsverantwoordelijke deze termijn vaak moet verlengen, dit een indicatie kan zijn van een tekortkoming in zijn procedure voor het behandelen van verzoeken om inzage. 46. Uit dit alles volgt dat de verweerder verplicht is om gevolg te geven aan de uitoefening van het recht van inzage van de klager op grond van artikel 15 van de AVG met inachtneming van de voorwaarden van artikel 12 van de AVG, aangezien deze twee artikelen intrinsiek met elkaar verbonden zijn. 12 13 Beslissing 41/2020 van 29 december 2020 van de Geschillenkamer, punt 83. EDPB, Guidelines 01/2022 on data subject rights – Right of access, van 28 maart 2023, punt 162, beschikbaar op: https://www.edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 en.pdf. Beslissing ten gronde 107/2024 — 10/21 47. Op basis van de stukken in het dossier stelt de Geschillenkamer twee zaken vast. Ten eerste merkt zij op dat de verweerder in zijn antwoord van 25 januari 2022 aan de klager heeft verklaard dat hij geen speciaal e-mailadres voor zijn DPO heeft. Bovendien verklaarde de verweerder in een antwoord van 13 maart 2022 aan de klager dat diens verzoek om inzage buiten zijn werkingssfeer viel. 48. De Geschillenkamer concludeert aldus dat de verweerder de uitoefening van de rechten van de betrokkene niet heeft gefaciliteerd overeenkomstig artikel 12.2 van de AVG, aangezien hij, hoewel er een elektronisch communicatiekanaal was, niet in staat was te antwoorden op het verzoek van de klager of hem door te verwijzen naar - bijvoorbeeld - zijn DPO, zoals hij had moeten doen om de volle werking te waarborgen van artikel 12.2 van de AVG en dus van artikel 15 van de AVG, uitgeoefend door de klager. Met andere woorden, de verweerder heeft de klager geen antwoorden of behandeling van zijn verzoek van voldoende kwaliteit gegeven. Aan deze vaststelling kan niet worden afgedaan door het feit dat het e-mailadres van de DPO ten tijde van de gebeurtenissen in het privacybeleid van de verweerder was opgenomen. 49. Ten aanzien van het communicatiekanaal dat is gebruikt tijdens de uitwisselingen tussen de klager en de verweerder in de periode tussen 25 januari 2022 en 13 maart 2022 wijst de Geschillenkamer er voorts op, louter ter informatie en zonder dat dit een standpunt van haarzelf inhoudt dat tot een sanctie kan leiden, dat de verweerder niet alleen moet waarborgen dat de antwoorden die via Facebook chat aan klagers worden gegeven van voldoende kwaliteit zijn, maar er ook voor moet zorgen dat dit communicatiekanaal voldoet aan de passende beveiligingsvereisten zoals omschreven in de artikelen 5.1.f), 24, 25 en 32 van de AVG. 50. Anderzijds, en zoals hierboven reeds vermeld (zie punt 29), merkt zij op dat de klager op 25 januari 2022 gebruik heeft gemaakt van zijn recht van inzage - een verzoek waaraan de verweerder op 28 maart 2023, dus in de loop van de onderhavige procedure, gevolg heeft gegeven. 51. De klager benadrukt in zijn conclusie dat aan zijn verzoek om inzage werd voldaan met meer dan 14 maanden vertraging. 52. De verweerder ontkent niet dat hij met vertraging heeft gereageerd op het verzoek om inzage van de klager, maar wijst erop dat hij geen sanctie opgelegd kan krijgen alleen op grond van het niet naleven van artikel 12.3 van de AVG. 53. In dit verband, en zonder voorbij te gaan aan de inhoud van de arresten 2019/AR/1006 van 9 oktober 2023 en 2019/AR/1234 van 23 oktober 2023 van het Marktenhof, wijst de Geschillenkamer er niettemin op dat de uitoefening van de rechten van betrokkenen pas echt doeltreffend kan zijn als de verwerkingsverantwoordelijke verplicht is om te reageren Beslissing ten gronde 107/2024 — 11/21 op de uitoefening van deze rechten binnen een redelijke termijn, die door de Europese wetgever is vastgesteld op één maand, uitzonderingen daargelaten. Het tegendeel beweren zou erop neerkomen dat de verwerkingsverantwoordelijke wordt toegestaan niet of te laat te reageren, zodat de uitoefening van het recht door de betrokkene totaal zinloos zou zijn. Artikel 12 van de AVG wordt, net als de rechten van de betrokkene die zijn vastgelegd in hoofdstuk III van de AVG, uitdrukkelijk gesanctioneerd door artikel 83.5.b), van de AVG14, zonder uitsluiting van artikel 12.3. Hierbij moet erop worden gewezen dat artikel 83.5.
