Beslissing ten gronde nr. 134/2025

1/24 Geschillenkamer Beslissing ten gronde 134/2025 van 21 augustus 2025 Dossiernummer : DOS-2022-04548 De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, Vertegenwoordigd door Mr. Robbie Tas, Mr. Caroline Hotterbeekx en Mr. Morgan Pécriaux, , hierna “de klager”; en De verweerder: Y1, hierna “de eerste verweerder” en;Y2, hierna de “tweede verweerder” genoemd; Beiden vertegenwoordigd door Mr. Karin Winters en Mr. Loïc Delanghe; hierna samen “de verweerders” genoemd. Beslissing ten gronde 134/2025 — 2/24 I. 1. Feiten en procedure Op 4 november 2023 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerders. De klager is eigenaar van de vennootschap Z1 en oprichter van de fitnesscentra “Z2” (hierna: [..]). Deze fitnesscentra worden sinds 2009 ondergebracht en uitgebaat door de vennootschap Y1, de eerste verweerder, en haar dochtervennootschappen. Tot 21 april 2021 was Z1, i.e. de managementvennootschap van de klager, eigenaar van 40,57% van de aandelen van de eerste verweerder en zij bezat 1 aandeel in fitnessketen Z2. 2. Onder meer door de COVID-19 crisis belandt de eerste verweerder in 2020 in een precaire financiële situatie. Op 21 april 2021 wordt er bijgevolg een overeenkomst tot aandelenoverdracht ondertekend tussen de tweede verweerder en Z1, waardoor Z1 haar aandelen in de eerste verweerder overdraagt aan de tweede verweerder. Hierdoor wordt de tweede verweerder 100% aandeelhouder van de eerste verweerder. 3. Vervolgens werd op 2 juni 2021 een managementovereenkomst gesloten tussen de eerste verweerder en Z1 (hierna “de managementovereenkomst”). Volgens deze overeenkomst zou Z1 tot eind 2022 instaan voor het dagelijks bestuur en de overgang naar een nieuw management voorbereiden. De klager zou daarbij optreden als (interim-)CEO voor de periode van 1 mei 2021 tot 31 december 2022. In het kader van zijn functie beschikte de klager over het e-mailadres […]. 4. Op een bepaald moment ontstond een commercieel geschil tussen Z1 en de eerste verweerder. Volgens de eerste verweerder was er sprake van een vertrouwensbreuk, waarna de managementovereenkomst werd beëindigd. De klager werd onmiddellijk de toegang tot de bedrijfsgebouwen ontzegd en moest zijn laptop inleveren. 5. In het kader van dit geschil werd door de klager een arbitrageprocedure opgestart, voorafgegaan door een ingebrekestelling gericht aan de verweerders. Deze ingebrekestelling bevatte niet enkel bepalingen over het commerciële geschil, maar ook over de behandeling van de e-mailbox van de klager. Daarin gaf de klager aan ervan uit te gaan dat de eerste verweerder zijn mailbox zou behandelen conform de richtlijnen van de GBA. 6. Op 23 november 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 7. Op 11 december 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 8. Op 11 december 2023 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Beslissing ten gronde 134/2025 — 3/24 Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders werd daarbij vastgelegd op 5 februari 2024, deze voor de conclusie van repliek van de klager op 26 februari 2024 en deze voor de conclusie van repliek van de verweerders op 18 maart 2024. 9. Op 16 januari 2024 aanvaarden de verweerders elektronisch alle communicatie omtrent de zaak en geven zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. Eveneens vragen de verweerders een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hun werd overgemaakt op 26 januari 2024. 10. Op 5 februari 2024 ontvangt de Geschillenkamer de gezamenlijke conclusie van antwoord vanwege de verweerders. De tweede verweerder voert in hoofdorde aan dat de klacht ten opzichte van haar onontvankelijk en minstens ongegrond is, aangezien zij niet de verwerkingsverantwoordelijke is voor de litigieuze verwerking omtrent het e-mailadres in kwestie. De eerste verweerder voert aan dat het gebrek aan deactiveren van het emailadres in kwestie met de verbonden mailbox het gevolg is van een menselijke vergissing die zij erkent en die intussen verholpen werd. Verder stelt de eerste verweerder dat zij geen verzoek tot wissing ontvangen heeft, en dat zij tijdig en passend gereageerd heeft op het verzoek tot inzage. 11. Op 26 februari 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager. De klager voert aan dat de verweerders gezamenlijke verwerkingsverantwoordelijken zijn voor wat betreft de verwerkingen met betrekking tot het e-mailadres in kwestie. Ten gronde voert de klager aan dat de eerste verweerder op onrechtmatige wijze toegang heeft tot zijn mailbox en dat de bewaring van de mailbox de grenzen van een, naar eigen zeggen, tijdige bewaring ruim overstijgt, waarbij de klager verwijst naar de richtlijnen van de GBA zoals uiteengezet . Voor wat betreft het verzoek tot wissing stelt de klager dat hij ingevolge artikel 17 AVG geen verzoek verwerkingsverantwoordelijke tot wissing verplicht dient is uit te oefenen persoonsgegevens aangezien zonder de onredelijke vertraging te wissen indien de persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verwerkt . Voor wat betreft het verzoek tot inzage stelt de klager dat een kopie van de mailbox had moeten worden overgemaakt omdat geen van de opgeworpen uitzonderingen uit artikel 15 AVG van toepassing zijn. 12. Op 18 maart 2024 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerders waarin zij haar standpunten uit hun gezamenlijke conclusie van antwoord hernemen. 13. Op 16 december 2024 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 19 februari 2025. Beslissing ten gronde 134/2025 — 4/24 14. Op 19 februari 2025 worden de partijen gehoord door de Geschillenkamer. 