← België

Beslissing ten gronde nr. 115/2022

1/13 Geschillenkamer Beslissing ten gronde 115/2022 van 19 juli 2022 Dossiernummer : DOS-2020-01492 Betreft: klacht met betrekking tot de mededeling van gezondheidsgegevens van werknemers (personeelsbewegingen - verklaring van ongeschiktheid) - berisping De Geschillenkamer van de Gegevensbeschermingsautoriteit, bestaande uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Romain Robert, leden, die de zaak in deze samenstelling behandelen; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), -hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, hierna WVG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; De verweerder: Y, hierna "de verweerder". Beslissing ten gronde 115/2022 - 2 /13 I.

  1. Feiten en procedure Op 16 maart 2020 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit (GBA) tegen haar hiërarchische meerdere, de heer Z, directeur bij Y, de verweerder.
  2. In haar klacht hekelt de klager de openbaarmaking door haar directeur van persoonsgegevens betreffende haar gezondheid tijdens een afdelingsvergadering waarbij zij niet aanwezig was. Concreet gesproken meldt de klager dat toen zij telefonisch werd gecontacteerd door bepaalde collega's die wilden weten hoe het met haar ging, zij besefte dat tijdens de vergadering van haar afdeling van 18 februari 2020 - namelijk de afdeling (...) van Y -, directeur Z haar vertrek had aangekondigd en het door Cohezio aan de verweerder verstrekte document had voorgelezen waarin stond dat zij niet geschikt was om in de toekomst bij de verweerder te werken.
  3. Uit de stukken van het dossier blijkt dat op 7 februari 2020, een preventieadviseurarbeidsgeneesheer van Cohezio de verweerder meedeelde dat de klager ongeschikt was om een functie in het bedrijf te bekleden. Deze informatie is intern door personeelszaken aan de algemene directie van de verweerder doorgegeven en deze heeft de directeur van de betrokken afdeling, de heer Z, ingelicht.
  4. Op 29 april 2020 heeft de Eerstelijnsdienst (ELD) van de GBA de klager eraan herinnerd dat de AVG van toepassing is op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet geautomatiseerde verwerking van gegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Als aan deze voorwaarden niet wordt voldaan (wanneer bijvoorbeeld, aldus de ELD, er sprake is van de mondelinge doorgifte van persoonlijke informatie die niet uit een gegevensbank of bestand komt en die niet bestemd is om daarin te worden opgenomen 1), is de GBA niet bevoegd. De ELD concludeert in dit stadium dat in het geval van de onderhavige klacht, waarin de klager mondelinge uitlatingen hekelt, de klacht niet ontvankelijk zal worden verklaard en het dossier zal worden afgesloten, tenzij een nieuw element door de klager wordt aangebracht.
  5. Op 30 april 2020 meldt de klager bij de ELD dat de informatie die tijdens de bovengenoemde vergadering was gegeven, was opgenomen in de notulen van de afdelingsvergadering. Zij legt de notulen voor en voegt eraan toe dat deze per e-mail aan alle leden van de afdeling zijn toegezonden (aanwezig of afwezig op de vergadering, d.w.z. 1 De Geschillenkamer vestigt hier de aandacht van de lezer op beslissing 143/2021 van 22 december 2021 waarin zij de nadruk legde op het volgende: "Met het oog op realisatie van het beoogde doel – enkel gevaccineerde sollicitanten aanwerven – houdt het antwoord op de vraag naar de vaccinatiestatus die wordt gesteld tijdens de sollicitatie bijgevolg noodzakelijkerwijs een verwerking in van een persoonsgegeven. Het is moeilijk denkbaar dat geen verwerking plaatsvindt, zeker gelet op de omvang van de ziekenhuisgroep die duizenden medewerkers tewerkstelt." Met andere woorden preciseert de Geschillenkamer dat de mondeling meegedeelde gegevens moeten worden beschermd door de AVG, aangezien zij (noodzakelijkerwijs) bestemd zijn om te worden opgenomen in een bestand, bijvoorbeeld in een dossier of de notulen van de vergadering zoals in het onderhavige geval. Beslissing ten gronde 115/2022 - 3 /13 17 personen). Zij worden ook openlijk bewaard op de server van de verweerder en zijn dus toegankelijk voor al zijn personeelsleden, met inbegrip van andere diensten dan die waar de klager werkte.
