Beslissing ten gronde nr. 132/2025

1/15 Geschillenkamer Beslissing ten gronde 132/2025 van 19 augustus 2025 Dossiernummer : DOS-2024-01301 Betreft : het onrechtmatig en niet-transparant verwerken van persoonsgegevens in het kader van een huurcontract De Geschillenkamer van de Gegevensbeschermingsautoriteit (hierna ‘GBA’); Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), (hierna ‘AVG’); Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (hierna ‘WOG’)1; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; De verweerder: Y, vertegenwoordigd door mr. Peter Craddock en mr. Isaline d’Hoop de Synghem, hierna “de verweerder”. 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 132/2025 — 2/15 I. Feiten en procedure

1. Het voorwerp van de klacht betreft het onrechtmatig en niet-transparant verwerken van persoonsgegevens in het kader van een huurcontract.
2. Op 10 maart 2024 diende de klager een klacht in bij de GBA tegen de verweerder.
3. Op 2 april 2024 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en werd de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
4. Op 10 juni 2024 contacteerde de Geschillenkamer conform artikel 56.3 AVG de vermoedelijke leidende toezichthoudende autoriteit met het verzoek deze zaak conform artikel 56.2 AVG lokaal te kunnen behandelen, wat door deze autoriteit op 17 juni 2024 werd aanvaard. Conform artikel 56.4 AVG, is de procedure artikel 60 AVG bijgevolg niet van toepassing.
5. Op 17 januari 2025 besliste de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde, werden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG en werden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De partijen worden gevraagd hun argumenten aangaande de volgende vermeende inbreuken te formuleren: ▪ inbreuk op artikel 5.1.a juncto 6.1 AVG vanwege het niet beschikken over een rechtsgrond voor de verwerking van de foto van de identiteitskaart van de klager; ▪ inbreuk op artikel 5.1.c AVG vanwege het verwerken van het rijksregisternummer van de klager zonder dat daar een noodzaak toe is; ▪ inbreuk op artikel 12 juncto artikel 15 AVG vanwege het niet verlenen van inzage in de persoonsgegevens van de klager na diens uitdrukkelijke verzoek en ▪ inbreuk op artikel 5.1.a, artikel 12 en artikel 13 AVG vanwege een gebrek aan transparantie aangaande de verwerking van de persoonsgegevens van de klager met in het bijzonder de verwerking van de foto van de identiteitskaart, de verwerking van het rijksregisternummer en de verwerking van de locatiegegevens van de fiets die gebruikt werd door de klager.
6. Op 7 maart 2025 ontving de Geschillenkamer de conclusie van antwoord vanwege de verweerder.
7. Op 28 maart 2025 ontving de Geschillenkamer de conclusie van repliek van de klager.
8. Op 18 april 2025 ontving de Geschillenkamer de conclusie van repliek van de verweerder. Beslissing ten gronde 132/2025 — 3/15 II. Motivering II.
9. Beschrijving van de verwerking en de klacht
10. De verweerder verhuurt fietsen op basis van een abonnement. Een klant moet zich eerst online registreren. Voor elektrische fietsen wordt de identiteit van de klant na de registratie geverifieerd door een afbeelding van de identiteitskaart door te zenden aan een verwerker, die de echtheid van de identiteitskaart en de gegevens op deze kaart controleert. Het doel van deze verificatie is fraudebestrijding. Pas na de verificatie kan een afspraak gemaakt worden om een fiets af te halen. Op het moment van afhalen van de fiets2 moet de klant opnieuw zijn identiteitskaart voorleggen om zijn identiteit te bewijzen, zodat de verweerder zeker is dat de ontvanger van de fiets de geregistreerde klant is.
11. De klager verzette zich tegen het fotograferen van haar identiteitskaart voor de verificatie online en door de medewerker in het filiaal van de verweerder. De klager verzette zich in het bijzonder tegen het fotograferen van de achterkant van haar identiteitskaart, waarop het rijksregisternummer staat vermeld. Daarenboven werd haar verzoek tot inzage niet beantwoord en werd ze niet voorafgaand ingelicht omtrent de verwerking van de foto van haar identiteitskaart, van haar rijksregisternummer en van de locatiegegevens van de huurfiets. II.