15. Op 27 februari 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 16. Op 12 en 13 maart 2025 ontvangt de Geschillenkamer vanwege de verweerders en de klager respectievelijk enkele opmerkingen met betrekking tot het proces-verbaal dewelke zij beslist mee op te nemen in haar beraad. II. Motivering II.1. Identiteit van de verwerkingsverantwoordelijke 17. De klager identificeert in zijn klachtenformulier twee verwerkingsverantwoordelijken, namelijk Y1 en Y2 (de eerste en de tweede verweerder). Hij voert aan dat om de identiteit van de verwerkingsverantwoordelijke overeenkomstig artikel 4, 7) AVG aan te duiden, alle relevante feitelijke omstandigheden in aanmerking genomen moeten worden. De klager wijst erop dat in onderhavige zaak de tweede verweerder controle uitoefent over de eerste verweerder en zij de houding en de politiek van de eerste verweerder bepaalt. Ook in de feiten wordt er geen onderscheid tussen beide verweerders gemaakt; zo verwijst de klager naar de briefwisseling in het verleden waarbij dezelfde persoon voor zowel de eerste als de tweede verweerder heeft ondertekend. 18. De verweerders voeren aan dat zij geen gezamenlijke verwerkingsverantwoordelijken zijn met betrekking tot het e-mailadres in kwestie. Het is de eerste verweerder zelf die de controle heeft over haar e-mailsysteem en de verwerking van de persoonsgegevens van haar medewerkers. Zij werkt hiervoor met een externe IT-provider aan wie zij de instructies geeft om e-mailadressen te deactiveren. Een moedervennootschap in een groep van vennootschappen is volgens de verweerders niet gezamenlijk verantwoordelijk voor de verwerking van de data van al haar dochtervennootschappen, zelfs niet indien deze moedervennootschap bepaalde diensten levert aan haar dochters, zoals de functionaris voor gegevensbescherming. De tweede verweerder heeft controle als aandeelhouder over de eerste verweerder, wat betekent dat zij kan beslissen om bestuurders te ontslaan of te benoemen, maar zij kan niet alle beslissingen van de tweede verweerder dirigeren. De verweerders besluiten dan ook dat de eerste verweerder noch het doel, noch de middelen bepaalt voor het creëren en afsluiten van de e-mailadressen van de tweede verweerder. 19. De Geschillenkamer herinnert eraan dat overeenkomstig artikel 4.7) AVG als verwerkingsverantwoordelijke moet worden beschouwd: “de natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Beslissing ten gronde 134/2025 — 5/24 De verwerkingsverantwoordelijke dient dus een beslissingsbevoegdheid en invloed te hebben op de desbetreffende verwerking van persoonsgegevens. 1 20. De richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG van de European Data Protection Board (EDPB) stellen ook vast dat de kwalificatie als verwerkingsverantwoordelijke of verwerker moet worden beoordeeld met betrekking tot elke specifieke verwerkingsactiviteit. De kwalificatie als verwerkingsverantwoordelijke vloeit dus niet zomaar voort uit de aard van de entiteit die gegevens verwerkt, maar uit haar concrete activiteiten in een specifieke context.2 21. De Geschillenkamer stelt vast dat er inderdaad een zekere mate van samenwerking is tussen de beide verweerders, gelet op hun relatie als moeder- en dochtervennootschap. De Geschillenkamer is echter van oordeel dat er geen elementen zijn op basis waarvan zij kan vaststellen dat de tweede verweerder, al dan niet gezamenlijk met de eerste verweerder, het doel en de middelen bepaalt betreffende het beheer van e-mailadressen, en meer specifiek de handelingen stelt concludeert de betreffende het e-mailadres van de klager. Bijgevolg Geschillenkamer dat de eerste verweerder als enige verwerkingsverantwoordelijke moet aangeduid worden en gaat zij over tot een sepot van de grieven geformuleerd ten aanzien van de tweede verweerder. II.2. Doelbindingsbeginsel als bedoeld in artikel 5.1.

1. b)AVG in combinatie met de nietnaleving van artikel 5.1.
2. c)(minimalisering) 22. Het komt toe aan de Geschillenkamer om te beoordelen of de eerste verweerder een inbreuk heeft begaan op artikel 5.1.
3. b)en 5.1.
4. c)AVG. 23. Artikel 5.1.
5. b)AVG vereist dat persoonsgegevens worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. 24. Tevens is het beginsel van minimale gegevensverwerking van toepassing, krachtens hetwelk alleen gegevens mogen verwerkt worden die toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is ten aanzien van het doeleinde (artikel 5.1.
6. c)AVG). 25. Het e-mailadres dat het voorwerp uitmaakt van de klacht en de informatie in de daaraan gekoppelde mailbox vormen persoonsgegevens in de zin van artikel 4.1) van de AVG, aangezien het betrekking heeft op informatie over een geïdentificeerde of identificeerbare natuurlijke persoon door het gebruik van de voornaam- en de familienaam van de klager in het e-mailadres. 1 EDPB Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG 2.0, 7 juli 2021, 12. 2 EDPB Richtsnoeren 7/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG 2.0, 7 juli 2021, 14. Beslissing ten gronde 134/2025 — 6/24 26. Dit mailadres en de daaraan gekoppelde mailbox, die voor beroepsdoeleinden in het kader van de activiteiten van de eerste verweerder werden gecreëerd, waren bedoeld om de klager in staat te stellen e-mails te ontvangen en te verzenden in het kader van zijn activiteiten als (interim-)CEO. 27. De Geschillenkamer is van oordeel dat het, om te voldoen aan het doelbindingsbeginsel (artikel 5.1.
7. b)AVG), in combinatie met het beginsel van minimale gegevensverwerking (artikel 5.1.
