← België

Beslissing ten gronde nr. 136/2023

1/22 Geschillenkamer Beslissing ten gronde 136/2023 van 28 september 2023 Dossiernummer : DOS-2022-00360 Betreft : Klacht tegen verwerking van persoonsgegevens in het kader van een fraudeonderzoek De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: de heer X, hierna “de klager”, De verweerster: Y, hebbende als raadsman Mr. Bert Beelen, met kantoor te 3000 LEUVEN, Justus Lipsiusstraat 24, hierna “de verweerster”. Beslissing ten gronde 136/2023 - 2/22 I. 1. Feiten en procedure Op 20 januari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. De klager stuurde op 22 augustus 2020 een mail naar de diensten van de verweerster waarin hij meldde dat hij eerder twee brieven van de verweerster heeft ontvangen, namelijk op 29 januari 2020 en 10 maart 2020. Daarbij had de klager vastgesteld dat er een verschil in gebruik van lettertype en cijfertype zou zijn tussen de beide brieven. De klager bracht de verweerster hiervan op de hoogte en informeerde of de templates voor de briefwisseling door de verweerster veranderd waren. Aangezien dit niet het geval was, werd deze e-mail van de klager door de verweerster beschouwd als een melding van een mogelijk geval van fraude. Gelet op de wettelijke verplichting om meldingen van mogelijke fraude te onderzoeken, werd een onderzoek opgestart. Vermits de klager en zijn ex-echtgenote gekend zijn bij de verweerster, werd tijdens het onderzoek naar de mogelijke fraude ook de ex-vrouw van de klager gecontacteerd. Op 14 november 2021 diende de klager een klacht in bij de verweerster omtrent het overmaken van de mails in kwestie – met naam en emailadres van de klager- aan zijn ex-partner. Deze klacht werd door de verweerster als zeer verwarrend omschreven. Daarom richtten de diensten van de verweerster op 24 november 2021 een antwoord aan de klager met de vraag om zijn klacht te verduidelijken tijdens een gesprek. Dit gesprek vond plaats op 30 november 2021. Op 14 december 2021 werd de klager door de verweerster ingelicht dat het onderzoek van zijn klacht nog niet kon worden afgerond en dat de verweerster hem een antwoord zou bezorgen van zodra dit mogelijk was. Op 10 januari 2022 werd het antwoord op de klacht van de klager aan hem overgemaakt. Uit het onderzoek bleek dat het verschil in lettertype in de templates het gevolg was van het gebruik van een verschillende printer en dat er bijgevolg geen sprake was van fraude. Bijkomende vragen van klager op 12 januari 2022 en 18 januari 2022 werden beantwoord door de verweerster op respectievelijk 17 januari 2022 en 24 januari 2022. Aangezien de klager van oordeel was dat de verstrekte antwoorden van de verweerster onvoldoende waren, heeft hij onderhavige klacht ingediend. 2. Op 31 januari 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 22 februari 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. Beslissing ten gronde 136/2023 - 3/22 4. Op 6 april 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van: 1. een inbreuk op artikel 5 van de AVG, artikel 24.1 van de AVG en artikel 25. 1 en 25.2 van de AVG; en 2. een inbreuk op artikel 12.1, 12.2 en 12.6 van de AVG, artikel 13.1 en 13.2 van de AVG en artikel 14.1 en 14.2 van de AVG, artikel 5.2 van de AVG, artikel 24.1 van de AVG en artikel 25.1 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van: 3. een inbreuk op artikel 30.1 van de AVG; en 4. een inbreuk op artikel 38.1 en 38.3 van de AVG en artikel 39.1 van de AVG. 5. Op 12 april 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 12 april 2022 worden de betrokken partijen per mail in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 24 mei 2022, deze voor de conclusie van repliek van de klager op 14 juni 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 5 juli 2022. De uiterste datum voor ontvangst van de conclusie van antwoord voor de vaststellingen die verder gaan dan het voorwerp van de klacht van de verweerster werd vastgesteld op 24 mei 2022. 7. Op 19 april 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 8. Op 2 mei 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak. 9. Op 23 mei 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Vooreerst betwist de verweerster Gegevensbeschermingsautoriteit (hierna: GBA) de bevoegdheid van de door te stellen dat de Vlaamse Toezichtscommissie (hierna: VTC) bevoegd is om deze zaak te behandelen, dan wel dat een Beslissing ten gronde 136/2023 - 4/22 prejudiciële vraag hieromtrent gesteld dient te worden aan het Grondwettelijk Hof. Ten gronde betwist de verweerster de vaststellingen van de Inspectiedienst niet, maar wijst zij erop dat de opgeworpen inbreuken intussen reeds verholpen werden. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. Ook deze vaststellingen betwist de verweerster niet, maar zij wijst er eveneens op dat zij intussen het nodige gedaan heeft om deze inbreuken te verhelpen. 10. Op 27 juni 2022 ontvangt de Geschillenkamer de melding van de klager dat hij geen conclusies van repliek zal indienen. 11. Vervolgens heeft ook de verweerster geen conclusies van dupliek overgemaakt. 12. Op 8 mei 2023 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 23 juni 2023. 13. Op 23 juni 2023 worden de partijen gehoord door de Geschillenkamer. 14. Op 28 juni 2023 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 15. Op 3 juli 2023 en op 5 juli 2023 ontvangt de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 16. De Geschillenkamer ontvangt vanwege de verweerster geen opmerkingen met betrekking tot het proces-verbaal. II. Motivering II.1. Bevoegdheid van de Geschillenkamer 17. De verweerster voert aan dat de Gegevensbeschermingsautoriteit, met inbegrip van haar organen en dus ook met inbegrip van de Geschillenkamer, onbevoegd zou zijn in deze zaak. De verweerster stelt immers dat de VTC bevoegd is om toezicht uit te oefenen op de naleving van de (grond)wettelijke en andere regelgevende bepalingen inzake persoonsgegevensbescherming uitgevoerd door een instantie zoals bedoeld in artikel 10/1, §1 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer1 (hierna: het “decreet van 18 juli 2008”) wanneer dit toezicht kadert in een deelstatelijke bevoegdheid. 1 Cf. artikel 10/1 van het decreet van 18 juli 2008 “betreffende het elektronische bestuurlijke gegevensverkeer”, zoals ingevoegd bij artikel 20 van het decreet van 8 juni 2018 “houdende de aanpassing van de decreten aan de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)” (hierna het “AVG-decreet”). B.S. 26 juni 2018. Beslissing ten gronde 136/2023 - 5/22 18. Ingevolge artikel 57.1.