13. b)van de AVG het hogere sanctieniveau vermeldt waarnaar wordt verwezen in artikel 83 van dezelfde verordening. 54. De Geschillenkamer merkt op dat de inbreuk op de artikelen 12.3 en 15 van de AVG ontegensprekelijk is, aangezien de verweerder niet ontkent dat hij met 14 maanden vertraging reageerde op het verzoek om inzage van de klager. Door ruim na de in artikel 12.3 van de AVG gestelde termijn te reageren op het verzoek om inzage van de klager, maakte de verweerder zich gedurende 14 maanden schuldig aan een voortdurende schending van het recht van inzage van de klager. 55. Concluderend oordeelt de Geschillenkamer dat de verweerder de artikelen 12.2, 12.3 en 15 van de AVG heeft geschonden, omdat de verweerder pas na een vertraging van meer dan 14 maanden aan het verzoek om inzage van de klager heeft voldaan, met name omdat hij de uitoefening van het recht van inzage van de klager niet faciliteerde. Bovendien benadrukt de Geschillenkamer dat dit antwoord aan de klager is gegeven in het kader van de uitwisseling van conclusies tussen de partijen in de onderhavige procedure, zonder welke de inbreuk op de rechten van de klager waarschijnlijk zou zijn voortgezet. De vaststelling met betrekking tot de artikelen 12.2 en 12.3 wordt echter niet in aanmerking genomen bij het bepalen van de sanctie, met dien verstande dat deze twee bepalingen niet waren opgenomen in de brief waarmee de Geschillenkamer de partijen heeft uitgenodigd te concluderen (zie punt 10). II.2. Wat betreft de andere grieven 56. De Geschillenkamer neemt kennis van de argumenten van de partijen over de andere grieven met betrekking tot de artikelen 5, 6 en 7.1 van de AVG. 57. Zoals de verweerder in zijn conclusie opmerkte, heeft de Geschillenkamer de werkingssfeer van de debatten echter beperkt tot artikel 15 van de AVG. Zij acht het dan ook niet opportuun om deze andere grieven te onderzoeken, aangezien de vaststelling van de juistheid van een van deze grieven niet kan dienen als grondslag voor het opleggen van een sanctie aan de verweerder. 14 Groep 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP 260, punten 30-32 en 48. Beslissing ten gronde 107/2024 — 12/21 III. Corrigerende maatregelen en sancties III.1. Waaier aan sancties 58. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die haar in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 59. Wat betreft de administratieve geldboete die kan worden opgelegd overeenkomstig de artikelen 83 van de AVG en de artikelen 100, 13°, en 101 van de WOG, bepaalt artikel 83 van de AVG: "1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn. 2. Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder
14. a)tot en met
15. h)en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende: Beslissing ten gronde 107/2024 — 13/21
16. a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
17. b)de opzettelijke of nalatige aard van de inbreuk;
18. c)de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
19. d)de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32;
20. e)eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
21. f)de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
22. g)de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
23. h)de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
24. i)de naleving van de in artikel 58, lid 2, genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
25. j)het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42; en
26. k)elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien ». III.2. Het opleggen van een administratieve geldboete 60. Artikel 58.2 van de AVG geeft toezichthoudende autoriteiten de bevoegdheid tot het nemen van een of meer corrigerende maatregelen tegen verwerkingsverantwoordelijken. In overeenstemming met artikel 58.2.