8. c)AVG), aan de verwerkingsverantwoordelijke is om de gebruiker van de mailbox die zijn functie heeft beëindigd, uiterlijk op de dag van zijn feitelijke vertrek te voorzien van een automatisch bericht. De houder moet daaromtrent vooraf verwittigd worden. Dit automatische bericht waarschuwt alle volgende correspondenten dat de betrokkene zijn functie binnen het bedrijf niet meer uitoefent en verstrekt de contactgegevens van de persoon (of het algemene e-mailadres) die in zijn plaats moeten worden gecontacteerd. Deze werkwijze laat toe dat geen bijkomende persoonsgegevens van de betrokkene en de correspondenten worden verwerkt (artikel 5.1.
9. c)AVG) voor een doeleinde dat niet meer bestaat, aangezien de samenwerking tussen de klager en de eerste verweerder beëindigd is (artikel 5.1.b AVG). Dit automatisch bericht dient te worden verstuurd gedurende een redelijke periode (a priori 1 maand vanaf de beëindiging van de samenwerking). Afhankelijk van de context en met name de mate van verantwoordelijkheid die de betrokkene uitoefent, kan een langere periode worden toegestaan, idealiter niet langer dan drie maanden. De verlenging moet gebeuren met instemming van de betrokken persoon of ten minste nadat deze van de verlenging op de hoogte is gesteld. Bovendien moet er zo snel mogelijk een alternatieve oplossing worden gezocht en ingevoerd zonder dat de uiterste termijn voor deze verlenging hoeft te worden afgewacht. 28. Op basis van de conclusies van de eerste verweerder, merkt de Geschillenkamer op dat de eerste verweerder de klager bij schrijven dd. 14 maart 2022 heeft geïnformeerd dat een sereen out-of-office bericht werd ingesteld op het e-mailadres in kwestie. Hoewel de eerste verweerder hiervan geen bewijsstuk overmaakt, wordt deze stelling niet betwist door de klager. De klager stelt wel aan de kaak dat de mailbox niet gedeactiveerd werd, maar dat enkel een custom flow rule werd ingesteld. Dit betekent volgens de klager dat er automatische acties worden uitgevoerd op mails die binnenkomen in plaats van een deactivatie van de mailbox. 29. De eerste verweerder stelt in haar conclusies dat van zodra zij kennis had genomen van het feit dat het e-mailadres niet correct afgesloten zou zijn, zij het nodige heeft gedaan. Zij bevestigt dat het account intussen gedeactiveerd werd. Tijdens de hoorzitting informeert de eerste verweerder eveneens dat zij thans beschikt over een beleid inzake het afsluiten van mailboxen. 30. De Geschillenkamer stelt vast dat een out-of-office bericht ingesteld werd, maar dat de deactivatie niet gebeurde na de redelijke periode zoals hierboven uiteengezet. Bijgevolg Beslissing ten gronde 134/2025 — 7/24 werden er persoonsgegevens van de klager en diens correspondenten verwerkt ondanks het feit dat het vooropgestelde doel van de verwerking, zijnde het kennisnemen van mails in het kader van zijn taken als (interim-)CEO, niet meer van toepassing was. De Geschillenkamer stelt dan ook vast dat er sprake is van een inbreuk op het beginsel van doelbinding ex artikel 5.1.
10. b)AVG en het beginsel van dataminimalisatie ex artikel 5.1.
11. c)AVG, maar dat deze intussen verholpen werd. II.3. Rechtmatigheid van de verwerking 31. De litigieuze verwerking die de klager aan de kaak stelt betreft de bewaring van de mailbox door de eerste verweerder na de beëindiging van de samenwerking tussen hen. 32. Overeenkomstig artikel 5.1.a), van de AVG moet elke geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens met name behoorlijk en rechtmatig zijn. Om rechtmatig te zijn, moet elke verwerking van persoonsgegevens een rechtsgrond vinden in artikel 6 van de AVG. Het is aan de verwerkingsverantwoordelijke om te bepalen wat die rechtsgrond is. 33. Artikel 6 van de AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of, zoals in casu, doorgaan met een gegevensverwerking zonder zich te beroepen op één van de in artikel 6.1 AVG3 opgesomde rechtmatigheidscriteria, dat de concretisering is van het rechtmatigheidsbeginsel als bedoeld in artikel 5.1
12. a)AVG. 34. De Geschillenkamer heeft in haar eerdere beslissingen al vastgesteld dat de mailbox, met het oog op het gerechtvaardigd belang van de werkgever in overeenstemming met de voorwaarden van artikel 6.1.
