Beslissing ten gronde nr. 109/2024

1/24 Geschillenkamer Beslissing ten gronde 109/2024 van 29 augustus 2024 Dossiernummer : DOS-2022-03909 Betreft : Verwerking van persoonsgegevens in het kader van een schuldsaldoverzekering De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager”; en De verweerder: Y, vertegenwoordigd door mr. Heidi Waem en mr. Simon Verschaeve, beiden kantoorhoudende te 1000 Brussel, Wolstraat 70, hierna “de verweerster”. Beslissing ten gronde 109/2024 — 2/24 I. 1. Feiten en procedure Op 19 september 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. 2. De klacht heeft betrekking op de volgende feiten. In december 2021 bekomt de klager van de verweerster een kredietaanbod in het kader van de aankoop van een woning. Het kredietaanbod voorziet in een voorwaardelijke rentekorting waarvan één van de voorwaarden is om een kredietgebonden levensverzekering af te sluiten bij de verweerster ten belope van het kredietbedrag. Indien er geen schuldsaldoverzekering afgesloten wordt bij de verweerster vervalt de rentekorting. De klager stelt dat bij het aanvragen van de schuldsaldoverzekering via een makelaar in maart 2022 naar voren komt dat de ondertekening van een toestemming voor de verwerking van gezondheidsgegevens noodzakelijk is. Deze toestemming zou echter volgens de klager niet enkel gelden voor de medische acceptatie voor de schuldsaldoverzekering in kwestie, maar voor alle verwerkingen van gezondheidsgegevens, zoals schadeafhandeling, uitwerking van prijszetting, verfijnen van toetredings- en dekkingsvoorwaarden, en het opsporen en voorkomen van fraude. De klager voegt hieraan toe dat dit bovendien wordt gekoppeld aan een toestemming voor geautomatiseerde besluitvorming op basis van gezondheidsgegevens. Op 9 maart 2022 ontvangt de klager een antwoord van de verzekeringsmakelaar met betrekking tot de toestemming voor de verwerking van gezondheidsgegevens. Hierin wordt aangegeven dat het onmogelijk is voor de verweerster om met een meer specifieke toestemming te werken. De klager stelt dat nochtans enkel een schuldsaldoverzekering wordt aangevraagd. De klager stelt vast dat de website van de verweerster het invullen van de vragenlijst verhindert indien geen toestemming wordt verleend. Gezien het risico de rentekorting te missen, gaat de klager akkoord met het toestemmingsdocument en vult hij op de website de medische vragenlijst in. Vervolgens wordt een samenvattend document bekomen dat via de website ondertekend moet worden. Dit samenvattend document bevat volgens de klager echter niet dezelfde informatie als wat beschikbaar was in de invulschermen van de vragenlijst. Op 18 juli 2022 oefent de klager via e-mail zijn rechten uit waarbij hij zijn toestemming deels intrekt, verzoekt hij eveneens om een beperking van de verwerking in afwachting van een verduidelijking van de rechtsgrond, trekt hij zijn toestemming in voor geautomatiseerde besluitvorming, en verzoekt hij tot slot om een correctie van het ondertekend document en een afdoende integriteitsbescherming van het ondertekend document. De klager ontvangt een kopie van zijn persoonsgegevens van de verweerster op 12 augustus 2022. Op dezelfde datum ontvangt de klager van de verweerster het antwoord op de overige elementen van het verzoek. Beslissing ten gronde 109/2024 — 3/24 3. Op 21 oktober 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 17 november 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 3 maart 2023 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat: 1. er geen sprake is van een inbreuk in het algemeen op artikel 5 AVG, artikel 24.1 AVG en artikel 25.1 en 25.2 AVG; 2. er sprake is van een inbreuk op artikel 4, 11) AVG, artikel 7.1 en 7.3 AVG en artikel 9.2.

1. a)AVG voor het verwerken van gegevens over gezondheid; 3. er sprake is van een inbreuk op artikel 22.4 AVG, artikel 24.1 AVG en artikel 25.1 AVG vanwege het gebruik van geautomatiseerde individuele besluitvorming voor gegevens over gezondheid; en 4. er sprake is van een inbreuk op artikel 12.1 AVG, artikel 13.1 en 13.2 AVG, artikel 24.1 AVG en artikel 25.1 AVG voor wat betreft de algemene privacyverklaring t.a.v. klanten in de ruime zin. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat er geen sprake is van een inbreuk op artikel 38.1 AVG en artikel 39 AVG. 6. Op 22 maart 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op 22 maart 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 5 mei 2023, deze voor de conclusie van repliek van de klager op 26 mei 2023 en ten slotte deze voor de conclusie van repliek van de verweerster op 16 juni 2023. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de Beslissing ten gronde 109/2024 — 4/24 uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 5 mei 2023. 8. Op 23 maart 2023 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 9. Op 23 maart 2023 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 10. Op 3 mei 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. In hoofdorde voert de verweerster aan dat de procedure en de wijze waarop deze wordt gevoerd door de Geschillenkamer en de Inspectiedienst de beginselen van behoorlijk bestuur schendt. In ondergeschikte orde voert de verweerster aan dat zij de AVG gerespecteerd heeft bij het verwerken van gezondheidsgegevens op grond van uitdrukkelijke toestemming. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 11. Op 24 april 2023 ontvangt de Geschillenkamer de conclusie van repliek van de klager voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De klager verzoekt de Geschillenkamer om de klacht integraal te behandelen met inbegrip van de vermeende inbreuken betreffende de juistheid van gegevens, het recht op rectificatie en de integriteit van gegevens, hoewel deze vermeende inbreuken niet in het inspectieverslag opgenomen zijn. Als repliek op de middelen in hoofdorde van de verweerster werpt de klager op dat, ondanks de eventuele vermeende inbreuken op de beginselen van openbaar bestuur opgeworpen door de verweerster, de Geschillenkamer voor haar beoordeling van de zaak kan steunen op de klacht en alle elementen daarin aangebracht. Als repliek op de middelen in ondergeschikte orde van de verweerster betoogt de klager dat de voorwaarden inzake de uitdrukkelijke toestemming voor de verwerking van gezondheidsgegevens niet vervuld zijn. Verder voert de klager aan dat hij de inbreuk inzake de geautomatiseerde besluitvorming op basis van gezondheidsgegevens in de oorspronkelijke klacht en het Inspectieverslag voldoende bewezen acht. Daarnaast stelt de klager de onduidelijkheid van de grondslag van de verwerking van gezondheidsgegevens en de rol van toestemming aan de kaak. Tot slot stelt de klager ook vast dat er inbreuken zijn op de juistheid van de verwerkte persoonsgegevens en de integriteit en vertrouwelijkheid. 12. Op 13 juni 2023 ontvangt de Geschillenkamer de conclusie van repliek van de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht, waarin zij haar standpunten van haar conclusie van antwoord herneemt. Beslissing ten gronde 109/2024 — 5/24 13. Op 22 april 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 3 juni 2024. 14. Op 3 juni 2024 worden de partijen gehoord door de Geschillenkamer. 15. Op 12 juni 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 16. Op 5 juni 2024 werd aan de verweerster een bijkomende termijn toegekend om standpunt in te nemen aangaande de volgende punten uit de klacht:
2. a)Mogelijke inbreuk op artikel 5.1.
3. d)AVG en artikel 16 AVG vanwege het verwerken van onjuiste gegevens en het niet naleven van het recht op rectificatie van deze gegevens, aangezien de niet te vermelden aandoeningen niet terugkomen in het te ondertekenen document en de verweerster niet inging op het verzoek van de klager om dit te corrigeren.
4. b)Mogelijke inbreuk op artikel 5.1.