27. i)van de AVG kan een toezichthoudende autoriteit, afhankelijk van de omstandigheden van elk geval, een administratieve boete opleggen naast of in plaats van de hierboven genoemde corrigerende maatregelen. 61. In dit verband vereist artikel 83.1 van de AVG dat een door een autoriteit opgelegde boete in elk geval doeltreffend, evenredig en afschrikkend moet zijn. Artikel 83.2 van de AVG geeft een aantal criteria waarmee in elk concreet geval terdege rekening moet worden gehouden. Beslissing ten gronde 107/2024 — 14/21 Verder is de hoogste boete van toepassing in overeenstemming met artikel 83.5.
28. b)van de AVG. In het geval van een inbreuk op de rechten van de betrokkene (in dit geval het recht van inzage dat wordt gewaarborgd door artikel 15 van de AVG) kan de Geschillenkamer een administratieve boete opleggen tot 20.000.000 EUR of, in het geval van een onderneming, tot 4% van de totale wereldwijde jaaromzet van het bedrijf in het voorgaande boekjaar, indien dit cijfer hoger is. 62. Een sanctie die door de GBA wordt opgelegd in de vorm van een geldboete moet voldoende worden gemotiveerd. De omvang van de sanctie moet enerzijds rekening houden met de omstandigheden van het concrete geval en anderzijds evenredig zijn aan de vastgestelde inbreuk, en de hoedanigheid en financiële situatie van de overtreder. Er is echter geen wettelijke bepaling die de Geschillenkamer verplicht zich uit te spreken over alle criteria waarin artikel 83 van de genoemde AVG voorziet, of aan te geven welke cijfers zijn gebruikt om het bedrag van de opgelegde sanctie te bepalen 15. De motivering van de geldboete op basis van een gedetailleerde samenvatting van elk element waarmee rekening is gehouden bij het bepalen van de boete is dus facultatief, maar heeft in het onderhavige geval plaatsgevonden. 63. In dit geval wordt de administratieve geldboete gerechtvaardigd door het feit dat de verweerder, van wie de omzet voor het jaar 2023 is vastgesteld op (...EUR), artikel 15 van de AVG heeft geschonden gedurende een periode van 14 maanden. Deze inbreuk werd veroorzaakt door het onvermogen van twee werknemers van de verweerder om het verzoek om inzage van de klager naar behoren te behandelen, waardoor er sprake was van ernstige nalatigheid - ondanks het feit dat de verwerking van persoonsgegevens een de kernactiviteiten van de verweerder is. Bovendien houdt de Geschillenkamer rekening met het feit dat, hoewel de verweerder uiteindelijk een bevredigend antwoord heeft gegeven op het verzoek om inzage van de klager, dit heeft plaatsgevonden tijdens de uitwisseling van conclusies tussen de partijen. Deze elementen - die hieronder verder worden uitgewerkt rechtvaardigen het opleggen van een administratieve geldboete in plaats van een mildere sanctie zoals een waarschuwing of een berisping. 15 In die zin bepaalt het arrest van de Franse Raad van State, 10e - 9e verenigde kamers, 14/05/2024, 472221: "8. Uit de voorgaande bepalingen volgt dat wanneer de wettigheid van een administratief besluit is gebaseerd op de inaanmerkingneming van een aantal overwegingen, de naleving van de verplichting om het besluit te motiveren betekent dat de persoon die het besluit neemt alleen die overwegingen hoeft te vermelden waarop hij het besluit heeft gebaseerd. Bovendien is er geen bepaling die de beperkte formatie van de CNIL verplicht het bedrag van de sancties die zij oplegt toe te lichten. Hieruit volgt dat de beperkte formatie van de CNIL, die zich niet hoefde uit te spreken over alle criteria van artikel 83 van voornoemde AVG en evenmin de cijfers hoefde aan te geven op basis waarvan het bedrag van de opgelegde sanctie werd vastgesteld, maar zich in het bijzonder heeft gebaseerd op de criteria van artikel 83, lid 2, punten