12. Verantwoordelijke van de verwerkingen
13. De Geschillenkamer stelt vast dat de verweerder een dochteronderneming is van een holding die in een buurland is gevestigd. Aangezien het huurcontract op naam van het Belgische filiaal is, de privacyverklaring de Belgische vestiging aanduidt als verwerkingsverantwoordelijke, alle contacten tussen klager en verweerder in België plaatsvonden en de algemene voorwaarden verwijzen naar de toepasbaarheid van het Belgisch recht, heeft de Geschillenkamer aan de leidende toezichthoudende autoriteit conform artikel 56.2 AVG verzocht de zaak lokaal te kunnen behandelen, hetgeen door deze autoriteit werd toegestaan. De verweerder wordt aangaande deze klacht dan ook beschouwd als de verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens van de klager. II.
14. Scope van de klacht
15. De Geschillenkamer stelt samen met de verweerder vast dat de klager in haar conclusie van repliek haar klacht heeft uitgebreid naar een facturatiegeschil dat bestaat tussen de klager en de verweerder. Alhoewel dit geschil reeds duidelijk was in de klacht, achtte de 2 Bijlage 2 aan stuk 1, Klachtenformulier van 10 maart
16. Beslissing ten gronde 132/2025 — 4/15 Geschillenkamer de elementen van dit geschil niet relevant in het kader van de beoordeling van de gegevensverwerking conform de AVG. De domiciliëring van het huurcontract en het inschakelen van een incassobureau door de verweerder vallen bijgevolg niet binnen de scope van de klacht en evenmin binnen de bevoegdheid van de Geschillenkamer. De Geschillenkamer zal zich dus niet uitspreken over deze problematieken. II.
17. Rechtmatigheid van de verwerking
18. Om aan het principe van de rechtmatigheid van de verwerking van artikel 5.1.a AVG te voldoen, moet deze verwerking gebaseerd zijn op één van de gronden die zijn opgesomd in artikel 6.1 AVG. Daarenboven stelt artikel 5.2 AVG dat de verweerder de naleving van dit principe moet kunnen aantonen.
19. De verweerder verwijst naar de noodzaak van de verwerking van identiteitsgegevens van de klant als huurder om te voldoen aan zijn contractuele verplichtingen, conform artikel 6.1.b AVG.
20. Teneinde een verwerking van persoonsgegevens te kunnen baseren op de contractuele noodzaak, moet er een contract bestaan, moet het contract rechtsgeldig zijn en moet de verwerking objectief noodzakelijk zijn ter uitvoering van het contract. 3 De European Data Protection Board (hierna ‘EDPB’) stelt in haar richtsnoeren duidelijk dat “Slechts de verwijzing of vermelding van gegevensverwerking in een overeenkomst […] niet voldoende [is] om de betreffende verwerking te laten vallen binnen de reikwijdte van artikel 6, lid 1, onder b).”4 en dat “noodzakelijk voor de uitvoering van een overeenkomst met de betrokkene (…) strikt [moet] worden geïnterpreteerd en geen situaties [dekt] waarin de verwerking niet daadwerkelijk noodzakelijk is voor de uitvoering van een overeenkomst, maar eerder eenzijdig opgelegd aan de betrokkene door de voor de verwerking verantwoordelijke.”5
21. De Geschillenkamer stelt vast dat er een contract bestaat en dat dit contract rechtsgeldig is, hetgeen de klager niet betwist. Het huurcontract bevat de identiteitsgegevens van de klager, noodzakelijk ter uitvoering van het contract.
22. De Geschillenkamer stelt ook vast dat initieel en na maart 2024 deze identiteitsgegevens werden gecontroleerd aan de hand van een visuele controle, waarbij de medewerker de gegevens van de identiteitskaart vergeleek met de registratiegegevens die de klant online had ingevoerd. Ook de wetgever houdt in de wetgeving rond het gebruik van de identiteitskaart rekening met dit belang wanneer zij stelt: “Voor de ondernemingen en de 3 EDPB, Richtsnoeren van 8 oktober 2019 betreffende de verwerking van persoonsgegevens op grond van artikel 6, lid 1, onder b), van de AVG in het kader van de verlening van onlinediensten aan betrokkenen, versie 2.0, randnummer
23. 4 Ibid, randnummer
24. 5 Ibid, randnummer
25. Beslissing ten gronde 132/2025 — 5/15 niet-gouvernementele organisaties is het in hun band met de burger belangrijk zekerheid te hebben over de identiteit van de klanten met wie ze juridisch relaties aanknopen. Een correcte identiteit is immers een conditio sine qua non voor de rechtszekerheid van de contractuele en economische relaties.”6 Het louter visueel controleren van de (overvloed aan) gegevens van de identiteitskaart wordt echter niet beschouwd als een verwerking van persoonsgegevens in de zin van artikel 2 AVG aangezien deze gegevens niet bedoeld zijn om te worden opgenomen in een bestand.