13. f)van de AVG, gedurende een bepaalde periode na het ontslag van de werknemer nog actief mag blijven in zoverre dit beperkt blijft tot de automatische verzending van standaardcommunicatie omtrent het vertrek van deze medewerker, met het oog op het waarborgen van de goede werking van de onderneming en de continuïteit van 3 Artikel 6.1 AVG De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
14. a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
15. b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
16. c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
17. d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
18. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
19. f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. Beslissing ten gronde 134/2025 — 8/24 haar diensten. Dit kan vanzelfsprekend enkel mits de overige bepalingen van de AVG inzake de rechtsgrond eveneens worden gerespecteerd.4 Na deze periode dient het e-mailadres en de mailbox van de betrokkene te worden verwijderd. Het doel van de verwerking van deze persoonsgegevens is dan immers bereikt. 35. Deze redenering kan naar analogie worden toegepast op onderhavige situatie waarin aan de klager een e-mailadres ter beschikking wordt gesteld door de eerste verweerder om zijn taken als (interim-)CEO uit te oefenen. De eerste verweerder verklaart dat zijn gerechtvaardigd belang om over te gaan tot de verwerking van de bovengenoemde gegevens het waarborgen van de continuïteit van de diensten van de onderneming is. De mailbox bevat immers relevante communicatie zoals afspraken met leveranciers en klanten. 36. Aangezien de samenwerking tussen de klager en de eerste verweerder werd stopgezet op 28 januari 2022, is de Geschillenkamer van oordeel dat de verwerking van de persoonsgegevens van de klager aan de hand van het e-mailadres en mailbox in kwestie binnen een redelijke termijn had moeten worden beëindigd en de klager daarover had moeten worden geïnformeerd. Overeenkomstig eerdere beslissingen van de Geschillenkamer, bedraagt deze redelijke periode, afhankelijk van de aard de functie van de betrokkene, 1 tot 3 maanden na beëindiging van diens functie. Dit betekent dat het emailadres en de mailbox diende te worden afgesloten tussen 28 februari 2022 (i.e. één maand na de beëindiging van de samenwerking) en 28 april 2022 (i.e. drie maanden na de beëindiging van de functie van de klager). 37. De Geschillenkamer stelt vast dat de klager op 7 februari 2022 een ingebrekestelling heeft gestuurd naar de eerste verweerder, waarin hij stelt dat een aantal praktische afspraken getroffen moeten worden omtrent het gepersonaliseerd e-mailadres van de klager. Meer bepaald vraagt de klager aan de eerste verweerder om (
20. i)geen toegang te nemen tot het gepersonaliseerd e-mailaccount; (
21. ii)om een automatisch bericht te verzenden met neutrale inhoud; en (iii) het e-mailaccount op korte termijn af te sluiten. 38. Gelet op de ingebrekestelling en de juridische verdediging in het kader van het commercieel geschil in de arbitrageprocedure, voert de eerste verweerder aan dat het in haar gerechtvaardigd belang was om de mailbox niet af te sluiten. Volgens de eerste verweerder is het in haar gerechtvaardigd belang om de mailbox te bewaren gelet op de lopende arbitrageprocedure omtrent het lopend commercieel geschil, waarvan ook de kwestie rond de mailbox deel uitmaakt. In de loop van de arbitrageprocedure nam de eerste verweerder eveneens kennis van de klacht die werd ingediend bij de GBA omtrent het afsluiten van het e-mailadres en de mailbox. Indien klager zou bevestigen dat zij geen kopie van de mailbox 4 Zie o.a. beslissing 133/2021, https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-1332021.pdf. Beslissing ten gronde 134/2025 — 9/24 meer wenst, noch in deze procedure, noch in de arbitrageprocedure, dan gaat zij over tot de wissing van de mailbox, zo betoogt de eerste verweerder. 39. De klager stelt dat het onaanvaardbaar is dat de eerste verweerder de mailbox al ruim twee jaar bewaart, hetgeen de grenzen van een ‘tijdelijke bewaring’ ruim overstijgt. De klager stelde immers vast dat zijn e-mailbox nog actief was in september 2023, aangezien hij bij het versturen van een e-mail naar het e-mailadres in kwestie geen failury delivery notice, noch een custom mail flow rule ontving, ook al biedt dit laatste geen garantie op een correcte afsluiting van het e-mailaccount volgens de klager. Daarnaast betwist de klager ook de stelling van de eerste verweerder dat zij een gerechtvaardigd belang heeft om de mailbox te bewaren gelet op de vordering tot een kopie van de volledige e-mailbox. De klager voert hieromtrent aan dat de eerste verweerder de verplichting had om hem een kopie van de mailbox over te maken na zijn ontslag (i.e. 28 januari 2022) en uiterlijk na de periode van het out-of-office bericht (i.e. 30 april 2022). De klager heeft echter nog geen kopie mogen ontvangen. Bijgevolg kan dit volgens de klager geen rechtvaardiging vormen voor de bewaring van de mailbox. 40. Teneinde zich conform artikel 6.1.