  1. f)AVG en artikel 51.1 AVG bepalen alle lidstaten welke overheidsinstantie de toezichthoudende taken zal uitvoeren en dat het mogelijk is om meer dan één toezichthoudende overheid aan te duiden. In navolging van de AVG werd de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit 2 (hierna: “WOG”) aangenomen. 19. De GBA is aldus opgericht op grond van artikel 4, §1, eerste lid WOG. Het klopt dat, zoals artikel 4, § 1, tweede lid WOG uitdrukkelijk bevestigt, ook de deelstaten zelf gegevensbeschermingsautoriteiten kunnen oprichten, zoals ook reeds aangegeven door de Raad van State in haar advies nr. 61.267/2/AV van 27 juni 2017 3 (zie infra) . In uitvoering van dit artikel heeft de Vlaamse wetgever de Vlaamse Toezichtcommissie (hierna: “VTC”) opgericht bij artikel 10/1 van het decreet van 8 juni 2018”.4 20. Het Marktenhof heeft in haar arrest van 26 oktober 2022 geoordeeld dat het door verweerder ingeroepen middel waarin de bevoegdheid van de GBA wordt betwist om toe te zien op de naleving van de AVG door gemeenten en enkel de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens bevoegd is om toe te zien op de verwerking van persoonsgegevens door Vlaamse gemeenten en om klachten in dat verband te behandelen overeenkomstig artikel 10/1, §1, en artikel 10/7, §4, van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer, faalt naar recht. Hierbij bevestigt het Marktenhof dat de GBA, en dus de Geschillenkamer, wel degelijk bevoegd is om kennis te nemen van een klacht over de verwerking van persoonsgegevens door een Vlaamse gemeente. II.2. Artikel 5 AVG. II.2.1. Artikel 5. 1.
  2. f)AVG II.2.1.1. 21. Vaststellingen in het Inspectieverslag Het eerste element dat het voorwerp van onderzoek van de Inspectiedienst vormt, betreft de beoordeling van de mate waarin de verweerster de nodige technische en organisatorische maatregelen heeft genomen om de grondbeginselen inzake gegevensbescherming na te leven, overeenkomstig artikel 5.1.f AVG. 2 BS 10 januari 2018. 3 Adv.RvS nr. 61.267/2 van 27 juni 2017 over het voorontwerp van wet ‘tot hervorming van de Commissie voor de bescherming van persoonlijke levenssfeer’, rn. 7.1-7.2. Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een ontwerp van besluit van de Vlaamse Regering van 10 december 2010 ‘tot uitvoering van het decreet betreffende de private arbeidsbemiddeling, wat betreft de invoering van een registratieverplichting voor sportmakelaars’, 4; Adv.RvS., nr. 66.277/1 van 2 juli 2019 over een ontwerp van besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de bewaring en de bewijskracht van de elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, 67. 4 B.S. 26 juni 2018. Beslissing ten gronde 136/2023 - 6/22 22. De Inspectiedienst stelt vast dat deze verplichtingen niet werden nageleefd en laat hiertoe de volgende overwegingen gelden: • de verweerster bezorgde geen documenten waaruit blijkt welke maatregelen en beslissingen werden genomen om deze beginselen inzake persoonsgegevens te waarborgen. De door de verweerster bezorgde documenten hebben enkel betrekking op de beveiliging van persoonsgegevens (artikel 5.1.
  3. f)AVG); • De documenten “Veiligheidscharter” en “Veiligheidsprincipes” van de verweerster vermelden dat deze nog niet goedgekeurd zijn; • In de documenten “Informatieveiligheidsplan” en “Voorstelling over veiligheid aan College van Burgemeester en Schepenen” staat niet wanneer ze werden goedgekeurd en staat bovendien onderaan iedere pagina “Stad Leuven” dewelke niet de verweerster is; • In het document “Verslag stuurgroep informatieveiligheidscel” staat niet wanneer het werd goedgekeurd en welke beslissingen er door de verweerster werden genomen; • In het document “KSZ Compliance aan de hand van vragenlijst KSZ” staat niet wanneer het werd goedgekeurd en welke beslissingen er door de verweerster werden genomen; • Een opleiding over het “beroepsgeheim” voor medewerkers van de verweerster is nuttig, maar op zich onvoldoende om hen bewust te maken van het belang van een passende beveiliging van persoonsgegevens. II.2.1.2. 