29. a)en k), van de AVG en op het bedrijfsmodel van de verzoekende onderneming en het gewicht dat zij in haar economische sector vertegenwoordigt, haar beslissing niet onvoldoende heeft gemotiveerd.” en ”11. De beperkte formatie van de CNIL heeft met het opleggen van een boete van 3 miljoen euro de regels nageleefd van artikel 20 van de in punt 9 genoemde wet van 6 januari 1978. Bovendien blijkt uit geen enkele bepaling, zoals vermeld in punt 8, dat de formatie verplicht was het bedrag van de door haar opgelegde sancties toe te lichten. Bijgevolg heeft de beperkte formatie van de CNIL het legaliteitsbeginsel van strafbare feiten en straffen niet geschonden.” (vertaald door de Autoriteit) Beslissing ten gronde 107/2024 — 15/21 III.2.1. Berekening van het basisbedrag 64. De aard, de ernst en de duur van de inbreuk (artikel 83, lid 2, onder a), van de AVG) – Ten eerste merkt de Geschillenkamer op dat de verweerder het recht van inzage van de klager heeft geschonden. Behalve in artikel 15 van de AVG komt het recht van inzage ook voor in artikel 8.2 van het Handvest van de grondrechten van de Europese Unie, en het is daarom een van de essentiële elementen van het grondrecht op gegevensbescherming; met andere woorden, het is de "toegangspoort" die de controle van de betrokkene over hem betreffende gegevens versterkt en de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene toekent, zoals het recht van bezwaar en het recht op gegevenswissing. 65. De doeltreffendheid van het recht van inzage wordt gewaarborgd door de nadere regels die zijn vastgelegd in artikel 12 van de AVG, dat intrinsiek verbonden is met onder andere artikel 15 van de AVG. Bijgevolg heeft de verweerder, door pas 14 maanden na de datum waarop de klager zijn recht van inzage uitoefende, op bevredigende wijze te reageren op het verzoek om inzage van de klager, zich gedurende meer dan 14 maanden schuldig gemaakt aan een voortdurende inbreuk op artikel 15 van de AVG. 66. Ten tweede, wat betreft de ernst van de inbreuk, merkt de Geschillenkamer eerst en vooral op dat de verweerder een telecommunicatiebedrijf is en dat de verwerking van persoonsgegevens dus een van zijn basisactiviteiten is. Ook is, zoals in de paragrafen hierboven is uiteengezet, artikel 15 van de AVG gedurende 14 maanden voortdurend geschonden, terwijl dit artikel de toegangspoort is tot de uitoefening van andere rechten. 67. Ten derde, wat betreft de duur van de inbreuk, heeft deze meer dan 14 maanden plaatsgevonden. Artikel 12.3 van de AVG bepaalt dat de verwerkingsverantwoordelijke "onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek" antwoordt. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd." In dit verband preciseert de Geschillenkamer enerzijds dat de bovengenoemde verlenging van de termijn slechts bij uitzondering mag worden gebruikt - wat er anders op zou kunnen wijzen dat de verwerkingsverantwoordelijke zijn procedures voor het behandelen van verzoeken moet ontwikkelen - en anderzijds dat de verwerkingsverantwoordelijke binnen een termijn van minder dan een maand op een verzoek om inzage moet antwoorden als hij daartoe in staat is. 68. Opzettelijke of nalatige aard van de inbreuk (artikel 83, paragraaf 2, punt