  6. De door de klager voorgelegde notulen van de vergadering vermelden met name het volgende over haar: haar afwezigheid gedurende meerdere weken, het feit dat zij het voorwerp van een verslag van Cohezio heeft uitgemaakt, het feit dat zij door Cohezio ongeschikt is verklaard om bij de verweerder te werken, en het feit dat zij niet meer bij de verweerder zal werken. Bovendien bevat het gedeelte van de notulen over de klager de aankondiging van haar vertrek en wordt vermeldt dat de collega's zich vragen stellen over de toewijzing van haar bureau, haar persoonlijke bezittingen, en over de aanstaande aanwerving van een vervanger voor de functie die zij bekleedde.
  7. Op 30 september 2020, na een nieuw onderzoek, wordt de klacht door de ELD ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht op grond van artikel 62, §1, van de WOG overgemaakt aan de Geschillenkamer.
  8. Op 13 oktober 2020 beslist de Geschillenkamer op grond van artikel 95, §1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde.
  9. Op dezelfde datum worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, §2, alsmede van deze in artikel 98 van de WOG. Zij worden eveneens, op grond van artikel 99 van de WOG, in kennis gesteld van de termijnen voor het indienen van hun conclusies, met name respectievelijk 25 november 2020 en 8 januari 2021 voor de conclusie van antwoord en de conclusie van repliek van de verweerder enerzijds, en 17 december 2020 voor de conclusie van antwoord van de klager anderzijds.
  10. Een kopie van het dossier (artikel 95, §2, 3°, van de WOG) wordt bij dezelfde brief van 13 oktober 2020 aan de partijen toegezonden.
  11. Per e-mail van 13 oktober 2020 stemt de verweerder ermee in alle communicatie over de zaak via elektronische weg te ontvangen.
  12. In deze e-mail, die rechtstreeks aan de Geschillenkamer werd gericht door de door de klager aan de kaak gestelde directeur Z, staat verder het volgende: De heer Z geeft aan dat met betrekking tot de tegen hem ingediende klacht, hij de aandacht van de Geschillenkamer erop wil vestigen dat in het kader van de genoemde afdelingsvergadering, hij het hele team op de hoogte heeft gebracht van de personeelsbewegingen. Zich bewust van het gevoelige karakter van de situatie van de klager en om iedere discussie of geruchten in verband met haar vertrek uit de directie en, meer in het algemeen bij de verweerder, te vermijden, verklaart hij Beslissing ten gronde 115/2022 - 4 /13 dat het hem passend leek om dezelfde bewoordingen te gebruiken als het algemeen secretariaat (algemene directie) van de verweerder. Hij preciseert dat hij nooit in het bezit is geweest van de medische diagnose van de klager en dat hij op basis van een nota tussen de dienst personneelszaken en de algemene directie van de verweerder, en met name de terminologie in artikel 410 van de Ambtenarencode (ongeschiktheid) 2, de medewerkers van zijn dienst had geïnformeerd. Hij voegt eraan toe dat het zijn bedoeling was om zo feitelijk mogelijk te blijven, teneinde elke vorm van interpretatie van de situatie te vermijden, en dat hij geenszins de bedoeling had om de klager te schaden of vertrouwelijke informatie over haar te verspreiden. Hij wilde integendeel, zo vervolgt hij, een zo groot mogelijke sereniteit op de dienst verzekeren. Op 28 oktober 2020 stuurt de heer Z dezelfde boodschap aan de Geschillenkamer terug, waarbij deze als "conclusie" gelden voor de verweerder (zie punt 22 e.v. hierboven).
