Beslissing ten gronde nr. 13/2022

1/58 Geschillenkamer Beslissing ten gronde 13/2022 van 27 januari 2022 Dossiernr.: DOS-2018-04433 Betreft: Onlinepublicatie van ruwe gegevens (tweets) en analyse van deze gegevens De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Yves Poullet en Christophe Boeraeve, leden, die de zaak in deze samenstelling in behandeling neemt; Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: ▪ de verwerende partijen: - De vzw EU DisinfoLab (hierna 'EU DisinfoLab'), met maatschappelijke zetel te […], ingeschreven in de Kruispuntbank van Ondernemingen (KBO) onder nummer […], vertegenwoordigd door mr. Merav Griguer, gevestigd te Centre d'affaires Edouard VII, 3 square Edouard VII, 75009 Parijs, Frankrijk (eerste verweerster). - De heer N.Vanderbiest, […], (tweede verweerder). Beslissing ten gronde 13/2022 - 2/58 I. 1. FEITEN EN ANTECEDENTEN VAN DE PROCEDURE Deze procedure vindt plaats in een zeer specifieke en zeer mediatieke context. Naar aanleiding van een debat op het Twitter-platform over een medewerker van de president van de Franse Republiek heeft een vzw, die tot doel heeft desinformatie ('fake news') te bestrijden, deze tweets geanalyseerd. Nog vóór de publicatie van het resultaat van deze analyse hebben die vzw en een van haar vrijwilligers de geanalyseerde ruwe gegevens, met inbegrip van persoonsgegevens, van een groot aantal personen gepubliceerd. 2. Naar aanleiding van deze publicaties heeft een groot aantal betrokkenen klacht ingediend bij de GBA alsook bij de Franse gegevensbeschermingsautoriteit, de Commission Nationale d'Information et Libertés (CNIL).

1. a)De verwerende partijen 3. EU DisinfoLab, de eerste verweerster, is een Belgische vereniging die desinformatie onderzoekt en bestrijdt. Volgens haar statuten heeft zij met name tot doel "promouvoir la circulation d’informations vérifiées sur les réseaux sociaux, toutes les techniques, actions, initiatives et campagnes qui participent à ce but et de défendre les individus contre la propagation d’informations malveillantes, la désinformation et le phénomène des ‘fake news’ au niveau national, européen et international ; […] elle soutient toute initiative tendant à sourcer, renseigner, combattre et vérifier les fausses informations, particulièrement sur les médias sociaux". 4. Deze opdracht wordt nagestreefd via "le développement et la promotion des méthodologies, technologies et processus autour du sourcing des ‘Fake news’ et de la désinformation en général [et] le développement et la promotion d’études, analyses et publications sur le sujet de la désinformation, de la lutte contre elle et des nouveaux risques liés". 5. In 2018 bestond EU DisinfoLab uit drie vrijwillige leden-oprichters: de heren Gary Machado en Alexandre Alaphilippe (bestuurders), en de heer Nicolas Vanderbiest, tweede verweerder. 6. Ten tijde van de betwiste feiten, in juli 2018, was de heer Nicolas Vanderbiest auteur/redacteur van de blog ReputatioLab en onderzoeker aan de Université Catholique de Louvain (UCL). De heer Nicolas Vanderbiest was tevens zaakvoerder van de vzw Saper Vedere (hierna 'Saper Vedere'), een onderneming die diensten aanbiedt op het gebied van controle van sociale media. De bestuurders van EU DisinfoLab, de heren Gary Machado en Alexandre Alaphilippe, participeerden op het ogenblik van de feiten ook in het kapitaal van Saper Vedere. Beslissing ten gronde 13/2022 - 3/58
2. b)Klachten en verzoeken om informatie 7. Bij de Gegevensbeschermingsautoriteit ('GBA') en de CNIL werden elk van de klachten en verzoeken om informatie ingediend over de verwerking van persoonsgegevens in het kader van een studie getiteld "Affaire Benalla. Les ressorts d'un hyperactivisme sur Twitter" (hierna 'de Studie'). De Studie, die in augustus 2018 door de eerste verweerder online is geplaatst, was gebaseerd op een artikel dat de heer Nicolas Vanderbiest een maand eerder op zijn blog had gepubliceerd. Volgens de klachten had de Studie tot doel de politieke oorsprong te achterhalen van tweets in verband met een Franse controverse die bekend staat als de 'zaak Benalla' en die op 18 juli 2018 door de krant Le Monde is onthuld 1. 8. De klagers uiten verschillende klachten over het gebruik van hun persoonsgegevens voor de verwezenlijking van de Studie, en ook over de onlinepublicatie door DisinfoLab van Excel-bestanden met persoonsgegevens die afkomstig zijn van Twitter-accounts, die als basis dienden voor die Studie, en dit met het oog op transparantie en rechtvaardiging van de methodologie van de Studie2. De klagers trekken met name de wettigheid van de Studie in twijfel en wijzen erop dat zij niet hebben ingestemd met dergelijke verwerking van hun persoonsgegevens (met name politieke profilering) door EU DisinfoLab en/of de heer Vanderbiest. 9. De in België ontvangen klachten dateren respectievelijk van 10, 11, 13 en 16 augustus 2018 en werden door de Eerstelijnsdienst van de GBA ontvankelijk verklaard bij brieven van 20 september 2018. Deze klachten zijn op die datum ook naar de Geschillenkamer gezonden. 10. Aangezien Frankrijk het land is waar de meeste van de betrokkenen zich bevinden en waar de zaak 'Benalla' is losgebarsten, heeft de CNIL daarnaast 236 klachten en informatieverzoeken ontvangen. Overeenkomstig haar procedure heeft de CNIL de door de klagers ingediende klachten samengevat 3 en deze samenvatting aan de GBA bezorgd. Die klachten werden onderworpen aan een procedure om de leidende autoriteit aan te wijzen overeenkomstig artikel 56 van de AVG. In een zitting van 3 oktober 2018 heeft de Geschillenkamer de GBA erkend als de leidende toezichthoudende autoriteit in de zin van artikel 56, lid 1, van de AVG, terwijl de CNIL zich de 'betrokken toezichthoudende autoriteit' heeft verklaard in de zin van artikel 4, lid 22, onder
3. b)en c), van de AVG. 11. De AVG bevat een speciale regeling voor de behandeling van klachten met betrekking tot de grensoverschrijdende verwerking. De leidende toezichthoudende autoriteit is de 1 Zie https://www.lemonde.fr/societe/video/2018/07/27/l-affaire-benalla-resumee-en-5-minutes_5336901_3224.html; https://www.lemonde.fr/police-justice/article/2018/07/19/affaire-benalla-l-elysee-mis-en-cause-pour-ne-pas-avoir-saisila-justice_5333570_1653578.html; artikel geciteerd in het Inspectieverslag, p. 5. 2 Beschrijving van de klachten volgens het Inspectieverslag, p. 1. 3 De CNIL had het recht om de ontvangen klachten in beknopte vorm door te geven overeenkomstig de nationale procedure, waarin de klager geen actieve rol speelt. Zie de rol van de klager volgens de Belgische wet: https://gegevensbeschermingsautoriteit.be/publications/nota-inzake-de-positie-van-de-klager-in-de-procedure-bij-degeschillenkamer.pdf. Beslissing ten gronde 13/2022 - 4/58 autoriteit die het dossier verder ten gronde zal behandelen. In dit verband informeert zij de betrokken toezichthoudende autoriteiten regelmatig over de stand van zaken van het dossier en betrekt zij hen – overeenkomstig het in artikel 60 van de AVG vastgestelde samenwerkingsmechanisme – ook bij het nemen van een definitief besluit. De dossiers waarin het bovengenoemde Europese samenwerkingsmechanisme van toepassing is, zijn vaak complex, en wel om de volgende redenen: er zijn meerdere nationale toezichthoudende autoriteiten bij de zaak betrokken, die elk hun eigen nationale procedureregels hebben (bv. met betrekking tot de rol van de klager in een controle- en sanctieprocedure in geval van niet-naleving van de regelgeving, of met betrekking tot het taalgebruik). 12. In haar hoedanigheid van leidende autoriteit heeft de Geschillenkamer, een orgaan van de GBA, op basis van de argumenten van de betrokken partijen een ontwerpbesluit opgesteld, dat zij aan de CNIL, de betrokken autoriteit, ter beoordeling moest voorleggen (artikel 60, lid 3, van de AVG). De CNIL is bevoegd om het haar door de GBA voorgelegde ontwerp te onderzoeken. De CNIL kan een relevant en gemotiveerd bezwaar formuleren in de zin van artikel 60, lid 4, van de AVG. 13. In elk geval blijven de GBA en de CNIL de bevoorrechte gesprekspartners van de klagers in afwachting van het definitieve besluit. Nadat de GBA en de CNIL het besluit hebben vastgesteld, dienen ze het mee te delen aan de Belgische en Franse klagers die klachten bij hun diensten hebben ingediend (volgens de specifieke regels van artikel 56, leden 7 en 8, en artikel 60, leden 7 en 8 van de AVG). 14. Tijdens de zitting van 3 oktober 2018 heeft de Geschillenkamer besloten dat een onderzoek door de Inspectiedienst noodzakelijk was voordat zij haar ontwerpbesluit zou opstellen. De desbetreffende dossiers zijn op 5 oktober 2018 naar de Inspectiedienst gestuurd op basis van de artikelen 63, 2° en 94, 1° van de WOG. 15. Op 2 april 2020 heeft de Inspecteur-generaal zijn verslag aan de voorzitter van de Geschillenkamer bezorgd (artikel 91, § 1 en § 2 van de WOG).