30. b)van de AVG) - Er wordt onderscheid gemaakt tussen inbreuken die door nalatigheid zijn veroorzaakt en inbreuken die opzettelijk zijn veroorzaakt. De opzettelijke aard van een inbreuk impliceert dat aan twee voorwaarden wordt voldaan, namelijk kennis van de inbreuk en de wil om deze Beslissing ten gronde 107/2024 — 16/21 te plegen. Nalatigheid wordt daarentegen gekenmerkt door het ontbreken van opzet bij het plegen van de inbreuk, hoewel het zorgvuldigheidsbeginsel niet werd gerespecteerd. 69. De Geschillenkamer wijst erop dat er een hoge drempel is om een inbreuk als opzettelijk aan te merken. Verder kan nalatigheid ook in gradaties worden beoordeeld. 70. In dit geval was de niet-naleving van artikel 15 van de AVG niet opzettelijk. Gelet op de financiële en personele middelen van de verweerder en het feit dat de verwerking van persoonsgegevens een van de kernactiviteiten van de verweerder is, is de Geschillenkamer echter van oordeel dat de verweerder zich schuldig heeft gemaakt aan ernstige nalatigheid. Dit is temeer het geval omdat het onvermogen om te antwoorden op een verzoek om inzage van de klager duidelijk is gebleken bij twee werknemers van de verweerder.. 71. Categorieën van betrokken persoonsgegevens waarop de inbreuk betrekking heeft (artikel 83, paragraaf 2, punt g), van de AVG) - Uit de documenten in het dossier blijkt niet dat andere gegevens dan identificatiegegevens door de verwerkingsverantwoordelijke zijn verwerkt. 72. Classificatie van de ernst van de inbreuk en vaststelling van het passende startbedrag Aan de hand van de beoordeling van de bovengenoemde elementen - namelijk de aard, de ernst en de duur van de inbreuk, alsmede de opzettelijke of nalatige aard van de inbreuk en de categorieën van de betrokken persoonsgegevens - kan de ernst van de inbreuk in zijn geheel worden vastgesteld. Afhankelijk van deze beoordeling kan de ernst van de inbreuk worden gekwalificeerd als "laag", "gemiddeld" of "hoog". 73. In het onderhavige geval moet eerst worden opgemerkt dat de inbreuk op artikel 15 een van de in artikel 83.5 van de AVG opgesomde inbreuken is en daarom onder het hogere niveau van artikel 83 van de verordening valt. Ook moet worden opgemerkt dat de verwerkingen van persoonsgegevens die de klager ertoe hebben aangezet zijn recht van inzage uit te oefenen, een van de kernactiviteiten van verweerder is. Bovendien ontving de klager een antwoord meer dan 14 maanden na de uitoefening van zijn recht van inzage, tijdens de uitwisseling van conclusies in de onderhavige procedure. Uit de zaak blijkt echter niet dat andere gegevens dan identificatiegegevens door de verweerder werden verwerkt. Bovendien heeft de inbreuk alleen betrekking op de persoon van de klager. Daarbij is de door deze laatste geleden schade minimaal, aangezien hij reeds beschikte over een deel van de antwoorden die hij de verweerder vroeg en hij geen recht had op inzage van andere gevraagde informatie, namelijk de identiteit van de werknemers die zijn persoonsgegevens hadden verwerkt. In elk geval was de inbreuk van de verweerder het resultaat van een ernstige nalatigheid van zijn kant. Beslissing ten gronde 107/2024 — 17/21 74. In het licht van de hierboven vermelde elementen concludeert de Geschillenkamer dat de ernst van de vastgestelde inbreuk laag is. Bijgevolg zal voor de berekening van het hiernavolgende bedrag een startbedrag worden vastgesteld tussen 0% en 10% van het maximale wettelijke bedrag zoals bepaald in artikel 83.5 van de AVG. 75. Aangezien de omzet van de verweerder voor het jaar 2023 (...) EUR bedraagt, stelt de Geschillenkamer het bedrag van 100.000 EUR vast als basisberekeningsbedrag. III.2.2. Verzachtende en verzwarende omstandigheden 76. Maatregelen die zijn genomen om de door de klager geleden schade te beperken (artikel 83.2.