22. f)van de AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: 1) de belangen die hij met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); en 3) de afweging van deze belangen ten opzichte van de belangen, de grondrechten en de fundamentele vrijheden van de betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”); 41. Voor wat betreft de eerste voorwaarde, de doeltoets, stelt de eerste verweerder dat zij zich dient te verdedigen in de lopende arbitrageprocedure omtrent het commercieel geschil. De verdediging in rechte is een grondrecht dat is vastgelegd in artikel 48 van het Handvest van de grondrechten van de Europese Unie. In het algemeen kan de "verdediging in rechte" inderdaad worden beschouwd als een gerechtvaardigd belang dat rechtmatig is in het kader van de toepassing van artikel 6.1. f), van de AVG. Dit belang moet daadwerkelijk en aanwezig zijn, d.w.z. niet speculatief. 42. De Geschillenkamer stelt vast dat dit belang een daadwerkelijk en aanwezig gerechtvaardigd belang vormt. De ingebrekestelling voor de arbitrageprocedure gebeurde op 7 februari 2022, wat nog in de redelijke periode tussen de beëindiging van de samenwerking en de afsluiting van de mailbox gebeurde. Beslissing ten gronde 134/2025 — 10/24 43. Ook moet worden voldaan aan de noodzakelijkheidstoets zoals voorgeschreven door het Hof van Justitie. Opdat het gerechtvaardigde belang van "verdediging in rechte" van de eerste verweerder zou gelden, moet de gegevensverwerking "noodzakelijk" zijn voor het gebruik van deze verdediging in rechte. De Geschillenkamer is van oordeel dat het buitensporig zou zijn en in strijd met deze vereisten van noodzakelijkheid en evenredigheid om toe te laten dat alle persoonsgegevens in een mailbox verwerkt kunnen worden, zelfs indien deze worden verwerkt met het oog op een verdediging in rechte. 44. In het onderhavige geval betreffen de grieven van de klager jegens de eerste verweerder in de arbitrageprocedure een commercieel geschil. Het geschil in de arbitrageprocedure tussen de partijen betreft de vermeende onrechtmatige beëindiging en eveneens de eventuele impact op de earn-out. De Geschillenkamer volgt de klager dat privémails uit de mailbox in principe niet noodzakelijk zijn in het kader van het arbitragegeschil. De Geschillenkamer wijst er echter op dat de mailbox, middels de gebrekestelling van 7 februari 2022 in de arbitrageprocedure betrokken werd, aangezien een kopie van de volledige mailbox gevraagd werd door de klager. In dat verband stelt de Geschillenkamer vast dat de eerste verweerder in haar schrijven dd. 14 maart 2022 aan de klager voorstelt om, onder toezicht van de functionaris voor gegevensbescherming van de tweede verweerder, de privémails te selecteren waarvan hij een kopie wenst te houden. Na een prima facie verificatie van het persoonlijk karakter ervan door de functionaris voor gegevensbescherming, zullen deze documenten aan de klager worden bezorgd en vervolgens verwijderd uit het systeem. De eerste verweerder stelt dat de klager hier niet op ingegaan is. De klager herhaalt dat hij een volledige kopie van de mailbox wenst. Bijgevolg is, gelet op de lopende arbitrageprocedure waarvan het verzoek tot kopie van de volledige mailbox deel uitmaakt, voldaan aan de noodzakelijkheidsvoorwaarde. 45. Tot slot moet er nog voor worden gezorgd dat aan de vereisten van de afwegingstoets wordt voldaan. In het kader van de afwegingstoets dienen de belangen van de verwerkingsverantwoordelijke en de betrokkene tegen elkaar afgewogen te worden. Enerzijds wijst de Geschillenkamer erop dat de bewaring van de mailbox, in de staat waarin deze was op het moment van de beëindiging van de samenwerking tussen de klager en de eerste verweerder in het belang van beide partijen is. Informatie uit de mailbox kan aangewend worden in het kader van de lopende arbitrageprocedure en er kan in deze procedure gevraagd worden om informatie uit deze mailbox voor te leggen ter ondersteuning van claims van beide partijen. Ook kan in deze procedure gevraagd worden om een kopie van de mailbox aan de klager over te maken. 46. De Geschillenkamer stelt evenwel vast dat op grond van artikel 13.1
23. c)en
24. d)AVG het aan de eerste verweerder als verwerkingsverantwoordelijke toekomt om de klager als betrokkene te informeren over de doeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking (art. 13.1.
25. c)AVG) en de gerechtvaardigde belangen van de Beslissing ten gronde 134/2025 — 11/24 verwerkingsverantwoordelijke indien de verwerking op art. 6.1.
26. f)gebaseerd is (artikel 13.1.
27. d)AVG) , zoals in casu het geval is. Er wordt echter niet aangetoond dat de klager zou zijn geïnformeerd over het door de eerste verweerder ingeroepen gerechtvaardigd belang van de verdediging in een juridische procedure. Integendeel, de eerste verweerder had de klager geïnformeerd de mailbox te zullen verwijderen op 30 april 2022, hetgeen niet gebeurd is. Het gaat dan ook in tegen de redelijke verwachting van de klager dat de mailbox verder bewaard zou blijven. In dit kader verwijst de Geschillenkamer naar overweging 47 AVG 5 dat stelt dat de redelijke verwachting een factor is die in rekening dient genomen te worden bij de belangenafweging die gemaakt dient te worden bij de toepassing van artikel 6.1.
28. f)AVG. Aangezien de klager niet werd geïnformeerd, behoeft hij ook niet te verwachten dat zijn persoonsgegevens nog werden verwerkt. 47. Bijgevolg stelt de Geschillenkamer vast dat er geen enkele rechtsgrond is die de verwerking van het mailadres na het ontslag van de klager op de wijze zoals door de verweerder aangewend, kan rechtvaardigen. Aldus komt vast te staan dat de verweerder een inbreuk op artikel 6.1 AVG juncto artikel 13.1
29. c)en
30. d)AVG heeft gepleegd. II.4. Verzoek tot inzage Algemeen 48. De klager stelt dat hij sinds 7 februari 2022 de eerste verweerder verzoekt om een kopie van zijn mailbox te verkrijgen hetgeen door haar wordt geweigerd. De Geschillenkamer dient na te gaan of de eerste verweerder dit verzoek rechtmatig geweigerd heeft. 49. Om te beginnen herinnert de Geschillenkamer eraan dat het recht van inzage een van de belangrijkste vereisten is van het recht op gegevensbescherming. Het is de "toegangspoort" die de uitoefening mogelijk maakt van andere rechten die de AVG aan de betrokkene toekent, zoals het recht op rectificatie, het recht op gegevenswissing en het recht op beperking van de verwerking.6 50. Volgens artikel 15.1 van de AVG heeft de betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens. In het geval zijn persoonsgegevens worden verwerkt, heeft de betrokkene het recht om inzage te verkrijgen van die persoonsgegevens en van informatie die in artikel 15, lid 1