4. c)Inspectieverslag 16. De Inspectiedienst heeft bij zijn verslag de klachten en informatieverzoeken gevoegd die de GBA heeft ontvangen. 17. De Inspectiedienst voegt bij zijn verslag ook de door de CNIL meegedeelde elementen: ▪ op 17 augustus 2018 toegezonden verslagen over de onlinecontrole die zij heeft uitgevoerd op EU DisinfoLab; ▪ samenvatting van de elementen in de 236 klachten die de CNIL toen heeft ontvangen en die op 22 augustus 2018 aan de GBA zijn bezorgd; Beslissing ten gronde 13/2022 - 5/58 ▪ brief van de voorzitter van de CNIL aan de GBA van 16 oktober 2018, waarin de voorzitter de aandacht van de GBA vestigt op de tot die datum ontvangen klachten (toen 241). 18. De Inspecteur-generaal verklaart in zijn verslag dat deze door de CNIL doorgezonden klachten "d’additionnels indices sérieux de l’existence d’une pratique susceptible de donner lieu à des infractions aux règles de protection des données" vormen4. De Inspectiedienst heeft dus gebruikgemaakt van zijn initiatiefrecht op grond van artikel 63, 6° van de WOG om deze Franse klachten te onderzoeken op basis van het door de CNIL toegezonden overzicht als aanwijzing van inbreuken. 19. Het Inspectieverslag identificeert de verschillende aan de kaak gestelde verwerkingen van persoonsgegevens als volgt: ▪ Verwerkingsactiviteiten 1: "les activités de traitement liées à la réalisation d’une étude par la première Défenderesse, fondée sur le traitement de données personnelles publiées publiquement sur Twitter. Cette Étude est introduite comme suit : « L’Affaire Benalla, révélée par le Monde, suivi de plusieurs rebondissements de la part de l’exécutif français, existe sans les réseaux sociaux. Dans le même temps, l’affaire Benalla a occupé Twitter en ce mois de juillet dans des volumes que nous n’avions presque jamais croisés auparavant. Ce volume a également été fortement amplifié par un petit nombre de comptes. Nous nous posons alors la question : comment s’exerce cette hyperactivité ? S'agit-il de partages militants ou est-ce également un gonflage numérique contaminé par de la désinformation ?"; in de door de eerste verweerster gepubliceerde Studie wordt verwezen naar vier andere 'studies' betreffende de analyse van de politieke affiniteiten van de auteurs van tweets, met name dat ze vermoedelijk dicht bij de Russische media 'Russia Today' en 'Sputnik' staan. De eerste verweerster stelt dat het gaat om de verwerking van Twitter-pseudoniemen, vrij gekozen door elke gebruiker, zonder enige identificatie van de natuurlijke personen die de pseudoniemen gebruiken 5. ▪ Verwerkingsactiviteiten 2: "il s’agit des activités de traitement liées à la publication en ligne de fichiers Excel contenant notamment les données ayant servi de base pour cette Étude et ce aux fins de transparence et de justification de la loyauté de l’Étude". Twee van deze Excel-bestanden bevatten 'ruwe' gegevens die uit Twitter zijn opgehaald. Met name de map 'Data brutes.csv' bevat de 'bio'-gegevens (d.w.z. biografische 'beschrijving') van de betrokken Twitter-gebruikersaccounts. De Inspectiedienst is in dit verband van mening dat "la finalité des activités de 4 5 Inspectieverslag, p. 7. Opmerkingen van de eerste verweerster naar aanleiding van de notulen van de hoorzitting, p. 3. Beslissing ten gronde 13/2022 - 6/58 traitement 2 était […] de justifier l’intégrité de l’Étude qui venait d’être réalisée par EU DisinfoLab et M. Nicolas Vanderbiest suite aux critiques émises à [son] encontre, par un accès à ses sources (ses données de base)6". De Geschillenkamer wijst er echter op dat op het tijdstip van de onlinepublicatie van de betreffende Excel-bestanden, de Studie nog niet was gepubliceerd. 20. Het Inspectieverslag benadrukt dat naast de identificatiegegevens van Twittergebruikersaccounts ook openbare tweets van duizenden gebruikers, geïdentificeerd aan de hand van een specifieke zoekopdracht, werden verwerkt om de Studie uit te voeren. 21. In het Inspectieverslag staat meer bepaald dat gegevens over 55.000 Twittergebruikers de basis van de Studie hebben gevormd, en dat meer dan 3.300 accounts van Twittergebruikers in het kader van verwerking 1 in vier klassen werden ingedeeld: ▪ klasse 1: de community van souvereinisten dicht bij bewegingen tegen het homohuwelijk ('les Républicains'); ▪ klasse 2: de community van het Rassemblement National, souvereinisten en enkele mensen uit de bewegingen tegen het homohuwelijk; ▪ klasse 3: de community die wordt gevormd door La France insoumise met poreuze banden met andere community's die een aantal valspositieven veroorzaken; ▪ klasse 4: de community die bestaat uit de media en poreuze banden met andere community's en de République en marche. 22. Het Inspectieverslag besluit dat er verschillende inbreuken op de AVG zijn in verband met de verwerkingsactiviteiten 1 en 2, na identificatie van de respectieve verwerkingsverantwoordelijken. 23. De klachten van de Inspectiedienst zijn:
5. a)voor verwerkingsactiviteit 1 (verwerkingsactiviteiten in verband met de uitvoering van de Studie) stelt de Inspectiedienst vast dat: ▪ "EU DisinfoLab serait responsable de traitement au sens de l’article 4.7 du RGPD et serait coupable des atteintes suivantes au RGPD : ▪ en ne disposant pas de documentation probante de nature à démontrer le respect du RGPD, quant à l’information des personnes concernées (articles 12 et 14 du RGPD), quant à la réalisation du registre des activités de traitement (article 30 du RGPD), quant à l’analyse à réaliser au titre de l’article 6, 1,
6. f)du RGPD, quant à la réalisation d’une analyse d’impact relative à la protection des données (article 35 6 Inspectieverslag, p. 22. Beslissing ten gronde 13/2022 - 7/58 du RGPD), quant à la mise en œuvre des mesures techniques et organisationnelles au sein de EU Disinifolab (article 32) et quant à l’existence d’un contrat avec les sous-traitants auxquels elle a eu recours dans le cadre de l’activité de traitement 1 (article 28.3 du RGPD), la première défenderesse a manqué aux obligations consacrées dans les articles 5.2 et 24 du RGPD) ; ▪ en ne disposant pas de contrats conclus avec Visibrain et Talkwalker, les deux partenaires principaux auxquels il a été recouru dans le cadre de l’activité de traitement 1, la première défenderesse a manqué aux obligations consacrées dans l’article 28.3 du RGPD ; ▪ en ne disposant pas de registre des activités de traitement, la première défenderesse a manqué aux obligations consacrées dans l’article 30 du RGPD; ▪ en ne disposant pas de politique de confidentialité, la première défenderesse a manqué aux obligations consacrées aux articles 5.1.a (transparence), 12 et 14 du RGPD ; ▪ en ne réalisant pas une analyse d’impact préalable, la première défenderesse a manqué aux obligations consacrées à l’article 35 du RGPD ; ▪ en ne gardant pas sous sa maîtrise le fichier « Acteursclassé sss.xlsx », et en ne pseudonymisant pas les données de ce fichiers permettant une identification directe des personnes via le « label » ou « screen name », le « display name » et la « bio », en ne notifiant pas à l’APD la violation de donnée résultant de la mise à disposition du fichier « Acteursclassés sss » et « Databrutes.csv » à partir de Twitter, via un lien Dropbox, par la deuxième défenderesse, la première défenderesse a manqué aux obligations consacrées aux articles 32 et 33.1 et 5.1.f du RGPD. À cet égard, la première défenderesse reconnaît que la deuxième défenderesse a diffusé ces fichiers sans son autorisation et en violation de ses procédures internes".