31. c)van de AVG) - Met betrekking tot de maatregelen die zijn genomen om de door de klager geleden schade te beperken, erkent de Geschillenkamer dat de verweerder de klager uiteindelijk een volledig en bevredigend antwoord heeft gegeven. Er kan echter niet worden genegeerd dat dit antwoord werd gegeven nadat de partijen was verzocht hun conclusies in te dienen. 77. Mate waarin de verweerder verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig artikel 25 en 32 (artikel 83.2.
32. d)van de AVG) - Bij de beoordeling van de mate van verantwoordelijkheid van de verweerder stelt de Geschillenkamer vast dat de verweerder volledig verantwoordelijk is voor het beheer van de verzoeken die hij van de betrokkenen ontvangt, met inbegrip van het recht van inzage. 78. Deze verantwoordelijkheid omvat verschillende aspecten, met name de doeltreffende uitvoering van verzoeken, de definitie van specifieke codes om passend te reageren op verzoeken op grond van de artikelen 15 tot en met 22 van de AVG, en het begrijpen en implementeren van duidelijke en effectieve procedures door alle personeelsleden, van directeurs tot intern personeel. 79. De Geschillenkamer merkt op dat de verweerder ten tijde van de feiten een contactpunt had met zijn functionaris voor gegevensbescherming. Toch heeft dit niet verhinderd dat het verzoek om inzage van de klager pas meer dan 14 maanden nadat het was ingediend een bruikbaar antwoord kreeg, met name omdat de verweerder het verzoek van de klager niet had doorgestuurd naar zijn DPO en tegenover de klager zelfs - ten onrechte - had verklaard dat hij geen DPO-contactpunt had. 80. Eerdere inbreuken door de verwerkingsverantwoordelijke (artikel 83.2.
33. e)van de AVG) De Geschillenkamer stelt geen eerdere inbreuk door de verweerder van artikel 15 van de AVG vast, noch enige andere schending die hier relevant zou zijn. Dit criterium wordt neutraal geacht, met dien verstande dat naleving van de AVG-normen de norm is. 81. Mate van samenwerking met de toezichthoudende autoriteit (artikel 83.2.
34. f)van de AVG) - De Geschillenkamer stelt vast dat de verweerder zich jegens haar volledig medewerkend Beslissing ten gronde 107/2024 — 18/21 heeft betoond. Dit criterium wordt als neutraal beschouwd, aangezien het een algemene plicht is die is vastgelegd in artikel 31 van de AVG. 82. Wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk (artikel 83.2.
35. h)van de AVG) - De Geschillenkamer heeft door een klacht kennis genomen van de inbreuk. Dit criterium wordt beschouwd als neutraal. 83. Elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor (artikel 83.2.