31. a)-
32. h)wordt vermeld, zoals het doeleinde van de verwerking 5 Overweging 47: “In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. “ 6 Zie meeste recent HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3, para 38, maar ook HvJEU, 17 juli 2014, YS et al., C-141/12 en C-372/12, EU:C:2014:2081, para 44, en HvJEU 20 december 2017, Nowak, C-434/16, EU:C:2017:994, para 57, zie ook beslissing 15/2021 dd. 9 februari 2021, para 141, en beslissing 41/2020 dd. 29 juli 2020, para 47 Beslissing ten gronde 134/2025 — 12/24 van de gegevens en de eventuele ontvangers van de gegevens, evenals informatie over het bestaan van zijn rechten, waaronder het recht om rectificatie of wissing van zijn gegevens te vragen, of om een klacht bij de GBA in te dienen. Het doel van het recht tot inzage is de betrokkene in staat te stellen om te begrijpen hoe zijn persoonsgegevens worden verwerkt en wat de gevolgen daarvan zijn alsook de juistheid van de verwerkte gegevens te controleren zonder dat hij zijn voornemen hoeft te rechtvaardigen. 7 51. Artikel 15.3 AVG vereist van de verwerkingsverantwoordelijke dat hij een kopie van de persoonsgegevens die worden verwerkt aan de betrokkene verstrekt. Dat recht op het verkrijgen van een kopie van de gegevens betekent niet het recht voor een betrokkene om een afschrift van het originele document dat de gegevens bevat, aangezien in sommige gevallen de mededeling van dat document afbreuk kan doen aan de rechten en vrijheden van anderen. 52. De klager stelt dat hij sinds 7 februari 2022 de eerste verweerder verzoekt om een kopie van zijn mailbox te ontvangen. De oplossing zoals aangereikt door de eerste verweerder is volgens de klager ontoereikend en er werd bovendien geen verdere uitvoering aan gegeven. De klager stelt dat zijn e-mailadres en mailbox persoonsgegevens overeenkomstig artikel 4.1 AVG uitmaken. Bijgevolg kan de klager ingevolge artikel 15.3 AVG een kopie, nl. een getrouwelijke en begrijpelijke reproductie van alle persoonsgegevens, verkrijgen. 53. De eerste verweerder werpt ten eerste op dat er een onderscheid moet gemaakt worden tussen een privémailbox van een werknemer en de zakelijke mailbox. De klager wenst volgens de eerste verweerder via het uitoefenen van zijn recht op inzage bewijsmateriaal te vergaren in het kader van zijn verdediging in de lopende arbitrageprocedure waarin zijn managementvennootschap betrokken is, omtrent het commercieel geschil en niet om inzage te krijgen in de persoonsgegevens die door de eerste verweerder verwerkt worden. Dit zou blijken uit het feit dat de klager stelt dat hij op zoek zou zijn naar professionele emails en niet naar zijn privémails. De eerste verweerder besluit dan ook dat het verzoek in werkelijkheid gaat over bedrijfsgegevens vervat in e-mails en/of bijlagen bij e-mails, zoals rapporten, verslagen of analyses inzake de business van de eerste verweerder. 54. In dit kader stelde de eerste verweerder voor dat de klager onder toezicht de privémails en de privédocumenten van uitsluitend persoonlijke aard kon selecteren zodat deze op een aparte drager kan worden gezet of worden doorgestuurd. Vervolgens zou de functionaris voor gegevensbescherming een prima facie beoordeling doen op het exclusief persoonlijk karakter van de geselecteerde e-mails en bestanden, waarna deze kunnen worden verwijderd uit het IT-systeem van de eerste verweerder. De eerste verweerder voegt hieraan toe dat dit voorstel uitsluitend privémails betreft en geen e-mails van (gemengde) professionele aard. Ook volgens de hierboven vermelde managementovereenkomst blijven 7 EDPB Guidelines 01/2022 on data subject rights – right of access, dd 18 januari 2022, te raadplegen via https://edpb.europa.eu/system/files/2022-01/edpb guidelines 012022 right-of-access 0.pdf, para 13. Beslissing ten gronde 134/2025 — 13/24 bedrijfsdocumenten eigendom van de eerste verweerder en dienen deze documenten op eerste verzoek en in ieder geval bij de beëindiging van de overeenkomst terugbezorgd te worden aan de eerste verweerder. De klager was hiermee niet akkoord. 55. De Geschillenkamer herinnert er vooreerst aan dat het niet toekomt aan verwerkingsverantwoordelijken om te beoordelen waarom de betrokkene om inzage vraagt, maar alleen wat de betrokkene vraagt, ook in het geval de verwerkingsverantwoordelijke zou vermoeden dat de betrokkene de persoonsgegevens zou gebruiken om zich in rechte te verdedigen in het geval van een commercieel geschil.8 De Geschillenkamer voegt hieraan toe dat als de klager zijn recht op inzage uitoefent, en vervolgens een kopie van deze persoonsgegevens zou verkrijgen, hij zelf verwerkingsverantwoordelijke wordt voor verwerkingen van deze persoonsgegevens die hij uitvoert en dus ook onderworpen is aan de verplichtingen die voortvloeien uit de AVG. 56. In haar conclusies werpt de eerste verweerder op dat de klager geen recht heeft op een kopie van de volledige inhoud van het e-mailaccount omdat zijn naam vervat zit in het emailadres. 