5. f)AVG en artikel 32 AVG vanwege het niet afdoende waarborgen van de integriteit van de verschafte gegevens door het gebruik van een digitale handtekening op basis van publieke sleutel cryptografie. 17. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster omtrent bovenstaande punten wordt vastgelegd op 28 juni 2024. 18. Op 14 juni 2024 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 19. Op 18 juni 2024 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 20. Op 28 juni 2024 ontvangt de Geschillenkamer vanwege de verweerster de conclusies omtrent de in randnummer 16 beschreven punten. De verweerster herneemt haar argumenten uit haar conclusie van dupliek en voegt hieraan toe dat zij de vereisten inzake juistheid naleeft en een afdoend gevolg heeft gegeven aan de uitoefening van het recht op rectificatie door de klager (artikel 5.1.
6. d)AVG en artikel 16 AVG) en dat zij de passende beveiligingsmaatregelen heeft getroffen bij de verwerking van persoonsgegevens in het kader van het sluiten van de schuldsaldoverzekering waardoor er geen sprake is van een inbreuk op artikel 5, lid 1,
7. f)AVG en artikel 32 AVG. II. Motivering II.1. 21. Beginselen van behoorlijk bestuur Vooreerst voert de verweerster aan dat de Inspectiedienst de beginselen van behoorlijk bestuur, met name het motiveringsbeginsel, het zorgvuldigheidsbeginsel, het Beslissing ten gronde 109/2024 — 6/24 redelijkheidsbeginsel, het proportionaliteitsbeginsel, het onpartijdigheidsbeginsel en haar rechten van verdediging heeft geschonden. 22. De verweerster voert aan dat het op grond van het motiveringsbeginsel noodzakelijk is dat de aantijgingen minstens een minimum aan motivering bevatten om de volledige toedracht van de aantijgingen te begrijpen opdat zij in de mogelijkheid zou worden gesteld om zich gedegen te kunnen verdedigen. 23. De wijze waarop het inspectieverslag tot stand is gekomen schendt volgens de verweerster het zorgvuldigheidsbeginsel doordat de Inspectiedienst haar onderzoeksbevoegdheden op onevenredige wijze heeft ingezet. Bovendien komt het de Inspectiedienst toe om het inspectieverslag met de nodige zorgvuldigheid op te stellen zodat het voor de verweerster duidelijk is welke inbreuken wel of niet worden weerhouden. 24. Daarnaast zou volgens de verweerster ook het redelijkheidsbeginsel en het proportionaliteitsbeginsel zijn geschonden omdat de weerhouden vaststellingen in het inspectieverslag niet in evenredig verband staan tot de relevante feiten en het voorwerp van de klacht. 25. Tot slot betoogt de verweerster dat ook het beginsel van onpartijdigheid zou zijn geschonden doordat de inspectiedienst geen onderzoek à décharge heeft gevoerd, maar daarentegen klaarblijkelijk en a priori uitgaat van de schuld van de verweerster. 26. Ook de Geschillenkamer heeft volgens de verweerster de beginselen van behoorlijk bestuur, waaronder het zorgvuldigheidsbeginsel, geschonden doordat zij beslist heeft dat dat inspectieverslag, dat strijdig zou zijn met de beginselen van behoorlijk bestuur, toelaat om de zaak te behandelen ten gronde en een procedure ten gronde rechtvaardigt. 27. Het geheel van alle voormelde elementen brengt de verweerster ertoe te stellen dat de rechten van verdediging zijn geschonden. 28. Dienaangaande wijst de Geschillenkamer erop dat de procedurele waarborgen onverkort moeten worden nageleefd en, indien er mogelijk al sprake zou zijn geweest van benadeling van de verweerster door de wijze waarop het inspectieverslag is tot stand gekomen, dit nadeel volledig is opgeheven in het vervolgtraject waardoor geen sprake kan zijn van enige schending van de beginselen van behoorlijk bestuur. De door de verweerster opgeworpen procedurele elementen hebben niet tot gevolg dat de rechten van verdediging zijn geschonden, aangezien de verweerster de kans heeft gekregen om haar argumentatie volledig naar voor te brengen door middel van de conclusie van antwoord en dupliek; daarenboven heeft de verweerster haar recht op tegenspraak ten volle kunnen uitoefenen tijdens de hoorzitting van de Geschillenkamer. De verweerster heeft aldus geen enkel nadeel ondervonden en de rechten van verdediging zijn aldus wel degelijk gerespecteerd. Beslissing ten gronde 109/2024 — 7/24 II.2. Rechtmatigheid van de verwerking II.2.1. Vaststelling van de Inspectiedienst 29. De Inspectiedienst stelt in zijn inspectieverslag vast dat de verweerster zich beroept op de uitdrukkelijke toestemming als rechtsgrond voor de verwerking van gezondheidsgegevens in het kader van het sluiten van een schuldsaldoverzekering. De Inspectiedienst komt echter tot de vaststelling dat niet voldaan is aan de rechtmatigheid van de litigieuze verwerkingen omdat er sprake is van een schending van artikel 4, 11) AVG, artikel 7.1 en 7.3 AVG en artikel 9.2.
8. a)AVG. 30. De toestemming die door de verweerster aan de klager wordt gevraagd via het formulier “toestemming verwerking gezondheidsgegevens” is volgens de Inspectiedienst niet vrij en specifiek, aangezien het formulier van toepassing is op verschillende verwerkingsdoeleinden, maar dat betrokkenen enkel toestemming kunnen geven voor al die verwerkingsdoeleinden in hun geheel. Bijgevolg stelt de Inspectiedienst vast dat de toestemming die wordt gevraagd via het voormelde formulier niet vrij en specifiek is waardoor de toestemming niet rechtsgeldig is. Tot slot concludeert de Inspectiedienst op basis van diens onderzoek dat het intrekken van de gegeven toestemming niet even gemakkelijk is als het geven ervan aangezien die intrekking vereist dat de betrokkene voorafgaand de privacyverklaring leest waarin aangegeven staat hoe de intrekking dient te verlopen. II.2.2. Standpunt van de klager 31. In zijn conclusie van repliek betoogt de klager dat de gegeven toestemming niet specifiek en niet vrij gegeven is. Voor wat betreft het gebrek aan een specifieke toestemming, voert de klager aan dat de verweerster verschillende doeleinden opsomt, zoals het uitwerken van een correcte prijszetting, efficiënt kostenbeheer en het verfijnen van toetredings- en dekkingsvoorwaarden. Zij stelt dat deze doeleinden onlosmakelijk verbonden zijn met elkaar. De klager betwist dit en stelt dat het om vaag geformuleerde doeleinden gaat die niet specifiek betrekking hebben op de verzekeringsovereenkomst in kwestie. Het betreft volgens de klager algemene activiteiten die een verzekeraar in zijn bedrijfsvoering kan uitvoeren, maar die niet noodzakelijk zijn om, mogelijk grootschalig, alle gezondheidsgegevens te gebruiken die in zijn bezit zijn. De klager stelt dat de verweerster zich eveneens kan baseren op andere elementen zoals een subset van persoonsgegevens (i.e. van betrokkenen die specifieke toestemming hebben gegeven), andere statistische gegevensbronnen (zoals openbare overlijdensstatistieken) of wetenschappelijk onderzoek. 