23. Standpunt van de verweerster De verweerster beantwoordt deze vaststellingen in haar conclusies. De verweerster voert aan dat er bijkomende maatregelen en beslissingen genomen zijn die ertoe leiden dat de beginselen inzake persoonsgegevens wel degelijk gewaarborgd zijn, zowel qua interne organisatie als qua privacybeleid. Een voltijdse interne adviseur informatieveiligheid werd aangeworven en een informatieveiligheidsplan 2021 met focus op IT-beveiliging werd opgesteld. De principes en timing van het huidige informatieveiligheidsplan 2021 werden verwerkt in de toelichting die aan het College van Burgemeester en Schepenen werd gegeven. Alle beleid en raamwerken zijn gemaakt voor het lokale bestuur in zijn geheel (zoals de stad zelf, maar ook het Y en zijn vzw’s). Verder wordt een driejarenplan opgesteld met een technisch en juridisch-organisatorisch luik. Op de gemeenteraad van 26 april 2021 werd extra budget voorzien om in te zetten op informatieveiligheid en privacy. Op 28 juni 2021 werd de samenwerkingsovereenkomst goedgekeurd waarbij de ondersteuning van een functionaris voor gegevensbescherming voor stad Leuven en o.a. het Y met Interleuven Beslissing ten gronde 136/2023 - 7/22 werd afgesloten. Het veiligheidscharter, inclusief privacybeleid, werd verder verfijnd en afgetoetst. Er werd naast een opleiding beroepsgeheim ook een opleiding rond gegevensbescherming uitgewerkt voor het personeel. Een interne phishing actie werd uitgewerkt om medewerkers bewust te maken van de gevaren van phishing. Door technische problemen werd deze actie op het moment van de uitwisseling van de conclusies nog niet organisatiebreed uitgerold. Het verslag van de Stuurgroep informatieveiligheidscel zal worden goedgekeurd op de volgende vergadering op 23 juni 2022. Voor wat betreft het document “KSZ Compliance aan de hand van vragenlijst KSZ) voert de verweerster aan dat de datum van ondertekening staat vermeld bij elke individuele handtekening. De algemeen directeur ondertekende het document op 4 augustus 2021. De bevindingen en mogelijke aanpassingen die naar aanleiding van het invullen van de KSZ vragenlijst zijn opgelijst, werden meegenomen in de voorbereiding van het nieuwe informatieveiligheidsplan. Tot slot stelt de verweerster dat het Y-arbeidsreglement schendingen van de AVG streng sanctioneert en dat het beroepsgeheim, waar elke medewerker van het Y toe gehouden is, strafrechtelijk gesanctioneerd wordt op basis van artikel 458 Strafwetboek. 24. Op 21 juni 2023 en tijdens de hoorzitting maakt de verweerster het informatieveiligheidsplan over samen met het goedkeuringsbesluit ervan van het College van burgemeester en schepenen dd. 16 juni 2023. II.2.1.3. Beoordeling door de Geschillenkamer 25. Ingevolge artikel 5.1.
  4. f)AVG dienen persoonsgegevens te worden beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging ( “integriteit en vertrouwelijkheid”). 26. De Geschillenkamer stelt vast dat de Inspectiedienst verscheidene tekortkomingen had vastgesteld, zowel inzake de interne organisatie als op vlak van het beleid inzake gegevensbescherming. Zoals ook aangevoerd door de verweerster in haar conclusies werden er bijkomende maatregelen en beslissingen genomen om de beginselen inzake gegevensbescherming te waarborgen. Voor wat betreft de informatieveiligheidscel werd deze opgesplitst in enerzijds een stuurgroep op strategisch niveau met directieleden en experten en anderzijds een werkgroep op tactisch-operationeel niveau met o.a. stafleden en experten. 27. Voor wat betreft het beleid inzake gegevensbescherming werd een voltijds interne adviseur informatieveiligheid aangenomen, ter ondersteuning van de externe functionaris voor gegevensbescherming, en een informatieveiligheidsplan opgesteld, met o.a. een sterke focus op technische maatregelen inzake IT-beveiliging. 28. De Geschillenkamer verwijst ook naar het informatieveiligheidsplan dat werd overgemaakt op 21 juni 2023. De Geschillenkamer stelt vast dat dit goedgekeurd informatieveiligheidsplan Beslissing ten gronde 136/2023 - 8/22 het beleid inzake de bescherming van persoonsgegevens uiteenzet, alsook de praktische implementatie ervan vastlegt. 29. De Geschillenkamer houdt rekening met de verklaringen van de verweerster en de tijdens de hoorzitting overgemaakte documenten en komt tot de vaststelling dat er sprake is van een historische inbreuk op artikel 5.1.
  5. f)AVG aangezien de vastgestelde inbreuken intussen verholpen werden. 30. De Geschillenkamer wijst er op dat de verweerster vanwege haar hoedanigheid als overheidsdienst een voorbeeldfunctie heeft op het vlak van de naleving van de wetgeving inzake de bescherming van persoonsgegevens. Daarbij speelt ook dat deze overheidsdienst een grote hoeveelheid (gevoelige) persoonsgegevens verwerkt. Overeenkomstig het beginsel “lead by example” dient deze er bijgevolg te allen tijde over te waken dat zij handelt conform de genoemde wetgeving en in het bijzonder de hierboven genoemde essentiële bepalingen van de AVG. Het mag van een correct werkende overheidsdienst verwacht worden dat deze over de nodige beleidsdocumenten beschikt die beantwoorden aan de vereisten van de AVG. II.2.2. Artikel 5. 1. b)-
  6. e)AVG 31. Voor wat betreft de andere grondbeginselen uit artikel 5.1.
  7. b)t.e.m.