26. De Geschillenkamer oordeelt dat de verwerkte identiteitsgegevens van de klager noodzakelijk zijn voor de uitvoering van het contract en dat de verweerder zich conform artikel 5.1.a AVG rechtmatig baseert op de rechtsgrond van artikel 6.1.b AVG voor de verwerking van deze identiteitsgegevens van de klager als huurder van een fiets.
27. Ten tijde van de verwerking van de persoonsgegevens van de klager was er echter een uitgebreider verificatieproces in voege, waarbij een verwerker, namelijk een bedrijf dat gespecialiseerd is in software voor identiteitsverificatie, op basis van een afbeelding van de identiteitskaart de echtheid van deze kaart naging en de identiteitsgegevens dus met grotere zekerheid kon verifiëren. Dit verificatieproces bracht echter wel een gegevensverwerking in de zin van artikel 2 AVG met zich mee, namelijk het fotograferen of scannen, filteren, doorzenden, controleren, bewaren en verwijderen van deze gegevens. Het doel van dit uitgebreidere verificatieproces was het tegengaan van fraude.
28. Hoewel er een privacyfilter aanwezig was in de toepassing van deze verwerker, vond er alsnog een verwerking van alle persoonsgegevens op de identiteitskaart plaats, zij het kortstondig. De verweerder verwoordt het zelf als volgt: “Terwijl een foto van een identiteitskaart wel op een bepaalde manier en zeer tijdelijk wordt geanalyseerd, is dat louter om bepaalde informatie daaruit achter te halen (sic) […]”7 en “Hoogstens kan de klager argumenteren dat er een uiterst tijdelijke ‘verwerking’ gebeurde vooraleer de maskering effectief plaatsvond”
29. In de bijlage bij zijn conclusies voegt de verweerder een analyse toe van het gebruik van deze verificatieprocedure. Op basis hiervan stelt de Geschillenkamer vast dat de foto van de identiteitskaart moet worden opgeladen op de website van de verweerder, waarna deze foto wordt verzonden naar de verwerker die op dat moment pas de privacyfilter toepast.9 De verweerder bevestigt dit in zijn conclusies: 6 Belgische Kamer van Volksvertegenwoordigers, Wetsontwerp houdende diverse bepalingen met betrekking tot het Rijksregister en de bevolkingsregisters van 6 november 2018, Doc 54 3256/003, p.
30. 7 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
31. 8 Ibid, randnummer
32. 9 Bijlage 2, memorandum van landsadcovaat Pels Rijcken van 7 januari 2022 in bijlage aan stuk 16, conclusie van antwoord en stukken van 7 maart 2025, randnummer 1.
33. Beslissing ten gronde 132/2025 — 6/15 “De abonnee moest een foto van het identiteitsbewijs […] nemen. […] Eens geüpload verscheen een automatische privacyfilter op de foto[…].” 10 Aangaande de tijdelijkheid van de verwerking argumenteert de verweerder dat dit louter als een “lezing van datapunten” moet worden beschouwd en dat dit toegestaan is door de wetgever. De verweerder verwijst hiervoor naar artikel 6, §4 van de wet ID11, waarin echter duidelijk staat dat het lezen van de elektronische identiteitskaart moet gebeuren “in overeenstemming met de wettelijke en reglementaire bepalingen inzake de bescherming van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens.” 12 De Geschillenkamer oordeelt dat dit lezen van datapunten eveneens een verwerking van persoonsgegevens betreft en, conform de wetgeving op de identiteitskaarten, dus moet voldoen aan de principes van gegevensbescherming in de AVG.