32. De klager voegt hieraan toe dat zelfs indien al deze doeleinden onlosmakelijk verbonden zouden zijn, quod non, dan nog deze verbondenheid geen motivering kan opleveren voor het Beslissing ten gronde 109/2024 — 8/24 bundelen van toestemming voor alle verzekeringsovereenkomsten. De toestemming is bijgevolg niet specifiek. 33. De klager stelt de vraag waarom de verweerster, voorafgaand aan het invullen van de medische vragenlijst voor de schuldsaldoverzekering, geen korte toestemmingsvraag heeft gesteld specifiek voor de schuldsaldoverzekering in kwestie en met de nodige opsplitsingen voor de onderscheiden doeleinden. Deze methode biedt eveneens aan de verweerster de mogelijkheid om de betrokkene erop te wijzen dat reeds gekende gezondheidsgegevens ook kunnen gebruikt worden bij de risicobepaling. 34. Voor wat het vrij karakter van de toestemming betreft wijst de klager erop dat er een vaststaand nadeel verbonden is aan het weigeren van de toestemming, dat verder gaat dan louter geen verzekering kunnen bekomen. Eveneens stelt de klager aan de kaak dat, door het bundelen van toestemming voor verschillende doeleinden in één toestemming, deze toestemming niet vrij bekomen is. 35. Voor wat betreft de rechtsgrond van de verwerking van gezondheidsgegevens, binnen de context van de medische acceptatie voor de schuldsaldoverzekering verzoekt de klager de Geschillenkamer om een standpunt in te nemen betreffende de rechtsgrond, te weten of er een voldoende specifieke wettelijke basis is voor de verwerking of dat toestemming de toepasselijke rechtsgrond is. De klager stelt dat eventuele onvolkomenheden in de wetgeving met betrekking tot verwerking van gezondheidsgegevens binnen de context van de medische acceptatie voor de schuldsaldoverzekering, niet aan de verweerster verweten kunnen worden. Dit neemt volgens de klager echter niet weg dat de verweerster de rechtsgrond correct moet bepalen en indien zij zich alsnog beroept op de uitdrukkelijke toestemming als rechtsgrond, er op geldige wijze toestemming gevraagd moet worden. II.2.3. Standpunt van de verweerster 36. In haar conclusies voert de verweerster aan dat zij de AVG gerespecteerd heeft bij het verwerken van gezondheidsgegevens op grond van de uitdrukkelijke toestemming. Zij stelt dat de uitdrukkelijke toestemming vrij en specifiek is en dat het intrekken ervan even eenvoudig is als het geven ervan. 37. Voor wat betreft het specifiek karakter van de uitdrukkelijke toestemming voert de verweerster aan dat het toepasselijke wettelijke kader inzake (levens)verzekeringen tot gevolg heeft dat de door de verweerster in het toestemmingsformulier uiteengezette verwerkingsactiviteiten of ‘subdoelen’ die de Inspectiedienst als afzonderlijke doeleinden beschouwt, intrinsiek gelinkt zijn aan één algemener doeleinde, met name het correct naleven van de rol van verzekeraar bij het aanbieden en uitvoeren van verzekeringscontracten. Het opsplitsen van het doeleinde van de verwerking zou er ofwel Beslissing ten gronde 109/2024 — 9/24 toe leiden dat de verweerster de wettelijke principes niet langer kan toepassen of naleven, ofwel bij de betrokkene verkeerdelijk de indruk zou wekken dat deze daadwerkelijk een keuze heeft om granulair al dan niet in te stemmen per verwerkingsactiviteit of ‘subdoeleinde’, wat strijdig zou zijn met artikel 5.1.
9. a)AVG dat stelt dat “persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is”. Vermits de verwerking van gezondheidsgegevens van de klager voor slechts één algemeen doeleinde plaatsvond, is de uitdrukkelijke toestemming die de verweerster heeft bekomen wel degelijk specifiek, overeenkomstig de voorwaarden die de AVG aan het verwerken van persoonsgegevens op grond van toestemming stelt. 38. Voor wat betreft het vrij karakter van de uitdrukkelijke toestemming wijst de verweerster erop dat uit het wettelijk kader inzake verzekeringen volgt dat de geviseerde verwerking van gezondheidsgegevens niet ‘onnodig’ is voor het correct naleven van de rol van verzekeraar bij het aanbieden en uitvoeren van verzekeringscontracten, maar integendeel - als een essentieel onderdeel dient te worden beschouwd. Uit de vaststelling dat verweerster de toestemming als voorwaarde stelt om een schuldsaldoverzekering af te sluiten kan niet worden geconcludeerd dat er geen sprake is van een ‘vrije’ wilsuiting van de betrokkene en de toestemming daardoor per definitie ongeldig is. De verweerster wijst in deze context op het gebruik van uitdrukkelijke toestemming als uitzonderingsgrond onder artikel 9.2.
10. a)AVG voor de verwerking van bijzondere categorieën van persoonsgegevens die noodzakelijk zijn voor de uitvoering van de overeenkomst in de zin van artikel 6.1.
11. b)AVG. Dit vormt een specifiek vraagstuk, met name in België en met name voor verzekeringsondernemingen. De verweerster wijst op het feit dat toestemming als enige uitzonderingsgrond onder artikel 9.2 AVG van toepassing kan zijn bij gebrek aan nationaal wetgevend kader. Dit in tegenstelling tot andere EU-landen zoals Nederland, Spanje, Ierland (en het Verenigd Koninkrijk) waar wel een wettelijk kader is gecreëerd voor de verwerking van gevoelige persoonsgegevens door verzekeraars. In dit kader verwijst de verweerster naar wetgevende initiatieven uit de verzekeringssector met de bedoeling een dergelijk wetgevend kader te bekomen, tot op heden zonder succes. II.2.4. Beoordeling door de Geschillenkamer 39. De vraag stelt zich of de verweerster zich rechtsgeldig op de uitdrukkelijke toestemming kan beroepen voor de verwerking van persoonsgegevens in het kader van het afsluiten van een schuldsaldoverzekering. 40. Artikel 5.1.