  8. e)stelt de Geschillenkamer vast dat het Inspectieverslag onvoldoende aanwijzingen of bewijzen bevat die aantonen er sprake zou zijn van een inbreuk op deze beginselen. II.3. Artikel 5.1.a (transparantie), artikel 12.1, 12.2 en 12.6, artikel 13.1 en 13.2, artikel 14.1 en 14.2 AVG II.3.1. Vaststellingen van de Inspectiedienst 32. In uitvoering van het transparantiebeginsel uit artikel 5.1.a AVG is het op basis van artikel 12.1, artikel 13.1 en 13.2 en artikel 14.1 en 14.2 AVG noodzakelijk dat de verwerkingsverantwoordelijke, in casu de verweerster, aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. In haar hoedanigheid van verwerkingsverantwoordelijke moet de verweerster de artikelen 12, 13 en 14 van de AVG ten uitvoer leggen. 33. In onderhavige zaak concludeert de Inspectiedienst dat de verweerster een inbreuk heeft begaan op artikel 12.1, 12.2 en 12.6 AVG, artikel 13.1 en 13.2 AVG en artikel 14. 1 en 14.2 AVG aangezien de privacyverklaring onjuiste informatie zou bevatten en onvolledig zou zijn. 34. Vooreerst concludeert het Inspectieverslag dat de privacyverklaring van de verweerster niet transparant en begrijpelijk is, zoals opgelegd door artikel 12.1 AVG en vanuit het oogpunt van gegevensbescherming onjuiste informatie vaststellingen: bevat, omwille van de volgende Beslissing ten gronde 136/2023 - 9/22 • ten eerste creëert de verweerster in haar privacyverklaring ten onrechte de perceptie dat zij de AVG volledig naleeft. Nochtans blijkt uit het verslag dat de verweerster verschillende inbreuken begaat op de AVG; • ten tweede vermeldt de privacyverklaring van de verweerster ten onrechte dat betrokkenen voor het uitoefenen van hun recht een antwoord krijgen “ten laatste 30 dagen nadat we je aanvraag en identiteitsbewijs hebben gekregen’; en • ten derde is de privacyverklaring van de verweerster niet duidelijk en bijgevolg niet transparant voor de betrokkenen voor wat betreft: i. de begrippen “persoonsgegevens” en “gegevens” die door elkaar worden gebruikt, ii. de doeleinden en rechtsgronden van de verwerking aangezien deze enkel in vage bewoordingen omschreven worden, iii. de doorgifte van persoonsgegevens, aangezien er geen transparante informatie beschikbaar is over de eventuele wettelijke basis voor doorgifte aan anderen; iv. de opslagtermijn van persoonsgegevens aangezien duidelijk is om welke (wettelijke) bewaartermijnen dit in de praktijk gaat, en v. de wijzigingen die werden aangebracht aangezien er niet wordt vermeld wanneer de laatste aanpassing is gebeurd noch wat er precies werd gewijzigd. 35. Ten tweede stelt de Inspectiedienst ook vast dat de privacyverklaring van de verweerster onvolledig is omdat niet alle volgens artikel 13 en 14 AVG verplicht te vermelden informatie effectief wordt vermeld, aangezien er geen informatie gegeven wordt over: • de contactgegevens van de functionaris voor gegevensbescherming; • de verwerkingsdoeleinden en de rechtsgrond voor de verwerking; • de ontvangers of categorieën van ontvangers; en • de opslagtermijn of de criteria ter bepaling van die termijn. II.3.2. Standpunt van de verweerster 36. In haar conclusies stelt de verweerster dat haar volledige privacyverklaring volledig werd herwerkt om tegemoet te komen aan alle opmerkingen die werden geformuleerd door de Inspectiedienst in het Inspectieverslag, waardoor voldaan is aan artikel 12.1 AVG. Tevens werd de privacyverklaring vervolledigd waardoor niet langer de volgende gegevens ontbreken: de contactgegevens van de functionaris voor gegevensbescherming, de Beslissing ten gronde 136/2023 - 10/22 verwerkingsdoeleinden en de rechtsgrond voor verwerking, de ontvangers of categorieën van ontvangers van persoonsgegevens en de opslagtermijn of de criteria ter bepaling van die termijn. De verweerster benadrukt dat zij steeds de wil heeft getoond om te voldoen aan alle bepalingen van de AVG. Na ontvangst van het Inspectieverslag heeft de verweerster dan ook het nodige gedaan om de inbreuken te verhelpen. II.3.3. Beoordeling door de Geschillenkamer 37. De Geschillenkamer moet beoordelen of de privacyverklaring van de verweerster voldoet aan de vereisten zoals voorgeschreven door artikel 5.1.a (transparantie), artikel 12.1, 12.2, 12.6. artikel 13.1, en 13.2, en artikel 14.1 en 14.2 AVG. 38. Artikel 12.1 AVG schrijft voor dat de verwerkingsverantwoordelijke “passende maatregelen” neemt“ opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie [...] in verband met de verwerking in een beknopte, transparante, begrijpelijk en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”. 39. Hieromtrent verwijst de Geschillenkamer naar de richtsnoeren inzake transparantie van de Groep Gegevensbescherming5 waarin wordt bepaald als volgt: "Elke onderneming met een website zou op die site een verklaring of een mededeling over de bescherming van de persoonlijke levenssfeer moeten publiceren. Een rechtstreekse link naar deze verklaring of mededeling over de bescherming van de persoonlijke levenssfeer zou duidelijk zichtbaar moeten zijn op elke pagina van de website, onder een algemeen gebruikte term (bv. "Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" of "Mededeling inzake de bescherming van de persoonlijke levenssfeer".6 De Groep Gegevensbescherming stelt dat "alle informatie die aan een betrokkene wordt toegestuurd, ook toegankelijk zou moeten zijn op een enkele plaats of in eenzelfde document (op papier of in elektronisch formaat) dat vlot kan worden geraadpleegd door deze persoon indien hij alle informatie die hem wordt toegestuurd wenst te raadplegen."7 40. De Geschillenkamer stelt vast dat de klager geïnformeerd werd over de litigieuze verwerking via de privacyverklaring die beschikbaar is op de website. De Geschillenkamer stelt echter vast dat niet alle essentiële informatie op begrijpelijke wijze meegedeeld werd. 41. Vooreerst stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(en), de 5 Voorganger van de European Data Protection Board (EDPB). 6 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11. 7 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 17. Beslissing ten gronde 136/2023 - 11/22 doeleinden van de verwerking en de persoonsgegevens die gebruikt werden, zoals vereist door artikel 13.1 13.2 en artikel 14.1 AVG. De Geschillenkamer stelt vast dat de privacyverklaring wel deze elementen vermeldt, maar dat de wijze waarop niet begrijpelijk en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt. Idealiter voorziet de verwerkingsverantwoordelijke een overzicht van de verschillende duidelijk omschreven doeleinden waarvoor zij persoonsgegevens verwerkt, met telkens de aanduiding welke (categorieën van) persoonsgegevens hiervoor worden verwerkt, via welke bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van) ontvangers ze (kunnen) worden gedeeld.8 42. Ten tweede stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter bepaling hiervan, zoals vereist door artikel 13.2.