7. b)voor verwerkingsactiviteit 2 (publicatie van ruwe gegevens van de Studie): ▪ "EU DisinfoLab et M. Vanderbiest seraient respectivement responsables de traitement pour les données brutes (fichiers XL) qu’ils ont mises en ligne, et en cette qualité, se seraient rendus coupables des atteintes suivantes au RGPD : ▪ les finalités et moyens de traitement de données à caractère personnel consistant en la mise à disposition de fichiers (« acteursclassés.sss » et « databrutes.csv ») à partir de Twitter, via un lien Dropbox renvoyant à un compte Dropbox de l’entreprise Saper Vedere dont il était le gérant, ont été déterminés par M. Nicolas Vanderbiest qui en est par conséquent, le responsable de traitement au sens de l’article 4.7 du RGPD ; à cet égard, le Service d’Inspection constate que selon son Beslissing ten gronde 13/2022 - 8/58 appréciation, ce traitement de données constitue un manquement aux obligations consacrées dans les articles 5.1.a (licéité), 5.1.c du RGPD ; 5.1.f et 32 ; 5.1.a (transparence), 12 et 14 du RGPD, et enfin, les articles 6.1 et 9 du RGPD. ▪ les finalités et moyens de traitement de données à caractère personnel consistant en la mise à disposition de fichiers « Rumeurs&items » et « databrutes1 », à partir de Twitter, via un lien dl free.fr, ont été déterminés par EU DisinfoLab. EU DisinfoLab en est par conséquent le responsable de traitement au sens de l’article 4.7 du RGPD ; le Service d’Inspection constate que selon son appréciation, ce traitement de données constitue un manquement aux obligations consacrées aux articles 5.1.c du RGPD, 5.1.f et 32 ; 5.1.a (transparence) ; 12 et 14 du RGPD ; et 6.1 du RGPD."
8. d)Aan verweerders gerichte uitnodiging om verweermiddelen in te dienen en seponering van de ontvangen klachten 24. Na ontvangst van het Inspectieverslag heeft de Geschillenkamer in een zitting van 30 juni 2020 op grond van artikel 95, § 1, 1° en 98 van de WOG geoordeeld dat het dossier gereed was voor behandeling ten gronde en beslist: ▪ het Inspectieverslag te bezorgen aan de twee partijen die in dit verslag worden genoemd als verantwoordelijken voor de betwiste gegevensverwerking; ▪ de door de GBA ontvangen Belgische klachten te seponeren, en in een later stadium te beslissen hoe de klagers van dit besluit op de hoogte zouden worden gebracht. 25. Deze beslissingen om de Belgische klachten te seponeren, hebben geen equivalent in het Franse recht, waar de klager een minder actieve rol speelt dan in België en waar klachten kunnen worden onderzocht en afgesloten zonder tussenkomst van de klager 7. Om ervoor te zorgen dat de vele Franse klagers zich niet vergissen in de draagwijdte van deze Belgische 'seponeringsbeslissingen', indien zij daarvan kennis zouden nemen, heeft de Geschillenkamer op haar zitting van 5 mei 2020 beslist dat de Belgische klagers op de hoogte zullen worden gebracht van de seponeringen op de datum waarop het definitieve besluit wordt bekendgemaakt, zodat de klagers van meet af aan op de hoogte zijn van alle elementen van het besluit, namelijk het definitieve besluit en de seponering. Gelet op de specifieke kenmerken van de rol van de klager in de Franse procedure mogen klachten die door de CNIL zijn ontvangen en in beknopte vorm aan de GBA zijn bezorgd als indicatie van een inbreuk, niet door de CNIL of de GBA worden geseponeerd. 7 Zie de nota van de Geschillenkamer over de rol van de klager: https://gegevensbeschermingsautoriteit.be/publications/nota-inzake-de-positie-van-de-klager-in-de-procedure-bij-degeschillenkamer.pdf. Beslissing ten gronde 13/2022 - 9/58 26. Bij e-mail van de Geschillenkamer van 2 juli 2020 ontvingen beide verwerende partijen een kopie van het inspectieverslag, met inbegrip van de inventaris van stukken, en werden zij uitgenodigd om overeenkomstig artikel 98 van de WOG conclusies te trekken over dit verslag, met als uiterste datum voor ontvangst van de conclusies van EU DisinfoLab en de heer Vanderbiest 31 augustus 2020. De uiterste datum voor de ontvangst van korte conclusies van repliek werd voor beide partijen vastgesteld op 30 september 2020. De Geschillenkamer heeft de partijen verzocht de vertrouwelijkheid van de stukken in het proceduredossier te waarborgen, teneinde een sereen debat te bevorderen. 27. Op 2 en 6 juli 2020 hebben de verwerende partijen ermee ingestemd dat alle communicatie met betrekking tot hun klacht elektronisch verloopt. De eerste verweerster vraagt op 20 juli 2020 een kopie van de dossierstukken. De Geschillenkamer stuurt haar, alsook de tweede verwerende partij, die kopie op 28 juli 2020. 28. EU DisinfoLab heeft zijn conclusies bij e-mail van 28 augustus 2020 aan de Geschillenkamer en aan de heer Nicolas Vanderbiest bezorgd, en heeft zijn repliekconclusies bij e-mail van 1 oktober 2020 verstuurd. 29. De heer Nicolas Vanderbiest heeft zijn conclusies per e-mail van 31 augustus 2020 aan de Geschillenkamer en aan EU DisinfoLab bezorgd, en heeft nadien geen verdere argumenten ingediend, afgezien van zijn reactie op de notulen van de hoorzitting (zie hieronder).
9. e)Hoorzitting 30. Op 19 april 2021 werden de verwerende partijen per e-mail op de hoogte gesteld van een hoorzitting die op hun verzoek was gepland voor 17 mei 2021, op grond van artikel 98, lid 2, van de WOG en artikel 54 van het Reglement van interne orde van de GBA. Via deze e-mail worden de verwerende partijen ervan in kennis gesteld dat deze hoorzitting in het kader van de aanbevelingen van de Belgische regering met betrekking tot de pandemie per teleconferentie zal plaatsvinden. 31. De hoorzitting werd uitgesteld tot 2 juni wegens overmacht van een van de partijen. Beide verwerende partijen hebben op de hoorzitting hun argumenten uiteengezet, waarna de Geschillenkamer de debatten heeft gesloten. 32. Op 14 juni 2021 worden de notulen van de hoorzitting naar de verwerende partijen gestuurd. Op 21 juni sturen de twee verwerende partijen hun opmerkingen over de notulen van de hoorzitting naar de Geschillenkamer, met een kopie aan de andere verwerende partij. De Geschillenkamer voegt die opmerkingen bij het document. Beslissing ten gronde 13/2022 - 10/58
10. f)Sanctieformulier en Europese samenwerkingsprocedure 33. Op 23 september 2021 legt de Geschillenkamer overeenkomstig artikel 60, lid 3, van de AVG haar ontwerpbesluit voor advies voor aan de bevoegde toezichthoudende autoriteit, de CNIL. Op 21 oktober dient de CNIL een relevant en gemotiveerd bezwaar in de zin van artikel 60, lid 4, van de AVG in8. Dit bezwaar bevat de volgende argumenten: ▪ kwalificatie van de heer Vanderbiest als verwerkingsverantwoordelijke; ▪ motivering van de seponering van de klacht betreffende artikel 28 van de AVG; ▪ motivering van de seponering van de klacht betreffende de artikelen 28 en 30 van de AVG; ▪ motivering van de door de Belgische autoriteit in het kader van de verwerkingsactiviteiten 2 geconstateerde inbreuken; ▪ toepassing van artikel 83, lid 2, van de AVG en keuze van de voorgestelde corrigerende maatregel: de GBA stelde voor een waarschuwing en een berisping te geven; de CNIL is van oordeel dat een boete moet worden opgelegd gezien de omstandigheden van de zaak (aantal klachten, gevoelige aard van de gegevens en ernst van de inbreuken). 34. Op 29 oktober 2021 heeft de Geschillenkamer de verweerster in kennis gesteld van haar voornemen om een bestuurlijke boete op te leggen, alsmede van het bedrag van de boete, en de verweerster een antwoordtermijn tot en met 19 november geboden. 35. Op 4 november 2021 ontvangt de Geschillenkamer van de eerste verweerster een verzoek om informatie over de stand van de samenwerkingsprocedure met de CNIL. De eerste verweerster vraagt ook of haar toekomstige opmerkingen over de voorgenomen sanctie al dan niet aan de CNIL zullen worden meegedeeld. 