57. De Geschillenkamer herinnert er in dat verband aan dat het begrip "persoonsgegevens" alle soorten informatie omvat: privé (intieme), openbare, professionele of commerciële informatie, objectieve of subjectieve informatie. In het arrest Nowak 9 stelt het Hof van Justitie van de Europese Unie (hierna: HvJ) duidelijk dat het begrip "persoonsgegevens" zowel gegevens omvat die voortvloeien uit objectieve, verifieerbare en betwistbare elementen als subjectieve gegevens die een evaluatie of een oordeel over de betrokkene bevatten. Bijgevolg concludeert de Geschillenkamer dat het niet uit te sluiten is dat er persoonsgegevens van de klager in de mailbox aanwezig kunnen zijn. 58. De Geschillenkamer verduidelijkt vervolgens dat het recht van inzage alleen kan worden uitgeoefend met betrekking tot de verwerking van persoonsgegevens die binnen het materiële en territoriale toepassingsgebied van de AVG vallen. Een verzoek tot inzage heeft in principe betrekking op alle persoonsgegevens, van zowel private als professionele aard, die zich in de mailbox bevinden, en dus niet per definitie de volledige inhoud van de mailbox, louter omdat de naam van de betrokkene figureert in het e-mailadres waaraan de mailbox verbonden is. Het gebruik van de woorden „alle informatie” in de definitie van het begrip „persoonsgegevens” zoals bepaald in artikel 4.1) AVG, wijst op de bedoeling van de Uniewetgever om een ruime betekenis te geven aan dit begrip, dat zich potentieel uitstrekt tot elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm 8 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf., de versie die beschikbaar was ten tijde van de litigieuze feiten is beschikbaar via https://www.edpb.europa.eu/system/files/202201/edpb guidelines 012022 right-of-access 0.pdf , randnummer 13.. 9 HvJEU, 20 december 2017, C-434/16, Nowak, ECLI:EU:C:2017:994, randnummer 35. Beslissing ten gronde 134/2025 — 14/24 van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft”.10 59. Overeenkomstig de Richtsnoeren 1/2022 van de EDPB betreffende het recht van inzage, maakt de reikwijdte van het begrip persoonsgegevens en dus het onderscheid tussen persoonsgegevens en andere gegevens integraal deel uit van de beoordeling die de verwerkingsverantwoordelijke uitvoert om de gegevens te bepalen waartoe de betrokkene toegang krijgt.11 60. Bovendien is het niet toegestaan om het recht van inzage te beperken in een contract tussen de verwerkingsverantwoordelijke en de betrokkene.12 Beperkingen 61. In haar antwoord op het verzoek tot inzage op 14 maart 2022 heeft de eerste verweerder aan de klager de mogelijkheid geboden om onder toezicht van de functionaris voor gegevensbescherming van de eerste verweerder de privémails te selecteren waarvan hij een kopie wenst te houden. Na een prima facie verificatie van het persoonlijk karakter ervan door de functionaris voor gegevensbescherming, zullen deze documenten aan de klager worden bezorgd en vervolgens verwijderd uit het systeem. De eerste verweerder stelde eveneens dat geen inzage kon worden verleend in documenten van gemengde en professionele aard aangezien, ingevolge de managementovereenkomst en bedrijfsdocumenten de eigendom van de eerste verweerder blijven waarvan geen kopieën mogen worden bijgehouden onder welke geschreven, elektronische, digitale of andere vorm ook. 62. De eerste verweerder voert in haar conclusies verschillende argumenten aan omtrent de beperkingen van het recht op inzage. Ten eerste betoogt zij dat het verzoek tot inzage afbreuk doet aan de privacy- en gegevensbeschermingsrechten van derden, zoals personen die betrokken zijn of vermeld worden in de communicatie van de klager van de afgelopen jaren. De mailbox zou volgens de eerste verweerder een grote hoeveelheid aan persoonsgegevens bevatten, waaronder identificatiegegevens maar ook persoonlijke informatie van het personeel. Daarnaast wijst de eerste verweerder erop dat in de managementovereenkomst werd gestipuleerd dat bedrijfsdocumenten zoals briefwisseling inzake bedrijfsprocessen, programma’s, bedrijfsknowhow, contractdocumentatie, cliëntenlijsten e.d. haar eigendom blijven. 63. De klager werpt in zijn conclusies op dat hij reeds kennis heeft genomen van deze mails, aangezien deze naar hem verzonden werden. Hij was immers 13 jaar lang CEO. De klager 10 HvJEU, 4 mei 2023, F.F. tegen Österreichische Datenschutzbehörde, C-487/21, ECLI:EU:C:2023:369, randnummer 23. 11 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf, p.4. 12 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf, p61. Beslissing ten gronde 134/2025 — 15/24 neemt dan ook het standpunt in dat de weigering van de verweerders om inzage te verlenen in de mailbox een onrechtmatige weigering van het recht op inzage uitmaakt. 64. De Geschillenkamer wijst er echter op dat de klager van deze informatie kennis kon nemen in zijn hoedanigheid als (interim-)CEO. Aangezien de klager deze functie niet langer uitoefent, is hij niet langer gerechtigd om (opnieuw) kennis te nemen van deze informatie. Bijgevolg dient de eerste verweerder te beoordelen tot welke persoonsgegevens de klager inzage kan verleend worden. 65. Zoals reeds vermeld vereist artikel 15.3 AVG van de verwerkingsverantwoordelijke dat hij een kopie van de persoonsgegevens die worden verwerkt aan de betrokkene verstrekt. De Geschillenkamer herinnert eraan dat artikel 15.4 van de AVG het recht om een kopie 13 te verkrijgen beperkt met de volgende bewoordingen: "Het recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen". “Anderen” betekent elke andere persoon of entiteit dan de betrokkene die zijn recht van inzage uitoefent. Er kan dus rekening worden gehouden met de rechten en vrijheden van de klanten of het personeel, maar ook met die van de verwerkingsverantwoordelijke of de verwerker.14 Bovendien moet rekening worden gehouden met het recht op vertrouwelijkheid van correspondentie.15 De economische belangen van een bedrijf om geen persoonsgegevens vrij te geven, volstaan bijvoorbeeld niet om de uitzondering van artikel 15.4 AVG in te roepen, zolang er geen bedrijfsgeheimen, intellectuele eigendom of beschermde rechten in het geding zijn. De verwerkingsverantwoordelijke moet kunnen aantonen dat in de concrete situatie de rechten of vrijheden van anderen daadwerkelijk zouden worden aangetast. 