Beslissing ten gronde nr. 108/2024

1/31 Geschillenkamer Beslissing ten gronde 108/2024 van 27 augustus 2024 Dossiernummer : DOS-2020-00072 Betreft : Verkrijging van ledenlijst in het kader van een overname door de overnemende voetbalclub en aanwending van de verkregen persoonsgegevens voor commerciële mailings De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager” De verweerder: Y, vertegenwoordigd door raadsman Nicolas Wesling en algemeen directeur de heer […], hierna “de verweerder” Beslissing ten gronde 108/2024 — 2/31 I. 1. Feiten en procedure Op 8 januari 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. Voordien had de klager het dossier reeds voor bemiddeling aan de Eerstelijnsdienst voorgelegd, maar de klager stelt dat deze bemiddelingsprocedure geen afdoende resultaat heeft opgeleverd. 2. Het voorwerp van de klacht betreft de ontvangst van een ongewenste commerciële mail verzonden op 2 oktober 2018 door de verweerder aan de klager. Naar aanleiding hiervan heeft de klager zich op 3 oktober 2018 gericht tot de verweerder met de vraag hoe zijn persoonsgegevens werden verkregen zonder zijn medeweten, aangezien hij deze nooit zelf aan de verweerder heeft gegeven. Bijgevolg verzocht hij de verweerder om inzage te verkrijgen in zijn persoonsgegevens, waarbij de klager uitdrukkelijk verzocht om mee te delen hoe de verweerder zijn persoonsgegevens heeft verkregen en op welke rechtsgrond deze worden verwerkt. Volgens de klager heeft de verweerder geen afdoende antwoord verstrekt op zijn verzoek tot inzage, maar heeft de verweerder enkel gemeld dat zijn persoonsgegevens werden gewist, hoewel de klager daar niet om heeft verzocht. Bovendien haalt de klager aan dat toch nog ongewenste mails aan hem werden verzonden niettegenstaande de melding van gegevenswissing door de verweerder. 3. De klacht kadert binnen een faillissement waarbij de curator in eerste instantie op 8 juni 2018 een overdracht van het ledenbestand van de gefailleerde voetbalclub bewerkstelligde aan W BV, waarna het bestand vervolgens op 13 juni 2018 werd overgedragen aan de verweerder. De persoonsgegevens van de abonnees van de gefailleerde club bevonden zich reeds vóór het faillissement in de database van Z, een besloten vennootschap naar Nederlands recht, aangezien de gefailleerde club had beslist om samen te werken met Z voor wat betreft de communicatie met de supporters. De verweerder besliste op zijn beurt om de samenwerking met Z verder te zetten. 4. Op 10 februari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 5. Op 5 maart 2020 beslist de Geschillenkamer op grond van artikel 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. 6. Op 6 maart 2020 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 7. Op 1 december 2020 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Beslissing ten gronde 108/2024 — 3/31 Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit, samengevat, dat: 1. De Inspectiedienst stelt vast dat de overdracht van persoonsgegevens door W BV aan de verweerder niet rechtstreeks en formeel is gedocumenteerd zoals vereist door artikel 5.2. AVG en artikel 26.1. AVG. 2. Z kan worden beschouwd als verwerker in de zin van artikel 4. 8) AVG. Een verwerkersovereenkomst ontbreekt evenwel waardoor artikel 28.3. AVG is geschonden. 3. De verweerder heeft artikel 6 AVG geschonden bij gebrek aan een geldige grondslag zowel voor de overdracht van de persoonsgegevens van de failliete club aan de verweerder, als voor de mailing aan de abonnees van de gefailleerde club. 4. De verweerder heeft het doelbindingsbeginsel (artikel 5.1 AVG) geschonden, aangezien de verstrekking van persoonsgegevens door de curator aan een andere verwerkingsverantwoordelijke, zijnde de verweerder, niet op basis van verenigbaarheid met het verzameldoeleinde kan plaatsvinden. Het standpunt van de Inspectiedienst is gebaseerd op een visie die eerder werd ingenomen door de Nederlandse toezichthouder (Autoriteit Persoonsgegevens). De Inspectiedienst koppelt hieraan ook een schending van artikel 5.2. AVG. 5. De informatie over doorgifte aan derden in de privacy policy is onduidelijk en niet in overeenstemming met artikel 12.1. AVG. Het verslag van de Inspectiedienst stelt dat de privacy policy verwijst naar zowel de Richtlijn 95/46/EG als naar de AVG. Dit doet volgens de Inspectiedienst vermoeden dat de privacy policy dateert van de periode tussen de publicatiedatum van de AVG op 4 mei 2016 en 25 mei 2018. Het verslag vermeldt dat een hypothese is dat het privacybeleid van de failliete vennootschap werd overgenomen, zij het met vervanging van de contactgegevens. 6. De verweerder schendt de informatieplicht via de diverse privacyverklaringen op […] die niet werden gecoördineerd. Derhalve is er sprake van een schending van de artikelen 12, 13 en 14 AVG. 7. Aangaande de websites wordt vastgesteld dat de drie cookie verklaringen – die zijn te onderscheiden van de privacyverklaringen – niet zijn opgesteld in overeenstemming met de informatieplicht van de artikelen 12, 13 en 14 AVG. De toestemmingsvereiste op de websites is niet correct ingebouwd zoals vereist door artikel 7.2. en 7.3. AVG. De onderscheiden websites respecteren niet de beginselen van gegevensbescherming door ontwerp en standaardinstellingen waardoor artikel 25 AVG is geschonden. Het beginsel van opslagbeperking (artikel 5.1

1. e)AVG) wordt niet gerespecteerd doordat de websites cookies te lang bewaart. Beslissing ten gronde 108/2024 — 4/31 8. De verklaringen inzake privacy en cookies op de websites zijn niet coherent en niet opgesteld in overeenstemming met de artikelen 5.1. a); 6; 7.3.; 12.1., 13 en 14 AVG. 9. Het recht van inzage (artikel 15 AVG) van de klager werd geschonden door de verweerder. 10. De wijze van opvragen van persoonsgegevens op de websites gebeurt niet in overeenstemming met het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) 11. De informatie opgenomen in het register van de verwerkingsactiviteiten beantwoordt niet aan de vereisten van artikel 30.1. AVG. 12. De medewerkingsplicht is geschonden (artikel 31 AVG). 8. Op 3 maart 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 15 april 2021, deze voor de conclusie van repliek van de klager op 6 mei 2021 en deze voor de conclusie van repliek van de verweerder op 27 mei 2021. Op 22 maart 2021 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 6 april 2021. Tevens aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak, meldt hij verweermiddelen te zullen indienen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 9. Op 15 april 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Vooreerst zet de verweerder feitelijk en op basis van toegevoegde stukken uiteen op welke wijze hij het ledenbestand van de gefailleerde club heeft verkregen, waarbij de specifieke omstandigheden worden onderstreept, namelijk de gegevensoverdracht ingevolge faillissement met de daaropvolgende doorstart, alsook het tijdskader, namelijk het samenvallen met het van toepassing worden van de AVG. In het bijzonder voor wat betreft de verzending van e-mails aan de klager stelt de verweerder dat werd voorzien in een knop “Afmelden” en dat de mogelijke schade voor de betrokkene was beperkt tot de ontvangst van één ongewenste mail. Voor de verzending van de e-mail beroept de verweerder zich op zijn gerechtvaardigd belang. De verweerder voert aan dat zowel de privacy- als de cookieverklaring werden aangepast aan de opmerkingen van de Inspectiedienst en dat elke e-mail een link bevat die leidt naar de privacyverklaring. Tot slot merkt de verweerder op dat noch Z, noch de curator enig voorbehoud hebben geformuleerd Beslissing ten gronde 108/2024 — 5/31 bij de overdracht van de gegevens of de verzending van commerciële berichten naar de in het ledenbestand opgenomen personen. 