  13. Op 15 december 2020 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager wijst erop dat niet kan worden betwist dat de heer Z enerzijds het door Cohezio toegestuurde document waarin wordt vermeld dat zij ongeschikt is om haar functie uit te oefenen, tijdens de afdelingsvergadering heeft voorgelezen, en dat hij tevens toestemming geeft gegeven, overeenkomstig de interne procedure die dit voorschrijft, om de notulen van de vergadering op de server van de verweerder beschikbaar te stellen. De klager voegt eraan toe dat haar directeur haar vertrek aan haar collega's had kunnen aankondigen zonder de reden voor dat vertrek te vermelden, of haar eventuele toestemming had kunnen vragen voor de mededeling van deze gevoelige gegevens.
  14. De Geschillenkamer heeft geen conclusie van repliek van de verweerder ontvangen, en geen van beide partijen heeft verzocht te worden gehoord in de zin van artikel 93 van de WOG en van artikel 51 van het reglement van interne orde (RIO) van de GBA, zoals hen in bovengenoemde brief van 13 oktober 2020 van de Geschillenkamer was voorgesteld om te doen indien zij dit wensten. II. Motivering 2 Art.
  15. §
  16. Onder voorbehoud van artikel 412 en in afwijking van artikel 405, wordt het verlof wegens ziekte zonder tijdsbeperking toegestaan : 1° naar aanleiding van een ziekte veroorzaakt door een arbeidsongeval, een ongeval op de weg van en naar het werk of een beroepsziekte; 2° indien de ambtenaar van zijn arbeidsplaats is verwijderd ten gevolge van een uitvoerbare beslissing van de arbeidsgeneesheer die vaststelt dat de ambtenaar ongeschikt is om een plaats te bekleden (bedoeld in artikel 2 van het koninklijk besluit van 28 mei 2003 betreffende het gezondheidstoezicht op de werknemers AGW van 18 oktober 2012, art. 31) en hem geen enkel vervangend werk toegewezen kan worden. (...) Versie die van kracht is sinds 1 januari
  17. Beslissing ten gronde 115/2022 - 5 /13 Wat betreft de identificatie van de betrokken gegevensverwerking
  18. Zoals de ELD vermeldt in zijn brief van 29 april 2020 aan de klager (punt 4), is de AVG waarvan de correcte naleving door de GBA moet worden gewaarborgd - van toepassing "op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van niet geautomatiseerde persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen»3 (artikel 2, lid 1, van de AVG).
  19. Het lijdt geen twijfel dat zowel de mondelinge verklaringen van directeur Z tijdens de afdelingsvergadering als hun vastlegging in de notulen van die vergadering persoonsgegevens van de klager zijn. Artikel 4, lid 1, van de AVG definieert het begrip persoonsgegeven als "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon". De informatie dat de klager (met naam en toenaam genoemd - zie punt 6) meerdere weken afwezig was, dat zij het voorwerp van een verslag van Cohezio uitmaakte, dat zij arbeidsongeschikt was verklaard en in de toekomst niet meer bij de verweerder zou werken, is inderdaad informatie die het mogelijk maakt haar te identificeren, in dit geval rechtstreeks.
  20. De Geschillenkamer wijst er voorts op dat de informatie dat de klager arbeidsongeschikt is verklaard door de dienst voor welzijn en preventie op het werk, ook gegevens over gezondheid zijn in de zin van artikel 4, lid 15, van de AVG.
