← België

Beslissing ten gronde nr. 110/2023

1/21 Geschillenkamer Beslissing ten gronde 110/2023 van 9 augustus 2023 Dossiernummer : DOS-2018-03496 Betreft : Klacht tegen een gemeentelijke secundaire school omwille van de publicatie van tuchtverslagen enerzijds en een leerlingenbevraging anderzijds De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Frank De Smet en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: De klagers: . . . De heer X1, hierna “de eerste klager”; Mevrouw X2 hierna “ de tweede klager”; . beiden vertegenwoordigd door Mr. Stijn BUTENAERTS, kantoor houdende te Leopold II-laan 180, 1080 Brussel; De verweerster: . . De Gemeente Y, vertegenwoordigd door haar College van Burgemeesters en Schepenen, hierna “de verweerster”; vertegenwoordigd door mr. Alain BOUTEILLE en mr. Stephanie NGAY-KATALAY, Beslissing ten gronde 110/2021 - 2/21 I. Feiten en procedure 1. De verweerster is een gemeente die optreedt als inrichtende macht van de betrokken school in het voorliggende dossier. In de stukken van het dossier werd in sommige gevallen specifiek de gemeenteschool als entiteit aangeduid, zonder dat zij specifiek werd geïdentificeerd als onderdeel van de verweerster als gemeente. De school heeft als educatieve instelling een aantal autonome beslissingsbevoegdheden, die van belang zijn gedurende het verloop van de feiten die aanleiding gaven tot deze procedure. In die gevallen, waar de educatieve instelling in het dossier als afzonderlijke entiteit optreedt of wordt aangeduid, wordt deze benoemd als “school van de verweerster”. I.1. De klacht 2. Op 15 juni 2018 dienen de klagers gezamenlijk een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. Beide klagers zijn op het moment van de beschreven feiten in de klacht werkzaam op de school van de verweerster. 3. Het voorwerp van de klacht betreft twee door klagers aangehaalde vermeende inbreuken op de bepalingen van de AVG, waarbij persoonsgegevens van de klagers zouden betrokken zijn: - De eerste vermeende inbreuk betreft de publicatie op Smartschool van een reeks van collegeverslagen, waaronder twee verslagen van het college van Burgemeester en Schepenen d.d. 12 februari 2015 en 30 maart 2015 die de eerste klager betreffen, in verband met een incident dat heeft geleid tot diens tijdelijke schorsing. In de verslagen staan belastende verklaringen van twee leraren en een leerling ten aanzien van de met naam genoemde eerste klager. In een latere fase zou een beroepsinstantie de beslissing tot tijdelijke schorsing vernietigd hebben. Het document met deze beslissing werd echter niet gepubliceerd op Smartschool. - De tweede vermeende inbreuk betreft de publicatie van een leerlingenbevraging betreffende de tweede klager op Smartschool. De leerlingenbevraging werd ingevuld door 48 leerlingen en werd aangemaakt op 15 december 2017. De publicatie van de leerlingenbevraging vond plaats op 22 januari 2018. 4. Voorafgaand aan deze klacht hebben de klagers via een advocaat hun rechten uitgeoefend door zich te wenden tot de verweerster, en meer specifiek de betrokken school van de verweerster, per aangetekend schrijven van 8 mei 2018. De klagers formuleerden hierin hun grieven met betrekking tot de feiten die hiervoor werden uiteengezet. De klagers verzochten bovendien dat de verslagen van de eerste vermeende inbreuk die betrekking hebben op de eerste klager binnen de 5 werkdagen verwijderd zouden worden. Verder stelde zij de verweerster in gebreke voor de geleden schade. Beslissing ten gronde 110/2021 - 3/21 5. De school van de verweerster antwoordde op dit aangetekend schrijven op 22 mei 2018. Zij stelde dat het college van burgemeester en schepenen in zitting van 16 mei 2018 kennis nam van het schrijven van klagers, en vervolgens besliste om onder voorbehoud van alle rechten en zonder enige nadelige erkentenis de verslagen van Smartschool te verwijderen (met betrekking tot de eerste vermeende inbreuk). 6. De klagers achtten dit antwoord niet voldoende en gingen vervolgens over tot het indienen van een klacht bij de GBA. Parallel met deze klachtprocedure schreven de klagers op 5 september 2018 opnieuw een brief aan de verweerster om in het bijzonder een aantal bijkomende vragen te stellen. Zij vroegen ten eerste of de toenmalige directeur van de school verplicht werd door de inrichtende macht om de verslagen van het college van Burgemeester en schepenen op Smartschool te zetten. Ten tweede verwijzen klagers naar het reglement van de verweerster, waar in het kader van de openbaarheid van het bestuur een schriftelijke aanvraag werd vooropgesteld vooraleer het inzagerecht (met name tot de verslagen inzake tuchtrecht) kan uitgeoefend worden. De inzage zou volgens dit reglement ook geweigerd kunnen worden wanneer de bescherming van de persoonlijke levenssfeer van een betrokken persoon in het gedrag komt. 7. De verweerster antwoordde op dit schrijven op 18 september 2018 door te stellen dat er geen opdracht werd gegeven om de collegeverslagen op Smartschool te plaatsen. De collegeverslagen zouden enkel als een “intern” werkdocument aan de directeurs van de gemeentescholen worden verstrekt ter kennisgeving. 8. De klagers schreven ten slotte op 15 oktober 2018 een laatste brief aan de verweerster. Hierin stellen zij dat uit het schrijven van 18 september 2018 door de verweerster blijkt dat de collegeverslagen zonder meer worden verstuurd naar de directeurs van alle gemeentescholen, zelfs in het geval dat het verslag voor een gemeenteschool geen enkele relevantie heeft. De klagers benadrukken dat collegeverslagen gevoelige informatie zouden kunnen bevatten (in casu de tuchtprocedure betreffende de eerste klager), en bijgevolg dus beschermd zouden worden onder de privacywetgeving en de regels inzake openbaarheid van bestuur. De klagers vragen vervolgens aan de verweerster hoe de feiten – gelinkt aan de twee vermeende inbreuken in de klacht bij de GBA – te rijmen vallen met die laatste twee. Ze vragen ten slotte ook wat de reden is om de collegeverslagen die één school aanbelangen (systematisch) over te maken aan alle gemeentescholen. 9. Op 4 juli 2018 wordt de klacht door de Gegevensbeschermingsautoriteit ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG. Vervolgens wordt de klacht op grond van art. 62, §1 WOG door de Eerstelijnsdienst overgemaakt aan de Geschillenkamer. I.2. Het onderzoek van de Inspectiedienst 10. Op 14 november 2018 beslist de Geschillenkamer op grond van de artikelen 63, 2° en 94, 1° WOG een onderzoek te vragen aan de Inspectiedienst. Beslissing ten gronde 110/2021 - 4/21 11. Op 21 november 2018 wordt overeenkomstig art. 96, §1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 12. Voorafgaand aan het Inspectieverslag werden er door de Inspectiedienst van de GBA vragen gesteld aan zowel de klagers, als aan de verweerster. 