66. Het Hof van Justitie specificeert het recht op inzage als beperkt tot de eigen persoonsgegevens van de betrokkene. Het staat geen toegang toe tot informatie die met die gegevens samenhangt. De gegevens die in documenten voorkomen vormen immers persoonsgegevens (bijvoorbeeld naam, voornaam en professioneel mailadres), maar volgens de AVG is het document dat die gegevens draagt geen persoonsgegeven.16 67. Uit het bovenstaande concludeert de Geschillenkamer dat niet per definitie inzage moet worden verleend in de volledige inhoud van de mailbox en dat niet alle (bedrijfs-)documenten dienen te worden overgemaakt. Het komt toe aan de verwerkingsverantwoordelijke om, bij de beoordeling op grond van artikel 15.4 AVG, aan te tonen dat het verzoek nadelige 13 De beperking slaat niet op lid 1 van artikel 15, d.w.z. het recht van inzage. 14 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf., de versie die beschikbaar was ten tijde van de litigieuze feiten is beschikbaar via https://www.edpb.europa.eu/system/files/202201/edpb guidelines 012022 right-of-access 0.pdf , randnummer 171.. 15 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf, p. 62. 16 HvJEU, 4 mei 2023, F.F. tegen Österreichische Datenschutzbehörde, C-487/21, ECLI:EU:C:2023:369, randnummer 32, zie ook Legris, L., Chenaoui, H., « 13. - Le DPO et le droit d’accès » in Le Data Protection Officer, Bruxelles, Bruylant, 2020, p. 166. Beslissing ten gronde 134/2025 — 16/24 (negatieve) gevolgen heeft voor de rechten en vrijheden van andere betrokkenen (stap 1). Daarna moeten de belangen van alle betrokkenen worden afgewogen, rekening houdend met de specifieke omstandigheden van het geval en in het bijzonder de waarschijnlijkheid en ernst van de risico’s die zich voordoen wanneer de gegevens worden verstrekt. De verwerkingsverantwoordelijke moet proberen de conflicterende rechten met elkaar te verzoenen (stap 2), bijvoorbeeld door de implementatie van passende maatregelen om het risico voor de rechten en vrijheden van anderen te beperken. Zoals benadrukt in overweging 63 mag de bescherming van de rechten en vrijheden van anderen op grond van artikel 15. 4 van de AVG niet leiden tot een weigering om alle informatie aan de betrokkene te verstrekken. Dit betekent bijvoorbeeld dat, wanneer de beperking van toepassing is, informatie over anderen zoveel mogelijk onleesbaar moet worden gemaakt in plaats van te weigeren een kopie van de persoonsgegevens te verstrekken. Als echter geen oplossing kan worden gevonden om de desbetreffende rechten met elkaar te verzoenen, moet de verwerkingsverantwoordelijke in een volgende stap beslissen welke van de conflicterende rechten en vrijheden voorrang heeft (stap 3).17 68. De Geschillenkamer stelt vast dat eerste verweerder niet aantoont dat zij deze stappen doorlopen heeft. De eerste verweerder toont niet concreet aan welke (categorieën van) documenten afbreuk zouden kunnen doen aan de rechten en vrijheden van derden. Zij stelt zonder meer dat alle documenten van professionele of gemengde aard van haar eigendom blijven. De eerste verweerder heeft eveneens nagelaten om aan te tonen dat een belangenafweging heeft plaatsgevonden, rekening houdende met de specifieke omstandigheden van het geval en in het bijzonder de waarschijnlijkheid en ernst van de risico’s betreffende de rechten van derden die zich voordoen wanneer de gegevens worden verstrekt. De eerste verweerder moest tevens nagaan of er maatregelen mogelijk zijn die de conflicterende rechten, nl. de bescherming van de rechten van vrijheden van derden en het recht op inzage van de klager, kan verzoenen.18 De eerste verweerder heeft zonder enige motivering inzage in alle documenten van gemende en professionele aard geweigerd. Zoals reeds vermeld kan het recht op inzage niet beperkt worden in een overeenkomst tussen de verwerkingsverantwoordelijke en de betrokkene. De managementovereenkomst kan voorzien dat bepaalde bedrijfsdocumenten eigendom zijn van de verwerkingsverantwoordelijke, maar dit mag niet betekenen dat het recht op inzage niet wordt verleend. 69. In het onderhavige geval is de Geschillenkamer van oordeel dat het argument van de verweerder dat het recht van inzage afbreuk zou doen aan de gegevensbescherming en de privacy van de derden niet in aanmerking kan worden genomen. Het was de verweerder 17 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf, p. 63. 18 EDPB, Richtsnoeren 01/2022 over de rechten van betrokkenen — Recht van inzage, randnummer 13, te raadplegen via https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 nl.pdf, p. 63. Beslissing ten gronde 134/2025 — 17/24 immers toegestaan , als antwoord op het verzoek van de klager, een selectie te maken tussen persoonsgegevens en bedrijfsgegevens, en vervolgens de hem betreffende gegevens mee te delen inclusief het nemen van passende maatregelen zoals anonimiseren. Zoals hierboven uiteengezet dienen niet de originele documenten overgemaakt worden om te voldoen aan artikel 15.3 AVG. Bijgevolg oordeelt de Geschillenkamer dat er sprake is van een schending van de artikelen 15.3 en 15.4 AVG aangezien de eerste verweerder zich niet rechtmatig kan beroepen op de beperkingen op het recht op inzage zoals begrepen in artikel 15.4 AVG. 70. Als tweede argument werpt de eerste verweerder op dat de mailbox bedrijfsgeheimen bevat. 71. Zoals reeds vermeld stelt overweging 63 dat het recht op inzage geen afbreuk mag doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim. De Geschillenkamer merkt ook op dat Richtlijn (EU) 2016/943 betreffende het zakengeheim 19 in zijn overwegingen 34 en 35 het belang onderstreept van het eerbiedigen van het recht op gegevensbescherming, in het bijzonder het recht op inzage, waaraan het zakengeheim geen afbreuk mag doen: “