10. Op 3 mei 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager waarin hij benadrukt dat zijn verzoek aan de verweerder niet de verwijdering van zijn gegevens betrof, maar dat hij wel van de verweerder wenste te vernemen hoe zijn gegevens werden verkregen. Doordat de verweerder bleef weigeren daaromtrent verduidelijking te verstrekken, heeft deze volgens de klager de AVG heeft geschonden. De klager stelt dat de door de verweerder aangehaalde onzekerheid over de toepassing van de AVG in de eerste maanden na de inwerkingtreding 1 ervan geen argument is, aangezien daarover vooraf uitgebreid is gecommuniceerd. De klager reageert eveneens op de bewering van de verweerder dat de intentie van de klager erin zou bestaan om schade te berokkenen aan de verweerder, eerder dan om zijn belangen te beschermen. De klager verklaart dat hij voordien reeds het slachtoffer is geweest van identiteitsfraude waardoor hij bijzondere aandacht heeft voor de bescherming van zijn persoonsgegevens. 11. Op 27 mei 2021 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder die de onderscheiden elementen zoals aangevoerd in de conclusie van antwoord herneemt en actualiseert door stukken bij te voegen, teneinde aan te tonen dat inmiddels werk werd gemaakt van oplossingen van problemen die uit het verslag van de Inspectiedienst naar voor kwamen. 12. Op 22 januari 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 20 februari 2024. 13. Op 20 februari 2024 worden de partijen gehoord door de Geschillenkamer. 14. Op 22 februari 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 15. Op 22 februari 2024 ontvangt de Geschillenkamer vanwege de klager een opmerking met betrekking tot het proces-verbaal , dewelke zij beslist mee op te nemen in haar beraad. 16. Op 4 juli 2024 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 17. Op 13 augustus 2024 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. De verweerder bevestigt zonder meer zich neer te leggen bij de voorgestelde geldboete van 8.000 EUR. Hij voegt daaraan enkel toe dat het voorgestelde bedrag 1 De klager verwijst hiermee kennelijk naar de datum waarop de AVG van toepassing is geworden, namelijk 25 mei 2018 (artikel 99.2 AVG), niet de datum van inwerkingtreding, namelijk 24 mei 2016 (artikel 99.1 AVG) Beslissing ten gronde 108/2024 — 6/31 niettemin als disproportioneel hoog wordt ervaren, maar laat evenwel na hiervoor enige argumentatie aan te voeren. II. Motivering
2. a)Rechtsgrond • Doorgifte van het ledenbestand aan de curator en vervolgens overdracht aan de verweerder 18. Vooreerst gaat de Geschillenkamer na of de verweerder op rechtmatige wijze in het bezit is gekomen van de persoonsgegevens van de klager. Oorspronkelijk werden de persoonsgegevens van de klager in diens hoedanigheid van abonnee van V, door deze club rechtmatig verkregen binnen het kader van het lidmaatschap van de klager van die club. Deze verkrijging maakt als dusdanig niet het voorwerp uit van enige betwisting. V werd evenwel op 14 mei 2018 failliet verklaard. De activa, met inbegrip van alle data van abonnees, waaronder dus ook deze van de klager, zijn vanaf dat ogenblik in beheer bij de curator belast met vereffening van de failliete boedel alvorens op basis van de overeenkomst d.d. 8 juni 2018 aan W BV te worden overgedragen, onmiddellijk gevolgd door de overdracht op 13 juni 2018 aan de verweerder. Voorafgaand aan de eigenlijke overdracht aan de verweerder van de activa, met inbegrip van het ledenbestand, neemt de curator aldus de rol van verwerkingsverantwoordelijke over van de gefailleerde voetbalclub. Daarbij staat vast dat de curator dit bestand verwerkt voor een doeleinde dat is te onderscheiden van het initiële doeleinde. Daar waar het initiële doeleinde op het ogenblik van de verkrijging in hoofde van de gefailleerde erin bestond om het lidmaatschap van de klager vast te leggen met alle daarbij horende faciliteiten en communicatie omtrent activiteiten van de club, beschikt de curator vanaf het faillissement van rechtswege over dezelfde persoonsgegevens voor een volstrekt ander doeleinde, namelijk de tegeldemaking van de in de boedel vallende activa die in voorliggend geval ook persoonsgegevens bevatten. Vermits deze gegevensoverdracht een verwerking vormt in de zin van artikel 4. 2) AVG voor een nieuw doeleinde dat is te onderscheiden van het aanvankelijke doeleinde, namelijk het vastleggen van het lidmaatschap van de voetbalclub, gaat de Geschillenkamer na of dit nieuwe doeleinde waarvoor het ledenbestand wordt verwerkt binnen het kader van een faillissement al dan niet als verenigbaar kan worden beschouwd met het aanvankelijke doeleinde zoals ter kennis gebracht aan de klager op het ogenblik dat hij zich als supporter aansloot bij de club. 19. Overeenkomstig artikel 5.1.
3. b)AVG kan de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Rekening houdend met de criteria Beslissing ten gronde 108/2024 — 7/31 opgenomen in artikel 6.4. AVG en overweging 50 AVG 2 dient aldus te worden nagegaan of de verdere verwerking, in casu de overdracht van het ledenbestand – met daarin opgenomen de gegevens van de klager – aan de curator en vervolgens aan een overnemer van de in de boedel vallende activa (in dit geval de verweerder), al dan niet verenigbaar is met de initiële verwerking bestaande uit de registratie van het lidmaatschap van voetbalsupporters. De Geschillenkamer komt tot het besluit dat de klager zijn persoonsgegevens aan de failliet verklaarde club heeft toevertrouwd om zich aan te sluiten bij de club als abonnee en er zich geenszins redelijkerwijs aan kon verwachten dat diezelfde gegevens in het kader van een eventueel later faillissement zouden worden aangewend voor overdracht aan een curator zonder dat de klager zich hiertegen kan verzetten en zonder dat de klager hierover werd geïnformeerd, en dit ongeacht het doeleinde waarvoor de curator op zijn beurt de verkregen persoonsgegevens zal verwerken. De Geschillenkamer verduidelijkt hierbij dat zij bij de beoordeling van de redelijke verwachtingen van de klager in overweging neemt dat de curator het aldus verkregen ledenbestand binnen het kader van zijn wettelijke opdracht op zijn beurt kan te gelde maken voor enig ander van het oorspronkelijk doel te onderscheiden doeleinde en diens opdracht geenszins is beperkt tot het bewerkstelligen van een doorstart van de club. Aangezien de curator er niet toe is gehouden louter een doorstart mogelijk te maken, maar het daarentegen mogelijk is dat van zodra zich een faillissement voordoet de curator het ledenbestand te gelde kan maken voor enig ander nieuw doeleinde en dit tegen de wil in van de betrokkenen, kan de gegevensverwerking in hoofde van de curator in geval van faillissement niet zonder meer worden beschouwd als een verenigbare verdere verwerking. 20. De vaststelling dat er geen sprake is van een verenigbare verdere verwerking leidt ertoe dat een afzonderlijke rechtsgrond is vereist opdat de overdracht van het ledenbestand door de curator aan de verweerder als rechtmatig zou kunnen worden bestempeld. 21. Een verwerking van persoonsgegevens, waaronder dus ook een onverenigbare verdere verwerking zoals in voorliggend geval, is immers slechts rechtmatig indien daartoe een rechtsgrond bestaat. Voor onverenigbare verdere verwerkingen dient te worden teruggevallen op artikel 6.1. AVG en overweging 50 AVG. Overweging 50 AVG3 stelt dat een afzonderlijke rechtsgrond is vereist voor de verwerking van persoonsgegevens voor andere 2 Overweging 50 AVG: […] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. 3 Overweging 50 AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […] Beslissing ten gronde 108/2024 — 8/31 doeleinden die niet verenigbaar zijn met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. De afzonderlijke rechtsgronden op basis waarvan een verwerking, met inbegrip dus van onverenigbare verdere verwerkingen, als rechtmatig kan worden beschouwd, zijn vastgelegd in artikel 6.1. AVG. 22. De Geschillenkamer onderzoekt daartoe in hoeverre de rechtsgronden als bepaald in artikel 6.1. AVG kunnen worden ingeroepen door de verweerder teneinde de verdere verwerking van de persoonsgegevens die betrekking hebben op de klager te rechtvaardigen. Het verslag van de Inspectiedienst verwijst hiervoor naar een brief die door de Autoriteit Persoonsgegevens op 6 januari 2020 werd gericht aan de Nederlandse Vereniging voor Insolventierecht Advocaten (INSOLAD)4 en die stelt dat voor de overdracht van het ledenbestand door de curator aan derde partijen (zoals de verweerder) de voorafgaande, geïnformeerde toestemming is vereist van elk van de leden afzonderlijk. In het voorliggende dossier is hier echter geen sprake van. 23. Vermits er voor het overige geen elementen in het dossier aanwezig zijn die wijzen op een mogelijke andere rechtsgrond zoals opgenomen in artikel 6.1 AVG, gaat de Geschillenkamer na of de doorgifte van het ledenbestand door de curator aan de verweerder kan worden gebaseerd op artikel 6.1
