← België

Beslissing ten gronde nr. 137/2023

1/17 Geschillenkamer Beslissing ten gronde 137/2023 van 29 september 2023 Dossiernummer : DOS-2020-04511 Betreft: klacht met betrekking tot het ontbreken van een verwerkersovereenkomst (artikel 28, lid 3, van de AVG) en het ontbreken van voldoende informatieverstrekking door een overheidsinstantie (artikel 14 van de AVG) De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Romain Robert en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: de heer X, hierna: "de klager"; De verweerders: de gemeente Y1, hierna "de eerste verweerder”: de vennootschap Y2, vertegenwoordigd door meester Louis Leurquin, advocaat, met kantoor te Brugmannlaan 435, 1180 Brussel (Ukkel), hierna: "de tweede verweerder"; hierna samen genoemd "de verweerders". Beslissing ten gronde 137/2023 – 2/17 I. 1. Feiten en procedure Op 4 september 2020 dient de klager bij de Gegevensbeschermingsautoriteit (GBA) een klacht in tegen de verweerders. 2. Zijn klacht betreft enerzijds het ontbreken van een verwerkersovereenkomst tussen de eerste en de tweede verweerder met betrekking tot de verwerking van de gegevens van de klager, en anderzijds de wijze waarop de gegevens van de klager zijn verwerkt in het kader van de vaststelling en de inning door de eerste verweerder van een door de klager te betalen parkeerretributie. 3. De feiten die aan de oorsprong van de klacht liggen, kunnen als volgt worden samengevat. 4. De klager verklaart een parkeerretributie van de eerste verweerder te hebben ontvangen voor het parkeren op datum van 20 mei 2020 op het (...)plein. Deze parkeerretributie werd naar zijn huisadres gestuurd en bevat zijn naam en voornaam, zijn adres en het kenteken van zijn voertuig. 5. Op 6 juli 2020 wendt de eiser zich tot de belastingdienst van de eerste verweerder om een bewijs te verkrijgen van de parkeerovertreding die hem ten laste wordt gelegd. Als antwoord krijgt de klager verschillende foto's van zijn voertuig toegestuurd. Vervolgens vraagt hij de belastingdienst van de eerste verweerder naar de wijze waarop de hem betreffende persoonsgegevens worden verwerkt in het kader van de vaststelling en de inning van de van hem gevraagde retributie. 6. De klager krijgt als antwoord dat de eerste verweerder gebruik maakte van de diensten van derden, waaronder de tweede verweerder, en hij vraagt om de overeenkomst die met de laatstgenoemde was gesloten. Het blijkt, zoals de eerste verweerder zelf toegeeft, dat de verwerkersovereenkomst die hem ten aanzien van de tweede verweerder moest binden, ten tijde van de feiten met betrekking tot de klager niet bestond. 7. In dit verband merkt de Geschillenkamer op dat op 27 juli 2020 een "overeenkomst inzake gegevensbescherming" tussen de verweerders werd ondertekend. Artikel 2 van deze overeenkomst definieert de rol van elke partij. De tweede verweerder wordt beschreven als een IT-engineeringbedrijf dat software ontwikkelt en op de markt brengt, IT-infrastructuren beheert en zijn expertise aanbiedt aan zowel publieke als particuliere klanten. In het kader van zijn activiteiten kan hij verplicht zijn persoonsgegevens van zijn klant, zoals in casu de eerste verweerder, te verwerken, met name in verband met zijn installatie-, ondersteuningsen/of onderhouds- en hostingactiviteiten. In de overeenkomst staat verder dat de tweede verweerder voor de uitgevoerde verwerkingen optreedt als verwerker, terwijl zijn klant, de eerste verweerder in dit geval, optreedt als verwerkingsverantwoordelijke. Beslissing ten gronde 137/2023 – 3/17 8. Op 23 oktober 2020 wordt de klacht door de Eerstelijnsdienst (ELD) van de GBA op grond van de artikelen 58 en 60 van de WOG ontvankelijk verklaard, en wordt de klacht op grond van artikel 62, § 1, van de WOG overgemaakt aan de Geschillenkamer. 