36. Bij e-mail van 10 november 2021 antwoordt de Geschillenkamer, met de heer Nicolas Vanderbiest in kopie, dat het ontwerpbesluit van de Belgische gegevensbeschermingsautoriteit op 23 september 2021 ter beschikking van de CNIL is gesteld en dat de CNIL op 21 oktober 2021 een relevant en gemotiveerd bezwaar in de zin van artikel 60, lid 4, van de AVG heeft ingediend. De Geschillenkamer verduidelijkt ook de draagwijdte van het sanctieformulier in verband met de samenwerkingsprocedure, namelijk dat 8 Beraadslaging van de beperkte samenstelling nr. OBJ-2021-002 van 21 oktober 2021 betreffende de vereniging EU DisinfoLab en de heer Vanderbiest. Beslissing ten gronde 13/2022 - 11/58 ▪ de mededeling van dit formulier geschiedt met het specifieke doel de rechten van de verdediging van de verwerende partijen te eerbiedigen overeenkomstig de rechtspraak van het Marktenhof; ▪ de Geschillenkamer zich niet verplicht acht om samen met het ontwerpbesluit de documenten voor te leggen die nodig kunnen zijn om aan te tonen dat het recht om te worden gehoord is geëerbiedigd, voor zover zij de daartoe in dit besluit genomen maatregelen vermeldt; ▪ de Geschillenkamer evenwel bereid is om de opmerkingen van de eerste verweerster in het kader van de indiening van het herziene ontwerpbesluit, met instemming van de CNIL, aan deze laatste te doen toekomen. Ten slotte preciseert de Geschillenkamer ook dat zo nodig een nieuw sanctieformulier zal worden verstuurd wanneer in het kader van de samenwerkingsprocedure nieuwe elementen aan de orde worden gesteld, en voor zover die nieuwe elementen leiden tot vaststellingen waarvoor de partijen zich nog niet hebben kunnen verdedigen. 37. Op 4 januari 2022 heeft de Geschillenkamer haar herziene ontwerpbesluit aan de CNIL voorgelegd, overeenkomstig artikel 60, lid 5, van de AVG. Na goedkeuring van het herziene ontwerpbesluit door de CNIL op 17 januari 2022, en aangezien er in de samenwerkingsprocedure geen punten zijn opgeworpen waarover de partijen hun argumenten nog niet kenbaar zouden hebben kunnen maken, is de procedure op 18 januari 2022 formeel gesloten. II. MOTIVERING II.1. Bevoegdheid van de Geschillenkamer uit temporeel en territoriaal oogpunt 38. Gelet op de temporele nabijheid tussen de feiten waarop de klachten betrekking hebben en de inwerkingtreding van de AVG op 25 mei 2018, verduidelijkt de Geschillenkamer dat de AVG wel degelijk van toepassing is op de verwerking van persoonsgegevens in het kader van de op 8 augustus 2018 door de eerste verweerster gepubliceerde Studie (verwerking 1). De tweets die in deze Studie zijn geanalyseerd, hebben betrekking op feiten die op 18 juli 2018 door de krant Le Monde zijn bekendgemaakt 9. De AVG, die op 25 mei 2018 in werking is getreden, was derhalve van toepassing op de verwerking van persoonsgegevens in die tweets. De AVG is ook van toepassing op de bekendmaking van persoonsgegevens (publicatie van bestanden met ruwe gegevens) door de tweede verweerster na de publicatie van de Studie (verwerking 2). 9 Inspectieverslag, p. 5. Beslissing ten gronde 13/2022 - 12/58 39. De territoriale bevoegdheid van de Geschillenkamer en de toepasselijkheid van het Belgische recht worden niet ter discussie gesteld in de context dat de twee door de Inspectiedienst in zijn verslag geïdentificeerde verwerkingsverantwoordelijken hun zetel in België hebben. De AVG is immers van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker op het grondgebied van de Unie, ongeacht of de verwerking in de Unie plaatsvindt (artikel 3, lid 1, van de AVG). In dit verband is de GBA bevoegd om op te treden als leidende autoriteit voor grensoverschrijdende gegevensverwerking die wordt uitgevoerd door de verwerkingsverantwoordelijke(
11. n)van wie de hoofdvestiging zich op haar grondgebied bevindt (artikel 56, lid 1, van de AVG). II.2. Ten gronde
12. a)Structuur van het besluit 40. De Geschillenkamer zal vaststellen om welke gegevensverwerkingen het gaat en erop toezien dat de rollen van de verweerders als verwerkingsverantwoordelijken/verwerkers (artikel 4, leden 7 en 8, van de AVG) worden gekwalificeerd met betrekking tot de desbetreffende gegevensverwerkingen. 41. Vervolgens zal de Geschillenkamer achtereenvolgens de inbreuken onderzoeken die kunnen worden vastgesteld met betrekking tot elke verwerkingsactiviteit waarvoor de eerste en/of de tweede verwerende partij verantwoordelijk is. 42. Ten slotte zal de Geschillenkamer de aan de verweersters eventuele opgelegde corrigerende maatregelen en sancties motiveren.
13. b)Gegevensverwerking en verwerkingsverantwoordelijken 43. Wat de verwerkte persoonsgegevens betreft, verwijst de Geschillenkamer naar de beschrijving van de feiten en de kwalificatie daarvan door de Inspectiedienst in zijn onderzoeksverslag, waarin een onderscheid wordt gemaakt tussen enerzijds "les activités de traitement liées à la réalisation de l’Étude de EU DisinfoLab" (verwerkingsactiviteiten 1) en anderzijds "les activités de traitement liées à la publication en ligne de fichiers Excel contenant notamment les données ayant servi de base pour cette Étude et ce aux fins de transparence et de justification de l’Étude" (verwerkingsactiviteiten 2). 44. Overeenkomstig artikel 4, lid 7, van de AVG is de verwerkingsverantwoordelijke de natuurlijke of rechtspersoon die, alleen of samen met anderen, het doel van en de middelen voor de verwerking vaststelt, d.w.z. de persoon die besluit dat een verwerking moet plaatsvinden en daadwerkelijk bepaalt voor welke doeleinden en met welke middelen die plaatsvindt. Beslissing ten gronde 13/2022 - 13/58 45. Bij gebrek aan wettelijke of contractuele bepalingen aan de hand waarvan kan worden bepaald welke partij deze beslissende invloed uitoefent, moet de Geschillenkamer de verwerkingsverantwoordelijke identificeren aan de hand van een analyse van de feitelijke elementen en omstandigheden – concrete activiteiten en specifieke context – van de zaak10. De Geschillenkamer houdt rekening met de volgende feitelijke omstandigheden bij het bepalen van de invloed van de partijen op de vaststelling van de doeleinden en/of middelen van de gegevensverwerking in kwestie. 46. Met betrekking tot de verwerkingsactiviteiten 1 zoals hierboven is vastgesteld, kennen zowel de eerste als de tweede verweerder elkaar de kwalificatie van verwerkingsverantwoordelijke toe: ▪ EU DisinfoLab erkent aan de heer Vanderbiest de taak te hebben toevertrouwd om de Studie in kwestie op te stellen, maar beweert dat hij over een manoeuvreerruimte beschikte met betrekking tot de eigenlijke uitvoering van de Studie, dat hij alleen de aan te wenden verwerkingsmiddelen heeft bepaald om het geproduceerde resultaat te bereiken alsook het doeleinde van de Studie. EU DisinfoLab is van mening dat zijn eigen rol beperkt was tot "soutien, de relecture et de publication", en dat de heer Nicolas Vanderbiest alleen zou hebben beslist over de middelen om de Studie uit te voeren, in het bijzonder het gebruik van software voor gegevensextractie die is geleverd door de externe dienstverlener Visibrain, waarmee EU DisinfoLab geen partnerschapsovereenkomst heeft gesloten11. EU DisinfoLab verklaart ook dat de heer Nicolas Vanderbiest een vrijwillige medewerker was van de vereniging 12. Tot slot benadrukt EU DisinfoLab dat zijn bestuurders (de heren Alexandre Alaphilippe en Gary Machado) aan het opstellen van de Studie hebben meegewerkt, maar pas aan het einde ervan, op 6 augustus 2018. Tijdens de hoorzitting benadrukt EU DisinfoLab dat de heer Vanderbiest medeoprichter van EU DisinfoLab is (hetgeen naar behoren in het Inspectieverslag is vermeld, in tegenstelling tot wat EU DisinfoLab beweert). EU DisinfoLab concludeert dat de eerste verweerster medeverantwoordelijk is voor de verwerking. ▪ De heer Nicolas Vanderbiest verklaart daarentegen dat hij geen beslissingsbevoegdheid of -functie had met betrekking tot de publicatie van de Studie, aangezien hij in alle stadia van de uitvoering van de Studie onder het gezag van zijn verantwoordelijke Gary Machado stond. Hij geeft echter toe dat hij "dicté la méthodologie et réalisé une grande partie des analyses statistiques"13, waarvan de 10 EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, para. 19, 23, 24, 26. Conclusies van de vzw EU DisinfoLab van 28 augustus 2020 (ongepagineerd – p. 7). 