  9. a)en artikel 14.2.
  10. a)AVG. Zoals ook uit de Richtsnoeren van de Groep Gegevensbescherming blijkt, volstaat een verwijzing naar de wettelijke bewaartermijnen niet. Deze preciseert dat “de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is”.9 43. Ten derde wijst de Geschillenkamer erop dat in het kader van het transparantiebeginsel de verwerkingsverantwoordelijke op grond van artikel 12.2 van de AVG de uitoefening van de rechten van de betrokkene uit hoofde van - onder meer - artikel 15 van de AVG moet faciliteren. 44. De Geschillenkamer stelt vast dat de huidige privacyverklaring op de website 10 van de verweerster volgende passage bevat: “Als we niet overtuigd zijn van je identiteit kunnen we je vragen een kopie van identiteitsbewijs voor te leggen of te versturen.” 45. Zoals uitgelegd door de EDPB, mag een verzoek tot uitoefening van de rechten onder hoofdstuk III. van de AVG in beginsel enkel betrekking hebben op persoonsgegevens van de betrokkene die het verzoek indient.11 8 Dit laat de betrokkenen toe om eventueel via een verzoek tot recht op inzage concreet te vragen met welke individuele ontvangers de persoonsgegevens meegedeeld worden, zie o.a. HvJEU, 12 januari 2023, Österreichische Post AG, C-154/21, ECLI:EU:C:2023:3. 9 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29 november 2017, p 25. 10 Geconsulteerd op 18 september 2023. 11 EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 46. Beslissing ten gronde 136/2023 - 12/22 46. Ofschoon de AVG geen eisen stelt aan de methoden voor het vaststellen van de identiteit van de betrokkene, voorziet artikel 12.6 AVG in de mogelijkheid voor de verwerkingsverantwoordelijke om, desgevallend en voor zover deze kan aantonen dat hij niet in staat is om de betrokkene die het verzoek indient te identificeren, aanvullende informatie op te vragen bij de betrokkene alvorens gevolg te geven aan diens aanvraag. Dienaangaande geldt echter als algemene regel dat een verwerkingsverantwoordelijke niet om meer persoonsgegevens kan vragen dan nodig zijn om die identificatie mogelijk te maken, en dat het gebruik van die informatie strikt beperkt moet blijven tot het voldoen aan het verzoek van de betrokkenen.12 Overweging 57 AVG verduidelijkt bovendien dat de verwerkingsverantwoordelijke geenszins verplicht is om aanvullende identificatiegegevens te verzamelen, louter opdat hij gevolg zou kunnen geven aan een verzoek van een betrokkene. 47. De verwerkingsverantwoordelijke die terdege aantoont — zoals de verantwoordingsplicht onder artikel 5.2 AVG voorschrijft — dat hij een betrokkene niet kan identificeren, kan met andere woorden rechtmatig weigeren gevolg te geven aan een verzoek tot uitoefening van de rechten, doch dient in zulke gevallen krachtens artikel 11.2 AVG de betrokkene van deze situatie te informeren alsook hem of haar mede te delen welke bijkomende informatie nodig is voor de identificatie.13 48. De Europese richtsnoeren verduidelijken eveneens dat de verwerkingsverantwoordelijke, in gevallen waarin hij om aanvullende informatie verzoekt die nodig is om de identiteit van de betrokkene te bevestigen, telkens moet beoordelen welke informatie hem in concreto in staat zal stellen de identiteit van de betrokkene te bevestigen. Desgevallend en voor zover dit evenredig is, kan hij aanvullende vragen stellen aan de verzoekende persoon of verzoekt hij de betrokkene enkele aanvullende identificatie-elementen voor te leggen.14 49. De verweerster zal bijgevolg desgevallend steeds een dergelijke afweging moeten maken bij het opvragen van bijkomende identificatiegegevens in het kader van de uitoefening van de rechten door een betrokkene. Noch uit de klacht, noch uit het Inspectieverslag of andere stukken van het dossier blijkt dat de verweerster bijkomende identificatiegegevens zou opgevraagd hebben in het kader van de uitoefening van zijn rechten door de klager. De Geschillenkamer wijst erop dat zij de Inspectiedienst bijtreedt dat een algemene bepaling inzake het overmaken van bijkomende identificatiegegevens zoals initieel geformuleerd in de privacyverklaring niet proportioneel is in het licht van de voormelde Europese richtsnoeren. 12 EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 59-60. 13 EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 64. 14 EDPB – Guidelines 01/2022 on data subject rights - Right of access, v1.0, 18 januari 2022, para. 65. Beslissing ten gronde 136/2023 - 13/22 50. De Geschillenkamer stelt, gelet op al het voorgaande, een schending vast van artikel 5.1.