4. f)AVG, bestaande uit het gerechtvaardigd belang van de curator om over te gaan tot die doorgifte. De Geschillenkamer is immers van oordeel dat met het oog op volledigheid van de analyse omtrent de rechtsgrond alle mogelijke rechtsgronden dienen te worden onderzocht. Dit is niet het geval in de voormelde brief die door de Autoriteit Persoonsgegevens werd gericht aan INSOLAD waarin alleen toestemming (artikel 6.1 a AVG) als rechtsgrond voor doorgifte door de curator wordt vooropgesteld zonder dat wordt nagegaan of gerechtvaardigd belang (artikel 6.1
5. f)AVG) als mogelijke rechtsgrond kan fungeren. Ook in het verslag van de Inspectiedienst ontbreekt het onderzoek naar de toepassing van artikel 6.1
6. f)AVG als mogelijke rechtsgrond voor de doorgifte van het ledenbestand door de curator aan de verweerder, waarbij wordt onderzocht of de curator als verwerkingsverantwoordelijke voor de doorgifte aan een derde zich al dan niet kan beroepen op het gerechtvaardigd belang. In het verslag van de Inspectiedienst wordt weliswaar aangehaald dat voor de litigieuze verwerking zelf (de overdracht van persoonsgegevens uit de failliete boedel aan de verweerder en/of via Z) geen expliciete uitleg werd gegeven door de verweerder die een beroep op artikel 6.1
7. f)AVG kan rechtvaardigen, hoewel de Inspectiedienst stelt dat zij in haar schrijven van 25 maart 2020 gericht aan de verweerder nochtans heeft verwezen naar 4 Vereniging voor Insolventierecht Advocaten (INSOLAD). Via INSOLAD beoogt de AP (Autoriteit Persoonsgegevens Nederland) zoveel mogelijkinsolventierechtadvocaten en faillissementscuratoren op het wettelijk kader te wijzen dat van toepassing is op de verwerking van persoonsgegevens in de boedel van een gefailleerde (rechts)persoon, en de verantwoordelijkheid voor de naleving van de AVG die in dat kader op de curator rust. De brief stelt het volgende: “Bij de verkoop van persoonsgegevens (e.g. in de vorm van een klantenbestand) (…) is sprake van een verstrekking aan een andere verwerkingsverantwoordelijke. (…) Een dergelijke verstrekking van persoonsgegevens dient te worden gebaseerd op de voorafgaande toestemming van de betrokkene(
8. n)conform artikel 7 AVG.” Beslissing ten gronde 108/2024 — 9/31 de juridische elementen die moeten worden aangetoond voor de toepassing van artikel 6.1
9. f)AVG. De Geschillenkamer stelt echter vast dat het desbetreffende schrijven enkel vermeldt dat de verweerder beroep doet op het “rechtmatig belang” om de rechtmatigheid van de verwerking(
10. en)aan te tonen en dat daartoe drie elementen (legitiem belang, noodzakelijkheid van de verwerking, belangenafweging) dienen te worden aangetoond. Er wordt in het betreffende schrijven van de Inspectiedienst alleen in algemene bewoordingen vermeld “verwerking(en)” zonder daarbij te preciseren dat van de verweerder wordt verwacht de rechtsgrond te rechtvaardigen voor “de doorgifte van het ledenbestand uit de failliete boedel”. Dit brengt de Inspectiedienst er vervolgens toe te stellen dat de rechtsgrond voor de initiële doorgifte niet is toegelicht noch aangetoond door de verweerder. Het verslag bevat verder geen duiding dienaangaande. Het inspectieverslag gaat enkel nader in op het gerechtvaardigd belang in hoofde van de verweerder als verwerkingsverantwoordelijke waarbij de Inspectiedienst zich beperkt tot de vraag of de verweerder de uit de failliete boedel verkregen gegevens kan gebruiken voor de verzending van mailings op basis van artikel 6.1
11. f)AVG. De Inspectiedienst neemt daarbij als vertrekpunt direct marketing als het door de verweerder nagestreefde doeleinde om te toetsen of artikel 6.1
12. f)AVG van toepassing kan zijn. De Geschillenkamer is echter van oordeel dat het cruciaal is om voorafgaand daaraan de vraag te stellen of de overdracht van het ledenbestand door de curator aan de verweerder op rechtmatige wijze heeft plaatsgevonden om pas daarna de vraag te stellen of de verweerder de verkregen gegevens kon hergebruiken voor verzending van mailings. 24. Overeenkomstig artikel 6.1
13. f)AVG en de rechtspraak van het Hof van Justitie van de Europese Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
14. n)aan wie de gegevens worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”5). 25. Teneinde zich conform artikel 6.1
15. f)AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: 1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 5 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 40. Beslissing ten gronde 108/2024 — 10/31 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en 3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 26. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel dat het afwikkelen van een faillissement moet worden beschouwd als uitgevoerd met oog op een gerechtvaardigd belang. Het laat de curator toe zijn in Boek XX van het Wetboek van Economisch recht (WER) verankerde opdracht te vervullen, namelijk overgaan tot de vereffening van de failliete boedel zoals bepaald in artikel XX.98 WER6. Deze wettelijke opdracht houdt in dat de curator ertoe is gehouden over te gaan tot verkoop van de activa die zich nog in de boedel bevinden, teneinde de schulden van de gefailleerde ten aanzien van diens schuldeisers te voldoen. Het staat daarbij voorop dat de curator tracht te verkopen aan de hoogst mogelijke prijs, hetwelk in zekere zin een commercieel belang impliceert. Dergelijk commercieel belang kan een gerechtvaardigd belang zijn overeenkomstig overweging 47 AVG . Dit wordt ook ondersteund in Advies 06/2014 van de 7 Groep Gegevensbescherming Artikel 298. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1,
16. f)AVG9. 27. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking voor de betrokkenen. 6 Art. XX.98 WER. De faillissementsprocedure strekt ertoe het vermogen van de schuldenaar onder bevoegdheid van een curator te plaatsen die belast is het vermogen van de gefailleerde te beheren en te vereffenen en de opbrengst ervan te verdelen onder de schuldeisers. 7 Overweging 47 vermeldt dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Direct marketing is aldus een voorbeeld van een commercieel belang dat als gerechtvaardigd belang wordt beschouwd.. Zie eveneens: het arrest van het Europees Hof van Justitie van 29 juli 2019 (case -40/17 Fashion ID) 8 Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG: “Het feit dat de voor de verwerking verantwoordelijke een dergelijk gerechtvaardigd belang heeft bij de verwerking van bepaalde gegevens, houdt niet in dat hij kan vertrouwen op artikel 7, onder f), als rechtsgrond voor de verwerking. De rechtvaardigheid van het belang van de voor de verwerking verantwoordelijke is slechts een beginpunt, een van de elementen die overeenkomstig artikel 7, onder f), moeten worden geanalyseerd. Of artikel 7, onder f), kan worden gebruikt, hangt af van de uitkomst van de afweging die daarop volgt. Ter illustratie: een voor de verwerking verantwoordelijke kan een gerechtvaardigd belang hebben om de voorkeuren van zijn klanten te weten te komen, zodat hij aanbiedingen beter kan personaliseren en, uiteindelijk, producten en diensten kan bieden die beter voldoen aan de behoeften en wensen van zijn klanten. Gelet hierop kan artikel 7, onder f), een geschikte rechtsgrond zijn voor sommige soorten marketingactiviteiten, zowel online als offline, mits er passende waarborgen bestaan (waaronder een bruikbaar mechanisme waarmee overeenkomstig artikel 14, onder