13. Op 11 oktober 2019 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de Inspecteur-Generaal overgemaakt aan de Voorzitter van de Geschillenkamer (art. 91, §1 en §2 WOG). Het verslag bevat vooreerst vaststellingen met betrekking tot het voorwerp van de klacht (binnen de scope). De Inspectiedienst steunt het standpunt van de verweerster dat de AVG onmogelijk van toepassing kan zijn op het eerste incident, omdat de feiten dateerden van voor 25 mei 2018. 14. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, de volgende zaken vast. 15. Ten eerste, met betrekking tot de documentatieplicht van incidenten in artikel 33, lid 5 AVG en de op risico gebaseerde aanpak overeenkomstig artikel 32 AVG onderzocht de Inspectiedienst de wijze van afhandeling van beide incidenten door de verweerster. Zo antwoordt de verweerster op de vraag van de Inspectiedienst of er intussen een registratie gebeurt van incidenten, dat er “geen incidenten meer zijn geweest”. De Inspectiedienst stelt dat dit geen antwoord is op de vraag en dat er derhalve niet kan worden geconcludeerd dat de betrokken school en/of de gemeente inmiddels een incidentenregistratie hebben opgestart zoals vereist door artikel 33, lid5 AVG 16. Ten tweede, met betrekking tot het onderzoek van incidenten in de zin van artikel 33, lid 5 AVG, stelt de Inspectiedienst dat gepast onderzoek noodzakelijk is in het belang van betrokkenen. De Inspectiedienst stelt echter dat zij niet over aanwijzingen beschikt dat de incidenten behoorlijk werden onderzocht. 17. Ten derde, met betrekking tot de meldingsplicht aan de toezichthoudende autoriteit in de zin van artikel 33 AVG, stelt de Inspectiedienst dat de incidenten niet werden gemeld aan de Gegevensbeschermingsautoriteit. 18. Ten vierde, met betrekking tot de informatieplicht in de zin van artikel 13 (specifiek lid 1, punt

  1. a)AVG stelt de Inspectiedienst vooreerst dat de gemeente zich als verwerkingsverantwoordelijke identificeert in haar communicatie naar de GBA. De Inspectiedienst stelt te dezen van dat er geen consequente verwijzing is naar één verwerkingsverantwoordelijke en één contactpunt (bijvoorbeeld voor de functie van functionaris voor gegevensbescherming). Nu de verweerster voor gegevensbeschermingsrechtelijke aspecten een beroep doet op een “extern e-govsteunpunt”(dit is de onderneming Z ) en de verwijzingen naar de verweerster en dit steunpunt niet steeds duidelijk werden weergegeven, leidt dit volgens de Inspectiedienst tot een inbreuk op de informatieplicht. Beslissing ten gronde 110/2021 - 5/21 19. Ten vijfde, met betrekking tot de aanduiding van een functionaris voor gegevensbescherming (“DPO”) en de bekendmaking van diens contactgegevens in de zin van respectievelijk artikel 37, lid 1, punt
  2. a)en artikel 37, lid 7 AVG stelt de Inspectiedienst als volgt: In de privacyverklaring van de school van de verweerster werd verwezen naar een privacy e-mailadres van de verweerster (de gemeente), zonder een specifieke verduidelijking om welke persoon of dienst het gaat. De Inspectiedienst achterhaalde wel dat de functie van DPO wordt uitgeoefend door het extern egovsteunpunt waarbij de verweerster is aangesloten. 20. Ten zesde, met betrekking tot de registratie van de DPO bij de GBA in de zin van artikel 37, lid 7 AVG stelt de Inspectiedienst dat geen DPO is aangemeld voor de verweerster. 21. Ten zevende, in verband met de taken uitgeoefend door de DPO in de zin van artikel 39, lid 1 AVG had de verweerster een aantal documenten aan de Inspectiedienst bezorgd. Het inspectieverslag stelt te dezen: “De Inspectiedienst heeft geen enkele aanwijzing dat de voormelde werkneemster van [het extern e-govsteunpunt] de taken uitoefent die voorzien [zijn] in artikel 39 1. b),
  3. d)en
  4. e)AVG (taken van toezicht op naleving van de AVG, samenwerking met de GBA, optreden als contactpunt voor de GBA) . . . In geen enkele correspondentie tussen de [verweerster] . . . en GBA werd gewezen op enig contact met de DPO. Zo de DPO al is aangeduid stelt de inspectie vast dat minstens de taken onder artikel 39.1
  5. d)en
  6. e)niet werden ingevuld door de DPO.” 1 22. Ten achtste, met betrekking tot de verantwoordingsplicht, documentatieplicht, en de registratie van en het onderzoek inzake incidenten in de zin van artikelen 5, lid 2 en 33, lid 5 AVG heeft de Inspectiedienst in haar onderzoek vooreerst kunnen vaststellen dat de ICT-verantwoordelijke van de gemeente omtrent de twee incidenten op de hoogte werd gesteld. Te dezen stelt de Inspectiedienst: “Er kan echter niet worden bewezen wanneer dit gebeurde en op welke wijze, daar de melding volgens de [verweerster] mondeling is gebeurd . . .” 2 Daarnaast kon de verweerster ten aanzien van de Inspectiedienst geen afspraken toelichten omtrent het tijdig melden en verder opvolgen (of “afhandelen”) van incidenten die aan de persoonsgegevensbescherming raken. Tot slot is er ook geen “geen bewijs van registratie, onderzoek en opvolging van de incidenten die aan de directeur, ICT verantwoordelijke en/of DPO werden gemeld”, zo de Inspectiedienst. 1 Inspectieverslag, blz. 12. 2 Inspectieverslag, blz. 13. Beslissing ten gronde 110/2021 - 6/21 I.3. De conclusies van de partijen 23. Op 14 oktober 2019 wordt het onderzoeksverslag van de Inspectiedienst afgerond en wordt het dossier overgemaakt aan de Geschillenkamer. Op 12 november 2019 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. De Geschillenkamer beslist op basis van het verslag van de Inspectiedienst het dossier op te delen in twee afzonderlijke zaken: 1. Enerzijds zal de Geschillenkamer een beslissing ten gronde nemen met betrekking tot het voorwerp van de klacht; 2. Anderzijds zal de Geschillenkamer een beslissing ten gronde nemen naar aanleiding van de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. 24. Op 13 november 2019 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 13 december 2019, deze voor de conclusie van repliek van de klager op 31 december 2019 en ten slotte deze voor de conclusie van repliek van de verweerder op 17 januari 2020. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 17 januari 2020. 