  11. a)(transparantie), artikel 12.1, artikel 13. 1 en 13.2 en artikel 14.1 en 14.2 van de AVG voor wat betreft het vermelden van de nodige informatie op een onoverzichtelijke wijze, alsook het niet expliciet vermelden van de bewaartermijn in de privacyverklaring. . De Geschillenkamer stelt vast dat er sprake was van een inbreuk op artikel 12.2 en 12.6 AVG in die mate dat de voormelde algemene bepaling in de door de inspectiedienst onderzochte privacyverklaring rond het voorleggen van aanvullende identificatiegegevens niet proportioneel is in het licht van voormelde Europese richtsnoeren, maar dat deze intussen werd verholpen in de nieuwe privacyverklaring. II.4. Artikel 5.2, artikel 24.1 en artikel 25. 1 en 25.2 AVG. II.4.1. Vaststellingen in het Inspectieverslag 51. De verwerkingsverantwoordelijke moet de beginselen uit artikel 5 AVG naleven en dat kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5.2 j° artikel 24.1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt overeenkomstig de AVG. 52. In zijn Inspectieverslag stelt de Inspectiedienst vast dat de artikelen 5.2, artikel 24.1 en 25.1 en 25.2 AVG werden geschonden. 53. Ten eerste stelt de Inspectie vast dat de verweerster haar verplichtingen ingevolge artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG niet heeft nageleefd. Hiertoe verwijst de Inspectiedienst naar de maatregelen en beslissingen die werden genomen om de naleving van de beginselen inzake persoonsgegevens te waarborgen naar de documenten en de tekortkomingen ervan zoals uiteengezet in deel II.2.1.1. 54. Ten tweede komt de Inspectiedienst tot de vaststelling dat de verweerster niet aantoont welke passende technische en organisatorische maatregelen er werden genomen om te voldoen aan de informatieverplichtingen zoals bepaald in de artikelen 12 tot 14 AVG, zoals uiteengezet in deel II.3.1 van deze beslissing. II.4.2. Standpunt van de verweerster 55. Zoals reeds uiteengezet in deel II.2.1.2 en deel II.3.2 voert de verweerster aan dat de vastgestelde inbreuken reeds verholpen werden op het moment van indiening van de conclusies. II.4.3. Beoordeling door de Geschillenkamer Beslissing ten gronde 136/2023 - 14/22 56. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel 5.1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de verantwoordingsplicht in artikel 5.2 van de AVG juncto artikel 24. 1 van de AVG zoals bevestigd door de Geschillenkamer 15. 57. Op basis van de artikelen 24 en 25 van de AVG moet de verweerster passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt conform de AVG. De verweerster moet daarbij de gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel van de verwerking. 58. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de verweerster de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze beginselen uit artikel 5.1 AVG en in het bijzonder het beginsel van transparantie en integriteit. 59. De Geschillenkamer heeft in deel II.2.1.3 vastgesteld dat er sprake was van een inbreuk van de verplichtingen ingevolge artikel 5.1.
  12. f)AVG inzake het integriteitsbeginsel. De Geschillenkamer heeft in deel II.3.3 geoordeeld dat er eveneens sprake was van een inbreuk op de transparantieverplichtingen zoals begrepen in artikel 12.1, 12.2, 12.6 en artikel 13. 1 en 13.2 AVG voor wat betreft de begrijpelijke taal en de vermelding van de bewaartermijnen in de privacyverklaring. 60. De Geschillenkamer stelt dan ook vast dat de verweerster niet kon aantonen dat zij de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze verplichtingen. Bijgevolg besluit de Geschillenkamer dat er sprake was van een inbreuk op de artikel 5.2, artikel 24.1 en artikel 25.1 en 25.2 AVG voor wat betreft de verplichtingen voortvloeiend uit artikel 5.1,
  13. f)AVG enerzijds en artikel 5.1.
  14. a)(transparantie), artikel 12.1, 12.2 en 12.6, artikel 13.1 en 13.2 en artikel 14.1 en 14.2 AVG anderzijds. 61. Voor wat betreft de verantwoordingsplicht in het kader van de naleving van de grondbeginselen van de AVG zoals begrepen in artikel 5.1,
  15. b)t.e.m.
  16. e)AVG, stelt de Geschillenkamer vast dat er onvoldoende elementen zijn om tot een schending hiervan te oordelen. II.5. Artikel 30. 1 AVG 62. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd. 15 Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. via de webpagina Beslissing ten gronde 136/2023 - 15/22 Artikel 30.1.
  17. a)tot en met
  18. g)AVG bepaalt dat, met betrekking tot de in de hoedanigheid van verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar moet zijn:
  19. a)de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
  20. b)de verwerkingsdoeleinden;
  21. c)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
  22. d)de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
  23. e)indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49.1, tweede alinea AVG, bedoelde doorgiften, de documenten inzake de passende waarborgen;
  24. f)indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist;
  25. g)indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32.1 AVG. 63. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste kenmerken ervan zichtbaar maakt. De Geschillenkamer is van oordeel dat dit verwerkingsregister een essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel 5.2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke oplegt. Het is dan ook van belang dat deze volledig en juist is. 64. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten van de verweerster de volgende vaststellingen. Het register van de verwerkingsactiviteiten van de verweerster voldoet niet aan de minimumvereisten bedoeld in artikel 30.1 van de AVG. Concreet ontbreken de volgende verplichte vermeldingen: Beslissing ten gronde 136/2023 - 16/22
  26. a)de contactgegevens van de verweerster en van de functionaris voor gegevensbescherming (cf. artikel 30.1.
  27. a)van de AVG); en
  28. b)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens (cf. artikel 30.1.