9. Op 20 november 2020 wordt, overeenkomstig artikel 96, § 1, van de WOG, het verzoek van de Geschillenkamer om een onderzoek in te stellen, overgemaakt aan de Inspectiedienst (ID). 10. Op 11 mei 2021 wordt het onderzoek door de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en het dossier door de inspecteur-generaal aan de voorzitter van de Geschillenkamer overgemaakt (artikel 91, §§ 1 en 2, van de WOG). 11. Dit inspectieverslag bevat de volgende vaststellingen: a. Inbreuk op artikel 28, lid 3, van de AVG door de eerste verweerder: de ID stelt vast dat de verwerkersovereenkomst tussen de eerste verweerder in zijn hoedanigheid van verwerkingsverantwoordelijke en de tweede verweerder in zijn hoedanigheid van verwerker op 27 juli 2020 is gesloten. De ID stelt daarom vast dat ten tijde van de aangegeven feiten en de verwerking van de gegevens van de klager in verband met de vaststelling en de inning van het parkeerretributie van 20 mei 2020, er geen sprake was van een dergelijke overeenkomst, hetgeen in strijd is met artikel 28, lid 3, van de AVG. De ID voegt eraan toe dat de bepaling inzake terugwerkende kracht in de genoemde verwerkersovereenkomst geen afbreuk mag doen aan de rechten van derden, met name die van de klager. b. Inbreuk op de artikelen 12, lid 1, en 14 van de AVG door de eerste verweerder: de ID stelt vast dat de vrijstelling van informatieverstrekking zoals bedoeld in artikel 14, lid 5, punt c), van de AVG, waarop de eerste verweerder zich beroept, in casu niet in aanmerking kan worden genomen. Mede op grond van de richtsnoeren inzake transparantie van het Europees Comité voor gegevensbescherming (EDPB) 1 concludeert de ID dat de teksten2 waarop de eerste verweerder zich beroept, weliswaar een grondslag bieden voor de rechtmatigheid van de verwerking, maar hem niet verplichten om de gegevens die hij verwerkt in het kader van de inning van de betrokken retributie te verkrijgen (of te ontvangen) en, vooral, geen passende 1 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018: https://ec.europa.eu/newsroom/article29/items/622227. . 2 De eerste verweerder beroept zich op de volgende teksten: artikel 6 van het koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen, dat bepaalt dat de strafrechtelijke opsporing en vervolging van misdrijven, wanbedrijven en overtredingen de doeleinden zijn waarvoor persoonsgegevens in het repertorium mogen worden verwerkt; de wet van 22 februari 1065 waarbij aan de gemeenten wordt toegestaan parkeergeld op motorrijtuigen in te voeren; het reglementretributie houdende het gemeentelijk beleid inzake parkeren, aangenomen door de gemeenteraad op [.... ] dat het mogelijk maakt parkeerretributies in te stellen wanneer een voertuig niet voldoet aan de relevante wetgeving, en de ordonnantie van 22 januari 2019 (hoofdstuk VII) - parkeerretributies en controle op de naleving van de parkeerregels. Beslissing ten gronde 137/2023 – 4/17 maatregelen bevatten ter bescherming van de gerechtvaardigde belangen van de betrokkene, zoals artikel 14, lid 5, punt c), van de AVG vereist om te kunnen worden ingeroepen. De ID merkt op dat eerste verweerder zich ook beroept op beraadslaging FO 23/2013 van 25 juli 2013 van het Sectoraal comité voor de Federale Overheid (SCFO)3 van de Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL)4, houdende de eenmalige machtiging en tot wijziging, voor wat de private concessiehouders van de Brusselse gemeenten, de Brusselse autonome gemeentebedrijven en het Brussels Hoofdstedelijk Parkeeragentschap betreft, van de beraadslaging FO 12/2009 houdende de eenmalige machtiging