12 Stuk 10, p. 1 van het Inspectieverslag. 13 Antwoord op het verzoek om informatie van de heer Nicolas Vanderbiest van 1 oktober 2019, p. 4. 11 Beslissing ten gronde 13/2022 - 14/58 resultaten vervolgens zijn meegedeeld en gepubliceerd op de website van EU DisinfoLab. 47. De Geschillenkamer is van mening dat EU DisinfoLab, als opdrachtgever en uitgever van de Studie verantwoordelijk is voor de verwerking van de persoonsgegevens waarop de Studie betrekking heeft. Bovendien heeft EU DisinfoLab de doelstellingen van de Studie bepaald door de opdracht tot de Studie te geven en zijn beslissing om de Studie te publiceren. Daarnaast past de verwezenlijking van deze Studie binnen de verwezenlijking van zijn maatschappelijke doel en wordt de Studie, in haar definitieve vorm, gepresenteerd als een studie van EU DisinfoLab, wat in overeenstemming is met zijn maatschappelijke opdracht. Bij de vaststellingen van het Inspectieverslag van april 2020 was dit document ook nog steeds beschikbaar op de website van EU DisinfoLab. 48. De Geschillenkamer volgt het betoog van de eerste verweerster niet waarin zij de verantwoordelijkheid voor de Studie en de bijbehorende gegevensverwerking nagenoeg volledig bij de vrijwillige onderzoeker Nicolas Vanderbiest legt, met name omdat hij volgens EU DisinfoLab zou hebben bijgedragen tot de vaststelling van de middelen voor de uitvoering van de Studie. 49. Wat de kwestie van de definitie van de middelen voor gegevensverwerking betreft, meent de Geschillenkamer dat EU DisinfoLab, door te beslissen dat de Studie door drie van zijn leden zou worden uitgevoerd (d.w.z. opstellen door de heer Vanderbiest en een ander lid van EU DisinfoLab, en nalezen door een derde lid van EU DisinfoLab), de voornaamste verwerkingsmiddelen heeft vastgesteld. Bovendien hebben uiteindelijk twee bestuurders van EU DisinfoLab de Studie vóór publicatie herlezen en 'gecorrigeerd', hetgeen een effectieve deelname impliceert aan de middelen voor de verwerking van persoonsgegevens die werden gebruikt om deze Studie uit te voeren. EU DisinfoLab heeft ook de door de heer Vanderbiest gebruikte verwerkingsmiddelen vastgesteld in die zin dat de heer Gary Machado, Managing Director van EU DisinfoLab, de heer Vanderbiest op 30 juli 2018 heeft verzocht om te zoeken naar overeenkomsten tussen de gegevens van Twitter-gebruikers die actief waren in de zaak Benalla en de gegevens die de heer Vanderbiest heeft verzameld in zijn eerdere analyse van de Macronleaks (desinformatie in de presidentiële campagne). 50. De Geschillenkamer stelt dat EU DisinfoLab, door de Studie onder zijn naam en op zijn website te publiceren, niet alleen de verantwoordelijkheid op zich heeft genomen voor de doeleinden, maar ook voor de verwerkingsmiddelen van de Studie, met inbegrip van de vergelijking met eerdere 'studies' van de heer Vanderbiest en het gebruik van de middelen voor de analyse van tweets die door een externe dienstverlener, namelijk de Visibrainsoftware (die geen partij bij de zaak is volgens de door de Inspectiedienst gedefinieerde onderzoeksperimeter), zijn verstrekt. In die verband merkt de Inspectiedienst terecht op Beslissing ten gronde 13/2022 - 15/58 dat "[q]uand bien même M. Vanderbiest aurai[t] de son propre chef souhaité réaliser ce comparatif avec ces anciennes études, il a en tout état de cause été approuvé et permis par EU DisinfoLab qui l’a repris dans l’Étude finalement publiée" 14. 51. Volgens de Geschillenkamer kan de heer Vanderbiest als medeverantwoordelijke voor de verwerking van deze Studie worden beschouwd, aangezien hij de Studie als vrijwillige medewerker heeft uitgevoerd, precies volgens de kwalificatie die EU DisinfoLab in zijn antwoorden aan de Inspectiedienst heeft gebruikt15: "La publication du fichier dit de « cluster » contenant des données brutes a été effectuée à l’initiative personnelle de Monsieur Nicolas Vanderbiest, alors bénévole auprès de l’ASBL EU DisinfoLab, en dehors de toute instruction de l’association EU DisinfoLab et en parfaite violation des procédures internes". De heer Vanderbiest wijst er ook op dat zijn werk voor de vzw DisinfoLab onbezoldigd was16. 52. Als vrijwillige deelnemer aan de activiteiten van EU DisinfoLab kan de heer Vanderbiest worden beschouwd als vrijwilliger in de zin van de wet van 3 juli 2005 betreffende de rechten van vrijwilligers, met dien verstande dat de kenmerken van vrijwilligerswerk bestaan in het verrichten van een 'onbezoldigde en onverplichte' activiteit binnen een organisatie, d.w.z. een activiteit die vrij en kosteloos wordt verricht. In tegenstelling tot een arbeidsovereenkomst is er in het kader van vrijwilligerswerk dus geen sprake van ondergeschiktheid. Niettemin kan de vrijwilliger - zonder ondergeschikt te zijn - vrijwillig de werkingsregels aanvaarden van de vereniging waarvoor hij of zij vrijwillige taken verricht (huishoudelijk reglement, statuten) en ermee instemmen de diensten te verrichten die nodig zijn om de door de vereniging omschreven opdracht te vervullen, wat hier het geval is. 53. De Geschillenkamer herinnert eraan dat het HvJEU in zijn arrest van 10 juli 2018 een gezamenlijke aansprakelijkheid heeft vastgesteld met betrekking tot het verzamelen en verwerken van persoonsgegevens door Jehova's Getuigen die als vrijwilliger optreden in het kader van de doelstellingen van hun vereniging, zelfs bij gebreke van rechtstreekse instructies van de vereniging met betrekking tot het verzamelen van de betrokken gegevens17. In dit geval is de heer Vanderbiest medeverantwoordelijk voor gegevensverwerking 1, aangezien hij de Studie vrijwillig heeft opgesteld en de middelen voor de verwerking mede heeft bepaald (bv. gebruik van Visibrain-software om de gegevens te verzamelen). Bovendien heeft de heer Vanderbiest geen verwerkersovereenkomst gesloten met EU DisinfoLab om deze verwerking te regelen en zijn verantwoordelijkheid als verwerker in de zin van artikel 28 van de AVG vast te leggen. 14 Inspectieverslag van 2 april 2020, p. 11. Stuk 10 van het Inspectieverslag, brief van EU DisinfoLab aan de Inspectiedienst van 13 mei 2019. 16 Conclusies van de heer Vanderbiest, p. 1. 17 HvJEU, C-25/17, par. 66. 15 Beslissing ten gronde 13/2022 - 16/58 In antwoord op de vragen van de verweerders over de relevantie van de vragen van de Inspectiedienst in dit verband, verduidelijkt de Geschillenkamer dat een verwerkersovereenkomst zeker niet het doorslaggevende element zou zijn geweest om de rol van de heer Vanderbiest te kwalificeren, maar dat een dergelijke omstandigheid in aanmerking had kunnen worden genomen als een aanwijzing voor de bereidheid van de heer Vanderbiest om als verwerker op te treden, indien de heer Vanderbiest zijn rol daadwerkelijk had beperkt tot die van een verwerker in de zin van artikel 4, lid 8, van de AVG, dat wil zeggen de natuurlijke persoon of rechtspersoon die "ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt", quod non. In casu is de Geschillenkamer van oordeel dat de elementen die de hoedanigheid van de verwerkingsverantwoordelijke bepalen, in wezen bestaan in het vrijwillig opstellen van de Studie door de heer Vanderbiest en zijn beslissing om de Visibrain-software te gebruiken om de gegevens te verzamelen. 54. De verantwoordelijkheid van de heer Vanderbiest als medeverantwoordelijke voor de verwerking is echter beperkt, voor zover hij op instructies van zijn vereniging heeft gewacht alvorens met de verwerking van de betreffende gegevens te beginnen, en voor zover een verantwoordelijke van de vereniging, de heer Machado, redactionele controle heeft uitgeoefend op de 'draft' van de Studie die hem door de heer Vanderbiest is voorgelegd. De heer Machado heeft ook specifieke instructies gegevens om de draft te wijzigen ("relecture à réaliser, mettre des références, clarifier des éléments de la FAQ, etc.") en heeft de publicatie van de definitieve versie van de Studie gesuperviseerd. 