12. a)AVG vereist dat persoonsgegevens “worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (“rechtmatigheid, behoorlijkheid en transparantie”).” Het principe van rechtmatigheid is een van de Beslissing ten gronde 109/2024 — 10/24 belangrijkste beginselen van de AVG en dient als een voorwaarde voor de toepassing van de overige beginselen van de AVG met betrekking tot de verwerking van persoonsgegevens. 41. Het is aan de verwerkingsverantwoordelijke om te bepalen welke rechtmatigheidsgrond passend is ten aanzien van het doel van de verwerking. 1 Aangezien uit de ene of de andere rechtmatigheidsgrondslag verschillende gevolgen voortvloeien, met name wat de rechten van de betrokkenen betreft, is het niet toegestaan dat de verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, op de ene of de andere rechtsgrond beroept. Indien er eenmaal gekozen is voor een bepaalde rechtsgrond kan niet in een latere fase alsnog voor een andere rechtsgrond worden gekozen. Evenmin kan, wanneer de gekozen rechtsgrond ophoudt te gelden, teruggevallen worden op een andere rechtsgrond voor dezelfde verwerkingsactiviteit, voor dezelfde doeleinden. 2 42. Op grond van artikel 9.1 AVG is de verwerking van gezondheidsgegevens in principe verboden. In het geval dat er een verwerking van categorieën van bijzondere persoonsgegevens overeenkomstig artikel 9.1 AVG plaatsvindt, dient de verwerkingsverantwoordelijke een rechtsgrond overeenkomstig artikel 6 AVG én een uitzonderingsgrond uit artikel 9.2 AVG aan te duiden om te kunnen spreken van een rechtmatige verwerking. Deze cumul van rechtsgronden uit artikel 6 én 9.2 AVG vloeit voort uit onder meer het arrest Meta (C-252/21) van het Hof van Justitie 3 waarin uitdrukkelijk wordt geoordeeld door het Hof dat het verwerken van gevoelige persoonsgegevens slechts is toegelaten indien een dergelijke verwerking als rechtmatig kan worden aangemerkt onder artikel 6.1 AVG. Ook het advies 2/2019 van de European Data Protection Board (hierna “EDPB”)4 en het advies 06/2014 van de Groep Gegevensbescherming Artikel 29 5 verwijzen consequent naar de toepassing van zowel artikel 6 AVG als artikel 9 AVG in het geval van een verwerking van een categorie van bijzondere persoonsgegevens. Overweging 51 AVG geeft ten slotte duidelijk aan dat artikel 6 AVG steeds toegepast dient te worden. 43. In de nationale wetgeving kan ook geen toepasselijke rechtsgrond gevonden worden. Noch de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens 6, noch de wet van 4 april 2014 op de verzekeringen7, noch een nationale wet bevat een verwerkingsgronden op basis waarvan de gezondheidsgegevens in het kader van het aangaan van verzekeringsovereenkomsten 1 Zie ook beslissing 77/2023, §74, van de Geschillenkamer. 2 Zie bijvoorbeeld beslissingen 38/2021, 54/2023 en 77/2023 van de Geschillenkamer. 3 HvJEU Arrest van 4 juli 2023, Meta, C-252/21, ECLI:EU:C:2023:537, para. 90. 4 Advies 2/2019 (EDPB) over de vragen en antwoorden over de wisselwerking tussen de verordening betreffende klinische proeven (VKP) en de algemene verordening gegevensbescherming (AVG) (artikel 70, lid 1, onder b)) van 23 januari 2019. 5 Advies 06/2014 (WP 29) over het begrip “gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke” in artikel 7 van Richtlijn 95/46/EG. 6 BS 5 september 2018. 7 BS 30 april 2014. Beslissing ten gronde 109/2024 — 11/24 verwerkt kunnen worden. Bijgevolg dient de verweerster een rechtsgrond te vinden in de AVG. 44. De Richtsnoeren 05/20208 van de EDPB stellen dat artikel 9.2 AVG de noodzaak van de tenuitvoerlegging van de overeenkomst niet als een uitzondering voorziet op het algemene verwerkingsverbod van artikel 9.1 AVG. In dit verband moet de verwerkingsverantwoordelijke uitzoeken of een van de bijzondere uitzonderingen van artikel 9.2, onder
13. b)tot en met j), op een dergelijke situatie van toepassing zou kunnen zijn. Als geen van de uitzonderingen in de subparagrafen b - j van toepassing is, is het verkrijgen van uitdrukkelijke toestemming in overeenstemming met de voorwaarden voor geldige toestemming die zijn vastgelegd in de AVG de enige mogelijke wettelijke uitzondering op basis waarvan de verwerkingsverantwoordelijke persoonsgegevens zou kunnen verwerken die behoren tot bijzondere categorieën van persoonsgegevens. 45. Zoals hierboven reeds vermeld en zoals aangegeven door de verweerster in haar conclusies, voorziet de Belgischer nationale wetgeving geen specifieke rechtsgronden voor de verwerking van gezondheidsgegevens in het kader van verzekeringsovereenkomsten. Ook de uitzonderingen zoals voorzien in artikel 9.2 b)-
14. j)AVG kunnen niet van toepassing zijn op de litigieuze verwerking. 46. Bijgevolg duidt de verweerster artikel 9.2.
15. a)AVG, namelijk de uitdrukkelijke toestemming, aan als basis voor de verwerkingen van gezondheidsgegevens. 47. Overeenkomstig artikel 9.2.
16. a)AVG is het verbod op de verwerking van bijzondere categorieën van persoonsgegevens niet van toepassing indien de betrokkene uitdrukkelijk toestemming heeft gegeven voor de verwerking van deze persoonsgegevens in kwestie voor een of meer specifieke doeleinden. Overeenkomstig artikel 4.11) AVG wordt onder "toestemming" van de betrokkene verstaan elke vrijwillige, geïndividualiseerde, op informatie berustende en ondubbelzinnige wilsuiting waarmee de betrokkene de verwerking van zijn persoonsgegevens aanvaardt door het afleggen van een verklaring waarin hij zijn toestemming tot uitdrukking brengt of door het ondernemen van een actie waarmee hij duidelijk zijn toestemming tot uitdrukking brengt. 48. Het element “vrij” impliceert werkelijke keuze en controle voor de betrokkene. Als algemene regel schrijft de AVG voor dat als een betrokkene geen werkelijke keuze heeft, zich gedwongen voelt om toestemming te geven of het voor hem negatieve gevolgen zal hebben als hij niet toestemt, de toestemming niet geldig is.9 8 EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, v.1.1 te raadplegen via https://www.edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf. 9 EDPB, Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, v.1.1, p.8, te raadplegen via https://www.edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf. Beslissing ten gronde 109/2024 — 12/24 49. Zoals blijkt uit de klacht voorziet het kredietaanbod in kwestie in een voorwaardelijke rentekorting waarvan een van de voorwaarden is om een kredietgebonden levensverzekering , de voormelde schuldsaldoverzekering, te sluiten bij de verweerster ten belope van het kredietbedrag. Indien er geen schuldsaldoverzekering gesloten wordt bij de verweerster vervalt de rentekorting. Daarnaast verwijst de Geschillenkamer eveneens naar maatschappelijke wenselijkheid van de schuldsaldoverzekering, namelijk de voordelen voor partners of erfgenamen die worden beschermd door het aangaan van een schuldsaldoverzekering. 50. Gelet op de negatieve gevolgen die verbonden zijn aan het niet afsluiten van de schuldsaldoverzekering in kwestie, is de Geschillenkamer van oordeel dat de toestemming niet vrij gegeven is. Aangezien niet voldaan is aan de voorwaarde van de vrije toestemming, dienen de andere voorwaarden niet getoetst te worden, gelet op hun cumulatief karakter, om de rechtmatigheid van de toestemming in kwestie te beoordelen. Bijgevolg is er sprake van een inbreuk op artikel 4, 11) AVG en artikel 9.2 AVG. 51. De Geschillenkamer wijst er echter op dat deze inbreuk niet verwijtbaar is aan de verweerster. De Geschillenkamer wenst de aandacht te vestigen op de bredere problematiek die samenhangt met de klacht, namelijk de verzameling van gezondheidsgegevens door verzekeraars bij de potentiële verzekeringnemers via hun uitdrukkelijke toestemming (art. 9.2.