34. Daarenboven was deze filter aanpasbaar door de betrokkene, wat evenmin een garantie was dat de verwerker niet meer gegevens verwerkte dan de naam, de voornaam en de geboortedatum van de klant. Het komt de verwerkingsverantwoordelijke toe te garanderen dat enkel die persoonsgegevens verwerkt worden die noodzakelijk zijn voor het doel van de verwerking.
35. De Geschillenkamer oordeelt bijgevolg dat de verwerking van de persoonsgegevens op de identiteitskaart een aparte verwerking van persoonsgegevens is en dat het gebruik van de privacyfilter geen afdoende technische maatregel was om te verzekeren dat er niet meer persoonsgegevens van de identiteitskaart werden verwerkt dan de naam, de voornaam en de geboortedatum, die contractueel noodzakelijk zijn.
36. Deze aparte verwerking had als doeleinde het bestrijden van fraude. Zoals georganiseerd in het verificatieproces is deze verwerking geen noodzaak binnen de contractuele relatie, aangezien ze initieel niet noodzakelijk was en in maart 2024 ook niet meer werd uitgevoerd. Bovendien is ze ook niet noodzakelijk voor de minder dure contracten van gewone fietsen. Deze aparte verwerking kan dus niet gebaseerd worden op enige noodzaak voor de uitvoering van de overeenkomst van artikel 6.1.b AVG. De Geschillenkamer stelt eveneens vast dat de verwerking van persoonsgegevens gedurende het verificatieproces niet is gebaseerd op toestemming (artikel 6.1.a AVG), niet wordt uitgevoerd in het kader van een wettelijke noodzaak (artikel 6.1.c AVG) of een algemeen belang (artikel 6.1.e AVG) en dat van vitaal belang (artikel 6.1.d AVG) geen sprake kan zijn. Fraudebestrijding kan daarentegen wel kaderen in het gerechtvaardigd belang (artikel 6.1.f AVG) van de verweerder, met name het vermijden van economische schade. 10 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
37. 11 Wet van 19 juli 1991 betreffende de bevolkingsregisters, de identiteitskaarten, de vreemdelingenkaarten en de verblijfsdocumenten. 12 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
38. Beslissing ten gronde 132/2025 — 7/15
39. De privacyverklaring verwijst uitdrukkelijk naar dit gerechtvaardigd belang door te stellen: “<<citaat uit privacyverklaring>>”13 en bij de doeleinden van de verwerking: “<<citaat uit privacyverklaring>>”14 Ook wijst de verweerder in zijn conclusie op dit belang: “Deze verificatie is essentieel voor fraudepreventie en, gezien de hoge waarde van de e-bikes […], om ervoor te zorgen dat een fiets aan de juiste persoon wordt overhandigd. [verweerder] ondervindt regelmatig dat er abonnementen op de naam van een derde worden afgesloten, resulterend in het niet betalen van facturen of het verdwijnen van fietsen.” 15
40. Overeenkomstig de rechtspraak van het Hof van Justitie 16 aangaande de rechtsgrond gerechtvaardigd belang van artikel 6.1.f AVG, dient de verweerder aan te tonen dat: ▪ De belangen die zij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); ▪ De beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); ▪ De afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de klager doorweegt in het voordeel van de verweerder of van een derde (de “afwegingstoets”).
41. De Geschillenkamer stelt vast dat de verweerder geen belangenafweging aantoont aangaande deze verwerking. Ambtshalve doet de Geschillenkamer deze belangenafweging wel om na te gaan of het gerechtvaardigd belang van artikel 6.1.f AVG een gepaste rechtsgrond voor de verwerking zou zijn. Doeltoets
42. Gezien de fietsen slechts verhuurd worden en dus in eigendom van de verweerder blijven, oordeelt de Geschillenkamer dat het bestrijden van fraude en het verzekeren dat de fiets aan de juiste persoon wordt overhandigd een gerechtvaardigd belang van de verweerder is. 13 Bijlage 7 aan stuk 1, klachtenformulier van 10 maart 2024, p.
43. 14 Bijlage 7 aan stuk 1, klachtenformulier van 10 maart 2024, p.
44. 15 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
45. 16 HvJEU Arrest van 4 mei 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, en HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para.