25. Op 16 december 2019 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 26. De verweerster stelt ten eerste wat betreft de feiten dat zij enkel weet heeft van het eerste incident. Volgens verweerster is zij nooit in kennis gesteld over het tweede incident (behalve bij het mededelen van de klacht en opstart van het onderzoek door de GBA). De aangehaalde middelen van verweerster zijn: • De incidenten vallen buiten het toepassingsgebied van de AVG aangezien ze beide plaatsvonden voor de datum van inwerkingtreding (25 mei 2018). De klacht heeft betrekking op feiten van voor 25 mei 2018; dus deze feiten zullen moeten worden onderzocht in het licht van de privacywet. Hiervoor zal dus ook geen administratieve boete kunnen worden opgelegd volgens de verweerster; • De verweerster geeft ook toelichting bij de omstandigheden omtrent beide incidenten, alsook de vermoedelijke (juridische) kwalificatie ervan. Beslissing ten gronde 110/2021 - 7/21 • Concluderend stelt de verweerster dat indien de GBA van oordeel zou zijn dat de klacht gegrond is, zij verzoekt om de gunst van de opschorting op basis van artikel 100, § 1, 3° WOG. 27. Op 30 november 2019 ontvangt de Geschillenkamer de conclusie van repliek van de klagers, waarin voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht als enig middel geconcludeerd wordt betreffende de toepasselijke wetgeving. De klagende partij stelt te dezen dat de AVG toepasselijk is op alle pertinente feiten, en stelt dat de verweerster niet aannemelijk maakt dat er gerechtvaardigde doeleinden zijn die de publicaties op Smartschool voor beide incidenten verantwoorden. Daarnaast wijst de klagende partij onder meer op het gebrek aan rectificatie van de elementen die betrekking hebben op de tuchtprocedure (het eerste incident), de ontbrekende pseudonimiseringsmaatregelen, alsook op de gevolgen van de gebeurtenissen en de volgens hen daardoor geleden schade (volgens klagers “immateriële of reputatieschade”). Tot slot vragen de klagers ook een schadevergoeding en het opleggen van “de nodige administratieve geldboetes en sancties”. 28. Op 17 januari 2020 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht: • Verweerster herhaalt wat betreft de toepasselijke wetgeving dat de AVG niet van toepassing kan zijn op de feiten die voor 25 mei 2018 plaatsvonden. De feiten vallen onder het toepassingsgebied van de privacywet; • Wat betreft het eerste en tweede incident haalt de verweerster dezelfde argumenten aan zoals uiteengezet in haar conclusie van 16 december 2019; • Wat betreft de bevoegdheid van de GBA om een schadevergoeding toe te kennen stelt de verweerster onder voorbehoud van alle rechten en zonder enige nadelige erkentenis in dit verband dat het niet aan de GBA is om zich uit te spreken over de burgerlijke (of strafrechtelijke) aansprakelijkheid van de verweerster. 29. Op dezelfde datum ontvangt de Geschillenkamer bovendien de conclusie van repliek van de verweerster wat betreft de vaststellingen van de Inspectiedienst buiten de scope van de klacht. De verweerster stelt vooreerst ten algemene dat zij als verwerkingsverantwoordelijke kan gekwalificeerd worden voor een uiteenlopend aantal “openbare diensten”, waaronder het aanbieden van onderwijs. Hierbij stelt verweerster dat privacy en persoonsgegevensbescherming een “prioritair” onderwerp voor haar vormt. Met betrekking tot de specifieke vaststellingen van de Inspectiedienst, stelt de verweerster het volgende: • Wat betreft de registratie van de incidenten (documentatieplicht artikel 33, lid 5 AVG en risico-gebaseerde aanpak artikel 32 AVG) en de meldingsplicht bij de GBA (artikel 33 AVG): de verweerster wijst erop dat zij enkel geconfronteerd werd met één incident op 15 oktober 2019, met betrekking tot het hacken van een e-mailbox. Dit incident werd volgens verweerster Beslissing ten gronde 110/2021 - 8/21 onmiddellijk geregistreerd in het incidentenregister en binnen de wettelijke termijn aan de GBA gemeld. Er werd ook een oplossing gevonden en de wachtwoorden van alle betrokken gebruikers evenals de wachtwoorden van de servers werden gewijzigd. • Wat betreft het onderzoeken van incidenten (artikel 33, lid 5 AVG): verweerster stelt dat zij alle inbreuken in verband met persoonsgegevens documenteert conform artikel 33, lid 5 AVG. Verweerster stelt dat zij gebruik maakt van een incidentenregister en dat zij incidenten meedeelt aan de GBA op een gedetailleerde wijze. De verweerster stelt: “Dit toont aan dat verweerster een effectieve procedure heeft geïmplementeerd die haar in staat stelt om incidenten snel te detecteren en te reageren in geval van een gegevenslek.” Daarnaast stelt de verweerster ook een informatiebeveiligingsplan te hebben ontwikkeld, geënt op de activiteiten van de betrokken school. • Wat betreft de informatieplicht aangaande de naam en het adres van de verwerkingsverantwoordelijke (artikel 13, lid 1, punt
  7. a)AVG): verweerster erkent in haar conclusie dat dat “de originele privacyverklaring niet duidelijk en niet volledig was”. De verweerster stelt de nodige aanpassingen te hebben doorgevoerd – in samenspraak met het extern e-govsteunpunt die ook de DPO levert – zodat de privacyverklaring ook beter kan bereikt worden. Op de website van de school van de verweerster staat, zo de verweerster, voortaan duidelijk het gemeentebestuur als verwerkingsverantwoordelijke aangeduid. • Wat betreft de vaststellingen met betrekking tot de functionaris gegevensbescherming: In 2015 heeft verweerster de gunning aan het e-govsteunpunt goedgekeurd. De gunning vermeldt de opdracht voor het aanstellen van een dienstverlener voor het opmaken van een risicoanalyse met betrekking tot de informatieveiligheid. Wat betreft de taken en functies van de DPO voor (de betrokken school van) de verweerster, verwijst die laatste ter illustratie naar de adviezen en presentaties die door het e-govsteunpunt werden voorbereid en overgemaakt. • Wat betreft de verantwoordingsplicht / Documentatieplicht / Registratie en onderzoek van incidenten (artikel 5, lid 2 en 33, lid 5 AVG): de verweerster verwijst naar de voorgaande argumentatie wat betreft deze vaststelling. Verweerster voegt bijkomend de uittreksels uit het register van verwerkingsactiviteiten overeenkomstig artikel 30 AVG bij. • Ter conclusie stelt de verweerster dat zij talrijke acties heeft ondernomen en belangrijke financiële en technische middelen heeft gemobiliseerd om aan de verhoogde plichten van de AVG te kunnen voldoen. Verweerster stelt dat indien de GBA van oordeel zou zijn dat verweerster niet op afdoende wijze voldoet aan de verplichtingen van de AVG, zij alleszins de gunst van de opschorting verzoekt en dit op basis van artikel 100, § 1 3° AVG. Beslissing ten gronde 110/2021 - 9/21 I.4. De hoorzitting voor de Geschillenkamer 29. Op 21 april 2023 beslist de Geschillenkamer ambtshalve een hoorzitting te organiseren in het voorliggend dossier. Dit op basis van artikel 52 van het Reglement van Interne Orde van de Gegevensbeschermingsautoriteit. 30. De hoorzitting vindt plaats op 6 juni 2023. Op de hoorzitting zijn de twee klagers in persoon aanwezig, net zoals hun advocaat. Voor de verweerster zijn de twee advocaten van verweerster aanwezig, de DPO van verweerster (vanuit het extern e-govsteunpunt), alsook de huidige directeur van de betrokken school van verweerster. 31. Op de hoorzitting licht de klagende partij de grieven nogmaals toe. De klagende partij wijst op het gebrek aan excuses en rechtzettingen. 32. Vervolgens licht de advocaat van de verweerster de conclusies verder toe. De advocaat biedt hierbij excuses aan namens diens cliënte. 