voor toegang tot het repertorium van de DIV voor de identificatie van personen die door het gebruik van een voertuig, [parkeer]retributie[, -belasting of parkeergeld] schuldig zijn, die volgens haar geldig blijft overeenkomstig artikel 111 van de WOG. De ID merkt op dat deze beraadslaging specifiek vereist dat informatie wordt verstrekt aan de betrokkene via de website van de verwerkingsverantwoordelijke en bij betaalverzoeken. De ID merkt op dat dergelijke informatie niet wordt verstrekt op de website van de eerste verweerder of op de verzonden betaalverzoeken (tweede herinnering). De ID benadrukt ook dat het feit dat de eerste verweerder toegang heeft tot de DIV (Dienst voor Inschrijvingen van Voertuigen) haar niet ontslaat van de informatieplicht. 12. Op 9 juli 2021 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 13. Op dezelfde datum worden de partijen per aangetekende brief in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en in artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders wordt daarbij vastgelegd op 6 september 2021, die voor de conclusie van repliek van de klager op 28 september 2021, en die van de conclusie van repliek van de verweerders op 20 oktober 2021. 3 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018: https://ec.europa.eu/newsroom/article29/items/622227. . 4 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 2016/679 inzake transparantie overeenkomstig Verordening (EU) 2016/679 van 11 april 2018. Deze richtsnoeren die zijn aangenomen door de Groep 29 (WP 260) zijn overgenomen door de EDPB tijdens zijn inaugurele vergadering op 25 mei 2018: https://ec.europa.eu/newsroom/article29/items/622227. . Beslissing ten gronde 137/2023 – 5/17 14. In dezelfde brief van 9 juli 2021 verklaart de Geschillenkamer dat de eerste verweerder is uitgenodigd om zijn argumenten naar voren te brengen met betrekking tot de door de ID gedane vaststellingen. Bovendien nodigt zij hem uit om zijn argumenten met betrekking tot de naleving van artikel 5, lid 2, en artikel 24 van de AVG naar voren te brengen, aangezien een door de ID bewezen schending van een van de artikelen 28, 12, lid 1, en/of 14 van de AVG waarschijnlijk als gevolg daarvan een schending vormt van deze bepalingen (artikel 5, lid 2, en artikel 24 van de AVG) waarin het verantwoordingsbeginsel is verankerd. 15. Op basis van de door de klager ingediende klacht (waarin ook een mogelijke schending door de tweede verweerder van diens verplichtingen onder de AVG wordt aangevoerd - zie punt 1), verzoekt de Geschillenkamer deze laatste ook zijn argumenten naar voren te brengen met betrekking tot artikel 28 van de AVG en de verplichting om zijn relatie met de eerste verweerder te regelen door middel van een verwerkersovereenkomst overeenkomstig artikel 28, lid 3, van de AVG. 16. Op 2 september 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de eerste verweerder: - Wat de grief inzake een inbreuk op artikel 28, lid 3, van de AVG betreft, ontkent de eerste verweerder niet dat er ten tijde van de feiten die aan de klacht ten grondslag liggen, in feite geen overeenkomst of andere rechtshandeling bestond die met de tweede verweerder was aangegaan. De eerste verweerder wijst er evenwel op dat deze overeenkomst - waarvan de ondertekening niet als prioritair werd beschouwd, met name omdat er geen hoog risico voor de betrokkenen was en gezien de context van de COVID-19-pandemie die van zijn kant prioriteit vereiste - is gesloten op 27 juli 2020, en dat de situatie inmiddels is geregulariseerd, ook voor het verleden, gelet op de bepaling inzake terugwerkende kracht tot 25 mei 2018 waarin artikel 3 van de genoemde overeenkomst voorziet (artikel 3). - Wat