  29. c)van de AVG). 65. In haar conclusies betwist de verweerster de vaststelling van de Inspectiedienst niet. De verweerster wijst er echter op dat na kennisname van het verslag van de Inspectiedienst, de nodige inspanningen werden gedaan om het register van verwerkingsactiviteiten aan te passen overeenkomstig de verplichtingen voortvloeiend uit de AVG. 66. De verweerster heeft het aangepast register van verwerkingsactiviteiten overgemaakt. De Geschillenkamer stelt vast dat in dit aangepast register van verwerkingsactiviteiten de contactgegevens van de verwerkingsverantwoordelijke en de functionaris voor gegevensbescherming zijn opgenomen, alsook een beschrijving van de categorieën van de betrokkenen en de categorieën van persoonsgegevens. 67. De Geschillenkamer wijst er daarbij wel op dat de verweerster inspanningen heeft geleverd om de verplichtingen voortvloeiend uit artikel 30 AVG na te leven, weliswaar na ontvangst van de opmerkingen van de Inspectiedienst. 68. De Geschillenkamer stelt dus vast dat het register van verwerkingsactiviteiten ten tijde van het onderzoek van de Inspectiedienst niet voldeed aan de vereisten van artikel 30 AVG, waardoor er sprake was van een inbreuk op artikel 30 AVG. Hieraan doet niet af dat dit intussen verholpen werd. II.6. Artikel 38.1 en 38.3 van de AVG en artikel 39.1 van de AVG II.6.1. Vaststellingen in het Inspectieverslag 69. Het verslag van de Inspectiedienst stelt vast dat de verweerster de vereisten inzake de positie van de functionaris voor gegevensbescherming onder artikel 38.1 en 38.3 AVG en de taken van de functionaris voor gegevensbescherming onder artikel 39.1 AVG niet heeft nageleefd. 70. De Inspectiedienst doet aangaande de functionaris voor gegevensbescherming de volgende vaststellingen, zoals hierna samengevat: • de verweerster toont niet aan dat haar functionaris voor gegevensbescherming naar behoren en tijdig werd betrokken in het kader van de context van de klacht. Een overleg via MS Teams waarvan geen verslag wordt voorgelegd is onvoldoende voor een behoorlijke en tijdige (gedocumenteerde) betrokkenheid; en Beslissing ten gronde 136/2023 - 17/22 • de verweerster toont niet aan dat haar functionaris voor gegevensbescherming effectief verslag uitbrengt aan het hoogste leidinggevende niveau, zijnde de Yraad. II.6.2. Standpunt van de verweerster 71. Voor wat betreft de vaststelling van de Inspectiedienst inzake artikel 38.1 AVG voert de verweerster aan dat de overlegmomenten via MS Teams aantonen dat de functionaris voor gegevensbescherming tijdig werd betrokken. De verweerster ontving een mail van de klager aangaande de problematiek in de klacht op 16 november 2021. Op 18 en 24 november 2021 werden hieromtrent overlegmomenten ingepland. 72. De verweerster betwist de vaststellingen van de Inspectiedienst in verband met artikel 38.3 AVG en voert aan dat deze niet correct zijn. Zoals reeds gesteld heeft de Inspectiedienst op de website van de verweerster vastgesteld dat de Y-raad het hoogste bestuursorgaan is van de verweerster, en leidt daaruit, ten onrechte volgens de verweerster, af dat de Y-raad tevens het hoogste leidinggevende orgaan is van de verweerster. De verweerster wijst erop dat er een verschil is tussen het hoogste bestuursorgaan en het hoogste leidinggevende orgaan. Volgens artikel 38.3 AVG dient de functionaris voor gegevensbescherming te rapporteren aan het hoogste leidinggevende orgaan en niet het hoogste bestuursorgaan. De Y-raad geeft geen leiding aan het personeel van het Y. Ingevolge artikel 170 van het decreet van 22 december 2017 over het lokaal bestuur 16 (hierna: Decreet Lokaal Bestuur) staat de algemeen directeur in voor de algemene leiding van de diensten van het Y en staat deze aan het hoofd van het personeel van het Y. Noch het vast bureau, noch de gemeenteraad kunnen zich mengen in de organisatie van de leiding over de diensten van het Y, noch kunnen zij enige leiding geven aan het personeel van het Y aangezien dit de uitsluitende bevoegdheid is van de algemeen directeur. De verweerster voert aan dat de functionaris voor gegevensbescherming rapporteert aan de algemeen directeur, waardoor deze rapporteert aan de hoogst leidinggevende en bijgevolg handelt in overeenstemming met artikel 38.3 AVG. II.6.3. Beoordeling door de Geschillenkamer 73. De Geschillenkamer herinnert eraan dat artikel 38.1 AVG voorschrijft dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 74. De Geschillenkamer stelt vast dat de verweerster schermafdrukken heeft overgemaakt waaruit blijkt dat MS Teams overlegmomenten met als onderwerp ‘GDPR klacht M.R’ 16 BS 15 februari 2018. Beslissing ten gronde 136/2023 - 18/22 hebben plaatsgevonden, op basis waarvan de Geschillenkamer niet kan vaststellen dat de functionaris voor gegevensbescherming niet (tijdig) betrokken geweest zou zijn. De Geschillenkamer stelt bijgevolg geen inbreuk op artikel 38.1 AVG vast. De Geschillenkamer wijst er evenwel op dat, gelet op de verantwoordingsplicht zoals begrepen in artikel 5.2 en de artikelen 24 en 25 AVG, een verslag over deze overlegmomenten beter had kunnen aantonen dat de functionaris voor gegevensbescherming tijdig en behoorlijk betrokken werd naar aanleiding van de mail van de klager. 75. Artikel 38.3 AVG bepaalt dat de functionaris voor gegevensbescherming rechtstreeks verslag dient uit te brengen aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker. In de richtsnoeren van de Groep Gegevensbescherming over de functionaris voor gegevensbescherming wordt de volgende uitleg gegeven aan het uitbrengen van verslag aan de hoogste leidinggevende zoals bedoeld in artikel 38.3 AVG: “Als de verwerkingsverantwoordelijke of de verwerker beslissingen nemen die niet in de lijn liggen van de algemene verordening gegevensbescherming en het advies van de functionaris voor gegevensbescherming, moet deze laatste de kans krijgen om zijn/haar afwijkende mening duidelijk te maken aan de hoogste leidinggevende en aan diegenen die de beslissingen nemen”. In dat opzicht wordt in artikel 38.3 AVG voorzien dat de functionaris voor gegevensbescherming “rechtstreeks verslag [uitbrengt] aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker”.17 Via een dergelijke rapportage wordt verzekerd dat het hogere management (bv. De raad van bestuur) op de hoogte is van het advies en de aanbevelingen die de functionaris voor gegevensbescherming verstrekt in het kader van zijn missie om de verwerkingsverantwoordelijke of de verwerker te informeren en te adviseren. 