  21. De Geschillenkamer herinnert er in dit verband aan dat de AVG heeft gekozen voor een ruime definitie van gezondheidsgerelateerde gegevens. Artikel 4, lid 15, van de AVG definieert “gegevens over gezondheid” als “persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven". Overweging 35 van de AVG, waarin deze definitie wordt verduidelijkt, bevestigt de keuze voor een ruim en niet-beperkend begrip
  22. De informatie dat de klager arbeidsongeschikt is verklaard door beroepsbeoefenaars die tot taak hebben met name de geschiktheid van werknemers voor de uitoefening van hun functie te beoordelen, onthult 3 4 De Geschillenkamer onderstreept. Overweging

(35): Persoonsgegevens over gezondheid dienen alle gegevens te omvatten die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie geven over de lichamelijke of geestelijke gezondheidstoestand van de betrokkene in het verleden, het heden en de toekomst. Dit omvat informatie over de natuurlijke persoon die is verzameld in het kader van de registratie voor of de verlening van gezondheidszorgdiensten als bedoeld in Richtlijn 2011/24/EU van het Europees Parlement en de Raad aan die natuurlijke persoon; een aan een natuurlijke persoon toegekend cijfer, symbool of kenmerk dat als unieke identificatie van die natuurlijke persoon geldt voor gezondheidsdoeleinden; informatie die voortkomt uit het testen of onderzoeken van een lichaamsdeel of lichaamseigen stof, met inbegrip van genetische gegevens en biologische monsters; en informatie over bijvoorbeeld ziekte, handicap, ziekterisico, medische voorgeschiedenis, klinische behandeling of de fysiologische of biomedische staat van de betrokkene, ongeacht de bron, zoals bijvoorbeeld een arts of een andere gezondheidswerker, een ziekenhuis, een medisch hulpmiddel of een invitrodiagnostiek. Beslissing ten gronde 115/2022 - 6 /13 geenszins de lichamelijke of geestelijke aandoening waaraan de klager lijdt. Een dergelijke dienst mag geen medische diagnose of enige andere overweging van medische aard bekendmaken, aangezien alleen de informatie dat de werknemer niet of niet meer in staat is zijn functie uit te oefenen, voldoende is voor het beoogde doel: d.w.z. de werkgever in staat stellen er de consequenties uit te trekken op het vlak van de rechten van de werknemer, eventueel vertrek/herplaatsing, personeelsbewegingen enz. Deze informatie over ongeschiktheid onthult niettemin informatie over de gezondheidstoestand van de klager en moet derhalve worden beschouwd als een persoonsgegeven over haar gezondheid in de zin van artikel 4, lid 15, van de AVG. 19. In dezelfde zin vormen andere inlichtingen in de notulen (zoals vermeld in punt 15) met betrekking tot de lange afwezigheid van de klager en het feit dat zij het voorwerp heeft uitgemaakt van een verslag van Cohezio, eveneens en om dezelfde redenen, gegevens over gezondheid. 20. Het materiële toepassingsgebied van de AVG vereist voorts dat er een "verwerking" van persoonsgegevens plaatsvindt in de zin van artikel 4, lid 2, van de AVG, waarbij die verwerking wordt gedefinieerd als "een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen (...), verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, (...)." 21. In het onderhavige geval is de Geschillenkamer dan ook van mening dat de schriftelijke vastlegging van de bovengenoemde informatie over de klager (punt 15) - waaronder met name haar ongeschiktheid - in de notulen van een vergadering (als stuk aan de Geschillenkamer meegedeeld) een verwerking van persoonsgegevens is in de zin van artikel 4, lid 2, van de AVG, die onder de toepassing hiervan valt ingevolge haar artikel 2. 