17. b)verzet kan worden ingesteld tegen een dergelijke verwerking, zoals zal worden aangetoond in afdeling III.3.6 Het recht op verzet en verder).”[eigen onderlijning] 9 Zie ook Beslissing ten gronde 46/2024 van 15 maart 2024. Beslissing ten gronde 108/2024 — 11/31 28. De Geschillenkamer neemt hierbij in overweging dat in voorliggend geval sprake is van een doorstart van de voetbalclub door de verweerder, zoals blijkt uit de feitelijke elementen aangehaald in de conclusie van de verweerder. Dit betekent noodzakelijkerwijs een verkoop van de voetbalclub in zijn geheel aan de verweerder met het oog op de voortzetting van de club. Om die doorstart te kunnen verwezenlijken, is het vereist en dus noodzakelijk dat het ledenbestand mee wordt overgedragen aan de overnemende club, in dit geval de verweerder. Zonder de contactgegevens van de abonnees, in voorliggend geval beperkt tot voornaam, familienaam en e-mailadres, kunnen de abonnees niet worden bereikt en zou de facto elke doorstart na een faillissement onmogelijk worden gemaakt. Dit leidt tot het besluit dat ook aan de tweede voorwaarde van artikel 6.1
18. f)AVG is voldaan. 29. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1,
19. f)AVG - de zogenaamde “afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”10. 30. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5A-ScaraA” van 11 december 201911, waarin het stelt: “Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”. 31. De Geschillenkamer gaat na of het belang van de verweerder in verhouding staat tot de impact die het heeft op de fundamentele rechten en vrijheden van de betrokkenen, waaronder de klager. Hieromtrent merkt de Geschillenkamer op dat het vaststaat dat de wettelijke opdracht van de curator erin bestaat de belangen te behartigen van de schuldeisers. De curator zal dus de hoogst mogelijke opbrengst wensen te realiseren door het gehele vermogen, waaronder het volledige ledenbestand, van de gefailleerde te verkopen aan de doorstarter. Het ledenbestand is immers te beschouwen als essentieel in hoofde van de doorstarter, vermits het beschikken over de contactgegevens van de abonnees het uitgangspunt vormt om een doorstart mogelijk te maken. 32. Daartegenover staat het belang van de abonnees om zelf te kunnen blijven beschikken over hun persoonsgegevens, zodanig dat deze niet worden overgedragen aan een overnemer – 10 Overweging 47 AVG. 11 HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58. Beslissing ten gronde 108/2024 — 12/31 in dit geval de verweerder – zonder daarvan in kennis te zijn gesteld en zonder zich daartegen te hebben kunnen verzetten. Daarbij mag evenwel niet uit het oog worden verloren dat het binnen het normale verwachtingspatroon van de klager valt dat in geval van faillissement, de curator overgaat tot de verkoop van de activa mét het daarbij horende ledenbestand in functie van de beoogde doorstart van de club. In casu heeft de curator immers zoals blijkt uit de overeenkomst d.d. 13 juni 2018, het ledenbestand integraal overgedragen aan de verweerder met het oog op de doorstart van de club. Deze doorstart vormt voor de Geschillenkamer een fundamenteel element bij de belangenafweging. Dergelijke doorstart is ook in het belang van de abonnees in die zin dat bij een bestendiging van het initiële doeleinde dat door de overnemende club aldus ongewijzigd wordt voortgezet en waardoor de impact op de gegevensbescherming van de abonnees als minimaal moet worden beschouwd, erop is gericht de abonnees ervan te verzekeren verder te kunnen genieten van de voordelen die aan het lidmaatschap zijn verbonden. 33. Hierbij dient ook in overweging te worden genomen dat het de gegevensverwerking met betrekking tot het lidmaatschap enkel de registratie van de voornaam, de achternaam en het e-mailadres betreft. De impact op de klager is dus uitermate gering en de verwerking van zijn persoonsgegevens is tot een minimum beperkt. 34. Het geheel van bovenstaande elementen brengt de Geschillenkamer tot het besluit dat ook aan de derde voorwaarde is voldaan en de doorgifte van het klantenbestand door de curator aan de verweerder kan worden gebaseerd op de rechtsgrond van artikel 6.1
20. f)AVG, waardoor deze onverenigbare verdere verwerking als rechtmatig in de zin van artikel 6 AVG moet worden beschouwd. In die zin is dan ook in de door de curator opgestelde overeenkomst d.d. 13 juni 2018 opgenomen dat de verweerder alle rechten en verplichtingen houdt met betrekking tot de voormalige voetbalclub die het voorwerp uitmaakte van het faillissement. Uit de feitelijke elementen van het dossier blijkt aldus dat voor wat betreft de verkrijging van de persoonsgegevens van de abonnees, waaronder deze van de klager, de verweerder de rechten en verplichtingen van de voormalige, failliet verklaarde voetbalclub heeft overgenomen, met inbegrip van deze omtrent het gegevensbestand betreffende de abonnees waardoor dient te worden vastgesteld dat de gegevens van de klager overeenkomstig artikel 6 AVG op rechtmatige wijze aan de verweerder werden overgedragen. 35. De vraag of de curator de verplichting is nagekomen op grond van artikel 12 AVG juncto artikel 14 AVG, teneinde een transparante gegevensverwerking te waarborgen waarbij aan de betrokkenen de vereiste informatie wordt verstrekt, inzonderheid omtrent zijn gerechtvaardigd belang (artikel 14.2
21. b)AVG) en hen wordt gewezen op hun recht van bezwaar (artikel 14.2
22. c)AVG) blijkt niet uit de stukken van het dossier. Aangezien dit punt niet het voorwerp uitmaakt van de klacht en er geen elementen werden aangebracht die Beslissing ten gronde 108/2024 — 13/31 erop wijzen dat de AVG op dit punt zou zijn geschonden, gaat de Geschillenkamer hierop niet nader in. • 36. Commerciële mailing door de verweerder De verweerder doet voor de marketing dienstverlening met betrekking tot de supportersdata beroep op Z12 die zoals ook bevestigd in het inspectieverslag optreedt als verwerker in de zin van artikel 4.8) AVG en reeds door de gefailleerde club werd ingeschakeld en waarmee de verweerder de samenwerking heeft verdergezet. De Geschillenkamer stipt aan dat de hoedanigheid van verwerker in hoofde van Z ongewijzigd is gebleven voor de volledige duur van aanstelling om in communicatie te voorzien met de supporters, abonnees van de club. Zodra de oorspronkelijke club werd failliet verklaard, nam de curator immers de rol van verwerkingsverantwoordelijke over (zie voorgaand) en werd vervolgens W BV de verwerkingsverantwoordelijke ingevolge de door de curator bewerkstelligde overdracht die plaatsvond op 8 juni 2018, waarna de verwerkingsverantwoordelijkheid definitief werd overgedragen aan de verweerder ingevolge de samenwerkingsovereenkomst die op 13 juni 2018 werd afgesloten. 37. Op basis van de stukken blijkt dat de verweerder de opdracht heeft gegeven aan de verwerker Z om, overeenkomstig het voorstel uitgewerkt door de verwerker op verzoek van de verweerder, een e-mail te verzenden aan de leden van de gefailleerde voetbalclub met een uitnodiging om een account aan te maken op het nieuwe online ticketplatform om abonnementen en tickets te kunnen aankopen, alsook met de nieuwsbrief van oktober 2018. De verweerder als verwerkingsverantwoordelijke beroept zich, blijkens de stukken, zowel in de rechtstreekse communicatie met de klager, alsook in het kader van de bemiddelingsprocedure door de Eerstelijnsdienst op zijn gerechtvaardigd belang om via de door de verwerker verstuurde mailing de abonnees opgenomen in het ledenbestand van de gefailleerde club te contacteren. 38. De Geschillenkamer wijst erop dat het gerechtvaardigd belang van de verweerder als rechtsgrond13 zou kunnen gelden om de identificatiegegevens van de klager zoals opgenomen in het ledenbestand te verwerken voor direct marketing doeleinden. 12 Een besloten vennootschap naar Nederlands recht 13 Artikel 6. 1.De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