46. Beslissing ten gronde 132/2025 — 8/15 Noodzakelijkheidstoets
47. Opdat een verwerking noodzakelijk is, moet ze ten eerste geschikt zijn, ten tweede toereikend zijn en ten derde noodzakelijk zijn voor de beoogde doelen. 17
48. Het leidt geen twijfel dat de identiteitskaart bij uitstek geschikt is om de identiteit van een persoon te controleren en ook toereikend is om deze identiteit met zekerheid vast te stellen. Een identiteitskaart is immers net met dit doel ontworpen en beveiligd. De verwerking door middel van de analyse van datapunten van een foto of scan van de identiteitskaart is bijgevolg eveneens geschikt en toereikend.
49. Deze analyse vergt echter het fotograferen of inscannen van de identiteitskaart en het doorzenden van deze foto of scan via internet, waarna ze wordt opgeslagen, geanalyseerd en opnieuw verwijderd na een bepaalde termijn. Elk van deze handelingen verhoogt het risico op fouten en eventuele inbreuken tegen de vertrouwelijkheid of de integriteit van alle gegevens op de identiteitskaart. Deze verwerkingen zijn niet noodzakelijk aangezien er een evenwaardig alternatief bestaat. De verweerder had reeds een procedure die eruit bestond de registratiegegevens die door de klant online werden ingegeven in de winkel fysiek te vergelijken met de gegevens op de identiteitskaart, alvorens de fiets te overhandigen. Deze procedure werd ook terug ingevoerd sinds maart 2024, aangezien de verwerking via de foto of scan van de identiteitskaart geen voldoende meerwaarde betekende voor het doel van de verwerking, namelijk de fraudebestrijding.18
50. Gezien de drie voorwaarden van artikel 6.1.f AVG cumulatief zijn 19 en de verwerking niet noodzakelijk is, oordeelt de Geschillenkamer dat de verweerder de verwerking van de persoonsgegevens op de identiteitskaart van de klager niet kon verwerken op grond van een gerechtvaardigd belang van artikel 6.1.f AVG.
51. De Geschillenkamer oordeelt bijgevolg dat de verweerder een inbreuk maakt op artikel 5.1.a juncto 6.1 AVG vanwege het niet beschikken over een rechtsgrond voor de verwerking van de persoonsgegevens op de identiteitskaart van de klager. II.
52. Minimale gegevensverwerking
53. De klager verzet zich tegen het fotograferen en uploaden van haar identiteitskaart en beschouwt vooral het verwerken van haar rijksregisternummer als overbodig. Daarbij verzet de klager zich echter niet tegen het controleren van haar identiteitskaart om de 17 EDPB, Richtsnoeren 3/2019 inzake de verwerking van persoonsgegevens door middel van videoapparatuur, versie 2.0 vastgesteld op 29 januari 2020, randnummer
54. 18 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
55. 19 HvJEU Arrest van 7 december 2023, Gevoegde zaken C-26/22 en C-64/22, Schufa, ECLI:EU:C:2023:958, para.
56. Beslissing ten gronde 132/2025 — 9/15 gegevens te vergelijken met de gegevens waarover de verweerder beschikt via de registratie. De klager is van mening dat deze consultatie voldoende is.
57. De Geschillenkamer stelt vast dat het vermeende verwerken van het rijksregisternummer van de klager deel uitmaakt van de verwerking van de identiteitskaart in de verificatieprocedure van de verweerder. Aangezien deze verificatieprocedure in randnummer 32 als niet-rechtmatig werd geoordeeld, is het eventueel verwerken van het rijksregisternummer evenmin rechtmatig en is een beoordeling op basis van het principe van de minimale gegevensbescherming niet meer ter zake dienend. II.
58. Transparantie van de verwerking
59. De klager beweert nooit rechtstreeks geïnformeerd te zijn over de verwerking van haar persoonsgegevens en stelt dat ze zelf de privacyverklaring heeft moeten opzoeken via internet om informatie over de verwerkingen te bekomen.
60. De verweerder toont aan dat er een link naar het privacybeleid te vinden is in het huurcontract met de klager en dat de privacyverklaring beschikbaar is via de website van de verweerder, dezelfde website via dewelke de klager zich moest registreren voor de huur van een fiets.
61. De Geschillenkamer oordeelt dat de klager voorafgaand aan de verwerking van haar persoonsgegevens in het kader van het huurcontract voldoende werd gewezen op het bestaan van de privacyverklaring en van de vindplaats van deze privacyverklaring.