76. De Geschillenkamer merkt op dat de verweerster stelt dat de algemeen directeur op basis van artikel 170 Decreet Lokaal Bestuur bevoegd is voor personeelszaken. De Geschillenkamer wijst er echter op dat het gegevensbeschermingsbeleid veel ruimer is dan personeelszaken alleen. De Geschillenkamer kan dus niet akkoord gaan met dit standpunt van de verweerster. De Geschillenkamer herinnert eraan dat zij reeds gesteld heeft dat in een gemeente het college van burgemeester en schepenen het hoogste dagelijkse leidinggevende niveau is. Bijgevolg dient de functionaris voor gegevensbescherming rechtstreeks aan dit college verslag uit te brengen conform artikel 38.3 AVG.18 Naar analogie met het voorgaande moet dan ook worden vastgesteld dat de functionaris voor gegevensbescherming van een Y rechtstreeks dient te rapporteren aan het vast bureau, het orgaan dat het hoogste dagelijkse leidinggevende niveau van het Y uitmaakt. Gelet op het 17 Richtlijnen voor de functionaris voor gegevensbescherming van de Werkgroep 29, WP 243 rev.01, p.19, overgenomen door de EDPB. 18 Beslissing 15/2020 dd. 15 april 2020, te raadplegen https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-15-2020.pdf. via Beslissing ten gronde 136/2023 - 19/22 bovenstaande concludeert de Geschillenkamer dat de functionaris voor gegevensbescherming niet rechtstreeks rapporteert aan het hoogst leidinggevende niveau, hetgeen een inbreuk uitmaakt op artikel 38.3 AVG. 77. Op basis van artikel 39.1 AVG moet de functionaris voor gegevensbescherming (
  30. a)de verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en (
  31. b)toezien op naleving van de AVG, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits. De Geschillenkamer stelt vast dat de verweerster verscheidene documenten overmaakt waaruit blijkt dat de functionaris voor gegevensbescherming betrokken is en de verweerster informeert en adviseert omtrent de aspecten inzake gegevensbescherming. De Geschillenkamer stelt bijgevolg vast dat er geen inbreuk is op artikel 39.1 AVG. III. Sanctie 78. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; Beslissing ten gronde 136/2023 - 20/22 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 79. Bij de beoordeling van de passende sanctie en/of corrigerende maatregel houdt de Geschillenkamer rekening met de corrigerende maatregelen die getroffen werden door de verweerster. 80. In deze omstandigheden beslist de Geschillenkamer om verweerster overeenkomstig artikel 100, § 1, 5° van de WOG te berispen voor wat betreft: • de historische inbreuken op artikel 5.1.
  32. f)AVG voor wat betreft het ontbreken van een uitgewerkt en geïmplementeerd informatieveiligheidsplan. De Geschillenkamer houdt rekening met het goedgekeurd informatieveiligheidsplan dat werd overgemaakt op 21 juni 2023 en de maatregelen die de verweerster reeds had genomen na ontvangt van het Inspectierapport. • de historische inbreuk op artikel 12.2 en 12.6 AVG voor het niet faciliteren van de uitoefening van de rechten van betrokkenen door ten onrechte te stipuleren dat betrokkenen “een antwoord krijgen op hun verzoek ten laatste 30 dagen nadat we je aanvraag en identiteitsbewijs hebben gekregen”. • de inbreuken op artikel 5.1.
  33. a)(transparantie), artikel 12.1, artikel 13.1 en 13.2 en artikel 14. 1 en 14.2 AVG voor wat betreft het vermelden van de nodige informatie op een onoverzichtelijke wijze, alsook het niet expliciet vermelden van de bewaartermijn in de privacyverklaring. • De e inbreuken met betrekking tot de verantwoordingsplicht ex artikel 5.2 AVG en de verplichting tot het nemen van passende technische en organisatorische maatregelen ter naleving van de voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen (artikel 24. 1 en artikel 25. 1 en 25.2 AVG) gelet op de vaststelde historische inbreuken op artikel 5.1.
  34. f)AVG enerzijds en artikel 12.1, 12.2, 12.6, artikel 13.1 en 13.2 en artikel 14. 1 en 14.2 AVG anderzijds. • de historische inbreuken op artikel 30. 1 AVG aangezien verschillende verplichte vermeldingen uit artikel 30.1 AVG niet opgenomen waren in het register van verwerkingsactiviteiten. Hierbij houdt de Geschillenkamer rekening met het feit dat de verweerster reeds voor de hoorzitting een aangepast register van verwerkingsactiviteiten had overgemaakt. • de inbreuken op artikel 38.3 AVG en meer bepaald niet rechtstreeks rapporteren aan het hoogst leidinggevende niveau. 81. De Geschillenkamer gaat over tot een sepot van de overige grieven en vaststellingen van de Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de Beslissing ten gronde 136/2023 - 21/22 conclusie kan komen dat er sprake is van een inbreuk op de AVG. Deze grieven en vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd in de zin van artikel 57. 4 van de AVG.19 IV. Publicatie van de beslissing 82. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel 100, §1, 5° WOG een berisping te formuleren voor wat betreft de historische inbreuk op artikel 5.1.f), 5.2, artikel 5.1.
  35. a)(transparantie), artikel 12.1, 12.2 en 12.6, artikel 24.1, artikel 25. 1 en 25.2, artikel 30.1 en artikel 38.3 AVG ; - Op grond van artikel 100, §1, 5° WOG een berisping te formuleren voor wat betreft de inbreuk op artikel 13. 1 en 13.2, artikel 14.1 en 14.2 en artikel 38.3 AVG ; - Op grond van artikel 100, §1, 1° WOG de andere vaststellingen te seponeren. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 20. Het 19 Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. 20 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; Beslissing ten gronde 136/2023 - 22/22 verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.21, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 6° de handtekening van de verzoeker of van zijn advocaat. 21 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.