23. a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; […]
24. f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. Beslissing ten gronde 108/2024 — 14/31 Overweging 47 AVG14 bepaalt immers uitdrukkelijk dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang (artikel 6.1
25. f)AVG). Dit betekent dus dat de verwerkingsverantwoordelijke niet voorafgaand aan de verwerking voor direct marketing de toestemming van de betrokkene (artikel 6.1
26. a)AVG) dient te vragen. 39. Om de aan de oud-abonnees gerichte mailing te kunnen baseren op de rechtsgrond “gerechtvaardigd belang” dient eveneens de hiervoor vermelde drieledige toets te worden doorstaan. 40. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel dat het door de verweerder nagestreefde doeleinde dat erin bestaat de oudabonnees eenmalig te contacteren via e-mail teneinde hen een abonnement aan te bieden bij de overnemende club in doorstart, als een gerechtvaardigd belang in de zin van overweging 47 AVG kan worden beschouwd. Bijgevolg is voldaan aan de eerste voorwaarde vervat in artikel 6.1,
27. f)AVG. 41. Aangaande de tweede voorwaarde (de zogenaamde “noodzakelijkheidstoets”) heeft de verweerder argumenten aangehaald die het aannemelijk maken dat aan de hand van de alternatieven die volgens de Inspectiedienst minder intrusief zouden zijn voor de betrokken oud-abonnees dan de mailing die werd verzonden, het beoogde doel niet zou zijn bereikt. Daar waar de Inspectiedienst verwijst naar een mediacampagne en flyers, wijst de verweerder erop dat het bereiken van al de geïnteresseerde supporters niet kan worden bewerkstelligd door een mediacampagne (waarbij de supporters die nog geen kennis zouden hebben van het aanbod zich vervolgens rechtstreeks zouden richten tot de verweerder, wat niet werkbaar zou zijn). Ook het verspreiden van flyers in het stadion is volgens de verweerder geen optie, aangezien de supporters noodzakelijkerwijs eerst op de hoogte dienen te zijn van een wedstrijd om er aanwezig te kunnen zijn en vervolgens een flyer in ontvangst te kunnen nemen. Hierbij wijst de verweerder ook op de context waarin een voetbalwedstrijd plaatsvindt, waarbij het overgrote deel van de supporters naar alle waarschijnlijkheid zonder flyer naar huis zal terugkeren en dus niet op de hoogte zal zijn van de inhoud ervan. 42. De Geschillenkamer is van oordeel dat zonder de betreffende mailing de specifieke doelgroep, waarbij alle oud-abonnees worden geviseerd, niet kan worden bereikt. De voorgestelde alternatieven zouden immers tot gevolg hebben dat een deel van de supporters niet zou worden bereikt bij verspreiding van flyers in het stadion of in geval van 14 Overweging 47 AVG: […] De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Beslissing ten gronde 108/2024 — 15/31 een mediacampagne ook gericht zou zijn op personen die helemaal niet tot de doelgroep behoren. De tweede voorwaarde dient dan ook als vervuld te worden beschouwd. 43. Bij de beoordeling van de derde voorwaarde, de zogenaamde “afwegingstoets”, staan de redelijke verwachtingen van de oud-abonnees voorop. Het staat vast dat de oud-abonnees als supporters van de voormalige voetbalclub onmiskenbaar op de hoogte waren van het faillissement waarin de club zich bevond, met de inherent daaraan verbonden mogelijkheid dat de club zou worden overgenomen. 44. De Geschillenkamer besluit dat de verweerder zich terecht beroept op de rechtsgrond vervat in artikel 6.1
28. f)AVG om de gegevens zoals opgenomen in het ledenbestand te verwerken voor direct marketing doeleinden.
29. b)Transparantiebeginsel en informatieplicht 45. Tegenover het recht van de verweerder om persoonsgegevens op grond van zijn gerechtvaardigd belang te verwerken voor direct marketing doeleinden, staat wel dat de verweerder gevolg dient te geven aan het bezwaar dat door de betrokkene te allen tijde kan worden gemaakt tegen de verwerking van hem betreffende persoonsgegevens, zonder dat de betrokkene daartoe enige motivering dient te geven (artikel 21.2 AVG en artikel 21.3 AVG)15. Hoewel de klager aangeeft niet zijn recht op bezwaar te hebben uitgeoefend, gaat de Geschillenkamer na in hoeverre de verweerder zijn informatieplicht op grond van artikel 12 juncto artikel 14 AVG is nagekomen. De informatieplicht in hoofde van de verwerkingsverantwoordelijke staat immers op zichzelf als verplichting ten aanzien van de betrokkenen waaruit voor hen het recht voortvloeit op een transparante gegevensverwerking (artikel 5.1
30. a)AVG). 46. Voor wat betreft de informatie over het recht van bezwaar (artikel 14.2
31. c)AVG): artikel 21.4 AVG16 bepaalt in het bijzonder en uitdrukkelijk dat deze mogelijkheid, afzonderlijk van de overige informatie, reeds in het eerste bericht aan de betrokkene, zijnde in dit geval de klager, moet worden opgenomen. Echter, het bericht dat het voorwerp uitmaakt van de klacht, maakt geenszins het recht van bezwaar duidelijk kenbaar aan de klager. Meer nog, het e-mailbericht bevat enkel helemaal onderaan de mogelijkheid tot het aanklikken van “Afmelden” zonder enige verdere duiding daarbij ten behoeve van de betrokkene. De betrokkene moet immers op een begrijpelijke wijze in staat worden gesteld zijn recht van bezwaar uit te oefenen tegen de verwerking van zijn gegevens voor het doeleinde van direct 15 Zie in dat verband ook overweging 70 AVG: Wanneer persoonsgegevens worden verwerkt ten behoeve van direct marketing dient de betrokkene, ongeacht of het een aanvankelijke dan wel een verdere verwerking betreft, het recht te hebben te allen tijde en kosteloos bezwaar te maken tegen deze verwerking, ook in het geval van profilering voor zover deze betrekking heeft op de direct marketing. Dat recht moet uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie, onder de aandacht van de betrokkene worden gebracht. 16 Artikel 21.4 AVG. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven. Beslissing ten gronde 108/2024 — 16/31 marketing. De vereiste tot het benadrukken van het recht van bezwaar waardoor de betrokkene op betekenisvolle wijze in de positie wordt gebracht om dit recht te kunnen laten gelden, ontbreekt volledig. Het eenvoudig aanbieden van een klik op “Afmelden” kan immers niet worden beschouwd als het uitdrukkelijk en duidelijk onder de aandacht brengen van het recht van bezwaar, waardoor de betrokkene met kennis van zaken kan inschatten welke gevolgen aan dit “Afmelden” worden gekoppeld. Overweging 70 AVG bepaalt nochtans dat dit recht uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie, onder de aandacht van de betrokkene moet worden gebracht 17. Bij gebrek aan een behoorlijke kennisgeving van dit recht van bezwaar aan de klager op het ogenblik dat hij voor het eerst werd gecontacteerd, heeft de verweerder gehandeld in strijd met artikel 21.4 AVG. 47. Voor wat betreft de overige informatie (artikel 14.1 en 14.2 AVG) die de verwerkingsverantwoordelijke dient te verstrekken vereist deze bepaling (artikel 14.3
32. b)AVG) eveneens dat dit gebeurt uiterlijk op het moment van het eerste contact met de betrokkene. Het eerste bericht aan de klager bevat als dusdanig evenmin enige informatie. Minstens had het eerste bericht een link dienen te bevatten naar het privacybeleid waarin op een toegankelijke wijze en op een beknopte en duidelijke manier deze informatie is opgenomen. Een dergelijke link was niet aanwezig in het e-mailbericht aan de klager en het verslag van de Inspectiedienst wijst er bovendien op dat de diverse privacyverklaringen op […] niet werden gecoördineerd. Doordat het eerste bericht aan de klager niet de minste verwijzing bevat naar de nodige informatie om een transparante gegevensverwerking te waarborgen, is er sprake van een inbreuk op de artikelen 5.1 a), 12.1 en 14 AVG.