55. De Geschillenkamer neemt nota van het argument van de eerste verweerster dat de heer Vanderbiest medeoprichter en lid is van de vzw EU DisinfoLab. De hoedanigheid van medeoprichter houdt echter geen persoonlijke verantwoordelijkheid van de heer Vanderbiest in met betrekking tot de verwerking van persoonsgegevens zoals verricht tijdens de Studie, met het oog op de verwezenlijking van het maatschappelijke doel van de vzw, omdat de heer Vanderbiest in principe van elke verantwoordelijkheid is vrijgesteld voor de door deze vzw verrichte handelingen in het kader van haar maatschappelijke doel, net als haar andere medeoprichters, en dit krachtens de statuten zelf van EU DisinfoLab en artikel 14 van de vzw-wet18. 56. Met betrekking tot de rol van EU DisinfoLab als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens om de Studie te verwezenlijken, stelt de Geschillenkamer ter afsluiting dat 18 Artikel 14 van de wet van 27 juni 1921 betreffende de verenigingen zonder winstoogmerk: "De vereniging is aansprakelijk voor de fouten die kunnen worden toegerekend aan haar aangestelden of aan de organen waardoor zij handelt". Beslissing ten gronde 13/2022 - 17/58 ▪ EU DisinfoLab, als opdrachtgever en uitgever van de Studie, verantwoordelijk is voor de verwerking van de persoonsgegevens waarop de Studie betrekking heeft; ▪ door te beslissen dat de Studie zou worden uitgevoerd door de heer Vanderbiest en een lid van EU DisinfoLab, met herlezing door een ander lid van EU DisinfoLab, EU DisinfoLab heeft bijgedragen aan het bepalen van de verwerkingsmiddelen en ten slotte; ▪ door de Studie onder zijn naam en op zijn website te publiceren, heeft EU DisinfoLab niet alleen de verantwoordelijkheid voor de verwerkingsmiddelen, maar ook voor de doelstellingen van de Studie op zich genomen. 57. De heer Vanderbiest is als vrijwilliger van EU DisinfoLab medeverantwoordelijk voor deze verwerking, aangezien hij vrijwillig de Studie heeft opgesteld en heeft besloten de Visibrainsoftware te gebruiken om de persoonsgegevens te verwerken voor verwerkingsactiviteiten 1. 58. Met betrekking tot verwerkingsactiviteit 2 is de Geschillenkamer, overeenkomstig de verklaringen van de partijen ter zake, zoals EU DisinfoLab zelf erkent, van oordeel dat EU DisinfoLab de enige verwerkingsverantwoordelijke is voor de terbeschikkingstelling van het gecomprimeerde bestand dat de documenten 'Rumours&Items.xlsx' en 'Data brutes 1 - 47.xlsx' bevat, door het naar de dl.free.fr-server te uploaden en een link naar die server op te nemen in de Studie19. 59. Wat de rol van de heer Vanderbiest betreft, is de Geschillenkamer van oordeel dat hij de enige verantwoordelijke is voor de verwerking die bestaat in de terbeschikkingstelling van de bestanden 'Acteursclassés sss.xlsx' en 'Databrutes.csv.xlsx' door die te uploaden op de Dropbox-account van Saper Vedere en deze link door te sturen naar zijn persoonlijke Twitter-account. Hij bevestigt inderdaad dat hij "partagé ces fichiers sans aucune validation avec [s]es supérieurs qu'ils soient du DisinfoLab ou de l'UCL"20. De heer Vanderbiest erkent dat hij deze bestanden met ruwe gegevens buiten de instructies van EU DisinfoLab om heeft gedeeld: voor dit gedeelte van verwerking 2 trad hij derhalve op als een afzonderlijke verwerkingsverantwoordelijke.
14. c)Inbreuken geconstateerd bij de verwerkingsverantwoordelijken 1. 60. Inbreuken met betrekking tot verwerkingsactiviteiten 1 De Inspectiedienst stelt vier vormen van inbreuken vast met betrekking tot verwerkingsactiviteiten 1 door EU DisinfoLab en de heer Vanderbiest, gezamenlijke verwerkingsverantwoordelijken. Twee van deze inbreuken betreffen verplichtingen die 19 20 Conclusies van EU DisinfoLab, p. 10. Antwoord op het verzoek om informatie van de heer Nicolas Vanderbiest van 1 oktober 2019, p. 6. Beslissing ten gronde 13/2022 - 18/58 kunnen worden vrijgesteld als verwerking voor journalistieke doeleinden (artikel 85 van de AVG) en/of voor verwerking voor wetenschappelijke doeleinden (artikel 89 van de AVG). Alvorens in te gaan op de details van het onderzoek van deze klachten, herhaalt de Geschillenkamer kort de beginselen die van toepassing zijn op de verwerking voor journalistieke doeleinden, voor wetenschappelijke doeleinden, alsmede enkele regels betreffende de verwerking van 'openbare' persoonsgegevens, aangezien de betrokken persoonsgegevens op het tijdstip van de feiten toegankelijk waren op het internet en volgens de verweerders, zeer tegen hun zin, nog steeds toegankelijk zijn. 1.1. Toepasselijke beginselen 1.1.1 De door de verwerende partijen aangehaalde 'journalistieke' en 'wetenschappelijke' uitzonderingen 61. De Geschillenkamer heeft akte genomen van de door beide partijen aangehaalde uitzonderingen. In hun schriftelijke conclusies voeren zij zowel de uitzondering van wetenschappelijke verwerking als de journalistieke uitzondering aan. 62. Tijdens de hoorzitting wijst de heer Vanderbiest erop dat een onderscheid moet worden gemaakt tussen 'wetenschappelijk onderzoek' en 'wetenschappelijke communicatie' 21, en legt hij als volgt de interactie tussen deze twee uitzonderingen, zoals toegepast op de studie, uit: "on peut très bien avoir une communication scientifique sur une recherche scientifique, sans état de l'art, et encore plus quand le format se veut opérationnel et à intérêt journalistique". In dit verband verklaart hij dat de Studie, om volledig in overeenstemming te zijn met de codes van de wetenschappelijke communicatie, had moeten verwijzen naar een 'state of the art' die op het gebied van onderzoek naar desinformatie niet bestond. 63. De Geschillenkamer dient dus te onderzoeken in hoeverre een van deze uitzonderingen (journalistiek en/of wetenschappelijk) de verweerders zouden vrijstellen van hun verplichtingen met betrekking tot verwerkingen 1 en 2. 1.1.2 Uitzondering voor verwerking voor journalistieke doeleinden: toepasselijk recht en toepassingsvoorwaarden 64. Artikel 85 van de AVG biedt de lidstaten de mogelijkheid om via hun nationale wetgeving verschillende grondrechten, zoals het recht op bescherming van persoonsgegevens enerzijds en het recht op vrijheid van meningsuiting en van informatie anderzijds, in overeenstemming met elkaar te brengen. Het staat de lidstaten vrij om daartoe in hun nationale wetgeving te voorzien in een specifieke regeling voor de verwerking van persoonsgegevens voor journalistieke doeleinden of voor de vrijheid van meningsuiting, in 21 Opmerkingen van de heer Vanderbiest over de notulen van de zitting, 21 juni 2021. Beslissing ten gronde 13/2022 - 19/58 de vorm van uitzonderingen op of afwijkingen van bepaalde regels van de AVG. Zo kunnen de verwerkingsverantwoordelijken van gegevens voor journalistieke doeleinden worden vrijgesteld van hun verplichting om vooraf informatie te verstrekken aan de betrokkenen (hoofdstuk III van de AVG). Zoals in artikel 85 van de AVG is bepaald, zijn dergelijke afwijkingen of vrijstellingen alleen mogelijk voor zover zij noodzakelijk' zijn om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en van informatie. 65. Alvorens de vereiste 'noodzakelijkheidsvoorwaarde' te onderzoeken, moet worden gepreciseerd welk recht ratione temporis op de zaak van toepassing is, aangezien de ten laste gelegde feiten zich hebben voorgedaan op een tijdstip waarop het recht op bescherming van gegevens nog niet volledig in het Belgische recht was verankerd wat de journalistieke uitzondering betreft. ➢ 66. Toepasselijk recht ratione temporis Ten tijde van de verspreiding van de Studie en de betwiste 'Excel'-bestanden was de in artikel 85 van de AVG opgenomen journalistieke uitzondering nog niet in Belgisch recht omgezet. In een dergelijke uitzondering was in België echter nog voorzien in artikel 3, lid 3, onder b), van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. De wet van 8 december 1992 was immers slechts gedeeltelijk opgeheven door artikel 109 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, waarbij de in artikel 3, lid 3, onder b), van die wet bedoelde vrijstelling van individuele informatieverstrekking ten behoeve van de verwerking voor journalistieke doeleinden intact werd gelaten22. 