22. Het ter beschikking stellen van de notulen van de afdelingsvergadering wordt op zich niet betwist door de heer Z in de geschreven stukken die hij de Geschillenkamer toezond (punt 12). De Geschillenkamer heeft echt nog niet materieel kunnen verifiëren of deze notulen van de vergadering inderdaad via e-mail en op de server ter beschikking van het personeel van de verweerder waren gesteld. Indien dit zo is, is het ter beschikking stellen van de persoonsgegevens van de klager een aanvullende verwerking bij de vastlegging van deze gegevens in de elektronisch opgestelde en bewaarde notulen, en gelden de hiernavolgende bevindingen van schending ook hiervoor. Wat betreft de identificatie van de verwerkingsverantwoordelijke Beslissing ten gronde 115/2022 - 7 /13 23. De Geschillenkamer merkt op dat in het ingediende klachtenformulier, de klager haar klacht rechtstreeks richt tot haar hiërarchische meerdere, de heer Z. Zij vermeldt niettemin de hoedanigheid van directeur van deze laatste bij de verweerder. 24. De Geschillenkamer wees er al eerder5 op dat het voor een klager vaak ingewikkeld is om de verwerkingsverantwoordelijke correct te identificeren met betrekking tot de verwerking(
  1. en)waarover hij zich beklaagt, omdat deze begrippen in artikel 4, lid 7, van de AVG, op een juridische wijze zijn gedefinieerd die ongetwijfeld moeilijk te begrijpen is voor iemand die niet thuis is in de materie. 25. De Geschillenkamer hierinnert er hier aan dat een verwerkingsverantwoordelijke wordt gedefinieerd als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt" (artikel 4, lid 7, van de AVG). Het is een autonoom begrip, eigen aan de regelgeving inzake gegevensbescherming, dat moet worden beoordeeld aan de hand van de criteria die daarin zijn vastgesteld: de vaststelling van de doeleinden van de betrokken gegevensverwerking en van de middelen voor die verwerking. 26. In zijn richtsnoeren 07/2020 wijst het Europees Comité voor gegevensbescherming (EDPB) erop dat de verwerkingsverantwoordelijke, volgens de eerder genoemde definitie van artikel 4, lid 7, van de AVG, weliswaar een natuurlijke persoon kan zijn, maar dat het in de praktijk over het algemeen de organisatie als zodanig is, en niet een persoon binnen de organisatie (zoals de algemeen directeur, een werknemer of een lid van de raad van bestuur), die als verwerkingsverantwoordelijke in de zin van de AVG optreedt 6. Ook al beschikt hij over een zekere autonomie bij de uitoefening van zijn werkzaamheden, toch is het in casu niet directeur Z als zodanig die het doel van en de middelen voor de verwerking vaststelt, maar wel de organisatie waar hij werkt. Tenzij hij zijn boekje te buiten gaat hetgeen hier niet is aangetoond -, is hij geen verwerkingsverantwoordelijke. De Geschillenkamer is dan ook van mening dat de verweerder, en niet een van zijn directeurs, verwerkingsverantwoordelijke is, aangezien het aan de verweerder is om het doel van en de middelen voor de binnen zijn organisatie verrichte verwerkingen vast te stellen. 27. De Geschillenkamer heeft bijgevolg de uitnodiging tot indiening van conclusies van 8 april 2020 zowel aan de klager als aan de verweerder in zijn hoedanigheid van verwerkingsverantwoordelijke, gericht. Wat betreft de overeenstemming van de verwerking met de AVG 5 6 Zie bijvoorbeeld de beslissingen 81/2020 en 76/2021 van de Geschillenkamer. Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen "verwerkingsverantwoordelijke" en "verwerker" in de AVG, vastgesteld op 7 juli 2021 (versie hieronder na openbare raadpleging), en hier beschikbaar: https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_nl.pdf Beslissing ten gronde 115/2022 - 8 /13 28. Elke verwerking van persoonsgegevens moet steunen op een rechtmatigheidsgrond in de zin van artikel 6, lid 1, van de AVG. Wat de verwerking van bijzondere categorieën van gegevens betreft, zoals de gegevens over gezondheid in het onderhavige geval (punten 1617), is het rechtmatigheidsvereiste in artikel 6, lid 1, van de AVG alleen van toepassing indien artikel 9, lid 2, van de AVG voorziet in een specifieke afwijking van het algemene verbod op de verwerking van bijzondere categorieën van gegevens van artikel 9, lid 1. Met andere woorden, wanneer gegevens in de zin van artikel 9 van de AVG worden verwerkt, moet de verwerking ervan gebaseerd zijn op artikel 9, lid 2, van de AVG, gelezen in samenhang met artikel 6, lid 1, van de AVG. 29. Aangezien de verweerder gegevens over de gezondheid van de klager heeft verwerkt, moet de verwerking van dergelijke gegevens dus gebaseerd zijn op artikel 9, lid 