33. De leden van de Geschillenkamer richten vervolgens enkele vragen tot de verweerster. Hierbij licht de DPO van verweerster onder meer toe dat vanuit het steunpunt een pool van privacy-experten wordt aangeboden, en dat het steunpunt eveneens een informatieveiligheidscel omvat. De DPO stelt eveneens dat er voor het uitoefenen van de taken voornamelijk contact is met een ITmedewerker van de verweerster, en dat er 120 voorziene uren per jaar worden aangeboden voor alle werkzaamheden van de verweerster. Hierbij wordt wel benadrukt dat een aantal aspecten – bijvoorbeeld kennisaspecten met betrekking tot gemeentelijke privacyverklaringen en het schrijven ervan – op “groepsniveau” gebeuren. Daarnaast licht de DPO toe dat er geen rechtstreeks contact heeft plaatsgevonden met het gemeentebestuur zelf voor DPO-gerelateerde activiteiten, en dat het de gewoonte is in het geval van de verweerster om als DPO rechtstreeks aan de ITmedewerker te rapporteren. II. Motivering II.1. De kwalificatie van de verweerster als verwerkingsverantwoordelijke 34. De verweerster heeft zich gedurende de hele procedure geïdentificeerd als verwerkingsverantwoordelijke, en is ook steeds in die hoedanigheid omtrent de feiten aangesproken (door onder meer de Inspectiedienst). Dit geldt ook voor alle verwerkingsactiviteiten die de school uitvoert. Dit wil echter niet zeggen dat het zonder meer duidelijk is dat de verweerster als gemeente in elk geval de verwerkingsverantwoordelijke uitmaakt in alle gevallen die de gemeentelijke school betreffen. Beslissing ten gronde 110/2021 - 10/21 35. In overeenstemming met de wetgeving (specifiek het artikel 4, lid 7 van de AVG), en naar vaste rechtspraak van het Hof van Justitie3, dient immers feitelijk4 beoordeeld te worden of een bepaalde actor (dit kan een natuurlijke persoon of rechtspersoon zijn, maar ook een overheidsinstantie, een dienst of een ander orgaan) het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. Het Europees Comité voor gegevensbescherming (“EDPB”) heeft te dezen verduidelijkt dat het feitelijk zeggenschap van deze actor op de persoonsgegevensverwerking onder meer kan worden afgeleid uit een wettelijke bepaling, maar ook een feitelijke invloed die de actor op de verwerkingsactiviteit(
  8. en)heeft.5 36. Met betrekking tot de feiten die binnen de scope van de klacht vallen, blijkt dat de directeur van de school van de verweerster zelf – al dan niet na overleg binnen de school en met instructies die beperkt bleven tot medewerkers van de school – heeft beslist om bepaalde documenten die deze persoon aangeleverd kreeg vanwege de verweerster, uit eigen beweging op het Smartschoolplatform te plaatsen. In die zin heeft de directeur van de school van de verweerster gehandeld zonder instructie om de documenten te publiceren zijdens de verweerster. Meer nog, impliciet had de directeur uit de inhoud van de documenten kunnen afleiden dat de verweerster deze documenten liever niet gepubliceerd zag op Smartschool. 37. Dit alles impliceert geenszins dat de verweerster mogelijk geen verwerkingsverantwoordelijkheid zou dragen omtrent de feiten die zich binnen de scope van de klacht afspeelden. Artikel 4, lid 7 van de AVG bepaalt immers dat het doel en de middelen alleen of samen met anderen kunnen vastgesteld worden. Dit zou ook het geval kunnen zijn wanneer de directeur geen expliciet mandaat had om de documenten te publiceren en uit eigen beweging handelde, zoals de EDPB ook bevestigde: “Dienovereenkomstig kan een organisatie nog steeds verwerkingsverantwoordelijke zijn, ook al neemt zij niet alle beslissingen over het doel en de middelen.”6 Het feit immers, dat een organisatie als verweerster geen algemene of concrete instructies gaf om de integriteit van de documenten die zij aanleverde te waarborgen, zou (een deel van) de verwerkingsverantwoordelijkheid bij de verweerster kunnen plaatsen. 38. Hic et nunc is het echter niet opportuun de exacte rollen en verantwoordelijkheden ter zake te ontleden en vast te stellen, nu de Geschillenkamer zal overgaan tot een seponering van de 3 HvJEU Arrest van 10 juli 2018, Tietosuojavaltuutettu et Jehovan todistajat – uskonnollinen yhdyskunta, C-25/17, ECLI:EU:C:2018:55; HvJEU Arrest van 13 mei 2014, Google Spain SL t. Agencia Española de protección de Datos (AEPD) e.a., C-131/12, ECLI:EU:C:2014:317, in het bijzonder par. 34; HvJEU Arrest van 5 juni 2018, Unabhängiges Landeszentrum für Datenschutz SchleswigHolstein v Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16, ECLI: EU:C:2017:796, in het bijzonder par. 35. 4 L. A. BYGRAVE & L. TOSONI, “Article 4

(7). Controller” in The EU General Data Protection Regulation. A Commentary, Oxford University Press, 2020, 14. 5 EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021 (versie 2.0), beschikbaar in het Nederlands via: https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_nl.pdf, par. 25 e.v. 6 EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021 (versie 2.0), beschikbaar in het Nederlands via: https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_nl.pdf, par. 31. Beslissing ten gronde 110/2021 - 11/21 elementen binnen de scope van de klacht. Buiten de scope van de klacht zijn er echter vaststellingen gedaan door de Inspectiedienst die uitdrukkelijk betrekking hebben op de verweerster als verwerkingsverantwoordelijke. Om die reden is er ook geen twijfel om te stellen dat de verweerster voor die elementen als verwerkingsverantwoordelijke optreedt, ook voor activiteiten die haar school betreffen. II.2. Wat betreft de vaststellingen binnen de scope van de klacht 39. Steunende op de elementen in het dossier die de Geschillenkamer bekend zijn en op basis van de bevoegdheden die haar door de wetgever op grond van artikel 100 § 1 WOG zijn toebedeeld, beslist de Geschillenkamer over de verdere opvolging van het dossier; in casu gaat de Geschillenkamer over tot het seponeren van een gedeelte van de klacht overeenkomstig artikel 100, §1, 5° WOG, uitgaande van de hiernavolgende motivering. 40. De Geschillenkamer dient in het geval van een sepot trapsgewijs te onderzoeken en te motiveren: - Of er onvoldoende uitzicht bestaat op een veroordeling, waarna een technisch sepot volgt; - Of een succesvolle veroordeling technisch haalbaar zou zijn maar op gronden, aan het algemeen belang ontleend, een (verdere) opvolging onwenselijk is, waarna een beleidssepot volgt. In het geval op meer dan één grond wordt geseponeerd, dienen de sepotgronden (resp. technisch sepot en beleidssepot) in volgorde van belangrijkheid te worden behandeld. 41. In het voorliggend geval acht de Geschillenkamer het technisch onmogelijk verder gevolg te geven aan bepaalde elementen uit het dossier die hun basis vinden in de klacht, en beslist zij over te gaan tot een technisch sepot op basis van de hieronder uiteengezette motieven. 