33. c)Recht van inzage 48. De klager heeft bij herhaling de verweerder erop gewezen dat hij erom verzocht dat gevolg zou worden gegeven aan zijn verzoek hem de oorsprong van zijn gegevens en de rechtsgrond voor de verwerking ervan mee te delen zonder op enig moment te vragen dat zou worden overgegaan tot gegevenwissing. De reactie van de verweerder dat de persoonsgegevens van de klager werden verwijderd, kan dan ook niet worden beschouwd als een passend gevolg op het verzoek van de klager om in het bijzonder vanwege de verweerder te vernemen hoe deze zijn persoonsgegevens heeft verkregen met aanduiding van de rechtsgrond voor de gegevensverwerking in hoofde van de verweerder, en in het algemeen inzage te verkrijgen in zijn persoonsgegevens. 49. De Geschillenkamer stelt op basis van de stukken die de klacht staven vast dat de klager in zijn eerste verzoek d.d. 3 oktober 2018 expliciet stelde dat hij wenst te vernemen hoe de verweerder aan zijn gegevens is gekomen en op welke grond deze worden verwerkt, alsook dat hij inzage wenst te krijgen in zijn persoonsgegevens waarover de verweerder beschikt. 17 Zie voetnoot 2. Beslissing ten gronde 108/2024 — 17/31 50. Enige reactie vanwege de verweerder bleef evenwel uit. De klager ontving daarentegen op 7 november 2018 opnieuw een ongewenste reclamemail van de verweerder. Op 8 november 2018 ontving de klager evenwel het antwoord van de verweerder op zijn eerste verzoek met de melding dat de gegevens van de klager werden gewist. Diezelfde dag repliceert de klager hierop door de aandacht erop te vestigen dat zijn vraag ertoe strekt inzage (oorsprong, verwerkingsdoeleinden, rechtsgrond) te verkrijgen in zijn persoonsgegevens, en niet strekt tot wissing ervan. De verweerder op zijn beurt stelt dat niet aan datawerving werd gedaan, maar enkel vanuit de ticketing- en communicatiesystemen een mailing werd gestuurd naar alle abonnees van de gefailleerde voetbalclub die zich hiervoor hadden ingeschreven. Pas naar aanleiding van de tussenkomst van de Eerstelijnsdienst in het kader van de bemiddelingsprocedure die werd opgestart nadat de klager daartoe het initiatief nam, lichtte de verweerder op 11 december 2018 toe dat door de aankoop van de boedel met daarbij behorend alle softwaresystemen van de failliete club de persoonsgegevens van de oud-abonnees, waaronder ook deze van de klager, werden verkregen. Op basis van het aldus verkregen gegevensbestand werden de oud-abonnees door de verweerder aangeschreven teneinde desgewenst hun abonnement te verlengen, met daarbij de mogelijkheid om zich uit te schrijven. De verweerder geeft aan dat zijn gerechtvaardigd belang hiervoor de grondslag vormt. 51. Deze feitelijke elementen tonen aan dat de klager geen antwoord heeft verkregen op de onderscheiden elementen overeenkomstig artikel 15.1 AVG waarop het inzagerecht zoals door hem werd uitgeoefend, betrekking heeft en waarbij evenmin de wettelijke termijnen zoals bepaald in artikel 12.3 en 12.4 AVG werden gerespecteerd. Hierdoor heeft de verweerder gehandeld in strijd met artikel 12.3 en 12.4 AVG18, alsook artikel 15.1 AVG19. 18 Artikel 12 AVG. […] 3. De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt. 4. Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen. 19 Artikel 15 AVG 1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
34. a)de verwerkingsdoeleinden;
35. b)de betrokken categorieën van persoonsgegevens;
36. c)de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
37. d)indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; Beslissing ten gronde 108/2024 — 18/31
38. d)Overige vaststellingen 52. De verweerder maakt als algemene bemerking bij het verslag van de Inspectiedienst dat het verslag verwijst naar rechtspraak en adviezen die dateren van na het ogenblik waarop de verweerder het ledenbestand heeft ontvangen. Volgens de verweerder maakt dit deel uit van het voortschrijdend inzicht van de Gegevensbeschermingsautoriteit waarop de verweerder zich ten tijde van de overname van de failliete boedel niet kon baseren. 53. De Geschillenkamer neemt deze overweging mee in haar beslissing in die zin dat zij ertoe besluit de vastgestelde inbreuken te beperken tot de essentie van de klacht, namelijk tot het onderzoek van de rechtsgrond, de vereiste van transparante informatieverstrekking en communicatie, alsook de naleving van de rechten van de betrokkene. Dit betekent overigens niet dat de Geschillenkamer geen rekening zou mogen houden met latere uitspraak of uitleg van de wet. III. Corrigerende maatregelen en sancties 54. Voor wat betreft de vastgestelde inbreuk op de artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG, alsook op de artikelen 12.3 , 12.4 AVG en 15.1 AVG beslist de Geschillenkamer om over te gaan tot het opleggen van een administratieve geldboete ingevolge haar bevoegdheden op basis van artikel 83 AVG en artikel 100, §1, 13° WOG. 55. De EDPB heeft op 24 mei 2023 de Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG 20 (hierna: de Richtsnoeren) aangenomen op grond van artikel 70, lid 1,
39. e)AVG. De Richtsnoeren zijn met onmiddellijke ingang van toepassing, omdat deze niet voorzien in overgangsrecht voor procedures die al liepen op het moment van instemming met de Richtsnoeren. 56. De Richtsnoeren beschrijven een methodiek om de hoegrootheid van de boete te bepalen als volgt: Stap 1: welke en hoeveel handelingen en inbreuken liggen voor ter beoordeling;
40. e)dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
41. f)dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
42. g)wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
43. h)het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. […] 20 EDPB – Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (v2.1, 24 mei 2023), https://edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines nl 0.pdf. Beslissing ten gronde 108/2024 — 19/31 Stap 2: welk bedrag vormt het uitgangspunt bij de berekening van de boete voor de vastgestelde inbreuken (uitgangsbedrag); Stap 3: welke verzachtende of verzwarende omstandigheden doen zich desgevallend voor die nopen tot aanpassing van het bedrag uit stap 2; Stap 4: welke maximumbedragen gelden voor de overtredingen en of eventuele verhogingen uit de vorige stap dit bedrag niet te boven gaan; Stap 5: de beoordeling of het uiteindelijke bedrag van de berekende boete voldoet aan de vereisten van doeltreffendheid, afschrikking en evenredigheid, en zo nodig daaraan wordt aangepast. 57. De Geschillenkamer bepaalt de omvang van de administratieve boete aan de hand van deze methodiek. Op 4 juli 2024 heeft de Geschillenkamer de verweerder via het sanctieformulier geïnformeerd voornemens te zijn een administratieve geldboete van 8.000 EUR op te leggen. Op 13 augustus 2024 heeft de verweerder diens reactie op het sanctieformulier overgemaakt aan de Geschillenkamer. Deze zal hieronder verder besproken worden. Stap 1: Vaststellen van de handelingen en bepalen van de inbreuken 58. Om het startbedrag van de boete te bepalen, moet zoals in de Richtsnoeren is beschreven allereerst worden nagegaan of er sprake is van één of meerdere sanctioneerbare gedragingen. Het uitgangspunt daarbij is dat één en dezelfde gedraging kan worden gevormd door dezelfde of daarmee verband houdende verwerkingsactiviteiten. De term “daarmee verband houdend” verwijst naar het beginsel dat één enkele gedraging kan bestaan uit meerdere delen die uit één enkele wil worden verricht en die contextueel (met name met betrekking tot identiteit wat betreft betrokkene, doeleinde en aard), in ruimte en in tijd zo nauw met elkaar samenhangen dat zij, objectief gezien, als één coherente gedraging kunnen worden beschouwd. 59. De inbreuken in hoofde van de verweerder betreffen de niet-naleving van het transparantiebeginsel, de informatieplicht (artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG) en de miskenning van het inzagerecht (artikel 12.3 , 12.4 AVG en artikel 15.1 AVG). 60. In toepassing van de Richtsnoeren zet de Geschillenkamer hierna uiteen dat in casu sprake is van omstandigheden die één en dezelfde gedraging vormen, maar die gedraging niet slechts één, maar meerdere inbreuken oplevert, waarbij moet worden vastgesteld dat de toerekening van de ene inbreuk de toerekening van een andere inbreuk uitsluit. Immers, de gedraging die aanleiding heeft gegeven tot de klacht en waaruit de hiervoor vermelde inbreuken zijn voortgevloeid, bestaat in de verzending van de ongewenste e-mail aan de Beslissing ten gronde 108/2024 — 20/31 klager. Ingevolge het specialiteitsbeginsel 21 staat het vast dat het transparantiebeginsel (artikel 5.1