36. k)van de AVG) - Er is geen verzwarende of verzachtende omstandigheid in deze zaak. III.2.3. De doeltreffendheid, de evenredigheid en het afschikkende karakter van de boete 84. Een boete wordt als doeltreffend beschouwd als ze haar doelstellingen bereikt, zoals het opnieuw naleven van de regels en het bestraffen van onrechtmatig gedrag. In het onderhavige geval is de boete bedoeld om het nalatige en ernstige gedrag van de verweerder te bestraffen. Bovendien is het de bedoeling om soortgelijke inbreuken in de toekomst te ontmoedigen. De aanhoudende schending van de grondrechten van de klager, ondanks het verzoek om inzage van de klager en meerdere herinneringen, toont de noodzaak van een krachtige reactie van de Geschillenkamer aan. In dit geval kan de verweerder, met een omzet van meer dan (...) EUR, een boete van 100.000 EUR (minder dan 0,01% van haar ingehouden omzet) dragen zonder haar economische levensvatbaarheid in gevaar te brengen. De Geschillenkamer heeft gekozen voor een definitieve boete met een afschrikwekkende werking, om te voorkomen dat de verweerder de AVG-regels opnieuw zou overtreden. Zij is ook bedoeld om andere bedrijven ervan te weerhouden soortgelijke schendingen te begaan. III.2.4. Reactie van de verweerder op het sanctieformulier 85. In het begin wijst de verweerder op de omstandigheden van de zaak. Hij verklaart dat het om een eenmalige, geïsoleerde inbreuk gaat, en geen systematische inbreuk. Deze inbreuk zou niet het gevolg zijn van opzet of ernstige nalatigheid, maar van eenvoudige nalatigheid. Hij voegt eraan toe dat het aantal mensen dat door de inbreuk is getroffen beperkt is tot de klager, die uiterst beperkte schade heeft geleden - dit wordt met name gerechtvaardigd door het feit dat de inbreuk op de AVG alleen betrekking heeft op gewone identificatiegegevens. In dit verband wijst de verweerder erop dat, hoewel het recht van inzage de "toegangspoort" vormt tot de uitoefening van de andere door de AVG verleende rechten, de klager geen gebruik heeft gemaakt van die rechten nadat hij op 28 maart 2023 een antwoord op zijn verzoek om inzage had gekregen. De verweerder wijst er in elk geval op de door hem gepleegde inbreuk te hebben gecorrigeerd en aanvullende interne Beslissing ten gronde 107/2024 — 19/21 maatregelen te hebben genomen, waaronder opleidingen voor zijn klantendienst om de medewerkers die daar werken in staat te stellen verzoeken om inzage beter te herkennen, maar ook beter te verwerken. Ten slotte wijst de verweerder erop dat hij gemiddeld 150 verzoeken om inzage per jaar ontvangt en dat het bijgevolg kan gebeuren dat wegens menselijke fouten verzoeken worden beantwoord na de in artikel 12.3 van de AVG vastgestelde termijnen. 86. De verweerder betwist
37. i)de beslissing om een administratieve geldboete op te leggen en
38. ii)het bedrag ervan. (
39. i)Wat betreft de beslissing om een administratieve geldboete op te leggen 87. Enerzijds wijst de verweerder op de arresten van het Marktenhof waarin wordt geoordeeld dat enkel de overschrijding van de in de artikelen 12.3 en 12.4 van de AVG vastgelegde termijnen het opleggen van een sanctie niet kan rechtvaardigen. 88. Anderzijds klaagt de verweerder de wanverhouding aan tussen de beslissing om een administratieve geldboete op te leggen en de hierboven uiteengezette feiten. De verweerder stelt dat de Geschillenkamer over een breed scala aan sancties beschikt. Hij is van mening dat de Geschillenkamer niet heeft gemotiveerd waarom het opleggen van een administratieve geldboete in dit geval noodzakelijk zou zijn en waarom andere sancties, zoals een berisping of een waarschuwing, niet passend zouden zijn. (
40. ii)Het bedrag van de administratieve geldboete 89. Uiteindelijk is de verweerder van mening dat het bedrag van de geldboete totaal niet in verhouding staat tot de ernst van de betrokken feiten. III.2.5. Definitief bedrag van de geldboete 90. In het licht van de reactie van de verweerder beslist de raadkamer het bedrag van de geldboete zoals dat op 3 juli 2024 aan de verweerder is meegedeeld, namelijk 100.000 EUR, te handhaven. 91. De enige nieuwe elementen die de verweerder heeft aangevoerd, zijn het feit dat hij aanvullende interne maatregelen heeft genomen om te voorkomen dat een dergelijke inbreuk zich in de toekomst opnieuw zou voordoen, en de informatie over het aantal verzoeken om toegang dat hij gemiddeld per jaar ontvangt