42. Op basis van de vaststellingen in het onderzoek van de Inspectiedienst in casu (cf. bijlage) blijkt dat de Geschillenkamer ratione temporis onbevoegd is, daar op basis van de feiten en de in de klacht aangevoerde grieven blijkt dat de klacht betrekking heeft op verwerkingen die begonnen zijn vóór 25 mei 2018 (de datum waarop de AVG in werking is getreden), en de betrokken verwerking ook voor die datum is beëindigd. 43. Het is juist dat de klacht aanvankelijk door de Eerstelijnsdienst van de GBA ontvankelijk werd verklaard, en dat er vervolgens ook een onderzoek door de Inspectiedienst is gebeurd met betrekking tot de feiten. Dit neemt niet weg dat de Geschillenkamer steeds heeft geoordeeld dat zij niet bevoegd is om handhavend op te treden voor feiten die uitsluitend plaatsvinden vóór 25 mei 2018. 44. Opdat de Geschillenkamer bevoegd zou zijn, is het noodzakelijk dat de AVG van toepassing is op de verwerkingen die het voorwerp uitmaken van de klacht. Volgens art. 4, lid 2 AVG betekent het verwerken van persoonsgegevens: “elke bewerking of elk geheel van bewerkingen met betrekking Beslissing ten gronde 110/2021 - 12/21 tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. 45. De verwerkingen in deze zaak en hun tijdstip kunnen als volgt worden samengevat: - Het eerste incident: een publicatie van persoonsgegevens op Smartschool op 23 november 2017 om 10u58. Het betreft een publicatie van een reeks van collegeverslagen, waaronder twee verslagen die dateerden van 12 februari 2015 en 30 maart 2015 en die eerste klager betreffen. Het verslag dd. 12 februari 2015 betreft informatie over het tuchtonderzoek dat werd opgestart in hoofde van eerste klager en bevat belastende verklaringen. Na vraag van de klager om de verslagen te verwijderen, werden deze verwijderd van Smartschool op 9 mei 2018; - Het tweede incident: een publicatie van een leerlingenenquête dd. 15 december 2017 op Smartschool (datum van publicatie: 22 januari 2018). Tweede klager zou de publicatie diezelfde dag nog hebben vastgesteld en heeft onmiddellijk een e-mail gestuurd aan de toenmalige directeur. Uit communicatie tussen de Inspectiedienst en klagers blijkt dat diezelfde dag de gepubliceerde leerlingenenquête werd verwijderd. 46. De Geschillenkamer stelt vast dat de voormelde verwerkingen hebben plaatsgevonden vóór de inwerkingtreding van de AVG op 25 mei 2018. Bovendien blijkt uit de vaststellingen van de Inspectiedienst dat de verwerkingen van persoonsgegevens gerelateerd aan beide incidenten niet meer plaatsvonden na de inwerkingtreding van de AVG op 25 mei 2018.7 De publicaties werden immers verwijderd van Smartschool op 9 mei 2018 en 22 januari 2018. Op basis van het Inspectieverslag en de stukken kan de Geschillenkamer niet vaststellen dat er na 25 mei 2018 nog verwerkingen hebben plaatsgevonden die betrekking hebben op het voorwerp van deze klacht. 47. Gelet op het voorgaande gaat de Geschillenkamer over tot een technisch sepot8 waardoor aan deze klacht geen verder gevolg kan worden gegeven aangezien er geen sprake is van een inbreuk op de AVG. Voor de volledigheid vermeldt de Geschillenkamer dat het niet tot haar bevoegdheden behoort schadevergoedingen toe te kennen. 7 8 Zie artikel 99 AVG. Zie punt 3.1.1.4 van het Sepotbeleid van de Geschillenkamer, gepubliceerd op haar website op 16 juni 2021, (https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-19-2020.pdf). Beslissing ten gronde 110/2021 - 13/21 II.3. Wat betreft de vaststellingen buiten de scope van de klacht 48. Niettegenstaande het technisch sepot wat betreft het voorwerp van de klacht, onderzoekt de Geschillenkamer de vaststellingen van de Inspectiedienst buiten de scope van de klacht. 49. Het is immers niet uitgesloten dat een klacht aanleiding geeft tot een meer integrale en substantiële controle door de Inspectiedienst in het geval van een klacht, zo bevestigde ook het Marktenhof.9 50. In dit kader erkent de Geschillenkamer – in positieve zin – vooreerst de medewerking van de verweerster gedurende de volledige procedure voor de Gegevensbeschermingsautoriteit, waarbij de verweerster op een constructieve wijze enerzijds erkent dat er bepaalde fouten plaatsvonden in het verleden dan wel dat bepaalde aspecten (bijvoorbeeld met betrekking tot het privacybeleid en de privacyverklaring) niet volledig overeenkomstig de wetgeving verliepen, en anderzijds ook aangeeft op welke manier zij dit heeft bijgestuurd dan wel zou bijsturen naar de toekomst toe. Hierbij zij onder meer gewezen op de incidentenregistratie en het onderzoek van incidenten (zie ook infra). 51. Desalniettemin stelt de Geschillenkamer ten algemene vast dat er een aantal elementen in het dossier wijzen op een structureel gebrek aan aandacht en middelen voor gegevensbeschermingsrechtelijke waarborgen. Hoewel een extern e-govsteunpunt de nodige expertise (in dezen met het gebruik van pools van experten) aanbiedt voor het uitoefenen van de DPO-gerelateerde taken en een externe DPO levert, zijn de beschikbare tijd en (personele) middelen nodig om de taken terdege te kunnen uitoefenen te beperkt. II.3.1. De aanwijzing van de DPO en het uitoefenen van de in de wet voorziene taken van de DPO (artikel 37 en artikel 39 AVG) II.3.1.1. Met betrekking tot de aanstelling van een functionaris voor gegevensbescherming overeenkomstig artikel 37 AVG 52. De Inspectiedienst wees in haar verslag op een aantal onduidelijkheden omtrent de identiteit van de DPO: - De advocaat van de klagers stelde dat er geen functionaris voor gegevensbescherming werd aangesteld; 9 “Bedrijven . . . moeten er zich echter van bewust zijn dat één bepaald incident . . . aanleiding kan geven tot een integrale inspectie en substantiële controle van de AVG-naleving van een onderneming of organisatie, die op zijn beurt dan weer kan leiden tot sancties wegens de niet-naleving van bepaalde AVG-verplichtingen die initieel niet de trigger waren van de inspectie.” Cfr. Arrest van 14 juni 2023, Hof van Beroep Brussel (Kamer 19A, Sectie Marktenhof), nr. 2023/4583, 29-30. Beslissing ten gronde 110/2021 - 14/21 - Artikel 4.2.6. van het schoolreglement stelde dat het gemeentebestuur een extra consulent had aangeduid om op te treden als informatieveiligheidsconsulent en functionaris voor gegevensbescherming; Na 2 juni 2019 werd deze bepaling geschrapt uit het reglement, zonder te verduidelijken waarom deze schrapping nodig was; - Er werd ook verwezen naar een werknemer van het Z die zou aangeduid zijn als DPO. Z. Zij levert volgens haar website “objectief advies” via haar DPO’s. Volgens de Inspectiedienst waren er een aantal resterende onduidelijkheden wat betreft de aanstelling van een werkneemster van het extern e-govsteunpunt als DPO: - Er werd geen aanstellingsbeslissing van het college van Burgemeester en Schepenen bezorgd zodat de GBA kan nagaan vanaf welke datum de verweerster een opdracht gaf aan Z, of deze opdracht tijdelijk is, en welke taken al dan niet werden opgenomen in de dienstverlening; - Er werd geen registratiecode bezorgd voor de aanmelding van de DPO; - De GBA kreeg