17. a)AVG) in het kader van het afsluiten en uitvoeren van een verzekering, in casu een schuldsaldoverzekering, en de daarmee gepaard gaande vraag in welke mate de toestemming van die verzekeringnemers vrij kan zijn. De vraag rijst of er, anders dan de uitdrukkelijke toestemming, andere mogelijke verwerkingsgronden zijn op basis waarvan de gezondheidsgegevens door verweerder in de uitvoering van de verzekeringsovereenkomst verwerkt kunnen worden. 52. In de voormelde wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot verwerking van persoonsgegevens, waarin uitvoering is gegeven aan de AVG, zijn geen specifieke bepalingen opgenomen waarin de verwerking van gevoelige persoonsgegevens in het kader van verzekeringen nader wordt geregeld. En evenmin in andere nationale wetgeving. De verweerster merkt op dat een nationaal wetgevend kader in deze ontbreekt, ondanks verschillende pogingen hiertoe, o.a. op initiatief van de verzekeringssector zelf. De Geschillenkamer kan dit standpunt enkel bijtreden en opmerken dat de wetgever in dat verband zou moeten tussenkomen om specifiek voor de verzekeringssector een wettelijke basis te voorzien die toelaat om binnen welomschreven grenzen gezondheidsgegevens in te zamelen in het kader van de (pre-)contractuele verhouding tussen verzekeraar en verzekeringnemer. 10 De Geschillenkamer verwijst ter 10 Zie ook Beslissing 24/2020 van 14 mei 2020, para 74 en 75. Beslissing ten gronde 109/2024 — 13/24 illustratie naar artikel 30.3.b. van de Nederlandse Uitvoeringswet Algemene verordening gegevensbescherming11 waarin een dergelijke wettelijke basis voorzien werd: 53. Artikel 30.3 Uitvoeringswet Algemene verordening gegevensbescherming: “Gelet op artikel 9, tweede lid, onderdeel h, van de verordening, is het verbod om gegevens over gezondheid te verwerken niet van toepassing indien de verwerking geschiedt door: a. […] b. verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht of financiële dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1:1 van die wet, voor zover de verwerking noodzakelijk is voor: 1°. de beoordeling van het door de verzekeraar te verzekeren risico en de betrokkene geen bezwaar heeft gemaakt; of 2°. de uitvoering van de overeenkomst van verzekering dan wel het assisteren bij het beheer en de uitvoering van de verzekering. 54. Artikel 30.4 Nederlandse Uitvoeringswet Algemene verordening gegevensbescherming: “4. Indien toepassing wordt gegeven aan het eerste, tweede of derde lid, worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Indien de verwerkingsverantwoordelijke persoonlijk gegevens verwerkt en op hem niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden meegedeeld aan anderen die krachtens het eerste, tweede of derde lid bevoegd zijn tot verwerking daarvan.” 55. Ondanks de verschillende initiatieven om een specifieke rechtsgrond te voorzien voor de verwerking van gezondheidsgegevens in het kader van verzekeringsovereenkomsten werd hieraan nog geen gevolg gegeven door de Belgische wetgever. 56. De Geschillenkamer is van oordeel dat deze situatie onwenselijk is voor alle actoren die betrokken zijn bij het aangaan van dergelijke verzekeringsovereenkomsten en dringt erop aan dat een oplossing hiertoe gevonden wordt, bij voorkeur op Europees niveau. Bijgevolg brengt de Geschillenkamer deze beslissing dan ook ter kennis van de EDPB, en in samenspraak met het Directiecomité van de GBA, aan andere ter zake bevoegde overheden op nationaal en Europees niveau. 11 Voluit: Wet van 16 mei 2018, houdende regels ter uitvoering van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming). Beslissing ten gronde 109/2024 — 14/24 II.3. Geautomatiseerde individuele besluitvorming (artikel 22 AVG) II.3.1. Vaststelling van de Inspectiedienst 57. In het Inspectieverslag stelt de Inspectiedienst geen inbreuken vast met betrekking tot het gebruik van geautomatiseerde individuele besluitvorming voor gewone persoonsgegevens. 58. Voor wat betreft het gebruik van geautomatiseerde individuele besluitvorming voor gezondheidsgegevens stelt de Inspectiedienst vast dat niet voldaan is aan artikel 22.4 AVG aangezien de toestemming die de verweerster gevraagd heeft op basis van artikel 9.2.
18. a)AVG niet rechtsgeldig verkregen werd. Bijgevolg stelt de Inspectiedienst vast dat de verweerster een inbreuk heeft begaan op artikel 22.4 AVG en artikel 24.1 AVG en artikel 25.1 AVG voor wat betreft de gebruik van geautomatiseerde individuele besluitvorming betreffende gezondheidsgegevens. II.3.2. Standpunt van de klager 59. De klager stelt dat de inbreuk in verband met geautomatiseerde besluitvorming op basis van gezondheidsgegevens in de oorspronkelijke klacht reeds voldoende bewezen was en ook werd bevestigd door de Inspectiedienst. II.3.3. Standpunt van de verweerster 60. De verweerster wijst erop dat de door de Inspectiedienst vastgestelde inbreuk op artikel 22.4 AVG een ‘afgeleide’ inbreuk is die volgt uit de door de Inspectiedienst vastgestelde inbreuk op artikel 9.2.
19. a)AVG, en dat er verder geen inbreuken geformuleerd werden op andere voorwaarden van artikel 22.4 AVG. Bovendien stelde de Inspectiedienst vast dat de verweerster de voorwaarden van artikel 22 AVG volledig naleeft met betrekking tot ‘gewone’ persoonsgegevens. Bijgevolg betoogt de verweerster dat indien de Geschillenkamer zou oordelen dat de uitdrukkelijke toestemming rechtmatig gegeven zou zijn, de door de Inspectiedienst vastgestelde inbreuk inzake artikel 22.4 AVG afgewezen moet worden. 61. Tijdens de hoorzitting werd de verweerster gevraagd om haar standpunt inzake de vaststelling inzake de geautomatiseerde individuele besluitvorming verder te verduidelijken. De verweerster lichtte toe dat deze manier van besluitvorming een bewuste keuze van de verweerster is, niet in het minst om de vertrouwelijkheid en integriteit van de medische gegevens te beschermen. Wanneer deze verwerking een positief resultaat oplevert voor de klant, is er geen menselijke controle. Indien er zich een mogelijk probleem voordoet (ook wel een knipperlicht genoemd), gaat het dossier naar een medewerker ter Beslissing ten gronde 109/2024 — 15/24 controle van de besluitvorming. Er wordt dus nooit een verzekering geweigerd zonder dat de besluitvorming is nagekeken door een medewerker van de verweerster. 62. Voor wat betreft de inbreuken inzake artikel 24.1 AVG en artikel 25.1 AVG, voert de verweerster aan dat deze in elk geval ongegrond zijn bij gebrek aan motivatie van de Inspectiedienst (zie II.1). Indien de Geschillenkamer toch zou overgaan tot de beoordeling ten gronde van een inbreuk op deze artikelen, voert de verweerster aan dat zij alle passende technische en organisatorische maatregelen genomen heeft om de door de AVG beoogde doeleinden te bereiken. Een disfunctie in een zeldzaam geval betekent uiteraard niet dat de nodige procedures en processen in het algemeen niet zouden zijn geïmplementeerd, hetgeen de Inspectiedienst ook in het kader van zijn eerste vaststelling constateert, zo stelt de verweerster. Bijgevolg heeft de verweerster de voorwaarden voor geautomatiseerde individuele besluitvorming nageleefd in overeenstemming met de vereisten die volgen uit artikel 22.4 AVG, artikel 24.1 AVG en artikel 25.1 AVG. II.3.4. Beoordeling door de Geschillenkamer 63. Wanneer persoonsgegevens worden gebruikt om tot een bepaald besluit te komen en dit besluit uitsluitend gebaseerd is op geautomatiseerde verwerking van persoonsgegevens, dan is er sprake van geautomatiseerde individuele besluitvorming. Op basis van artikel 22.1 AVG hebben betrokkenen het recht om niet onderworpen te worden aan een enkel op geautomatiseerde verwerking (waaronder profilering) gebaseerd besluit, wanneer dit hetzij rechtsgevolgen heeft voor hen, hetzij het hen anderszins in aanzienlijke mate treft. 64. Het voorgaande is echter niet van toepassing indien het besluit:
20. a)noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;
21. b)is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
22. c)berust op de uitdrukkelijke toestemming van de betrokkene (artikel 22.2 AVG). 65. Ingevolge artikel 22.4 AVG mogen de geautomatiseerde individuele besluiten niet gebaseerd worden op bijzondere categorieën van persoonsgegevens tenzij er daarvoor uitdrukkelijke toestemming is van de betrokkene, of het gebruik noodzakelijk is met het oog op een zwaarwegend algemeen belang op grond van Unierecht of lidstatelijk recht. In beide gevallen moeten passende maatregelen worden getroffen ter bescherming van de gerechtvaardigde belangen van de betrokkene. In de eerste situatie treft de verwerkingsverantwoordelijke deze maatregelen zelf, in de tweede situatie worden deze bij wet voorgeschreven. Beslissing ten gronde 109/2024 — 16/24 66. Zoals aangevoerd door de verweerster is de geautomatiseerde individuele besluitvorming gebaseerd op de uitdrukkelijke toestemming zoals voorgeschreven door artikel 9.2.