de grief inzake een inbreuk op de artikelen 12, lid 1, en 14 van de GDPR betreft, verklaart de eerste verweerder, zich baserend op de conclusies van de ID op dit punt, dat hij nota heeft genomen van het feit dat artikel 14, lid 5, punt c), van de AVG niet van toepassing is, en geeft hij aan dat hij zijn website heeft gewijzigd door een tekst toe te voegen waarin de door artikel 14 van de AVG vereiste informatie wordt vermeld, en dat hij de brieven met betaalverzoeken in verband met parkeergelden heeft aangepast door een informatieclausule toe te voegen. 17. Op 3 september 2021 de tweede verweerder de Geschillenkamer ervan in kennis dat hij verwijst naar en instemt met de argumenten van de eerste verweerder in zijn conclusie van antwoord van 2 september 2021 (punt 16), welke conclusie kan worden geacht ook in zijn naam en voor zijn rekening te zijn ingediend. Beslissing ten gronde 137/2023 – 6/17 18. Op 4 september 2021 ontvangt de Geschillenkamer de conclusie van repliek van de klager: - Daarin verheugt de klager zich erover dat de eerste verweerder de schendingen erkent die hem door de ID worden verweten, maar betwijfelt hij diens goede trouw wanneer hij het volgens hem "te gemakkelijke excuus" van de COVID-19-virusepidemie aanvoert als uitleg voor de vertraging bij het ondertekenen van een verwerkersovereenkomst. Hij wijst er in dit verband op dat de AVG in werking was getreden sinds 25 mei 2016, dat wil zeggen zelfs vóór de gunning van de overheidsopdracht door de eerste verweerder aan de tweede verweerder eind 2016. - De klager wijst er ook op dat de eerste verweerder de persoonsgegevens die hij aan de tweede verweerder doorgeeft, minimaliseert. Alleen de nummerplaat van overtreders zou aan hem worden doorgegeven, terwijl het verslag van de ID vermeldt dat ook andere hem betreffende persoonsgegevens (zoals foto's van zijn voertuig) zijn doorgegeven. In het algemeen hekelt de klager het gebrek aan voorbeeldigheid en transparantie van de eerste verweerder als openbare administratie. - Tot slot wil de klager dat de schade die hij heeft geleden als gevolg van het niet respecteren van zijn persoonsgegevens wordt erkend, zowel moreel als financieel, waarbij zijn inkomstenderving wordt geschat op 1.500,00 euro ex aequo et bono, gelet op de tijd en energie die in deze zaak is gestoken. 19. Op 30 september 2021 ontvangt de Geschillenkamer de conclusie van repliek van de eerste verweerder. Wat de door de eiser gevorderde schadevergoeding betreft, voert de eerste verweerder aan dat de gegevens van de klager niet zijn gebruikt voor doeleinden waarin de wet niet voorziet en dat hij geen schade kan hebben geleden als gevolg van het oneigenlijke gebruik ervan. Hij wijst er ook op dat overheidsinstanties zijn vrijgesteld van administratieve boetes. 20. Op 30 september ontvangt de Geschillenkamer ook een laatste reactie van de klager. Deze reactie wordt te laat ingediend, aangezien de klager al de gelegenheid heeft gehad om te concluderen (punt 18) en het laatste woord aan de verweerders is. De klager wijst er met name op dat de retributie alleen kon worden vastgesteld doordat, in strijd met de AVG, hem betreffende gegevens zijn meegedeeld, wat volgens hem de retributie als zodanig ongeldig maakt. Hij wijst er bovendien op dat, hoewel overheidsinstanties zijn vrijgesteld van administratieve boetes, ze kunnen worden onderworpen aan niet-monetaire administratieve sancties en strafrechtelijke sancties. Tot slot herhaalt de klager zijn eis tot schadevergoeding. Beslissing ten gronde 137/2023 – 7/17 II. Motivering II.1. Wat betreft de schending van artikel 28, lid 3, van de AVG door de eerste en de tweede verweerder 21. Artikel 28, lid 1, van de AVG bepaalt dat wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, de verwerkingsverantwoordelijke uitsluitend een beroep doet op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. 22. Overeenkomstig artikel 28, lid 3, van de AVG dient de verwerking door een verwerker te worden geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling moet voorzien in een aantal verplichtingen voor de verwerker die worden opgesomd in de punten