62. Alhoewel de privacyverklaring de verwerking van de identiteitsgegevens vermeldt, wordt het gebruik van de identiteitskaart in de verificatieprocedure niet opgenomen terwijl het wel een aparte verwerking betrof
63. Evenmin wordt de verwerker die deze controle via de identiteitskaart uitvoert, vermeld in de privacyverklaring. Deze spreekt immers enkel van verwerkers in het kader van “<<citaat uit privacyverklaring>>”21.De Geschillenkamer stelt vast dat deze verwerking wel expliciet staat vermeld in de algemene voorwaarden. Gezien het echter een ander document betreft, gaat dit in tegen artikel 12.1 AVG. Dit artikel bepaalt dat de informatie aangaande de gegevensverwerking beknopt en makkelijk toegankelijk moet zijn, wat niet het geval is indien men deze informatie opsplitst en verdeeld over enerzijds de privacyverklaring en anderzijds de algemene voorwaarden. Daarenboven leiden discrepanties tussen informatie in de privacyverklaring en de algemene voorwaarden tot verwarring en onduidelijkheid, wat de transparantie negatief beïnvloedt.
64. Inzake de verwerking van het rijksregisternummer, dat op de achterkant van de identiteitskaart van de klager staat, is geen informatie terug te vinden in de 20 Zie hiervoor randnummer
65. 21 Bijlage 7 aan stuk 1, Klachtenformulier van 10 maart 2024, p.
66. Beslissing ten gronde 132/2025 — 10/15 privacyverklaring. Dit ligt in lijn met de argumentatie van de verweerder die stelt dat hij enkel de voorkant van de identiteitskaart verwerkt. Daarenboven toont de klager niet aan dat de achterkant van de identiteitskaart is verwerkt en kan dit evenmin nog geverifieerd worden aangezien alle persoonsgegevens bij de verwerker zouden verwijderd zijn sinds maart
68. Inzake de verwerking van de locatiegegevens van de fiets vermeldt de privacyverklaring de verwerking van de laatst bekende locatie in het kader van het terughalen van een verloren of gestolen fiets of in het kader van wanbetaling. De privacyverklaring verduidelijkt daarbij: “<<citaat uit privacyverklaring>>.”23 De privacyverklaring laat daarbij echter in het midden of er locatiegegevens eventueel punctueel, steekproefsgewijs of discontinue worden verzameld. Het feit dat de locatiegegevens continu kunnen worden gevolgd, impliceert dat er een locatie tracker aanwezig is in de fiets. Door enkel te communiceren over een continu gebruik bij problemen, is de verweerder niet transparant over het gebruik zonder dat er problemen zijn vastgesteld.
69. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen het transparantiebeginsel van artikel 5.1.a juncto artikelen 12 en 13 AVG aangezien de verwerking van de identiteitskaart door een verwerker niet aan bod kwam in de privacyverklaring en aangezien het niet duidelijk was of de locatie tracker in de verhuurde fiets ook locatiegegevens verzamelde zonder dat er problemen werden vastgesteld. II.
70. Recht van inzage
71. Artikel 15.1 AVG bepaalt dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van de persoonsgegevens die op hem betrekking hebben en, indien dat het geval is, om inzage te verkrijgen van die persoonsgegevens. Verder stelt artikel 15.3 AVG dat de verwerkingsverantwoordelijke een kopie dient te voorzien van de persoonsgegevens die hij verwerkt.
72. Daarnaast regelt artikel 12 AVG de wijze waarop de betrokkenen hun rechten kunnen uitoefenen en bepaalt artikel 12.2 AVG dat de verwerkingsverantwoordelijke de uitoefening van die rechten moet faciliteren, en onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie moet geven over de maatregelen die naar aanleiding van zijn verzoek zijn genomen. Afhankelijk van de complexiteit van de verzoeken en het aantal verzoeken kan die termijn, indien nodig, met nog eens twee maanden worden 22 Stuk 21, Syntheseconclusie en bijkomend stuk van 18 april 2025, randnummer
73. 23 Bijlage 7 aan stuk 1, Klachtenformulier van 10 maart 2024, p.