geen nadere informatie over de competenties van de voormelde werkneemster van het e-govsteunpunt zoals vereist door artikel 37, lid 5 AVG; - Volgens artikel 37, lid 3 AVG kan een verwerkingsverantwoordelijke een DPO aanstellen voor verschillende instanties en organen. De AVG vereist wel dat de verwerkingsverantwoordelijke hierbij de “organisatiestructuur en omvang” mee in rekening neemt. De vraag is of in deze concrete casus de DPO van een gemeente met 15.000 tot 20.000 inwoners ook voldoende onafhankelijk en deskundig kan functioneren als DPO van zowel twee gemeentescholen als het gemeentebestuur. De verwerking wordt uitgevoerd binnen de context van een scholengemeenschap van 3.000 tot 4.000 leerlingen die de gemeente overstijgt, wat gevolgen kan hebben voor de afhandeling van incidenten en het efficiënter gebruik van middelen waaronder de affectatie van leerkrachten; 53. Verweerster verwijst wat betreft de aanstelling van de DPO naar de gunningsopdracht voor het egovsteunpunt (stuk 5 stukkenbundel van verweerster). Stuk 6 van verweerster bewijst concreet de aanstelling van een DPO voor de verweerster, zoals goedgekeurd tijdens een zitting van haar Gemeenteraad van 25 november 2019. Uit stuk 7 blijkt dat de verweerster een aanvraag heeft ingediend voor de goedkeuring van een werkneemster bij het e-govsteunpunt als veiligheidsconsulent bij de Vlaamse toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer (hierna “VTC”). 54. De Geschillenkamer wijst naar artikel 37, lid 1, punt
  1. a)AVG dat stelt dat verwerkingsverantwoordelijken verplicht zijn om een functionaris voor gegevensbescherming aan Beslissing ten gronde 110/2021 - 15/21 te duiden in het geval dat de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan10, wat in casu het geval is. Uit de aangevoerde stukken door de verweerster kan worden afgeleid dat verweerster vóór 25 november 2019 geen DPO had aangesteld . Aangezien er reeds een verplichting was voor het aanstellen van een DPO sinds de inwerkingtreding van de AVG (25 mei 2018), is het bijgevolg niet aanvaardbaar dat verweerster een jaar later pas een DPO aanstelt. 55. Wat betreft de bekendmaking van de contactgegevens en het delen van deze contactgegevens met de toezichthoudende autoriteit stelt de Geschillenkamer dat verweerster ten tijde van het onderzoek van de Inspectiedienst naliet enig bewijs te leveren van een registratie van de DPO bij de GBA. 56. Om al deze redenen stelt de Geschillenkamer een inbreuk vast op zowel artikel 37 lid 1, punt
  2. a)als artikel 37, lid 7 AVG, nu de verplichte aanduiding van de eigenlijke DPO niet correct gebeurde (blijkens het ontbrekende aanduidingsbesluit of andere administratieve beslissing ter zake), en ook niet correct gemeld werd aan de Gegevensbeschermingsautoriteit. II.3.1.2. Met betrekking tot de taken van de functionaris voor gegevensbescherming overeenkomstig artikel 39 AVG 57. De Geschillenkamer stelt vast er een aantal problemen bestonden en verder blijven bestaan met betrekking tot de functionaris voor gegevensbescherming en (de mogelijkheid tot) het uitoefenen van bepaalde taken door die persoon. 58. De kern van meerdere problemen die de Inspectiedienst heeft kunnen vaststellen, lijkt dan ook terug te brengen naar het feit dat de DPO – of tenminste de dienst die de DPO-taken de facto waarneemt – in dit geval niet voldoende middelen krijgt om de verwerkingsverantwoordelijke te adviseren om de nodige gegevensbeschermingsrechtelijke waarborgen te nemen die dienen voorzien te worden om betrokkenen in hun rechten bij te staan en te sterken enerzijds, en inbreuken op gegevensbeschermingsgerelateerde wetgeving te vermijden anderzijds. 59. Uit de vaststellingen van de Inspectiedienst in dezen blijkt dat de Inspectiedienst geen enkele aanwijzing vindt of aangeleverd krijgt die erop wijst dat de taken in de zin van meer bepaald artikel 39, lid 1 punten b),
  3. d)en
  4. e)AVG correct worden opgevolgd. Er is ook een gebrek aan duidelijke afspraken te vinden, zo stelt de Inspectiedienst, tussen het bestuur van de verweerster en het 10 Zie voor de definitie van “overheid” de artikel 5 van de kaderwet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens waarbij overheid wordt gedefinieerd als 1° de Federale Staat, de deelstaten en de lokale overheden, 2° de rechtspersonen van publiek recht die van de Federale Staat, de deelstaten of lokale overheden afhangen, 3° de personen ongeacht hun vorm en aard die opgericht zijn met het specifieke doel te voorzien in behoeften van algemeen belang die niet van industriële of commerciële aard zijn; en rechtspersoonlijkheid hebben; en waarvan hetzij de activiteiten in hoofdzaak door de overheden of instellingen vermeld in de bepalingen onder 1° of 2°, worden gefinancierd, hetzij het beheer onderworpen is aan toezicht door deze overheden of instellingen, hetzij de leden van het bestuursorgaan, leidinggevend orgaan of toezichthoudend orgaan voor meer dan de helft door deze overheden of instellingen zijn aangewezen. 4° de verenigingen bestaande uit één of meer overheden als bedoeld in de bepalingen onder 10, 2° of 3°. Beslissing ten gronde 110/2021 - 16/21 extern e-govsteunpunt. Meer nog, er blijkt uit het dossier dat er geen enkel rechtstreeks contact is geweest tussen het bestuur van de verweerster en het extern e-govsteunpunt. Enkel met de ITverantwoordelijke van de verweerster zou er structureel contact zijn. 60. Ten overvloede – doch zonder dat dit enige impact heeft op de beoordeling van de vaststelling van de Inspectiedienst buiten scope – kan hierbij gesteld worden dat zelfs de feiten die binnen de scope van de klacht plaatsvonden, wijzen op situaties met een suboptimale structurele aanpak en zorg voor gegevensbescherming . 61. Hoewel de verweerster terecht aanhaalt op de hoorzitting dat het dossier een lange doorlooptijd kent, tonen haar verklaringen – en die van haar DPO – op de hoorzitting aan dat de structurele tekortkomingen op het gebied van gegevensbescherming nog steeds bestaan: a. Het aantal uren dat de externe DPO ter beschikking heeft om de taken uit te oefenen die de AVG voorziet is volstrekt onvoldoende, teneinde te voldoen aan de vereisten van de AVG. Het gaat hierbij naar eigen zeggen om 120 uur op jaarbasis voor de volledige gemeente en al haar diensten. b. De DPO heeft (nog steeds) nauwelijks of geen contact met het gemeentebestuur van de verweerster, laat staan dat het gemeentebestuur haar structureel raadpleegt of uitnodigt om adviezen neer te leggen. Nochtans maakt de verweerster een overheidsinstantie uit, waar de wetgever in het artikel 37, lid 1, punt