2, van de AVG, gelezen in samenhang met artikel 6, lid 1, van de AVG. 30. In casu betwist de klager de rechtmatigheid niet van de verwerking door de verweerder van de informatie dat zij in het verslag van Cohezio arbeidsongeschikt was verklaard. De Geschillenkamer herinnert eraan dat naast het feit dat de rechtmatigheid van de verwerking moet steunen op een gecombineerde lezing van artikel 6, lid 1, en artikel 9, lid 2, van de AVG, in dat geval ook artikel 9 van de WVG van toepassing is wanneer gegevens over gezondheid worden verwerkt. De nationale wetgever heeft bepaald dat in uitvoering van artikel 9, lid 4, van de AVG 7 de verwerkingsverantwoordelijke de volgende biijkomende maatregelen moet nemen, met name bij het verwerken van gegevens over gezondheid: 1° de verwerkingsverantwoordelijke of, in voorkomend geval, de verwerker, wijst de categorieën van personen die toegang hebben tot de persoonsgegevens aan, waarbij hun hoedanigheid ten opzichte van de verwerking van de betrokken gegevens nauwkeurig wordt omschreven. Deze vereiste weerspiegelt het beginsel "need to know" volgens hetwelk alleen de personen voor wie de verwerking van deze gegevens nodig is voor de uitvoering van hun taken, gemachtigd zijn dit te doen; 2° de verwerkingsverantwoordelijke of, in voorkomend geval, de verwerker, houdt de lijst van de aldus aangewezen categorieën van personen ter beschikking van de bevoegde toezichthoudende autoriteit; 3° hij zorgt ervoor dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling, ertoe gehouden zijn het vertrouwelijke karakter van de betrokken gegevens in acht te nemen. 7 Artikel 9, lid 4: De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren. Beslissing ten gronde 115/2022 - 9 /13 31. Wat de klager aanvecht, is de verdere mededeling van informatie over haar gezondheid aan de collega's van haar afdeling en alle personeelsleden van de verweerder, door de notulen van de vergadering op de server beschikbaar te stellen. 32. Net zoals zij dat reeds in andere beslissingen 8 heeft gedaan, wijst de Geschillenkamer er hier op dat de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, enkel is toegestaan overeenkomstig artikel 5, lid 1, punt b), van de AVG, indien zij verenigbaar is met de doeleinden waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. 33. Rekening houdend met de criteria in artikel 6, lid 4, van de AVG en in overweging 50 9, moet worden nagegaan of de verdere verwerking - d.w.z. in casu de mededeling van de betrokken informatie aan andere personeelsleden om hen in te lichten over personeelsbewegingen al dan niet verenigbaar is met het doel van de oorspronkelijke verwerking. 34. In het onderhavige geval merkt de Geschillenkamer op dat deze verdere mededeling een ander doel nastreeft dan het eerste doel, dat erin bestond informatie te ontvangen en deze te verwerken op het niveau van de dienst personeelszaken met het oog op het personeelsbeheer (beëindiging van de arbeidsverhouding, toekenning van rechten, eventuele herplaatsing/mobiliteit enz.). In dit verband zijn slechts bepaalde personen, bij de uitvoering van hun specifieke taken, gerechtigd om deze informatie te ontvangen, met name gelet op de gevoeligheid van de informatie en de gevolgen ervan voor de betrokkene, en het beginsel van minimale gegevensverwerkig (evenredigheid - artikel 5, lid 1, punt c), van de AVG). 35. De Geschillenkamer concludeert in casu dat deze verdere mededeling niet verenigbaar is met het oorspronkelijke doel. Deze mededeling valt niet binnen de redelijke verwachtingen van de betrokkene. Gezien het specifieke rechtskader waarbinnen de verwerking van informatie door Cohezio (persoonsgegevens over gezondheid) plaatsvindt (beperking van de ontvangers, ontbreken van precieze diagnose), kan de betrokkene - hier de klager - niet verwachten, integendeel, dat deze gegevens daarentegen op veel grotere schaal zullen worden meegedeeld dan enkel aan de personen die er functioneel kennis van moeten nemen. De gevoeligheid van de gegevens is ook in strijd met een ruim opgevatte verenigbaarheid. 