23. a)AVG. In onderhavige zaak heeft de Geschillenkamer geoordeeld dat de uitdrukkelijke toestemming niet rechtsgeldig verkregen was, maar dat deze inbreuk niet verwijtbaar is aan de verweerster (zie deel II.2). Bijgevolg kan de verweerster zich wel beroepen op artikel 22.2.
24. c)AVG j° artikel 22.4 AVG, indien zij aan de toepasselijke voorwaarden voldoet. 67. Aangezien de verweerster zich beroept op artikel 22.2.
25. c)AVG j° artikel 22.4 AVG dient zij de nodige passende maatregelen te treffen ter bescherming van de rechten van de betrokkene. Deze maatregelen moeten tenminste het volgende omvatten: het recht op een menselijke tussenkomst, het recht voor de betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. 68. Op basis van de verklaring van de verweerster en de privacyverklaring inzake automatisch genomen beslissingen zoals overgemaakt door de verweerster stelt de Geschillenkamer vast dat de verweerster verschillende maatregelen genomen heeft. De geautomatiseerde individuele besluitvorming zonder menselijke tussenkomst wordt enkel genomen in het geval van een positief besluit. In het geval dat verschillende knipperlichten afgaan en er mogelijks een negatief besluit dient genomen te worden, zal het dossier in ieder geval door een medeweker ter controle beoordeeld worden. De betrokkene kan zich verzetten tegen profilering waardoor de beslissing om in aanmerking te komen voor krediet en bijhorende schuldsaldoverzekering niet automatisch kan verlopen. Als een betrokkene het niet eens is met het geautomatiseerde individueel besluit, kan deze overeenkomstig de privacyverklaring, op verschillende manieren de verweerster contacteren, om te laten weten waarom hij het niet eens is met de beslissing en vragen om de genomen beslissing te bekijken. 69. Gelet op het bovenstaande stelt de Geschillenkamer vast, op basis van de verklaringen van de verweerster en de toepasselijke privacyverklaring, dat de verweerster de geautomatiseerde individuele besluitvorming op basis van gezondheidsgegevens rechtmatig baseert op de uitdrukkelijke toestemming en de nodige passende maatregelen getroffen heeft ter bescherming van de rechten van de betrokkene. Aangezien de Geschillenkamer in het Inspectieverslag of in de conclusies van de klager geen aanwijzingen terugvindt die deze vaststelling zou weerleggen, oordeelt de Geschillenkamer dat er geen inbreuk is op artikel 22 AVG, artikel 24 AVG en artikel 25 AVG. Beslissing ten gronde 109/2024 — 17/24 II.4. Informatieverplichtingen in de privacyverklaring II.4.1. Vaststellingen in het Inspectieverslag 70. De Inspectiedienst stelt vast dat de algemene privacyverklaring t.a.v. klanten in de ruime zin enerzijds niet altijd beknopte, transparante en begrijpelijke informatie bevat (artikel 12.1 AVG) en anderzijds niet alle informatie verplicht op basis van artikel 13 AVG bevat. 71. Voor wat betreft de niet altijd beknopte, transparante en begrijpelijke informatie stelt de Inspectiedienst vast dat de vermelding in de privacyverklaring dat de verweerster deel uitmaakt van een ondernemingsgroep geen meerwaarde heeft. Verder wijst de Inspectiedienst erop dat de woorden persoonsgegevens en gegevens geen synoniemen zijn die door elkaar worden gebruikt. Verder bevat de privacyverklaring meermaals lange complexe zinnen met vakjargon, hetgeen onduidelijk kan zijn voor de klanten van verweerster die niet thuis zijn in de materie. 72. De Inspectiedienst acht de privacyverklaring onvolledig aangezien het rechtstreeks telefoonnummer van de functionaris voor gegevensbescherming niet is opgenomen in de privacyverklaring (artikel 13.1.
26. b)AVG). Verder ontbreekt in de privacyverklaring transparante informatie over welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of wie kan worden geraadpleegd bij de doorgifte van persoonsgegevens door de verweerster aan derde landen waarvoor er geen adequaatheidsbesluit van de Europese Commissie bestaat (artikel 13.1.
27. f)AVG). De Inspectiedienst stelt ook een gebrek aan transparantie informatie vast over het feit of de betrokkene verplicht is om de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer persoonsgegevens niet worden verstrekt als de verstrekking van persoonsgegevens op een wettelijke of contractuele verplichting berust dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten (artikel 13.2.
28. e)AVG). II.4.2. Standpunt van de verweerster 73. De verweerster betwist de vaststellingen van de Inspectiedienst inzake de privacyverklaring en weerlegt deze in haar conclusies. 74. Voor wat betreft de vaststellingen inzake de niet altijd beknopte, transparante en begrijpelijke informatie, wijst de verweerster erop dat verwijzingen naar de groep waarvan zij deel uitmaakt, functioneel van belang zijn om de betrokkene uit te leggen hoe zijn of haar persoonsgegevens desgevallend worden gebruikt binnen de groep. Voor wat betreft het gebruik van de termen gegevens en persoonsgegevens voert de verweerster aan dat zij het voor de betrokkene wel degelijk duidelijk maakt dat de privacyverklaring betrekking heeft op persoonsgegevens. Het woord persoonsgegevens komt maar liefst 130 keer in de privacyverklaring voor. Zij wijst er eveneens op dat het gebruik van het woord gegevens het Beslissing ten gronde 109/2024 — 18/24 toepassingsgebied van de privacyverklaring in geen geval beperkt vermits het woord ‘gegevens’ in het normale taalgebruik en onder de AVG als ruimer kan worden beschouwd dan het begrip ‘persoonsgegevens’. Vervolgens, betreffende het taalgebruik in de privacyverklaring betoogt de verweerster dat de Inspectiedienst de geviseerde passages niet in de originele context weergeeft waardoor de informatie die deze passages verduidelijkt weggelaten werd. Daarnaast stelt de verweerster dat zij een zo courant mogelijk taalgebruik hanteert, maar dat zij, gelet op de aard van haar activiteiten en het wettelijk kader waarin zij opereert, in bepaalde gevallen genoodzaakt is om specifieke benamingen en termen te gebruiken. De informatie aan de betrokkene moet overeenkomstig artikel 12.1 AVG niet alleen duidelijk maar ook beknopt zijn, waardoor een gepast evenwicht moet gevonden worden tussen het toevoegen van bijkomende toelichting enerzijds en het betrekken van informatie in beknopte vorm anderzijds. 75. Voor wat betreft de vaststelling dat de privacyverklaring onvolledige informatie zou bevatten voert de verweerster argumenten aan om deze vaststelling te weerleggen. Betreffende het gebrek aan vermelding van het rechtstreeks telefoonnummer van de functionaris voor gegevensbescherming in de privacyverklaring verduidelijkt de verweerster dat zij ervoor gekozen heeft om dit telefoonnummer niet te vermelden gelet op de bekendheid van de verweerster in de Belgische markt en de grootte van het bedrijf. Zij ontvangt immers een aanzienlijk aantal en een grote verscheidenheid aan verzoeken en vragen van betrokkenen. Het zou niet haalbaar zijn voor de functionaris voor gegevensbescherming om rechtstreeks opgebeld te worden met deze verzoeken. Betrokkenen kunnen wel telefonisch contact opnemen met de helpdesk van de verweerster. Desgevallend zullen de agenten van de helpdesk vragen over gegevensbescherming aan de Group Data Protection Unit, waarvan de functionaris voor gegevensbescherming deel uitmaakt, doorsturen. Voor wat betreft de informatie over passende waarborgen voor doorgiftes stelt de verweerster dat zij de relevante doorgiftes toelicht, alsook gedetailleerde informatie verstrekt over de verwerkers waarmee zij samenwerkt. Zij bezorgt ook duidelijke informatie aan de betrokkene over hoe contact kan worden opgenomen met haar en hoe rechten kunnen worden uitgeoefend. In haar privacyverklaring bevestigt de verweerster ten eerste haar intentie om in bepaalde situaties persoonsgegevens door te geven aan ontvangers die zich buiten de Europese Economische Ruimte (kunnen) bevinden, ten tweede in welke landen de verwerkers gevestigd zijn waardoor desgevallend doorgiftes kunnen plaatsvinden en ten derde dat er voor bepaalde landen waarnaar doorgiftes kunnen plaatsvinden geen adequaatheidsbesluit van de Europese Commissie bestaat én dat, in voorkomend geval, een beroep zal worden gedaan op passende waarborgen waaronder standaardcontractbepalingen, controlemechanismen om het beschermingsniveau te waarborgen. Tot slot wijst de verweerster erop dat zij wel Beslissing ten gronde 109/2024 — 19/24 degelijk op gedetailleerde wijze in haar privacyverklaring weergeeft wanneer de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is. II.4.3. Beoordeling door de Geschillenkamer 76. In uitvoering van het transparantiebeginsel uit artikel 5.1.