  5. a)AVG expliciet de aanwijzing van een functionaris voor gegevensbescherming verplicht stelt, wat erop wijst dat de wetgever de functie primordiaal acht in de context van overheidsdiensten, en dient een DPO toegang te hebben tot de hoogste leidinggevenden zodat de taken terdege uitgevoerd kunnen worden. c. Daarenboven stelt de verweerster zélf in haar conclusie dat zij als gemeente veel meer aanbiedt dan enkel onderwijs, hetgeen betekent dat zij een groot aantal persoonsgegevens verwerkt van een groot aantal betrokkenen. Zij verwijst naar dienstverlening op sociaal en cultureel gebied, maar ook inzake sport, jeugd, huisvesting en milieu.11 Het kan hierbij ook gaan om gevoelige persoonsgegevens. De beperkte tijdsbesteding en de beperkte toegang tot het bestuur voor de DPO is in deze context problematisch. d. De verweerster gedraagt zich als verwerkingsverantwoordelijke voor de activiteiten van de betrokken school (en andere educatieve instellingen), maar biedt in beginsel enkel toegang door de DPO tot haar IT-verantwoordelijke aan. In het geval van incidenten zou er dan echter wel overleg zijn met de betrokken medewerkers of verantwoordelijken. Een heel aantal aspecten betreffende gegevensbescherming gaan voorbij aan informaticagerelateerde aspecten, waarbij incidenten op meer structureel niveau moeten 11 Repliekconclusie verweerster, blz. 5. Beslissing ten gronde 110/2021 - 17/21 onderzocht, geanalyseerd en rechtgezet worden. Zo kan een DPO die geen toegang heeft tot bepaalde instellingen (die vallen onder de verantwoordelijkheid van de verweerster) door een gebrek aan contactpunten bij die instellingen en een gebrek aan tijd om op eigen initiatief contacten te leggen met zulke instellingen, bezwaarlijk de aan het gegevensbeschermingsrecht gerelateerde risico’s van zulke instellingen op een toereikende manier in kaart brengen en aanpakken (en waar nodig helpen mitigeren). 62. Elk van de in de voorgaande paragraaf opgesomde elementen geven aanleiding om een inbreuk vast te stellen op artikel 39, lid 1 AVG, gezien uit deze punten blijkt dat de verwerkingsverantwoordelijke ontoereikend het adequaat uitoefenen van taken door de DPO waarborgt. De Geschillenkamer stelt dan ook – mede op basis van de vaststellingen van de Inspectiedienst op dit punt – vast dat de verweerster de in deze bepaling neergelegde verplichtingen niet heeft nagekomen, en dat zij onvoldoende waarborgt dat haar DPO de taken terdege kan uitvoeren, zoals deze taken zijn opgelijst in artikel 39, lid 1. 63. Om die reden beveelt de Geschillenkamer dat de verweerster binnen drie maanden een actieplan (infra) opstelt, waarbij de verweerster rekening houdt met de inbreuken die in de voorliggen beslissing worden vastgesteld, en waarbij zij meer bepaald rekening houdt met de specifieke aspecten van haar dienstverlening alsook specifieke contactpunten ter zake. II.3.2. Vaststellingen van de Inspectiedienst betreffende het opvolgen, documenteren en melden van incidenten (artikelen 5, lid 2, artikel 32 en artikel 33 AVG) 64. De verplichting tot het nemen van beveiligingsmaatregelen – met aandacht voor de risico’s ter zake – die een verwerkingsverantwoordelijke dient te nemen voor bepaalde verwerkingsactiviteiten, ligt vervat in het artikel 32 AVG. De registratie- en meldingsplicht van incidenten in verband met persoonsgegevens ligt vervat in artikel 33 van de AVG. De verantwoordingsplicht voor een verwerkingsverantwoordelijke ligt vervat in het artikel 5, lid 2 van de AVG. 65. De Inspectiedienst gaat in haar inspectieverslag in op de wijze van afhandeling van beide incidenten door (de school van) de verweerster. Rekening houdend met het feit dat de Geschillenkamer ratione temporis onbevoegd is om zich uit te spreken over feiten die vóór 25 mei 2018 plaatsvonden, kan zij geen uitspraak doen over de wijze van afhandeling van de twee incidenten die plaatsvonden voor de datum van inwerkingtreding van de AVG. De Geschillenkamer is zich bewust van het feit dat de rechtsvoorganger van de GBA (de Commissie voor de bescherming van de persoonlijke levenssfeer, hierna de “CBPL”) sinds 10 juni 2014 voorzag in een meldformulier via dewelke inbreuken in verband met persoonsgegevens (buiten de telecomsector want daarvoor bestond reeds een wettelijke meldingsplicht) konden worden Beslissing ten gronde 110/2021 - 18/21 gemeld.12 De CBPL had bovendien in een persbericht gesteld dat het “meer dan raadzaam is” om gebruik te maken van dit meldformulier. De Geschillenkamer wijst echter op het facultatief karakter van de meldingsplicht vóór de inwerkingtreding van de AVG. 66. De Inspectiedienst stelde hiernaast dat uit de communicatie met de verweerster blijkt dat zij gedurende een bepaalde periode na 25 mei 2018 nog steeds geen registratie deed van incidenten. De Geschillenkamer acht zich bevoegd hierover uitspraak te doen, aangezien de AVG hierop wel toepassing vindt. Een behoorlijke registratie van incidenten is van groot belang, zeker in het licht van de omvang van de educatieve instelling (met 3.500 tot 4.000 leerlingen), maar ook in het licht van de risicogebaseerde aanpak onder artikel 32 AVG. Er is namelijk in casu ook sprake van een verwerking van gevoelige persoonsgegevens in de zin van artikel 9 AVG (bv. gegevens over (mentale) gezondheid en seksueel grensoverschrijdend gedrag,…)13. De verwerking betreft ook gegevens van kwetsbare natuurlijke personen (met name minderjarigen)14 en het gaat om een verwerking van gegevens waarvan de verwerking een hoger risico inhoudt met het oog op de rechten en vrijheden van de betrokken personen (prestaties, evaluaties en eventuele tuchtbeoordelingen op leraars,…). 67. De verweerster verduidelijkt in haar conclusie dd. 17 januari 2020 dat ze sinds de inwerkingtreding van de AVG maar te maken heeft gehad met één incident. Het ging hierbij om een geval van het hacken van één e-mailadres, waarbij de gegevens van mogelijks 500 personen gelekt konden zijn. Verweerster stelt dat dit incident onmiddellijk werd geregistreerd in het incidentenregister en werd gemeld aan de GBA binnen de wettelijke termijn. Zij brengt hierbij bewijsstukken aan om dit argument te staven. Hieruit blijkt de registratie van het incident in het incidentenregister, de melding van dit incident op 16 oktober 2019 en de gevonden oplossing (namelijk de wijziging van de wachtwoorden van alle betrokken gebruikers voor 17 oktober 2019). 68. De Geschillenkamer kan door gebrek aan bewijs niet verifiëren of de verweerster effectief maar te maken heeft gehad met één incident sinds de inwerkingtreding van de AVG. Bovendien kan de Geschillenkamer ook niet verifiëren sinds wanneer verweerster effectief gebruik maakt van een incidentenregister. De Geschillenkamer kan enkel oordelen dat verweerster wat betreft het ene incident dat heeft plaatsgevonden na de inwerkingtreding van de AVG de verplichtingen in artikel 33 AVG correct heeft nageleefd. 69. Dit neemt niet weg dat verweerster gebrekkig had geantwoord op de vraag van de Inspectiedienst van 6 september 2019 wanneer zij vroeg of er intussen een registratie van incidenten gebeurt met het oog op de meldingsplicht onder de AVG. Verweerster antwoordde namelijk dat “er geen incidenten meer geweest zijn”. Dit kan inderdaad juist zijn aangezien verweerster in haar conclusie 12 https://www.gegevensbeschermingsautoriteit.be/burger/autoriteit-lanceert-meldingsformulieren-voor-gegevenslekken. 