  1. a)tot en met
  2. h)van artikel 28, lid 3, van de AVG. 23. In het onderhavige geval kwalificeert de Geschillenkamer de eerste verweerder als "verwerkingsverantwoordelijke" in de zin van artikel 4, lid 7, van het AVG. Hij is de entiteit die de doeleinden en de middelen bepaalt van de aangeklaagde verwerking (dat wil zeggen de verwerking van persoonsgegevens over de klager ten behoeve van de vaststelling en de inning van parkeergeld), in het kader van de uitoefening van een bevoegdheid die hem wettelijk is toevertrouwd. Deze kwalificatie wordt door de verweerders niet betwist. 24. De Geschillenkamer kwalificeert de tweede verweerder als "verwerker", in de zin van artikel 4, lid 8, van de AVG, aangezien hij handelt in opdracht van de verweerder. Deze kwalificatie wordt door de verweerders evenmin betwist. 25. De Geschillenkamer oordeelt dat zowel de eerste als de tweede verweerder op grond van artikel 28, lid 3, van de AVG verplicht waren een verwerkersovereenkomst te sluiten of een bindende rechtshandeling aan te gaan met betrekking tot het uitvoeren van de taak van verwerker die zij onderling hadden georganiseerd. 26. De Geschillenkamer onderschrijft in dit verband het standpunt van de EDPB 5, dat luidt: "Aangezien de verordening voorziet in een duidelijke verplichting om een schriftelijke 5 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen "verwerkingsverantwoordelijke" en "verwerker" in de AVG https://edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_nl. Beslissing ten gronde 137/2023 – 8/17 overeenkomst te sluiten wanneer er geen andere toepasselijke rechtshandeling van kracht is, is het ontbreken daarvan een inbreuk op de AVG. Zowel de verwerkingsverantwoordelijke als de verwerker hebben de verantwoordelijkheid ervoor te zorgen dat er een overeenkomst of een andere rechtshandeling voorhanden is die de verwerking regelt 6. Met inachtneming van de bepalingen van artikel 83 van de AVG kan de bevoegde toezichthoudende autoriteit een administratieve boete opleggen aan zowel de verwerkingsverantwoordelijke als de verwerker, rekening houdend met de omstandigheden van elk individueel geval."7 27. Met andere woorden, de verplichting om een overeenkomst af te sluiten of een bindende rechtshandeling aan te gaan, rust zowel op de verwerkingsverantwoordelijke (hier de eerste verweerder) als op de verwerker (hier de tweede verweerder) en niet op de verwerkingsverantwoordelijke alleen. Dit is vooral belangrijk wanneer, zoals hier het geval is, een verwerker zijn gespecialiseerde diensten aanbiedt aan een groot aantal verschillende verwerkingsverantwoordelijken. Het zou niet in overeenstemming zijn met de AVG (of met de realiteit op het terrein) om te stellen dat het initiatief om de overeenkomst af te sluiten (en de voorgestelde inhoud ervan) alleen van de verwerkingsverantwoordelijke zou moeten komen. 