67. In de context waar de Belgische wetgever artikel 85 van de AVG nog niet had geïmplementeerd, oordeelt de Geschillenkamer dat de verweerders niet de mogelijkheid kan worden ontnomen om zich wegens deze vertraging in de wetgeving te beroepen op een uitzondering op grond van de vrijheid van meningsuiting of de persrechten. De Geschillenkamer benadrukt dat artikel 85 van de AVG in alle gevallen moet worden geïnterpreteerd in het licht van het Handvest van de grondrechten van de Europese Unie, dat in artikel 11 voorziet in het recht van eenieder op vrijheid van meningsuiting en van informatie23. 68. De Geschillenkamer onderzoekt derhalve hierna, voor zover relevant voor de aangevoerde klachten, in hoeverre de verweerders zich voor de verwerking van persoonsgegevens 1 en 22 Dit artikel 3, lid 3, onder b), bepaalt dat de artikelen 10 (informatieverplichtingen) en 12 (recht op correctie) van de Belgische wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer niet van toepassing zijn op de verwerking van persoonsgegevens voor uitsluitend journalistieke doeleinden of artistieke of literaire uitdrukkingsvormen, wanneer de toepassing ervan een voorgenomen publicatie in het gedrang zou brengen of aanwijzingen over de bronnen van informatie zou verschaffen. 23 Zie artikel 52 van het Handvest; zie ook Q. VAN ENIS, La liberté de presse à l'ère numérique, CRIDS, 2015. Beslissing ten gronde 13/2022 - 20/58 2 rechtsgeldig kunnen beroepen op de in artikel 3, lid 3, onder b), van de wet van 8 december 1992 vastgelegde journalistieke uitzondering, rekening houdend met de rechtspraak van het Hof van Justitie van de Europese Unie (HvJEU) en met artikel 85 van de AVG. ➢ Voorwaarden voor de toepassing van de journalistieke uitzondering AVG/Richtlijn 95/46/EG 69. De voorwaarden voor het vinden van een evenwicht tussen het recht op gegevensbescherming en het recht op vrijheid van meningsuiting zijn in de AVG niet fundamenteel gewijzigd ten opzichte van Richtlijn 95/46/EG 24, onder voorbehoud van de volgende opmerkelijke ontwikkeling: volgens de AVG lijkt de noodzakelijke afstemming op het recht op de bescherming van persoonsgegevens een ruimer toepassingsgebied te bestrijken dan in Richtlijn 95/46/EG. 70. Artikel 85 van de AVG verwijst immers in het algemeen naar de noodzaak om het recht op gegevensbescherming in overeenstemming te brengen met de vrijheid van meningsuiting, en geeft als niet-uitputtende voorbeelden van deze tweede parameter, de verwerking voor journalistieke doeleinden en voor academische, artistieke of literaire uitdrukkingsvormen. Hierdoor kunnen de lidstaten dus voorzien in uitzonderingen op de vrijheid van meningsuiting die verder gaan dan gevallen van 'journalistieke' meningsuiting, wat zou kunnen betekenen dat iedereen de vrijheid heeft om zich op sociale netwerken te uiten zonder noodzakelijkerwijs te beweren journalist te zijn 25. 71. Richtlijn 95/46/EG was daarentegen niet uitdrukkelijk van toepassing op verwerking voor doeleinden van vrije meningsuiting buiten de professionele journalistiek. In Richtlijn 95/46/EG werden de lidstaten immers verzocht om voor de verwerking van persoonsgegevens voor uitsluitend journalistieke (of artistieke of literaire) doeleinden te voorzien in uitzonderingen of afwijkingen die nodig zijn om "het recht op persoonlijke levenssfeer te verzoenen met de regels betreffende de vrijheid van meningsuiting", zonder dat uitdrukkelijk wordt verwezen naar verwerkingen die plaatsvinden in het kader van de uitoefening van de vrijheid van meningsuiting, los van de journalistieke sfeer. Dit verklaart de tendens in de rechtspraak om het begrip 'journalistiek' zeer ruim te interpreteren zodat alle vormen van vrijheid van meningsuiting eronder vallen, vóór de inwerkingtreding van de AVG, waarvan de bepalingen een afzonderlijke bescherming bieden aan de vrijheid van meningsuiting buiten de context van de journalistiek. 24 Q. VAN ENIS, La conciliation entre le droit à la liberté d’expression et le droit à la protection des données à caractère personnel dans le RGPD, C. DE TERWANGNE et K. ROSIER, RGPD, CRIDS, 2018, p. 763; H. KRANENBORG, Commentary on Art 85, in: The EU General Data Protection Regulation: A Commentary. 22, C. KUNER, L.A. BYGRAVE, Lee A. and C. DOCKSEY, OUP 2020. 25 Th. LEONARD et Y. POULLET, L’intérêt général comme arbitre du débat vie privée vs liberté d’expression dans le RGPD, in Vie privée, liberté d’expression et démocratie dans la société numérique, dir. Y. POULLET, CRIDS 2020, p. 76. Beslissing ten gronde 13/2022 - 21/58 72. Na de feiten van de zaak werd artikel 85 van de AVG ten uitvoer gelegd in artikel 24 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Deze bepaling maakt het inroepen van de journalistieke uitzondering afhankelijk van de inachtneming van deontologische regels, en plaatst de 'journalistieke' uitzondering in een context van beroepsjournalistiek. "Art. 24 - Onder verwerking van persoonsgegevens voor journalistieke doeleinden wordt verstaan de voorbereiding, het verzamelen, opstellen, voortbrengen, verspreiden of archiveren ten behoeve van het informeren van het publiek, met behulp van elke media en waarbij de verwerkingsverantwoordelijke zich de naleving van journalistieke deontologische regels tot taak stelt." 73. De Geschillenkamer onderzoekt hierna, voor zover relevant voor de aangevoerde klachten, in hoeverre de verweerders zich op basis van artikel 3, lid 3, onder b), van de wet van 8 december 1992 voor de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, rechtsgeldig kunnen beroepen op de 'journalistieke' uitzondering voor de verwerking van persoonsgegevens 1 en 2, rekening houdend met de toepassingsvoorwaarden van die uitzondering op het ogenblik van de feiten, zoals omschreven in de rechtspraak van het HvJEU (ruime interpretatie van het begrip journalistiek bij gebreke van een autonome uitzondering die de vrijheid van meningsuiting dekt). 74. In het arrest 'Buivids' van het HvJEU van 14 februari 2019 wordt het begrip 'journalistieke uitzondering' van artikel 3, lid 2, van richtlijn 95/46/EG ruim toegepast, zonder dat een vereiste wordt geformuleerd met betrekking tot de beroepsbekwaamheid van de persoon of organisatie die het voordeel van de journalistieke uitzondering inroept: de video-opname van leden van de politie in een politiebureau en de publicatie van deze beelden op een website werden beschouwd als een verwerking van persoonsgegevens die wordt verricht ten behoeve van de journalistiek. In dit arrest houdt het Hof rekening met de "evolutie en de verveelvoudiging van middelen voor communicatie en informatieverspreiding"26. Evenzo heeft het HvJEU in het arrest 'Satamedia' geoordeeld dat het doel van journalistieke verwerking "de bekendmaking aan het publiek van informatie, meningen of ideeën, ongeacht het overdrachtsmedium" is (par. 61), en dat een dergelijk doel kan worden nagestreefd door "alle personen" (par. 58), zonder enige eis te stellen met betrekking tot de hoedanigheid van journalist of een winstoogmerk 27. 75. De Geschillenkamer beslist dan ook – in tegenstelling tot het Inspectieverslag op dit punt – dat de verweerders niet hoeven aan te tonen dat zij tot een journalistieke beroepsgroep behoren of zich aan bepaalde deontologische regels onderwerpen om in het kader van hun 26 27 HvJEU, 14 februari 2019, C-345/17, Buivids, ECLI:EU:C:2019:122, par. 56. HvJEU, 16 december 2008, C-73/07, Satakunnan Markkinapörssi en Satamedia, (Satamedia), ECLI:EU:C:2008:727. Beslissing ten gronde 13/2022 - 22/58 vrijheid van meningsuiting een beroep te kunnen doen op de uitzondering van journalistieke verwerking. Eisen dat wordt aangetoond dat men beroepsmatig is verbonden met de journalistiek (bijvoorbeeld het onderschrijven van een deontologische code) zou geen nuttig effect verlenen aan het recht op vrijheid van meningsuiting zoals bepaald in artikel 11 van het Handvest in de context waarin de Belgische wetgeving die van toepassing was op het moment van de feiten, nog niet voorzag in de uitdrukkelijke mogelijkheid om een uitzondering voor de vrijheid van meningsuiting buiten een journalistieke context in te roepen, in tegenstelling tot artikel 85 van de AVG. 76. De Geschillenkamer onderzoekt hierna de andere toepassingsvoorwaarden van de door de verwerende partijen ingeroepen journalistieke uitzondering (die zich ook op het in het Belgische recht rechtstreeks toepasselijke artikel 85 hadden kunnen beroepen om bescherming uit hoofde van de vrijheid van meningsuiting te genieten). ➢ Betekenis van de toepassingsvoorwaarde 'voor uitsluitend journalistieke doeleinden' 77. Een van de voorwaarden voor de toepassing van de journalistieke uitzondering inzake de bescherming van persoonsgegevens krachtens Richtlijn 95/46/EG, zoals geïnterpreteerd door het HvJEU, is dat informatie die persoonsgegevens bevat, 'voor uitsluitend journalistieke doeleinden' ter beschikking wordt gesteld, hetgeen een parameter is waarmee rekening moet worden gehouden bij de beoordeling van de vraag of de betrokken gegevensverwerking 'noodzakelijk is in een democratische samenleving' om het recht op persoonlijke levenssfeer te verzoenen met de regels betreffende de vrijheid van meningsuiting28. 78. Deze exclusiviteitsvereiste met betrekking tot het journalistieke doeleinde wordt ook weerspiegeld in de Belgische wet die van toepassing was op het ogenblik van de feiten (artikel 3, lid 3, onder
15. b)van de wet van 8 januari 1992). De draagwijdte van deze beperking moet zorgvuldig worden geïnterpreteerd om te beoordelen of de partijen zich tegelijkertijd op de uitzondering voor journalistieke en wetenschappelijke verwerking mogen beroepen. Zo neemt de Geschillenkamer nota van de uitleg van de heer Vanderbiest tijdens de hoorzitting, en die is aangevuld met zijn opmerkingen over de notulen, namelijk dat zijn publicaties "communications scientifiques sur une recherche scientifique" zijn in een "format opérationnel et à intérêt journalistique"29. 79. De advocaat-generaal preciseert in zijn conclusie over de zaak Buivids30 dat het de nationale rechter is die, als enige rechter ten gronde, moet bepalen of het doel van de 28 HvJEU, 14 februari 2019, C-345/17, par. 60; Th. LEONARD, « L’intérêt général comme arbitre du débat vie privée vs liberté d’expression dans le RGPD », in Vie privée, liberté d’expression et démocratie dans la société numérique, dir. Y. POULLET, CRIDS 2020, p. 80. 29 Reactie van de heer Vanderbiest op de notulen van de hoorzitting, 21 juni 2021. 30 Conclusies van advocaat-generaal Eleanor Sharpston, 27 september 2018, C-345/17, par. 59. Beslissing ten gronde 13/2022 - 23/58 publicatie dat van een door het algemeen belang geïnspireerde journalist is dan wel of er andere redenen voor publicatie zijn. Het HvJEU stelt in zijn 'Satamedia'-arrest dat verwerking 'voor uitsluitend journalistieke doeleinden' niet is uitgesloten wanneer naast de mededeling van informatie en ideeën over zaken van algemeen belang ook commerciële doeleinden worden nagestreefd31. 80. De Geschillenkamer is van oordeel dat wetenschappelijke en journalistieke doeleinden elkaar niet uitsluiten en in beginsel voor dezelfde gegevensverwerking kunnen worden ingeroepen (zie het voornoemde arrest 'Satamedia'). 81. Zo zou bijvoorbeeld verwerking 1 (verwerking met het oog op de uitvoering en publicatie van de studie) onder de uitzondering van artikel 85 en de uitzondering van artikel 89 van de AVG kunnen vallen, indien aan de voorwaarden voor de toepassing van deze twee bepalingen is voldaan voor zover de verwerkte gegevens bedoeld zijn om bij te dragen aan een openbaar debat door middel van de uitvoering en publicatie van een Studie. ➢ 82. Criteria van 'noodzaak' in een democratische samenleving Ten slotte volgt uit de rechtspraak van het HvJEU dat elke verwerking van gegevens voor journalistieke doeleinden 'noodzakelijk' moet zijn in een democratische samenleving en in deze context in evenwicht moet zijn met de vrijheid van meningsuiting aan de hand van een reeks criteria, waaronder "de bijdrage aan een debat van openbaar belang, de bekendheid van de betrokken persoon, het onderwerp van het bericht, het eerdere gedrag van de betrokken persoon, de inhoud, de vorm en de gevolgen van de publicatie, de wijze waarop en de omstandigheden waarin de informatie is verkregen en de waarheidsgetrouwheid ervan".32 83. Er moet ook rekening worden gehouden met het feit dat "de voor de verwerking verantwoordelijke maatregelen kan nemen waarmee de inmenging in het recht op persoonlijke levenssfeer kan worden afgezwakt"33. 84. De Geschillenkamer zal deze criteria hierna toepassen bij het gedetailleerde onderzoek van de klachten van de Inspectiedienst tegen de verwerende partijen. 1.1.3 Gegevensverwerking voor wetenschappelijke doeleinden 85. De artikelen 13 en 14 van de AVG leggen betrokkenen informatieverplichtingen op voorafgaand aan de verwerking. Deze verplichting kan ook voortvloeien uit de rechtsgrond 'gerechtvaardigd belang', wanneer die wordt ingeroepen om de verwerking te rechtvaardigen. Wanneer een verwerking gebaseerd is op het gerechtvaardigde belang van de verwerkingsverantwoordelijke, moet die laatste in principe immers de betrokkene 31 HvJEU, 8 mei 2008, C-73/07, par. 82. HvJEU, C-345/17, par. 66. 33 Ibid., par. 66. 32 Beslissing ten gronde 13/2022 - 24/58 van wie de gegevens worden verwerkt vooraf informatie verstrekken, naast de mogelijkheid om bezwaar te maken tegen de verwerking (art. 21, lid 1, van de AVG). Van de verplichtingen inzake voorafgaande informatieverstrekking en bezwaar kan worden afgezien op voorwaarde dat de verwerkingsverantwoordelijke met recht een specifieke vrijstelling aanvoert, bijvoorbeeld in het kader van wetenschappelijke doeleinden (art. 89 van de AVG). 86. De verwerende partijen beroepen zich beide op de uitzondering voor wetenschappelijke verwerking, onder meer om hun verplichtingen inzake voorafgaande informatieverstrekking met betrekking tot gegevensverwerking te verlichten. In dit verband herinnert de Geschillenkamer eraan dat artikel 89 van de AVG, samen gelezen met artikel 14, lid 5, onder b), van de AVG, de verwerkingsverantwoordelijke vrijstelt van het verstrekken van voorafgaande informatie over de gegevensverwerking aan de betrokkenen, op voorwaarde dat het verstrekken van dergelijke informatie onmogelijk blijkt of onevenredig veel inspanningen kost en op voorwaarde dat de verwerkingsverantwoordelijke passende maatregelen neemt om de rechten, vrijheden en gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie. 87. Voorwaarde voor een dergelijke vrijstelling is ook dat rekening wordt gehouden met de andere eisen die in het kader van de verwerking van gegevens voor wetenschappelijke doeleinden worden gesteld. Zo vereist artikel 89 de invoering van passende waarborgen voor de rechten en vrijheden van de betrokkenen, waaronder het treffen van technische en organisatorische maatregelen, zoals pseudonimisering. 34 Artikel 89 van de AVG schrijft ook voor dat persoonsgegevens zo moeten worden verwerkt dat het, voor zover mogelijk, onmogelijk is de betrokkenen te identificeren. In overweging 156 van de AVG staat voorts dat de verwerkingsverantwoordelijke in de regel moet "beoordelen of deze doeleinden te verwezenlijken zijn door persoonsgegevens te verwerken op basis waarvan de betrokkenen niet of niet meer geïdentificeerd kunnen worden, op voorwaarde dat passende waarborgen bestaan, zoals de pseudonimisering". 88. Artikel 89 van de AVG schrijft voor dat wetenschappelijke doeleinden hoofdzakelijk moeten worden verwezenlijkt met behulp van niet-identificeerbare gegevens. De regels inzake gegevensverwerking voor wetenschappelijke doeleinden zijn niet nieuw en vormen ook het onderwerp van aanbevelingen nr. R