8 9 Zie bijvoorbeeld beslissing 80/2022 van de Geschillenkamer en de genoemde referenties. Overweging 50 van de AVG: [...] Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met: een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking; het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan; de aard van de persoonsgegevens; de gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen. Beslissing ten gronde 115/2022 - 10 /13 36. Bijgevolg is er geen sprake van verenigbare verdere verwerking, zodat een afzonderlijke rechtsgrond vereist was om de genoemde mededeling als rechtmatig te kunnen beschouwen10. 37. Een verwerking van persoonsgegevens, met inbegrip van een onverenigbare verdere verwerking zoals in dit geval, is immers slechts rechtmatig indien deze gestoeld is op een specifieke rechtmatigheidsgrond. Overweging 50 van de AVG 11 is in dit opzicht uitdrukkelijk. Deze afzonderlijke rechtsgronden zijn die welke in artikel 6, lid 1, van de AVG worden gedefinieerd en, in voorkomend geval, wanneer het gaat om gegevens over gezondheid, zoals hier, in artikel 9, lid 2, van de AVG, gelezen in samenhang met artikel 6, lid 1. 38. De verweerder maakt zelf geen gewag van enige rechtmatigheidsbasis en de Geschillenkamer zou zich tot deze vaststelling kunnen beperken. De Geschillenkamer is echter van mening dat de mededeling van de gegevens (over gezondheid) van de klager in het onderhavige geval op geen enkele specifieke rechtmatigsheidsgrond kan steunen. 39. De Geschillenkamer twijfelt zeker niet aan de wens en de legitimiteit van de verweerder om zijn medewerkers in te lichten over personeelsbewegingen. In die zin heeft de Geschillenkamer in haar beslissing 63/2021 uitgesproken dat het in het kader van het personeelsbeleid passend is om de medewerkers over dergelijke bewegingen in te lichten. Om te voldoen aan het beginsel van minimale gegevensverwerking (evenredigheid), is het echter voldoende dat deze mededeling beperkt blijft tot de feitelijke mededeling van het feit dat de betrokkene, de klager hier, niet meer in dienst is. 40. Met betrekking tot de gevallen in artikel 9, lid 2, gelezen in samenhang met artikel 6, lid 1, van de AVG, stelt de Geschillenkamer het volgende vast: - de genoemde mededeling aan andere personeelsleden en de vastlegging ervan in de notulen van de vergadering berusten niet op de toestemming van de klager, integendeel (artikel 9, lid 2, punt
  2. a)van de AVG), zelfs indien zij een geldige rechtmatigheidsgrond zou kunnen vormen in de context van de professionele relatie tussen haar en de verweerder, quod non; - de genoemde mededeling aan de andere personeelsleden en de vastlegging ervan in de notulen van de vergadering kunnen niet als noodzakelijk worden aangemerkt voor de uitvoering van de verplichtingen en de uitoefening van de specifieke rechten van de verwerkingsverantwoordelijke of de klager op het gebied van het arbeidsrecht en 10 Zie in dezelfde zin beslissing ten gronde 03/2021 van 13 januari 2021 van de Geschillenkamer, punt 14 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-03-2021.pdf. 11 Overweging 50 van de AVG: De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. [...] Beslissing ten gronde 115/2022 - 11 /13 het socialezekerheids- en socialebeschermingsrecht (artikel 9, lid 2, punt b), van de AVG); - deze mededeling aan de andere personeelsleden en de vastlegging ervan in de notulen van de vergadering zijn niet noodzakelijk voor de bescherming van de vitale belangen van de klager (artikel 9, lid 2, punt c), van de AVG); - de mededeling en de vastlegging in de notulen van de vergadering zijn niet verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van hun gerechtvaardigde activiteiten (artikel 9, lid 2, punt d), van de AVG); - de mededeling en de vastlegging in de notulen van de vergadering hebben geen betrekking op persoonsgegevens die kennelijk door de klager openbaar zijn gemaakt (artikel 9, lid 2, punt e), van de AVG); - de mededeling en de vastlegging in de notulen van de vergadering zijn niet noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechsvordering of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid; - de