13 Zie hiervoor bijlage 6 bij het Inspectieverslag. 14 Overweging 75 AVG. Beslissing ten gronde 110/2021 - 19/21 van 17 januari 2019 aangeeft dat er maar één incident was na inwerkingtreding van de AVG (namelijk op 16 oktober 2019). Uit dit antwoord kon echter niet worden afgeleid dat de verweerster inmiddels een incidentenregistratie heeft die beantwoordt aan de vereisten van het artikel 33, lid 5 AVG. Doordat de verweerster niet toereikend kan verantwoorden dat zij de verplichting tot het adequaat registreren van incidenten heeft nageleefd, stelt de Geschillenkamer een inbreuk vast op de verantwoordingsplicht in de zin van artikel 5, lid 2 AVG. Er zijn echter niet voldoende elementen in het dossier aanwezig om een inbreuk vast te stellen op hetzij artikel 32, hetzij artikel 33 AVG. II.3.3. Vaststellingen van de Inspectiedienst betreffende de informatieplicht (artikel 13, lid 1, punt
  6. a)AVG) 70. Artikel 13, lid 1, punt
  7. a)van de AVG vereist dat de verwerkingsverantwoordelijke informatie verstrekt aan de betrokkene over de identiteit en contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke. In richtsnoeren van de groep gegevensbescherming artikel 29 over de informatievereiste werd gesteld dat deze informatie dient voor een gemakkelijke identificatie van de verwerkingsverantwoordelijke en bij voorkeur ook andere vormen van communicatie met de verwerkingsverantwoordelijke mogelijk te maken.15 71. De Inspectiedienst wijst de Geschillenkamer op een combinatie van aanwijzingen waaruit op het moment van het onderzoek van de Inspectiedienst blijkt dat de verweerster haar informatieplicht schendt aangaande de aanduiding van de verwerkingsverantwoordelijke: - Zo is er sprake van verschillende bepalingen in verschillende documenten die telkens verwijzen naar andere personen en diensten. - Het schoolreglement van de litigieuze school bevat op zich geen verduidelijkingen. - De link “privacybeleid” op de website van de litigieuze school: De gebruiker wordt automatisch doorverwezen naar de “privacyverklaring [gemeente]” op de website van de verweerster. - Punt 2 in de privacyverklaring “tot wie kan je je wenden voor vragen” verwijst naar het gemeentebestuur . Deze privacyverklaring stelt echter ook “Met vragen over het gevoerde privacybeleid en de genomen maatregelen kan je terecht bij de algemeen directeur V via het e-mailadres […] voor zowel de gemeente als het OCMW en/of bij onze functionaris voor de gegevensbescherming via het e-mailadres […]”. 15 Groep Gegevensbescherming Artikel 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, 11 april 2018, p. 41. Beslissing ten gronde 110/2021 - 20/21 72. De verweerster geeft in haar conclusie toe dat de originele privacyverklaring onduidelijk en onvolledig was wat betreft de informatieplicht onder artikel 13, lid 1, punt
  8. a)van de AVG. Op 22 november 2019 werd dit echter rechtgezet door de publicatie van een nieuw privacybeleid op de website van de school van de verweerster. In dit nieuw privacybeleid wordt nu duidelijk in artikel 2 het gemeentebestuur van de verweerster als verwerkingsverantwoordelijke aangeduid. Het rechtzetten van de inbreuk op artikel 13, lid 1 punt
  9. a)AVG, neemt echter niet weg dat er in het verleden een inbreuk kan hebben plaatsgevonden. 73. Gelet op voorgaande overwegingen stelt de Geschillenkamer dat de verweerster vóór 22 november 2019 niet aan de informatieverplichtingen voldeed wat betreft artikel 13, lid 1, punt
  10. a)van de AVG. Bijgevolg stelt de Geschillenkamer een inbreuk vast op de informatieverplichting in artikel 13, lid 1, punt
  11. a)AVG. II.4. Actieplan 74. De Geschillenkamer beveelt middels deze beslissing aan de verweerster om een actieplan op te stellen, teneinde haar verwerkingen in overeenstemming te brengen met de Algemene Verordening Gegevensbescherming. Dit actieplan dient te worden voorgelegd aan de Gegevensbeschermingsautoriteit binnen de drie maanden na de kennisgeving van deze beslissing. 75. De Geschillenkamer heeft hierboven een aantal inbreuken vastgesteld op de AVG. Een actieplan dat verwerkingen in overeenstemming brengt met de wetgeving, in navolging van deze beslissing, dient dan ook ten minste de volgende aspecten te behandelen: a. Met betrekking tot de inbreuken op artikel 37, lid 1, punt
  12. a)en artikel 37, lid 7 AVG: de manier waarop de DPO wordt aangesteld, op welke wijze deze aanstelling wordt gemonitord en de toebedeling van de verantwoordelijkheid voor de aanmelding van deze DPO bij de GBA; b. Met betrekking tot de inbreuk op artikel 39, lid 1 AVG: de analyse van een adequaat en toereikend werkkader voor de DPO, wat betreft de uitoefening van haar taken voor de verweerster, waarbij in het bijzonder wordt rekening gehouden met de tijdsbesteding van deze DPO voor de specifieke activiteiten van de verweerster en haar diensten. Daarnaast dient ook te worden onderzocht op welke wijze een adequate rechtstreekse toegang kan worden verleend voor de DPO tot het hoogste beslissingsniveau, waar nodig in het kader van rapportering of adviesverlening zodat deze taken terdege kunnen worden uitgeoefend; c. Met betrekking tot de inbreuk op artikel 5, lid 2 AVG: het opstellen van interne beleidsmaatregelen teneinde op adequate wijze toegang te kunnen verlenen aan de Gegevensbeschermingsautoriteit en haar diensten, wanneer dit wettelijk verplicht gesteld is en met bijzondere aandacht voor de medewerking in het geval van inbreuken in verband met persoonsgegevens; Beslissing ten gronde 110/2021 - 21/21 d. Met betrekking tot de inbreuk op artikel 13 AVG: het opstellen van beleidsmaatregelen die ertoe dienen de informatieplicht terdege uit te voeren, met structurele beleidsmaatregelen wat betreft de periodieke monitoring van (gegevensbeschermings- of privacy)verklaringen en andere documenten ter zake, alsook het verzekeren van de inhoudelijke kwaliteit van de verklaringen en andere documenten. II.5. Publicatie van de beslissing Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel van art. 100, §1, 1° WOG, de elementen die deel uitmaken van de klacht te seponeren . - Op grond van artikel 100, §1, 9° WOG, en gelet op de inbreuken op de artikelen 5, lid 2; 13; 37, lid 1, punt a); 37, lid 7 en 39, lid 1 AVG, de verweerster te bevelen haar verwerkingen in overeenstemming te brengen met de AVG, en hiertoe een actieplan voor te leggen aan de GBA binnen de drie maanden na de kennisgeving van deze beslissing. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, Gegevensbeschermingsautoriteit als verweerder. (Get). Hielke Hijmans Voorzitter van de Geschillenkamer bij het Marktenhof, met de

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.