44. a)AVG) als basisbeginsel een overkoepelend concept vormt dat zich concretiseert in artikel 12 AVG in de vorm van een informatieplicht in hoofde van de verwerkingsverantwoordelijke, zijnde de verweerder. Bovendien wordt in de Richtsnoeren verwezen naar het consumptiebeginsel in gevallen waarin een inbreuk op een bepaling regelmatig leidt tot een inbreuk op een andere bepaling, omdat de ene inbreuk noodzakelijkerwijs voorafgaat aan de andere. Zo komt de Geschillenkamer tot het besluit dat het gebrek aan transparante informatie en communicatie (artikel 5.1
45. a)en artikel 12.1, artikel 14 en 21.4 AVG) door de verweerder ertoe heeft geleid dat aan de klager vervolgens het inzagerecht werd ontzegd, in weerwil van artikel 12.3 , 12.4 juncto artikel 15.1 AVG. 61. De Geschillenkamer oordeelt dat deze omstandigheden kunnen worden beschouwd als een en dezelfde gedraging die een of meerdere inbreuken oplevert waarvoor één administratieve boete wordt opgelegd. Stap 2: bepalen van het uitgangsbedrag 62. Zoals in de Richtsnoeren is beschreven, dient vervolgens het uitgangsbedrag van de boetehoogte te worden bepaald. Dit startbedrag vormt het uitgangspunt voor de verdere berekening in latere stappen, waarbij alle relevante feiten en omstandigheden in aanmerking worden genomen. In de Richtsnoeren is vermeld dat het uitgangsbedrag wordt bepaald aan de hand van drie elementen:
46. i)de categorisatie van de inbreuken volgens artikel 83, vierde tot en met zesde lid, van de AVG;
47. ii)de zwaarte van de inbreuk en iii) de omzet van de onderneming. Hierna wordt ingegaan op deze 3 elementen:
48. i)63. Zoals Categorisatie van de inbreuken volgens artikel 83, leden 4 tot en met 6 AVG vermeld in de Richtsnoeren, zijn vrijwel alle verplichtingen van de verwerkingsverantwoordelijke gecategoriseerd in de bepalingen van artikel 83, leden 4 tot en met 6 AVG. De AVG maakt onderscheid tussen twee soorten inbreuken. Enerzijds de inbreuken die sanctioneerbaar zijn op grond van artikel 83, lid 4 AVG en waarvoor een maximumboete geldt van 10.000.000 EUR (of in geval van een onderneming, 2% van de jaaromzet, indien dat hoger is), anderzijds de inbreuken die sanctioneerbaar zijn op grond van artikel 83, lid 5 en 6 AVG en waarvoor een maximumboete geldt van 20.000.000 EUR (of in geval van een onderneming, 4% van de jaaromzet, indien dat hoger is). Middels dit 21 Het specialiteitsbeginsel (specialia generalibus derogant) is een rechtsbeginsel dat inhoudt dat een meer specifieke bepaling (afgeleid van dezelfde rechtshandeling of verschillende rechtshandelingen met dezelfde rechtskracht) voorrang krijgt boven een meer algemene bepaling, hoewel beide bepalingen hetzelfde doel hebben. Zie in dat verband de zaak C-10/18 P, Marine Harvest/Commissie Beslissing ten gronde 108/2024 — 21/31 onderscheid heeft de wetgever voorzien in een eerste indicatie in abstracto van de ernst van de inbreuk: hoe ernstiger de inbreuk, hoe hoger de boete. 64. Aangezien de Geschillenkamer van oordeel is dat de verweerder een inbreuk heeft gepleegd op het transparantiebeginsel en de daarbij horende informatieplicht (artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG), waarbij ook het recht van inzage van de klager werd genegeerd (artikel 12.3 , 12.4 AVG en artikel 15.1 AVG), werden niet alleen de basisbeginselen inzake verwerking, maar ook de rechten van de betrokkene niet nageleefd, dewelke fundamenteel zijn en dientengevolge worden bestraft overeenkomstig artikel 83.5.
49. a)en
50. b)AVG met een administratieve geldboete tot 20.000.000 EUR of, voor een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.
51. ii)Zwaarte van de inbreuk 65. Met het oog op de bepaling van de zwaarte van de inbreuk moet op grond van de Richtsnoeren rekening worden gehouden met de aard, ernst en duur van de inbreuk, alsmede met de opzettelijke of nalatige aard van de inbreuk en de categorieën betrokken persoonsgegevens. 66. Aard van de inbreuk – De Richtsnoeren bepalen dat de toezichthoudende autoriteit kan nagaan welk belang de geschonden bepaling moet beschermen en welke plaats deze bepaling heeft in het kader voor gegevensbescherming. Transparantie is reeds geruime tijd een belangrijk beginsel van het EU-recht22. Transparantie moet ervoor zorgen dat burgers vertrouwen hebben in de processen die hen raken en helpt hen die processen te begrijpen waartoe zij behoorlijk dienen te worden geïnformeerd en, indien nodig, daartegen bezwaar te maken. Transparantie en de daaruit voortvloeiende verplichting tot informatieverstrekking in hoofde van de verwerkingsverantwoordelijke stelt de betrokkenen in staat hun rechten met betrekking tot hun persoonsgegevens uit te oefenen, in voorliggend geval het inzagerecht. Vandaar dat transparantie moet worden aangemerkt als een fundamenteel beginsel inzake gegevensbescherming en als overkoepelend begrip een geheel vormt met de informatievereisten en de communicatie met de betrokkenen over de uitoefening van zijn rechten. Inbreuken op deze kernbepalingen vormen derhalve ernstige inbreuken, die met de hoogste administratieve boetes waarin de AVG voorziet kunnen worden bestraft. 22 In artikel 1 van het Verdrag betreffende de Europese Unie (VEU) wordt bepaald dat besluiten “in zo groot mogelijke openheid en zo dicht mogelijk bij de burger worden genomen”; Artikel 11, lid 2, van het VEU luidt als volgt: “De instellingen voeren een open, transparante en regelmatige dialoog met representatieve organisaties en met het maatschappelijk middenveld”; en in artikel 15 van het Verdrag betreffende de werking van de Europese Unie (VWEU) wordt onder meer bepaald dat burgers van de Unie recht hebben op toegang tot documenten van de instellingen, organen en instanties van de Unie, met als doel dat deze instellingen, organen en instanties van de Unie zorgen voor transparantie in hun werkzaamheden. Beslissing ten gronde 108/2024 — 22/31 67. Ernst van de inbreuk — De beoordeling van de ernst van de inbreuk vereist dat de onderscheiden elementen zoals vermeld in artikel 83.2
52. a)AVG worden getoetst: 68. Voor wat betreft de aard van de verwerking merkt de Geschillenkamer op dat de verzending van de ongewenste mailing plaatsvond in het kader van de sportieve activiteit eigen aan een voetbalclub. Dienaangaande stelt de Geschillenkamer dat de verweerder de gegevensverwerking weliswaar verricht binnen een recreatief kader, maar dat dit niet wegneemt dat de verweerder zoals elke andere verwerkingsverantwoordelijke de nodige aandacht dient te besteden aan de naleving van de bepalingen van de AVG. De inbreuk is voor wat betreft de aard ervan dan ook als neutraal te beschouwen. 69. Omtrent de omvang van de verwerking wordt in de EDPB-richtsnoeren voor gegevensbeschermingseffectbeoordelingen23 aangeraden om naast het aantal betrokkenen ook het volume van gegevens, de duur of het permanente karakter van de gegevensverwerking, evenals de geografische omvang van de verwerking in aanmerking te nemen om te bepalen of persoonsgegevens op grote schaal verwerkt worden.24 70. Onderhavige zaak betreft de persoonsgegevens van één betrokkene, zijnde de klager, en op basis van de verklaring van de verweerder aan de klager is de betreffende mailing zijn verzonden aan 6.000 geadresseerden. Dit werd niet weerlegd door de verweerder die erkent dat de mailing aanleiding heeft gegeven tot massale inschrijving van de oudabonnees hetwelk ertoe heeft geleid dat 3000 personen zich een abonnement hebben aangeschaft. 71. Het volume van de persoonsgegevens is eerder klein, vermits het enkel de voornaam en familienaam en het e-mailadres van de betrokkenen betreft. 72. De Geschillenkamer stelt dat bij de beoordeling van de omvang van de gegevensverwerking in rekening moet worden gebracht dat de verwerking is beperkt tot een afgebakend geheel van persoonsgegevens dat enkel de ledenlijst van de oudabonnees betreft en dus geen ruimere toepassing kent, maar daarbij kan niet worden voorbijgegaan aan het feit dat desalniettemin enkele duizenden personen betrokken zijn. Dit is een belangrijk element voor de Geschillenkamer dat impact heeft op het boetebedrag. 73. Met betrekking tot het doel van de verwerking stelt de Geschillenkamer vast dat de verwerking louter de verderzetting van het lidmaatschap van de oud-abonnees tot doel had, en dus niet het toezicht houden op de klager, noch persoonlijke eigenschappen van de 23 Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking “waarschijnlijk een hoog risico inhoudt” in de zin van Verordening 2016/679, vastgesteld op 4 april 2017, zoals gewijzigd en vastgesteld op 4 oktober 2017, randnr. 5. 24 Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking ''waarschijnlijk een hoog risico inhoudt'' in de zin van de Verordening 2016/679 (WP248, rev01, 4 oktober 2017), p. 12. Beslissing ten gronde 108/2024 — 23/31 klager te beoordelen, noch maatregelen te nemen met negatieve gevolgen voor de betrokkene. De verwerking van persoonsgegevens vormt geen kernactiviteit in hoofde van de verweerder, maar het is wel een belangrijke nevenactiviteit waarbij het, zoals de verweerder zelf aangeeft, noodzakelijk is om de supporters te kunnen bereiken per e-mail. Bijgevolg stelt de Geschillenkamer dat meer gewicht moet worden toegekend aan de inbreuken op de AVG die uit deze noodzakelijke nevenactiviteiten voortvloeien. 74. Duur van de inbreuk – Wat de duur van de inbreuk betreft, neemt de Geschillenkamer er nota van dat de verweerder niettegenstaande het uitdrukkelijke verzoek van de klager op 3 oktober 2018 om inzage te verkrijgen in de hem betreffende persoonsgegevens daaraan pas concreet gevolg werd gegeven op 11 december 2018 naar aanleiding van de bemiddelingsprocedure bij de Eerstelijnsdienst waardoor de klager informatie kreeg omtrent de essentiële elementen in zijn inzageverzoek, namelijk omtrent de oorsprong van zijn gegevens en de rechtsgrond voor de gegevensverwerking. Voor wat betreft het gebrek aan transparantie met inbegrip van informatieverstrekking en communicatie aan de betrokkenen heeft de verweerder slechts na het verslag van de Inspectiedienst op 1 december 2020 maatregelen genomen om de privacyverklaring in overeenstemming te brengen met de AVG. 75. Nalatigheid of opzettelijke aard van de inbreuk (artikel 83.2.
53. b)AVG) — De Geschillenkamer herinnert eraan dat “opzet” doorgaans zowel kennis als moedwil met betrekking tot de kenmerken van een strafbaar feit omvat, terwijl “onopzettelijk” betekent dat er geen opzet was om de inbreuk te veroorzaken, hoewel de verwerkingsverantwoordelijke of de verwerker de in de wet voorgeschreven zorgplicht heeft geschonden25. Er zijn met andere woorden twee cumulatieve elementen vereist om een inbreuk als opzettelijk te beschouwen, i.e., de kennis van de schending en de opzettelijkheid met betrekking tot deze handeling. 26 76. Met betrekking tot de opzettelijkheidscomponent herinnert de Geschillenkamer er ook aan dat het Hof van Justitie een hoge drempel heeft vastgesteld om een handeling als opzettelijk te beschouwen.27 Zo heeft het Hof van Justitie in strafzaken geoordeeld dat er sprake is van “ernstige nalatigheid” veeleer dan “opzet” wanneer “de aansprakelijke persoon een gekwalificeerde schending begaat van zijn zorgvuldigheidsplicht die hij in acht had moeten en had kunnen nemen rekening gehouden met zijn hoedanigheid, zijn kennis, 25 Groep Gegevensbescherming Artikel 29 – Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679 (WP253, 3 oktober 2017), p. 12. 26 ie ook EDPB – Binding Decision 1/2023 on the dispute submitted by the IE SA on data transfers by Meta Platforms Ireland Ltd (Facebook), randnr. 103, raadpleegbaar op 05/edpb bindingdecision 202301 ie sa facebooktransfers en.pdf. 27 https://edpb.europa.eu/system/files/2023- Zie o.a. HvJEU, 5 december 2023, Deutsche Wohnen, C807/21, ECLI:EU:C:2023:950, paar 74 e.v. en de daarin aangehaalde rechtspraak. Beslissing ten gronde 108/2024 — 24/31 zijn vaardigheden en met zijn individuele situatie” 28. Ook al wordt van een onderneming waarvan de verwerking van persoonsgegevens de kern van de bedrijfsactiviteiten vormt, verwacht dat het voldoende maatregelen treft om persoonsgegevens te beschermen alsook dat het zijn plichten in dit opzicht grondig onderkent, een dergelijke gekwalificeerde schending toont niet noodzakelijk aan dat er sprake is van een opzettelijke overtreding. 29 77. Dit betekent met andere woorden dat een verwerkingsverantwoordelijke ook kan worden bestraft met een administratieve geldboete op grond van artikel 83 AVG wegens een binnen de werkingssfeer van de AVG vallende gedraging, wanneer deze verwerkingsverantwoordelijke niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG schond.30 De verweerder voert ter zake aan dat rekening moet worden gehouden met de context van de situatie en de specifieke omstandigheden, waarmee wordt verwezen naar de beginperiode van het van toepassing zijn van de AVG, alsook het feit dat de overdracht van het ledenbestand plaatsvond in het kader van een faillissement waarbij noch de curator, noch de verwerker enig voorbehoud hebben geformuleerd bij de overdracht van de gegevens of de verzending van commerciële berichten naar het klantenbestand. De verweerder werpt op dat bij de overname van de failliete boedel de AVG net in voege was getreden en erkent dat op dat ogenblik de naleving van de AVG niet als eerste punt op de agenda stond. Verder haalt de verweerder ook aan dat de beginperiode van de toepassing van de AVG – die nagenoeg samenviel met de overname van de failliete boedel – gepaard ging met onzekerheid en onduidelijkheid ingevolge de open omschrijvingen van de bepalingen in de AVG, hetwelk er mede toe geleid heeft dat geen van de betrokken partijen rekening heeft gehouden met de principes va de AVG bij de overdracht. De verweerder benadrukt daarbij dat de niet-naleving van de AVG geheel zijn toe te wijzen aan onwetendheid in zijnen hoofde, maar zeker niet aan slechte wil. Dit wordt volgens de verweerder ondersteund door het feit dat gevolg werd gegeven aan het verslag van de Inspectiedienst door aanpassingen aan te brengen aan o.m. de privacyverklaring die thans de vereiste informatie voorziet. 78. Volgens de Geschillenkamer zijn er geen elementen in het dossier aanwezig die duiden op de intentie in hoofde van de verweerder om met opzet een inbreuk te plegen op de artikelen 5.1 a), 12.1, 14 AVG en 21.4 AVG, alsook op de artikelen 12.3 , 12.4 AVG en 15.1 AVG, doch is er wel sprake van een ernstige nalatigheid. De Geschillenkamer merkt immers op dat de 28 HvJEU, 3 juni 2008, C-308/06, Intertanko e.a. (ECLI:EU:C:2008:312), randnr. 77 29 Zie ook EDPB – Binding Decision 2/2022 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding Meta Platforms Ireland Limited (Instagram) under Article 65