29. a)AVG neemt de verwerkingsverantwoordelijke passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. 77. Rekening houdende met de vaststellingen van de Inspectiedienst en na beoordeling van de argumentatie van de verweerster en de bij de stukken gevoegde privacyverklaring, oordeelt de Geschillenkamer dat er geen inbreuk is op artikel 12.1 AVG j° artikel 13.1 en 13.2 AVG. II.5. Juistheid van de gegevens en recht op rectificatie (artikel 5.1.
30. d)AVG en artikel 16 AVG) II.5.1. Standpunt van de klager 78. In zijn klacht stelt de klager dat het invullen van de medische vragenlijst verloopt via de website van de verweerster, waarbij de gebruiker via een reeks schermen door de vragenlijst wordt geleid. Voorafgaand aan het invullen van de vragenlijst wordt aan de gebruiker verduidelijkt dat de infobuttons in de vragenlijst steeds gebruikt moeten worden om te vermijden dat onnodige zaken vermeld worden. Bij elk onderdeel in de vragenlijst is er een lijst voorzien van aandoeningen die niet vermeld moeten worden. Op het einde resulteert dit invulproces in een samenvattend document dat ondertekend moet worden. In dit samenvattend document ontbreekt echter de opsomming van aandoeningen die niet vermeld moeten worden waardoor de vragenlijst volgens de klager voor discussie vatbaar wordt. In dit verband stelt de klager dat de vraag kan rijzen of een bepaalde aandoening werd verzwegen door de aanvrager of dat de verweerster zelf had aangegeven dat het niet nodig was om die specifieke aandoening te vermelden. Bijgevolg bestaat de mogelijkheid dat er verschillende interpretaties gegeven kunnen worden aan de ingevulde gegevens. Hierbij wijst de klager erop dat een eventuele discussie over de ingevulde gegevens tussen de verweerster als verzekeraar en de begunstigden van de verzekering kan ontstaan na overlijden van de verzekerde. Deze begunstigden hebben deze lijst echter niet ingevuld, en zijn ook niet op de hoogte van de oorspronkelijke vragen en het verschil tussen de vragenlijst en het resulterend samenvattend document. Volgens de klager is de juistheid van de informatie, gelet op de context van de schuldsaldoverzekering, uiterst belangrijk onder andere door de hoge financiële inzet. Hoewel de klager hierom heeft verzocht, heeft de Beslissing ten gronde 109/2024 — 20/24 verweerster volgens hem geen correctie gedaan aan het uiteindelijke document om de vragenlijst accuraat te reflecteren. II.5.2. Standpunt van de verweerster 79. In haar conclusies voert de verweerster aan dat zij, om de klant te helpen bij het invullen van de digitale medische vragenlijst en de verzameling van onnodige gegevens te vermijden (en dus dataminimalisatie te verzekeren), een beperkt aantal ‘informatiebuttons’ voorzien bij sommige vrije tekstvelden van haar digitale medische vragenlijst. Deze informatiebuttons geven aandoeningen aan die in elk geval geen invloed hebben op het overlijdensrisico en daardoor per definitie niet relevant zijn bij het invullen van de vragenlijst. 80. De verweerster benadrukt dat de medische vragenlijst tot doel heeft om het overlijdensrisico van de verzekerde correct te kunnen inschatten. De verweerster mag op grond van de verzekeringswetgeving met haar medische vragenlijst voor een schuldsaldoverzekering enkel informatie vragen omtrent aandoeningen die een verhoogde kans op overlijden met zich kunnen meebrengen, waarbij zij verwijst naar artikel 5.1° van het Koninklijk besluit van 10 april 2014 tot regeling van sommige verzekeringsovereenkomsten tot waarborg van de terugbetaling van het kapitaal van een hypothecair krediet 12 (“KB Schuldsaldoverzekering"). Dit artikel stelde o.a. de volgende voorwaarde aan de medische vragenlijst: “de gestelde vragen zijn nauwkeurig en betreffen uitsluitend gebeurtenissen die de verhoogde aard van een gezondheidsrisico in hoofde van de kandidaat-verzekerde kunnen staven”. 81. De verweerster voegt hieraan toe dat als waarborg ten aanzien van de verzekerde, de wetgever de medische vragenlijst van elke verzekeraar onderwerpt aan een extern toezicht. De vragenlijst die de verweerster gebruikt, is met name aan de voorafgaande goedkeuring van het Opvolgingsbureau onderworpen, ingevolge artikel 4 van het KB Schuldsaldoverzekering13. 82. Vervolgens verwijst de verweerster naar artikel 5.1.
31. d)AVG dat stelt dat persoonsgegevens juist moeten zijn en zo nodig worden geactualiseerd. Alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren. Ingevolge artikel 16 AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. 12 BS 10 juni 2014. 13 Art. 4 KB Schuldsaldoverzekering: “Een verzekeringsonderneming mag enkel gebruik maken van een medische vragenlijst bij de behandeling van een aanvraag tot schuldsaldoverzekering op voorwaarde dat de formulering van de vragen voorafgaandelijk door het Opvolgingsbureau is goedgekeurd. Het Opvolgingsbureau beslist binnen een termijn van één maand na ontvangst over de goedkeuring van de formulering van de vragen. De beslissing door het Opvolgingsbureau wordt genomen bij gewone meerderheid van stemmen.” Beslissing ten gronde 109/2024 — 21/24 83. De verweerster stelt dat de medische vragenlijst, inclusief de informatiebuttons, en de verstrekte antwoorden worden opgeslagen op haar beveiligd IT-systeem waardoor de persoonsgegevens ‘juist’ zijn in de zijn van artikel 5.1.