mededeling en de vastlegging in de notulen van de vergadering zijn niet noodzakelijk om redenen van zwaarwegend algemeen belang (artikel 9, lid 2, punt g), van de AVG); - de mededeling aan de andere personeelsleden en de vastlegging in de notulen van de vergadering zijn niet noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker (artikel 9, lid 2, punt h), van de AVG); - deze mededeling en vastlegging in de notulen van de vergadering zijn niet noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen (artikel 9, lid 2, punt i), van de AVG); - de mededeling en de vastlegging in de notulen van de vergadering zijn niet noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden (artikel 9, lid 2, punt j), van de AVG). Beslissing ten gronde 115/2022 - 12 /13 41. Bij gebrek aan een rechtmatigheidsgrond ter rechtvaardiging van de betwiste (onverenigbare verdere) verwerking van de gegevens van de klager, concludeert de Geschillenkamer dat de verweerder artikel 5, lid 1, punt b), juncto de artikelen 6, lid 4, en 9, lid 2, gelezen in samenhang met artikel 6, lid 1 12, van de AVG, heeft geschonden. De gegevens van de klager hebben immers het voorwerp uitgemaakt van een verdere verwerking die onverenigbaar is met de welbepaalde, rechtmatige en gerechtvaardigde doeleinden waarvoor ze oorspronkelijk waren verzameld 13, zonder zich te kunnen beroepen op een specifieke rechtmatigheidsbasis. Wat betreft de corrigerende maatregelen en sancties 42. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 43. Het is belangrijk om de inbreuken waarvoor de verweerder verantwoordelijk is in de juiste context te plaatsen om de meest geschikte corrigerende maatregelen en sancties vast te stellen. 12 Zie voetnoot 11 hierboven. 13 Artikel 5, lid 1, punt b), van de AVG. Beslissing ten gronde 115/2022 - 13 /13 44. Gezien de in punt 41 vastgestelde inbreuk op artikel 5, lid 1, punt b), juncto de artikelen 6, lid 4, en 9, lid 2, gelezen in samenhang met artikel 6, lid 1, van de AVG, is de Geschillenkamer van mening dat het een passende corrigerende maatregel is om de verweerder een berisping te geven. Aangezien de verweerder een overheidsinstantie is in de zin van artikel 221, §2, van de WVG, is de Geschillenkamer niet bevoegd om hem enige boete op te leggen. De Geschillenkamer verzoekt de verweerder overigens zijn personeelsleden bewust te maken van de situatie, zodat soortgelijke situaties zich in de toekomst niet meer zullen voordoen. 45. Bovendien merkt de Geschillenkamer op dat gezien de onderhavige beslissing vastgestelde schendingen, het aan de verweerder is om in zijn hoedanigheid van verwerkingsverantwoordelijke, de nodige maatregelen te treffen om de verspreiding van de in de punten 17 en 19 bedoelde informatie over de gezondheid van de klager onder derden te beperken of zelfs op te heffen. Overeenkomstig hetgeen in punt 39 hierboven wordt vermeld, gaat het alleen om de informatie in het door Cohezio afgeleverde attest met betrekking tot de afwezigheid en de reden van de afwezigheid (ongeschiktheid); de vermelding - in voorkomend geval geherformuleerd - dat de klager niet meer in dienst van de verweerder zal zijn, mag blijven staan. III. Publicatie van de beslissing Gelet op het belang van transparantie met betrekking tot het besluitvormingsproces van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd op evenwel nodig niet de website dat van de daarvoor de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - op grond van artikel 100, §1, 5° van de WOG, de verweerder een berisping te geven. Overeenkomstig artikel 108, §1, van de WOG, kan tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Beslissing ten gronde 115/2022 - 14 /13 Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 14. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W., of via het informatiesysteem e-Deposit van het ministerie van Justitie (artikel 32 ter van het Ger.W.). (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer 14 Het verzoekschrift vermeldt op straffe van nietigheid : 1° de dag, de maand en het jaar; 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.