74. Beslissing ten gronde 132/2025 — 11/15 verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging (artikel 12.3 AVG). Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, deelt hij deze laatste onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek mee waarom het verzoek zonder gevolg is gebleven, en informeert hij hem over de mogelijkheid om klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen (artikel 12.4 AVG).
75. In de bijlage bij de klacht voert de klager een e-mail van 14 januari 2024 toe, waarin zij inzage vraagt in alle persoonsgegevens die ooit over haar werden verzameld en verwerkt
76. De Geschillenkamer stelt vast op basis van de stukken dat er geen inzage werd verleend binnen de voorziene periode, nog dat de verweerder enige verlening van deze periode heeft gevraagd.
77. De verweerder argumenteert dat het verzoek tot inzage in de spam terecht was gekomen en slechts werd ontdekt na de uitnodiging tot conclusies van de Geschillenkamer op 17 januari 2025, één jaar later dus. De verweerder voegt daaraan toe dat dit een uitzonderlijk geval betreft.
78. De Geschillenkamer stelt vast dat de laattijdigheid van de reactie van de verweerder op het correcte verzoek tot inzage van de klager als gevolg heeft dat het voor de klager onmogelijk was te controleren of haar rijksregisternummer effectief verwerkt is geweest, of de foto van haar identiteitskaart is verwijderd en of er locatiegegevens van haar fietsverplaatsingen werden verwerkt.
79. De Geschillenkamer oordeelt dat de verweerder een inbreuk heeft begaan tegen het recht van inzage van artikel 12 juncto artikel 15 AVG omwille van het niet verlenen van inzage in de persoonsgegevens van de klager na diens uitdrukkelijke verzoek binnen de voorziene termijn van 1 maand. III. Corrigerende maatregelen en sancties III.
80. De ernst van de inbreuk
81. Betreffende de ernst van de inbreuk oordeelt de Geschillenkamer dat het beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Het wordt eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat inbreuken op dit kernbeginsel derhalve zwaarwegende inbreuken vormen. Door daarenboven deze 24 Bijlage 5 aan stuk 1, Klachtenformulier van 10 maart
82. Beslissing ten gronde 132/2025 — 12/15 litigieuze verwerking niet op te nemen in de privacyverklaring en door het recht van inzage van de klager niet te respecteren binnen de voorziene termijn, kon de klager onmogelijk nagaan of haar persoonsgegevens afdoende werden beschermd, wat deze klacht onvermijdelijk maakte.
83. De Geschillenkamer neemt echter in rekening dat de litigieuze verwerking slechts tijdelijk werd uitgevoerd en reeds in maart 2024 op eigen initiatief werd stopgezet, inclusief het verwijderen van de gegevens die naar aanleiding van deze verwerking werden verzameld. Daarenboven had de verweerder technische maatregelen genomen om de verwerking te beperken, zij het dat deze technische maatregelen niet afdoende waren.
84. De Geschillenkamer neemt tenslotte ook in rekening dat het verzoek tot inzage uiteindelijk wel werd ingewilligd door de verweerder en dat de verwerking van de locatiegegevens wel vermeld staat in de privacyverklaring, zij het niet afdoende om zekerheid te geven over deze verwerking. III.
85. Corrigerende maatregelen
86. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; Beslissing ten gronde 132/2025 — 13/15 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit.
87. De Geschillenkamer beslist om op grond van artikel 100, 5° WOG de verweerder te berispen: • vanwege het verwerken van de persoonsgegevens van de identiteitskaart van de klager zonder rechtsgrond; • vanwege het niet beantwoorden van een rechtmatig verzoek tot inzage van de klager binnen de voorziene termijn en • vanwege het gebrek aan transparantie aangaande de verwerking van de persoonsgegevens van de identiteitskaart van de klager door een verwerker.
88. De Geschillenkamer beslist om op grond van artikel 100, 5° van de WOG de verweerder te waarschuwen vanwege het gebrek aan transparantie aangaande de locatiegegevens die worden verwerkt in het kader van het verhuren van fietsen, aangezien het voor de klager wel duidelijk was dat er locatiegegevens werden verwerkt, maar niet duidelijk was of deze permanent werden verwerkt. Beslissing ten gronde 132/2025 — 15/15 overeenkomstig artikel 1034quinquies van het Ger.W.26, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Directeur van de Geschillenkamer 26 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.