32. d)AVG. De daaropvolgende mogelijkheid die de verweerster biedt om de vragen en antwoorden in een pdf-document te downloaden doet aan het voorgaande geen afbreuk en brengt niet met zich mee dat de persoonsgegevens die in de systemen van verweerster zijn opgeslagen daardoor onjuist zouden zijn en de klager het recht zouden geven om die gegevens overeenkomstig te ‘rectificeren’ in de zin van artikel 16 AVG. 84. Uit de tekst van de AVG volgt daarnaast dat de juistheid van de persoonsgegevens dient te worden beoordeeld in het licht van de doeleinden waarvoor zij worden verwerkt, zo stelt de verweerster. Het feit dat de medische vragenlijst ertoe strekt om de verweerster toe te laten om het overlijdensrisico van de kandidaat-verzekeringnemer te beoordelen – waarvoor aandoeningen zonder invloed op het overlijdensrisico die worden aangegeven in de informatiebutton irrelevant zijn – betekent dat de persoonsgegevens zoals weergegeven in het downloadbare pdf-document eveneens als juist dienen te worden beschouwd in het licht van het voormeld doeleinde van de verwerking. 85. Bijgevolg, zo concludeert de verweerster, kan er bezwaarlijk sprake zijn van een miskenning van het recht op rectificatie van de klager aangezien ten eerste de persoonsgegevens wel degelijk als juist beschouwd moeten worden en ten tweede de verweerster binnen de door de AVG voorziene termijn heeft geantwoord op het verzoek van de klager en daaromtrent verduidelijking heeft verzocht, waarop zij van de klager geen antwoord heeft mogen ontvangen. II.5.3. Beoordeling door de Geschillenkamer 86. Op basis van de elementen aangereikt door de verweerster in de conclusies, met verwijzing naar de stukken, besluit de Geschillenkamer dat de verweerster de vereiste inspanningen heeft geleverd om aan te tonen dat de juistheid van de persoonsgegevens worden gewaarborgd en dat ze tijdig en correct het verzoek tot rectificatie van de klager beantwoord heeft, zodat er geen inbreuk is op artikel 5.1.
33. e)AVG en artikel 16 AVG. II.6. Integriteit en vertrouwelijkheid (artikel 5.1.
34. f)AVG) II.6.1. Standpunt van de klager 87. De klager stelt dat na het invullen van de voormelde vragenlijst bij de aanvraag voor de schuldsaldoverzekering een document ter ondertekening wordt aangeboden, het hierboven samenvattend document. Deze ondertekening dient te gebeuren via de mobiele applicatie van de verweerster en vormt een essentieel onderdeel om de integriteit van de Beslissing ten gronde 109/2024 — 22/24 persoonsgegevens te waarborgen. De klager voert aan dat, zonder deugdelijke ondertekening, de mogelijkheid bestaat dat de verweerster de gegevens nadien wijzigt. De klager wijst er eveneens op dat de verweerster als verzekeraar een tegengesteld belang heeft ten aanzien van de betrokkenen (de begunstigden). 88. Bij de beoordeling of de beveiliging passend is, dient volgens de klager rekening te worden gehouden met de gevoeligheid van de persoonsgegevens in kwestie en met de impact van een wijziging, zijnde een schending van de integriteit, van de gegevens. De klager betoogt dat hoewel gepaste technologie beschikbaar is om de integriteit van de gegevens te waarborgen en het bewijs hiervan aan derden te leveren, de verweerster hiervan geen gebruik maakt. De integriteit van het document is volgens de klager niet gewaarborgd door een digitale handtekening op basis van publieke sleutel cryptografie, of deze handtekening is in ieder geval niet zichtbaar voor de klager. Bij gebrek aan dergelijke handtekening is de integriteit van het document niet afdoende gewaarborgd. II.6.2. Standpunt van de verweerster 89. De verweerster betwist de aantijgingen van de klager en stelt dat zij wel degelijk passende technische en organisatorische maatregelen heeft genomen “om een op het risico afgestemd beveiligingsniveau te waarborgen”, overeenkomstig wat artikel 5.1.
35. f)AVG en artikel 32 AVG vereisen. Uit artikel 32 AVG blijkt bovendien uitdrukkelijk dat de AVG niet één specifieke beveiligingsmaatregel voorschrijft, maar dat voor de beoordeling van het beveiligingsniveau het geheel aan getroffen technische én organisatorische maatregelen relevant is, evenals dat er rekening dient te worden gehouden met “de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen”. 90. Wat de integriteit van de digitale medische vragenlijst betreft, heeft de verweerster een gepaste combinatie aan technische en organisatorische maatregelen geïmplementeerd. Nadat de digitale medische vragenlijst is ingevuld, worden alle door de kandidaatverzekeringnemer ingevoerde antwoorden door het systeem automatisch overgenomen in het document dat ter ondertekening aan de betrokkene wordt aangeboden. Na ondertekening zijn deze gegevens in de systemen van de verweerster niet meer aanpasbaar. Dit is technisch zo ingebouwd in de database. Zelfs als een medewerker onder het strenge toegangsbeleid toegang krijgt tot de opgeslagen medische vragenlijst, dan kan die medewerker de opgeslagen antwoorden van de kandidaat-verzekeringnemer op de medische vragenlijst niet aanpassen in het systeem. 91. Vervolgens zet de verweerster de voornaamste beveiligingsmaatregelen inzake de integriteit van de gegevens uit de medische vragenlijst uiteen. Het betreft o.a. een sterke Beslissing ten gronde 109/2024 — 23/24 authenticatie binnen de sterk beveiligde bankomgeving van de verweerster, de ondertekening met geheime pincode of via gezichtsherkenning, de tijdsstempel van de ondertekening, de geïsoleerde opslagsystemen waarbij de ingevulde vragenlijsten worden opgeslagen in een geïsoleerde databank, afzonderlijk van andere bestanden en verwerkingssystemen van de verweerster, toegangscontrole voor medewerkers met een zeer strikt toegangsbeleid, geen wijzigingsmogelijkheden van de ingevulde antwoorden voor medewerkers; de ingevulde medische vragenlijsten zijn nooit raadpleegbaar door agentschappen of kantoren, en het intern beleid omvat concrete richtlijnen voor de verwerking van medische gegevens binnen de verweerster zoals het beheer van de toegang tot medische gegevens en van de machtiging tot bepaalde applicaties en het bewaren van medische gegevens. De verweerster benadrukt dat deze technische en organisatorische maatregelen nauwgezet worden opgevolgd en indien nodig worden bijgesteld. 92. De verweerster wijst er eveneens op dat, los van alle voorgaande maatregelen, de kandidaat-verzekeringnemer de ingevulde medische vragenlijst ook zelf kan opslaan op zijn/haar eigen toestel. Het vermeende – en louter hypothetische – risico op wijziging door de verweerster dat de klager aanhaalt, kan hiermee eenvoudigweg worden tegengegaan, zo stelt de verweerster. In een dergelijk scenario, zou de klager door de gedownloade kopie immers in staat zijn om een wijziging aan te tonen en het tegenbewijs te leveren, zo verduidelijkt de verweerster. Desgewenst kan de betrokkene ook aan de verweerster nadien om een kopie van de medische vragenlijst vragen, zoals ook de klager in casu heeft gedaan. 93. Tot slot betoogt de verweerster dat er voor de ondertekening van medische vragenlijsten geen bijzondere wettelijke voorschriften gelden inzake het type handtekening dat wordt vereist, noch onder de EU eIDAS-verordening14, noch onder het Belgisch recht, noch onder de AVG. Het geheel van de getroffen organisatorische en technische maatregelen waarborgen een afdoende op het risico afgestemd beveiligingsniveau overeenkomstig de vereisten uit artikel 5.1.
36. f)AVG j° artikel 32 AVG, besluit de verweerster. II.6.3. Beoordeling door de Geschillenkamer 94. Op basis van de elementen aangereikt door de verweerster in de conclusies, met verwijzing naar de stukken, besluit de Geschillenkamer dat de verweerster de vereiste inspanningen heeft geleverd om aan te tonen dat de vereiste technische en organisatorische maatregelen zijn genomen om een beveiligde gegevensverwerking te waarborgen, zodat er geen inbreuk is op artikel 5.1.
37. f)AVG j° artikel 32 AVG. 14 Voluit: Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG.