← België

Beslissing ten gronde nr. 117/2024

1/17 Geschillenkamer Beslissing ten gronde 117/2024 van 9 september 2024 Dossiernummer : DOS-2022-04938 Betreft : Het verwerken van persoonsgegevens door een politieke partij om e-mails te sturen naar haar eigen leden De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Yves Poullet en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;1 Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweersters: Vzw A, Verweerster 2, Vzw B, 1 Het nieuw reglement van interne orde van de GBA is op 01/06/2024 in werking getreden naar aanleiding van de wijzigingen die zijn aangebracht door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG). Overeenkomstig artikel 56 van de wet van 25 december 2023 is het enkel van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde-van-degegevensbeschermingsautoriteit.pdf Zaken ingeleid vóór 01/06/2024, zoals in voorliggend geval, zijn onderworpen aan de bepalingen van de WOG zoals deze niet gewijzigd werden door de wet van 25 december 2023 en het RIO zoals dat vóór die datum bestond: https://gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde.pdf. Beslissing ten gronde 117/2024 — 2/17 I. Feiten en procedure

  1. De klager is lid van de politieke partij (Partij A) en haar jongerenafdeling Jongerenpartij B. De eerste verweerster is vzw A, de rechtspersoon achter Partij A, en de derde verweerster is Vzw B, de rechtspersoon achter Jongerenpartij B. Verweerster 2 is eveneens lid van Partij A en Jongerenpartij B, en had ten tijde van de klacht een mandaat als provinciaal voorzitter van Jongerenpartij B West-Vlaanderen. Op 13 oktober 2022 stuurt verweerster 2 via haar persoonlijk e-mailadres een e-mail naar de West-Vlaamse leden van Vzw B
  2. Zij maakt daarbij gebruik van een lijst van de WestVlaamse leden van Vzw B die zij op 9 mei 2022 had ontvangen van een medewerker van Vzw A. In de e-mail van 13 oktober 2022 meldt verweerster 2 dat de nationale voorzitter van Jongerenpartij B zijn functie beëindigt, dat er een ad-interim voorzitter werd aangeduid, en dat de kandidatuurstelling voor de functie van nationaal voorzitter werd opengezet. Zij deelt eveneens mee dat zij van plan is zich kandidaat te stellen voor het nationaal voorzitterschap van Jongerenpartij B, en nodigt de geadresseerden uit om haar te steunen of mee te werken tijdens haar campagne. Op 24 oktober 2022 meldt de klager aan de toezichtscommissie van Jongerenpartij B3 en de ad-interim voorzitter van Jongerenpartij B dat hij niet akkoord gaat met het gebruik door verweerster 2 van de ledenlijst van West-Vlaamse leden voor het versturen van een e-mail betreffende de verkiezingscampagne. Dit zou volgens de klager leiden tot “een onrechtvaardig voordeel ten opzichte van andere mogelijke kandidaten die niet over dergelijke lijst beschikken”. Hij meldt ook dat een gelijkaardig incident zich eerder had voorgedaan, en dat hij dat destijds had gemeld aan de Functionaris voor Gegevensbescherming (DPO) van Vzw A. De klager zou geen reactie hebben ontvangen op zijn e-mail van 24 oktober
  3. Op 7 november 2022 stuurt de klager een e-mail naar de toezichtscommissie en de adinterim voorzitter van Jongerenpartij B. Hij herneemt het standpunt van zijn e-mail van 24 oktober 2022 en voegt eraan toe dat zowel het beschikbaar stellen van de bewuste ledenlijst aan verweerster 2 als het gebruik ervan door verweerster 2 voor “persoonlijke verkiezingscampagnes” schendingen zouden zijn van de AVG. Hij zegt dat hij bij het inschrijven als lid van Partij A akkoord ging met haar privacyverklaring, maar dat hij nooit een privacyverklaring van Jongerenpartij B tegenkwam. De klager stelt dat noch de privacyverklaring van Partij A, noch het huishoudelijk reglement van Jongerenpartij B aan verweerster 2 toelieten de mailinglijsten te bezitten en te gebruiken. 2 3 Hierna: “de e-mail van 13 oktober 2022” Deze commissie ziet toe op de naleving van het “Verkiezingsreglement” van Jongerenpartij B, dat deel uitmaakt van haar Huishoudelijk Reglement en het verloop van de voorzittersverkiezingen bepaalt. Beslissing ten gronde 117/2024 — 3/17 Vzw B antwoordt op dezelfde dag. Zij stelt dat het mogelijke gebruik van een mailing uit het secretariaat “een grijze zone betreft. Aangezien beide kandidaten reeds geruime tijd lid zijn van onze partij en dus ook heel wat contacten hebben, is het geen evidentie om te bepalen of men mailadressen bekomen is via een mailing uit het secretariaat dan wel via een eigen adresboek.” Op 7 november 2022 stuurt de klager ook een e-mail naar privacy@[...], met omstreeks dezelfde inhoud als zijn email naar de toezichtscommissie en de ad-interim voorzitter van Jongerenpartij B van dezelfde dag. De DPO van Vzw A antwoordt hierop op 15 november
  4. Deze verklaart dat Vzw B voor de verwerking van ledendata beroep doet op Vzw A. Verder stelt de DPO dat Vzw A een algemeen beleid aanhoudt “om nooit gegevens door te geven aan andere leden van onze partij”. Hij stelt aan de klager voor om hem bij te staan in het onderzoek naar wat er is gebeurd. Op 9 november 2022 stuurt verweerster 2 een e-mail naar de lokale voorzitters van Jongerenpartij B in Antwerpen met betrekking tot de verkiezingen voor het nationaal voorzitterschap van Jongerenpartij B. Onderaan de e-mail vermeldt zij dat zij de namen van de geadresseerden op de website van Jongerenpartij B had gevonden. De klager stuurt deze e-mail op dezelfde dag door naar Vzw B, waarbij hij betwist dat verweerster 2 de gegevens van de website haalde. Op 10 november 2022 antwoordt de toezichtscommissie van Jongerenpartij B op de e-mail van de klager. Zij bevestigt dat Vzw B inderdaad een aparte privacyverklaring nodig heeft, en dat dit aangepakt zal worden. Met betrekking tot het gebruik van de mailinglijst door verweerster 2 stelt zij dat er geen fout werd gemaakt. De klager geeft op 15 en 17 november 2022 nogmaals aan dat hij niet akkoord is met de beslissing van de toezichtscommissie van Vzw B. Deze laatste antwoordt op beide e-mails dat zij bij haar oordeel blijft.
  5. Op 4 december 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de drie verweersters. De klager stelt dat verweerster 2 geen gebruik mocht maken van de betrokken gegevens om een e-mail te sturen in verband met haar verkiezingscampagne. Verder stelt de klager dat Vzw B geen privacyverklaring zou hebben.
  6. Op 9 december 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
  7. Op 15 december 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
  8. Op 22 december 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Beslissing ten gronde 117/2024 — 4/17 Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweersters vastgelegd op 2 februari 2023, deze voor de conclusie van repliek van de klager op 23 februari 2023 en ten slotte deze voor de conclusie van repliek van de verweersters op 16 maart
  10. Op 23 december 2022 aanvaarden Vzw A en Vzw B elektronisch alle communicatie omtrent de zaak.
  11. Op 26 december 2022 aanvaardt verweerster 2 elektronisch alle communicatie omtrent de zaak.
  12. Op 1 februari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
  13. Op 1 februari 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege verweerster
  14. In hoofdorde verzoekt verweerster 2 aan de Geschillenkamer om een bemiddelingspoging te ondernemen om de partijen te verzoenen, en in ondergeschikte orde verzoekt zij een buitenvervolgingstelling voor het uitsturen van de e-mails van 13 oktober 2022 en 9 november
  15. Zij geeft ook te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
  16. Op 2 februari 2023 ontvangt de Geschillenkamer de conclusie van antwoord vanwege Vzw A en Vzw B. Hoewel deze conclusies afzonderlijk zijn ingediend, zijn ze inhoudelijk identiek en worden ze hier gezamenlijk samengevat. In hoofdorde verzoeken verweersters 1 en 3 de Geschillenkamer om een bemiddelingspoging te ondernemen om de partijen te verzoenen, en in ondergeschikte orde verzoeken zij om de klacht jegens hen te seponeren of hen buiten vervolging te stellen. Zij geven ook te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
  17. Op 23 februari 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager. In hoofdorde verzoekt de klager aan de Geschillenkamer om een administratieve boete op te leggen aan de verweersters, samen met een tijdelijke verwerkingsbeperking totdat er maatregelen zijn genomen om dergelijke situaties te voorkomen. In ondergeschikte orde verzoekt de klager aan de Geschillenkamer om een tijdelijke verwerkingsbeperking op te leggen, en in meest ondergeschikte orde verzoekt de klager om de verweersters te gelasten de verwerkingen in overeenstemmening te brengen met de bepalingen van de AVG, en minstens de verweersters te berispen.
  18. Op 15 maart 2023 ontvangt de Geschillenkamer de conclusies van repliek van de Vzw A en Vzw B. Beslissing ten gronde 117/2024 — 5/17
  19. Op 15 maart 2023 ontvangt de Geschillenkamer de conclusie van repliek van de tweede verweerster.
  20. Op 18 juni 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 2 juli
  22. Op 2 juli 2024 worden de partijen gehoord door de Geschillenkamer. De klager, hoewel behoorlijk opgeroepen, is niet verschenen. De verweersters lichten tijdens de hoorzitting hun verweer toe.
  23. Op 4 juli 2024 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. De Geschillenkamer geeft hen tot 17 juli 2024 de mogelijkheid om eventuele opmerkingen te maken. Op 17 juli 2024 stelt de Geschillenkamer vast geen opmerkingen te hebben ontvangen met betrekking tot het proces-verbaal. II. Motivering
  24. In haar brief van 22 december 2022 stelde de Geschillenkamer vast dat de reikwijdte van deze zaak betrekking heeft op

(1)het versturen van de e-mail van 13 oktober 2022 op basis van een ledenlijst van Jongerenpartij B West-Vlaanderen, en
(2)het naleven van de transparantie- en informatieplichten. II.
  1. Betreffende de verwerkingsverantwoordelijkheid
  2. Alvorens op de bezwaren van de klager in te gaan, onderzoekt de Geschillenkamer wie in dit geval verantwoordelijk is voor de gegevensverwerking.
  3. De AVG definieert een “verwerkingsverantwoordelijke” als de entiteit die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt
  4. De EDPB heeft verduidelijkt dat het concept van verwerkingsverantwoordelijke betrekking heeft op de impact van de verwerkingsverantwoordelijke op de verwerking van gegevens, gebaseerd op een beslissingsbevoegdheid of controle over de verwerkingsactiviteiten. Zulke controle kan voortkomen uit wettelijke bepalingen, voortvloeien uit een impliciete bevoegdheid of gegrond zijn op de uitoefening van een feitelijke invloed
  5. Deze analyse vereist een feitelijke beoordeling 6, waarbij bestaande 4 Artikel 4
(7)van de AVG. 5 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer. 20 e.v 6 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer
  1. Beslissing ten gronde 117/2024 — 6/17 regelingen getoetst worden aan de feitelijke omstandigheden van de relatie tussen de partijen
  3. In casu stellen de verweersters dat de betrokken verwerking van persoonsgegevens plaatsvond in de context van de ledenadministratie van Partij A (Vzw A) en Jongerenpartij B (Vzw B). Het beleid betreffende gegevensverwerking van deze twee verweersters is volgens hen nagenoeg identiek aangezien het lidmaatschap van Jongerenpartij B een aanvulling is op het lidmaatschap van Partij A, en de gegevens met dezelfde doeleinden, bewaartermijnen en rechtsgronden worden verwerkt. Vzw B zou haar volledige databeheer gespiegeld hebben aan dat van Vzw A. Er wordt éénzelfde loket aangeboden voor elke contactname, het aanmaken van lidmaatschap verloopt via dezelfde flow, er is één CRMsysteem, en er is één DPO voor beide verweersters. Betrokkenen die lid willen worden van Jongerenpartij B zijn verplicht om eerst lid te worden van Partij A. Dit gebeurt via hetzelfde registratieformulier, onder dezelfde voorwaarden en volgens dezelfde privacyverklaring. Desondanks stellen de verweersters dat enkel Vzw B de verwerkingsverantwoordelijke is betreffende de verwerking van de gegevens van de leden van Jongerenpartij B. Vzw A zou in dat verband als verwerker optreden.
  4. Uit de feitelijke omstandigheden blijkt echter dat zowel Vzw A als Vzw B de doeleinden en de essentiële middelen van de verwerking van de gegevens van de leden van Jongerenpartij B bepalen. Zo verwijzen Vzw A en Vzw B naar een reglement dat “binnen Partij A” (i.e. Vzw A) werd opgezet omtrent het gebruik van de e-mailadressen van leden8, en eveneens van toepassing zou zijn op de leden van Jongerenpartij B. Dit reglement bepaalt, onder andere, welke personen toegang krijgen tot de gegevens en aan welke categorieën van betrokkenen de e-mails geadresseerd kunnen worden. De Geschillenkamer merkt op dat deze middelen als essentiële middelen kunnen worden beschouwd, waarvan de bepaling inherent voorbehouden is aan de verwerkingsverantwoordelijke. Voorts bepaalt dit beleidsdocument deels de doeleinden waarvoor de ledengegevens gebruikt kunnen worden. Zo moeten, bijvoorbeeld, mailingen van geledingen die ruimer geadresseerd worden dan aan de eigen leden aangevraagd worden bij de provinciale voorzitter van Partij A. Bovendien heeft het nationaal secretariaat (Vzw A) inspraak over het moment waarop emails worden verstuurd.
  5. In de praktijk wordt de verwerking van de ledengegevens van Jongerenpartij B bepaald door convergerende besluiten van zowel Vzw B als Vzw A, die elkaar aanvullen en noodzakelijk zijn voor de verwerking, zodanig dat zij beiden een tastbare invloed hebben op de vaststelling van de doeleinden en middelen van de verwerking. Wat betreft de gegevens van 7 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_nl.pdf, randnummer
  6. 8 Stuk 3 bij de conclusies van Vzw A en Vzw B. Beslissing ten gronde 117/2024 — 7/17 leden van Jongerenpartij B, zijn de verwerkingsactiviteiten uitgevoerd door Vzw A en Vzw B onafscheidelijk en onlosmakelijk verbonden.
  7. De Geschillenkamer concludeert op grond van het bovenstaande dat Vzw A en Vzw B een beslissende invloed uitoefenen op de vaststelling van de middelen en doeleinden, zodat deze twee entiteiten gezamenlijke verwerkingsverantwoordelijken zijn met betrekking tot de verwerking van de persoonsgegevens van de leden van Jongerenpartij B.
  8. De Geschillenkamer is verder van oordeel dat verweerster 2 niet persoonlijk als verwerkingsverantwoordelijke kan worden aangemerkt met betrekking tot de verwerkingen die binnen de reikwijdte van de huidige procedure vallen
  9. Hoewel er geen beperking bestaat ten aanzien van het soort entiteit dat de rol van verwerkingsverantwoordelijke kan vervullen, is dit in de praktijk doorgaans de organisatie zelf, en niet een persoon binnen de organisatie
  10. Werknemers met toegang tot persoonsgegevens worden doorgaans beschouwd als “personen die handelen onder het gezag van de verwerkingsverantwoordelijke of van de verwerker” in de zin van artikel 29 van de AVG
  11. In uitzonderlijke omstandigheden kan het echter voorkomen dat een werknemer persoonsgegevens gebruikt voor zijn eigen doeleinden, waardoor het recht dat hem of haar is verleend, onrechtmatig wordt overschreden
  12. In zulke gevallen wordt de werknemer beschouwd als de verwerkingsverantwoordelijke aangezien hij zelf de doelstelling en het middel van de verwerking vaststelt. In het onderhavige geval was verweerster 2 geen werknemer, maar wel een persoon die tot de organisatie van Vzw B behoorde zodat de voorafgaande overwegingen mutatis mutandis van toepassing zijn. Ondanks haar functie als provinciaal voorzitter, lijkt verweerster 2 niet betrokken te zijn geweest bij de bepaling van de doeleinden en middelen van de verwerking (zie randnummer 21). De Geschillenkamer oordeelt verder dat het gebruik van de ledenlijst van Jongerenpartij B door verweerster 2 voor het verzenden van de e-mail van 13 oktober 2022, aansloot bij de door Vzw A en Vzw B vastgestelde doeleinden en middelen. Verweerster 2 stelt namelijk dat haar e-mail van 13 oktober 2022 noodzakelijk was in het kader van haar functie als provinciaal voorzitter van Jongerenpartij B om de leden te verwittigen van haar ambities om nationaal voorzitter te worden. Indien zij daartoe verkozen zou worden, kon zij haar functie als provinciaal voorzitter niet blijven uitoefenen. De Geschillenkamer volgt deze redenering, maar merkt evenwel op dat verweerster 2 het interne beleid van de organisatie schond door de e-mailadressen rechtstreeks te gebruiken zonder tussenkomst van het secretariaat. Vzw A en Vzw B stellen echter niet dat verweerster 2 de doeleinden en middelen van de verwerking zelf had bepaald 9 Zie II.5 van deze beslissing met betrekking tot verwerkingen die buiten de reikwijdte van deze beslissing vallen 10 EDPB Richtsnoeren 07/2020 randnummer 17 11 EDPB Richtsnoeren 07/2020 randnummer 19 12 EDPB Richtsnoeren 07/2020 randnummer 19 Beslissing ten gronde 117/2024 — 8/17 en dus als verwerkingsverantwoordelijke moet worden aangemerkt
  13. Bovendien werd verweerster 2 bij het versturen van haar e-mail van 13 oktober 2022 bijgestaan door een medewerker van Vzw A, die de betreffende gegevens aan haar had doorgegeven. De Geschillenkamer oordeelt verwerkingsverantwoordelijke dat is het om de plicht passende van de organisatie als technische en organisatorische maatregelen te treffen, zoals opleiding en informatie voor werknemers, om de naleving van de AVG te waarborgen (zie onderdeel II.3 van deze beslissing). II.
  14. Betreffende het principe van rechtmatigheid (Artikel 5.1.a) AVG) bij het opsturen van de e-mail van 13 oktober 2022 II.2.
  15. Standpunt van de partijen
  16. De klager verzet zich niet tegen het feit dat verweerster 2 e-mails stuurt op basis van de ledenlijsten. Als provinciaal voorzitter van Jongerenpartij B West-Vlaanderen had zij, volgens de klager, het recht op toegang tot deze gegevens. Hij stelt echter dat verweerster 2 inbreuk maakte op artikelen 5.1.a) en b) en 6.1 van de AVG door deze gegevens te gebruiken voor een “persoonlijke verkiezingscampagne”. Er zou namelijk geen geldige rechtsgrond zijn geweest op basis waarvan verweerster 2 de persoonsgegevens mocht verweken om de betreffende e-mail te verzenden. Aangezien Vzw B ten tijde van de klacht geen privacyverklaring had, stelt de klager dat hij geen toestemming kon hebben gegeven overeenkomstig artikel 6.1.a) AVG. Verder stelt hij dat e-mails betreffende een persoonlijke campagne of kandidatuurstelling voor interne nationale voorzittersverkiezingen niet noodzakelijk zijn voor de uitvoering van de overeenkomst in het kader van het ledenbeheer, zodat de verwerking ook niet kan berusten op artikel 6.1.b) AVG. Het gerechtvaardigd belang (artikel 6.1.f) AVG) is volgens de klager evenmin een geldige rechtsgrond voor het verzenden van gepersonaliseerde e-mails, omdat dit bijzonder indringend is en zijn grondrechten en fundamentele vrijheden zwaarder doorwegen.
  17. Vzw A, verweerster 2 en Vzw B stellen dat de verwerking van persoonsgegevens van de leden van Partij A en Jongerenpartij B gebaseerd kan worden op artikel 6.1.b) AVG en artikel 9.2.d) AVG omdat het hier een bijzondere categorie van persoonsgegevens betreft. Voorts stellen zij dat verweerster 2 als toenmalige voorzitter van Jongerenpartij B WestVlaanderen gerechtigd was om toegang te hebben tot de ledendata van haar eigen contingent aan leden. Een voorzitter moet volgens hen de leden kennen en kunnen aanspreken. Zij zou in de eerste plaats gebruik hebben gemaakt van de e-mailadressen om 13 Dit argument maken de verweersters wel met betrekking tot het gebruik door verweerster 2 van publiek beschikbare emailadressen om op 9 november 2022 een e-mail te sturen naar de voorzitters van de lokale afdelingen van Jongerenpartij B in de provincie Antwerpen. Dit wordt niet in de huidige beslissing besproken aangezien het buiten de reikwijdte van de zaak valt. Beslissing ten gronde 117/2024 — 9/17 haar leden rechtstreeks te kunnen bereiken. Dit vloeit volgens de verweersters voort uit de gebruikelijke werking van een ledenvereniging zoals Jongerenpartij B. II.2.
  18. Oordeel van de Geschillenkamer
  19. De Geschillenkamer is van oordeel dat artikel 6.1.b) AVG in dit geval niet als een geldige rechtsgrond kan worden ingeroepen. Dat artikel voorziet in een rechtsgrondslag voor de verwerking van persoonsgegevens indien de “verwerking noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”. Voor een succesvol beroep op deze rechtsgrond moet de verwerking dus noodzakelijk zijn voor het uitvoeren van een specifieke overeenkomst met de betrokkene. De verweersters leggen echter geen overeenkomst voor waarvoor de betwiste verwerking noodzakelijk zou zijn.
  20. Vzw A en Vzw B hebben derhalve artikelen 5.1.a) en 6.1 AVG geschonden door zich op een ongeldige rechtsgrond te beroepen.
  21. De Geschillenkamer concludeert echter niet dat er geen passende rechtsgrond bestaat voor de onderhavige verwerking van persoonsgegevens.
  22. De Geschillenkamer overweegt dat er mogelijk beroep kan worden gedaan op artikel 6.1.f) AVG, op basis waarvan een verwerking rechtmatig is wanneer het noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.
  23. Overeenkomstig de rechtspraak van het Hof van Justitie van de Europese Unie dient de verwerkingsverantwoordelijke aan drie cumulatieve voorwaarden te voldoen voor een rechtsgeldig beroep op deze rechtmatigheidsgrond. Zij moet kunnen aantonen
(1)dat de belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”);
(2)dat de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en
(3)dat de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”) 14. 32. Ten eerste is de Geschillenkamer van oordeel dat het doeleinde dat erin bestaat de eigen leden van een politieke partij te informeren over ontwikkelingen binnen de partij, een gerechtvaardigd belang vormt. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1.
  1. f)AVG. Teneinde te voldoen aan de tweede voorwaarde, dient te worden 14 Arrest van het Hof (Tweede kamer) van 4 mei 2017, Zaak C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, par. 28 Beslissing ten gronde 117/2024 — 10/17 aangetoond dat de verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. In casu lijkt het gebruik van e-mail noodzakelijk om alle leden te kunnen bereiken om hen te kunnen informeren over ontwikkelingen binnen de partij. Ten slotte dient bij de "afwegingstoets" te worden beoordeeld of de betrokkene “op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden”15. De Geschillenkamer oordeelt dat het versturen van e-mails door een politieke organisatie zoals Vzw B naar haar eigen leden om hen te informeren over ontwikkelingen binnen de organisatie, behoort tot de normale verwachtingen van de leden in functie van hun lidmaatschap. Dit geldt ook voor het gebruik van de eigen ledenlijsten voor verkiezingsdoeleinden, zoals werd vastgesteld in de Nota van de GBA inzake de Verwerking van de Persoonsgegevens in het Kader van de Verkiezingen 16. 33. Op basis van het bovenstaande oordeelt de Geschillenkamer dat Vzw A en Vzw B op basis van artikel 6.1.
  2. f)AVG de gegevens van hun eigen leden mogen verwerken om hen e-mails te sturen zoals de e-mail van 13 oktober 2022. 34. De Geschillenkamer herhaalt evenwel dat Vzw A en Vzw B artikelen 5.1.
  3. a)en 6.1 van de AVG hebben geschonden door zich verkeerdelijk op artikel 6.1.
  4. b)AVG te beroepen. 35. Daarnaast is het relevant om op te merken dat, zoals Vzw A en Vzw B ook aangeven, persoonsgegevens die verwerkt worden in het kader van lidmaatschap bij politieke organisaties zoals Partij A en Jongerenpartij B, gegevens zijn waaruit de politieke opvattingen van de betrokkenen blijken. Deze gegevens behoren tot de bijzondere categorieën van persoonsgegevens, waarvan de verwerking op basis van artikel 9.1 AVG in principe verboden is tenzij één van de uitzonderingen in artikel 9.2.
  5. a)–
  6. j)AVG van toepassing is. In casu beroepen Vzw A en Vzw B zich op de uitzondering in artikel 9.2.
  7. d)AVG17, dewelke een uitzondering bepaalt voor de verwerking van de gegevens van leden of voormalige leden van een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek gebied werkzaam is, of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden. De Geschillenkamer oordeelt dat deze uitzondering inderdaad van toepassing is in het onderhavige geval. 15 Overweging 47 AVG 16 Raadpleegbaar via https://www.gegevensbeschermingsautoriteit.be/publications/nota-inzake-de-verwerking-vanpersoonsgegevens-in-het-kader-van-de-verkiezingen.pdf, p7 17 “de verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt;” Beslissing ten gronde 117/2024 — 11/17 II.3. Betreffende de beginselen van integriteit en vertrouwelijkheid (5.1.
  8. f)AVG) bij het rechtstreeks doorgeven van de ledenlijsten aan verweerster 2 36. De Geschillenkamer dient vervolgens te beoordelen of de verwerkingsverantwoordelijken het principe van integriteit en vertrouwelijkheid naleefden overeenkomstig artikel 5.1.
  9. f)AVG. II.3.1. Standpunt van de partijen 37. De verweersters verklaren in hun conclusies dat verweerster 2 op 9 mei 2022 een export van het ledenbestand van alle West-Vlaamse leden van Jongerenpartij B ontving van een werknemer bij Vzw A. De e-mail van 13 oktober 2022 werd op basis van deze ledenlijst verstuurd. 38. De klager stelt dat Vzw A en Vzw B onvoldoende maatregelen hadden genomen om de persoonsgegevens te beveiligen, wat volgens hem een schending is van artikel 32.1 en 32.4 AVG. Hij wijst erop dat het reglement van Vzw A over het gebruik van e-mailadressen van leden bepaalt dat voorzitters van geledingen geen rechtstreekse toegang krijgen tot de emailadressen van leden en dat mailingen via het secretariaat moeten verlopen18. Desondanks ontving hij de e-mail van 13 oktober 2022 van het persoonlijke e-mailadres van verweerster 2. De klager voegt toe dat hij op 26 december 2021 al een e-mail had ontvangen van het persoonlijke e-mailadres van een kandidaat voor de interne verkiezingen van Partij A West-Vlaanderen, en dat hij dit had gemeld aan de DPO van Vzw A. Hij stelt dat de emailadressen van leden herhaaldelijk werden doorgegeven aan kandidaten voor interne verkiezingscampagnes. Verder stelt de klager dat er na zijn melding onvoldoende maatregelen werden genomen. Hij beweert sinds november 2021 meerdere e-mails van verweerster 2 te hebben ontvangen, wat volgens hem aantoont dat verweerster 2 reeds over een ledenlijst beschikte voordat de betrokken werknemer een uittreksel uit het ledenbestand aan haar had overgemaakt. 39. Vzw A en Vzw B stellen dat zij voldoende maatregelen hebben genomen om de beveiliging van ledendata te waarborgen. Het huidige CRM-systeem zou ontwikkeld zijn met aandacht voor veiligheid en “privacy by design”. Verder voeren de verweersters aan dat hun medewerkers gebonden zijn door een bijlage bij het arbeidsreglement, getiteld “Privacyclausule Algemene Verordening Gegevensbescherming” 19, die regelt hoe zij moeten omgaan met persoonsgegevens in de uitoefening van hun taken. Daarnaast zijn alle werknemers gebonden door een vertrouwelijkheidsovereenkomst20 en ontvangen zij een 18 Stuk 3 syntheseconclusies verweerster 1 en 3 19 Stuk 14 syntheseconclusies Vzw A en 3 20 Stuk 15 syntheseconclusies Vzw A en 3 Beslissing ten gronde 117/2024 — 12/17 opleiding die een sensibilisering omtrent AVG-principes omvat21. Bovendien is er binnen Partij A een reglement opgesteld over het gebruik van de e-mailadressen van leden22, dat ook van toepassing is op Vzw B. Dit reglement bepaalt dat voorzitters van geledingen geen directe toegang krijgen tot de e-mailadressen van leden, en dat mailingen via het secretariaat moeten verlopen. Het overmaken van de lijst e-mailadressen aan verweerster 2 wordt door de verweersters toegeschreven aan een fout van de betrokken medewerker, die hiermee het interne beleid heeft geschonden. II.3.2. Beoordeling door de Geschillenkamer 40. Artikel 5.1.
  10. f)AVG bepaalt dat “[persoonsgegevens] door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. 41. In verdere uitwerking van artikel 5.1.
  11. f)AVG bepaalt artikel 32.1 AVG dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hierbij moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context, de verwerkingsdoeleinden en de waarschijnlijkheid en ernst van de uiteenlopende risico’s voor de rechten en vrijheden van personen. 42. Artikel 32.2 AVG bepaalt dat bij de beoordeling van het passende beveiligingsniveau rekening moet gehouden worden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. In dit verband merkt de Geschillenkamer op dat de betrokken persoonsgegevens als bijzondere categorieën van persoonsgegevens kunnen worden aangemerkt. Het lidmaatschap van Partij A en Jongerenpartij B is namelijk een persoonsgegeven waaruit de politieke opvattingen van de leden kunnen blijken. Hierdoor zijn deze gegevens bijzonder gevoelig en is een betere bescherming vereist. 43. De Geschillenkamer erkent dat de verweersters maatregelen hebben genomen om de beveiliging van persoonsgegevens te waarborgen. Dit blijkt onder meer uit de "Privacyclausule Algemene Verordening Gegevensbescherming" en de vertrouwelijkheidsovereenkomst die alle werknemers bindt. Bovendien ontvangen alle 21 Stuk 2 syntheseconclusies Vzw A en Vzw B 22 Stuk 3 syntheseconclusies Vzw A en Vzw B Beslissing ten gronde 117/2024 — 13/17 werknemers een opleiding waarin ook AVG-principes aan bod komen, en werd er een intern beleid ontwikkeld om de toegang tot de e-mailadressen van leden te beperken. Hierin werd beslist dat voorzitters van geledingen geen rechtstreekse toegang zouden hebben naar de e-mailadressen van leden. Desondanks deed zich een incident voor waarbij een werknemer de ledenlijsten doorgaf aan verweerster 2, die de e-mailadressen gebruikte zonder tussenkomst van het secretariaat. Dat wijst op een tekortkoming in de handhaving van de maatregelen die door Vzw A en Vzw B werden getroffen. 44. De Geschillenkamer herhaalt dat een werknemer als verwerkingsverantwoordelijke kan worden beschouwd als hij het recht dat hem is verleend onrechtmatig overschrijdt en persoonsgegevens voor zijn eigen doeleinden gebruikt23. In casu is dat niet het geval, aangezien de betrokken werknemer de gegevens meende te gebruiken voor de doeleinden die Vzw A en Vzw B hadden bepaald, ondanks de overtreding van het interne beleid. Het is de plicht van de organisatie als verwerkingsverantwoordelijke om passende technische en organisatorische maatregelen te treffen, zoals adequate opleiding en informatie voor werknemers, om ervoor te zorgen dat de AVG wordt nageleefd. 45. Om de hierboven uiteengezette redenen oordeelt de Geschillenkamer dat Vzw A en Vzw B artikel 5.1.
  12. f)AVG gelezen in samenhang met artikelen 24.1 en 32 AVG, hebben geschonden door onvoldoende technische en organisatorische maatregelen te handhaven. II.4. Betreffende de transparantie- en informatieplichten (artikelen 12, 13 en 14 AVG) 46. De klager stelt dat Vzw B artikelen 12, 13 en 14 AVG heeft geschonden doordat zij ten tijde van de klacht geen privacyverklaring had. Hierdoor is de klager nooit geïnformeerd geweest over de verwerking van zijn persoonsgegevens door Vzw B en heeft hij evenmin zijn toestemming gegeven voor deze verwerking. Het feit dat Vzw A wel een privacyverklaring had, doet hieraan geen afbreuk. Ter onderbouwing van zijn standpunt legt de klager een email van de toezichtscommissie van Jongerenpartij B van 10 november 2022 voor. In deze e-mail erkent de toezichtscommissie dat Jongerenpartij B een afzonderlijke privacyverklaring nodig heeft. Voorts zou de toezichtscommissie van de Raad van Bestuur van Jongerenpartij B hebben vernomen dat het ontbreken van een privacyverklaring zou worden aangepakt. 47. Vzw A en Vzw B betogen daarentegen in hun syntheseconclusies dat Vzw B haar transparantie- en informatieplichten met betrekking tot de verwerking van persoonsgegevens van haar leden wel degelijk is nagekomen. Zij stellen dat het beleid rond databeheer en privacy van Vzw B volledig gespiegeld is aan dat van Vzw A. Deze laatste zou wel een privacyverklaring hebben gepubliceerd op haar website. 23 EDPB Richtsnoeren 07/2020 randnummer 19 Beslissing ten gronde 117/2024 — 14/17 48. Tijdens de hoorzitting op 2 juli 2024 demonstreerde het secretariaat van de Geschillenkamer dat de hyperlink “Privacyverklaring” op de website van Jongerenpartij B24 de gebruiker doorverwijst naar de privacyverklaring op de website van Partij A25. In deze privacyverklaring staat vermeld: “Deze privacyverklaring regelt de verwerking van uw persoonsgegevens door de verantwoordelijke voor de verwerking: Partij A, vertegenwoordigd door Vzw A” en “De verantwoordelijke voor de verwerking van uw persoonsgegevens is Partij A”. De Geschillenkamer verzocht de verweersters om dit nader toe te lichten. Zij erkenden dat de privacyverklaring inderdaad niet op de website van Jongerenpartij B staat, maar dat er wordt doorgeklikt naar de website van Partij A. Zij motiveren dit met het argument dat de verwerking van de persoonsgegevens in beide gevallen identiek is behalve met betrekking tot bezoeken aan het gebouw, aangezien deze niet worden bijgehouden door Vzw B. Voor ledenbeheer is de verwerking mutatis mutandis hetzelfde. De gegevensverwerking in verband met de website wordt geheel uitgevoerd onder hetzelfde domein door Vzw A. De verweersters erkennen dat het transparanter zou zijn om waar relevant rechtstreeks te verwijzen naar Vzw B in de privacyverklaring, aangezien dit een andere rechtspersoon en verwerkingsverantwoordelijke betreft. De overige informatie, inclusief de informatie met betrekking tot de uitoefening van de rechten van betrokkenen, zou echter ongewijzigd blijven. II.4.1. Oordeel van de Geschillenkamer 49. Transparantie is cruciaal om betrokkenen controle te geven over hun persoonsgegevens en om een effectieve bescherming van persoonsgegevens te waarborgen. Overeenkomstig artikel 12.1 van de AVG is de verwerkingsverantwoordelijke verantwoordelijk voor het nemen van passende maatregelen om de in de artikelen 13 en 14 van de AVG bedoelde informatie op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze in duidelijke taal en schriftelijk of met andere middelen, waaronder elektronische middelen, te verstrekken26. 50. De AVG specifieert de categorieën van informatie die aan een betrokkene moeten worden verstrekt met betrekking tot de verwerking van hun persoonsgegevens, zowel wanneer deze van de betrokkene zelf worden verzameld 27 als wanneer deze uit een andere bron worden verkregen28. De Geschillenkamer wijst erop dat artikel 13.1.
  13. a)AVG vereist dat de verwerkingsverantwoordelijke bij het verkrijgen van de persoonsgegevens de betrokkene informeert over de identiteit en de contactgegevens van de verwerkingsverantwoordelijke. 24 […] 25 […] 26 Art. 12.1 AVG 27 Artikel 13 AVG 28 Artikel 14 AVG Beslissing ten gronde 117/2024 — 15/17 In de bovenvermelde privacyverklaring worden echter alleen Partij A en Vzw A aangemerkt als verwerkingsverantwoordelijken. Er wordt niet verwezen naar Vzw B als verwerkingsverantwoordelijke. Voor betrokkenen die in de privacyverklaring 29 lezen dat het betrekking heeft op de verwerking van persoonsgegevens door Vzw A als verantwoordelijke, is het niet duidelijk dat dezelfde privacyverklaring van toepassing zou zijn op de verwerking van persoonsgegevens door Vzw B als verwerkingsverantwoordelijke. Hierdoor worden betrokkenen niet op transparante wijze geïnformeerd over de verwerking van hun persoonsgegevens. 51. Op basis van het bovenstaande oordeelt de Geschillenkamer dat Vzw B niet heeft voldaan aan haar transparantie- en informatieplichten overeenkomstig artikelen 12 en 13.1.
  14. a)AVG. Aangezien de persoonsgegevens bij de betrokkene werden verzameld (bij de registratie als lid van Partij A en Jongerenpartij B) is artikel 14 AVG niet van toepassing. II.5. Betreffende het beginsel van rechtmatigheid (artikel 5.1.
  15. a)AVG) bij het versturen van de e-mail van 9 november 2022 door verweerster 2 II.5.1. Standpunt van de partijen 52. De klager stelt dat verweerster 2 zijn persoonsgegevens onrechtmatig heeft verwerkt bij het versturen van haar e-mail op 9 november 2022. Volgens de klager kon deze e-mail niet terugvallen op het gerechtvaardigd belang (artikel 6.1.
  16. f)AVG), en was de verwerking derhalve onrechtmatig. Hij erkent in zijn conclusies echter dat dit punt geen expliciet onderdeel vormde van de oorspronkelijke klacht zoals die bij de GBA is ingediend. 53. Verweerster 2 voert aan dat zij voor haar e-mail van 9 november 2022 gerechtigd was om op basis van artikel 6.1.
  17. f)AVG en artikel 9.2.
  18. d)AVG gebruik te maken van e-mailadressen die zij van het internet had verzameld, aangezien het voeren van een eigen campagne een gerechtvaardigd belang betreft voor de campagnevoerder. Zij stelt dat de verwerking doelmatig en noodzakelijk was, en dat de belangen van de betrokkenen in evenwicht waren met haar gerechtvaardigde belangen. Ten slotte wijst zij erop dat zij onderaan de betreffende e-mail een toelichting had toegevoegd over de bron van de gegevens en de mogelijkheid om die gegevens te laten verwijderen. 54. Verweersters 1 en 3 stellen dat de verwerking van persoonsgegevens met betrekking tot de e-mail van 9 november 2022 uitsluitend onder de verantwoordelijkheid van verweerster 2 valt. 29 […] Beslissing ten gronde 117/2024 — 17/17 Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 31. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.32, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 31 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 32 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.