28. In casu betwisten de eerste en de tweede verweerder niet dat de verwerkersovereenkomst die zij hadden moeten aangaan, ten tijde van de aangegeven feiten niet bestond. Deze overeenkomst werd ondertekend op 27 juli 2020, d.w.z. na deze feiten en de daaropvolgende gegevensverwerkingen, die, ter herinnering, het gevolg zijn van het parkeren op 20 mei 2020. In de uitleg die hij gaf om te proberen deze late ondertekening te rechtvaardigen (punt 16), wijst de eerste verweerder (gevolgd door de tweede verweerder punt 17) erop dat ten tijde van de toewijzing van de overheidsopdracht aan de tweede verweerder bij een beraadslaging eind 2016, de AVG nog niet bestond. Op dit punt herinnert de Geschillenkamer de verweerders eraan dat de AVG in werkelijkheid al sinds 25 mei 2016 in werking is getreden (artikel 99, lid 1, van de AVG), dus al meer dan zes maanden op het moment van de beraadslaging over de gunning van de door de eerste verweerder genoemde opdracht. Zodra de overheidsopdracht door de eerste verweerder aan de tweede verweerder was gegund, hadden deze laatsten zich dus in overeenstemming moeten brengen met de AVG, en bijgevolg zo spoedig mogelijk en in elk geval uiterlijk op 24 mei 2018 een verwerkersovereenkomst overeenkomstig artikel 28, lid 3, van de AVG moeten ondertekenen. De wetgever had uitdrukkelijk voorzien in een overgangsperiode van twee jaar om het mogelijk te maken zich in overeenstemming met de richtlijn te brengen, ook met 6 De Geschillenkamer onderstreept. Artikel 28, lid 3, is niet alleen van toepassing op de verwerkingsverantwoordelijke. Wanneer alleen de verwerker onder het territoriale toepassingsgebied van de AVG valt (artikel 3), is de verplichting alleen rechtstreeks van toepassing op de verwerker. Zie in die zin ook Richtsnoeren 3/2018 van het Europees comité voor gegevensbescherming (EDPB) over het territoriale toepassingsgebied van de AVG, p. 12. https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_3_2018_territorial_scope_nl.pdf. 7 De Geschillenkamer onderstreept. Beslissing ten gronde 137/2023 – 9/17 betrekking tot situaties die al bestonden voordat de richtlijn van toepassing werd, maar die ook daarna zouden blijven bestaan. 29. Samen met de ID (punt 10) is de Geschillenkamer van mening dat de in de overeenkomst van 27 juli 2020 opgenomen bepaling inzake terugwerkende kracht het ontbreken van een overeenkomst ten tijde van de feiten niet kan compenseren. Als een dergelijke terugwerkende kracht zou worden toegestaan, zou dit het de facto mogelijk maken om de toepassing in de tijd van de verplichting van artikel 28, lid 3, van de AVG te omzeilen, die, zoals uiteengezet in de punten 26 en 27 hierboven, zowel op de verwerkingsverantwoordelijke als op de verwerker rust. Zoals uitgelegd in punt 28 hierboven, voorziet de AVG zelf in een periode van twee jaar tussen de inwerkingtreding en de toepassing ervan, voor de geleidelijke naleving door alle betrokken entiteiten (artikel 99 van de AVG). De verplichting om een dergelijke overeenkomst te sluiten is bovendien bedoeld om de verantwoordelijkheden van elk van de verweerders in hun respectieve hoedanigheid van verwerkingsverantwoordelijke enerzijds en verwerker anderzijds duidelijk toe te wijzen. Zoals wordt onderstreept in overweging 79 van de AVG, heeft deze verplichting ook tot doel de bescherming te waarborgen van de rechten en vrijheden van de betrokkenen, van wie de gegevens die worden verwerkt in het kader van de relatie die de verwerkingsverantwoordelijke (in casu de eerste verweerder) en de verwerker (in casu de tweede verweerder) met elkaar tot stand brengen, zo worden beschermd. Dit gebrek aan bescherming - ook al is zij vereist door de AVG - kan niet worden gedekt door een door de verweerders alleen overeengekomen contractuele bepaling inzake terugwerkende kracht, ten koste van de rechten van de betrokkenen - die geen partij zijn bij de overeenkomst - die zijn vastgelegd in een norm, een Europese bovendien. 30. In het licht van het voorgaande concludeert de Geschillenkamer dat zowel de eerste als de tweede verweerder zich schuldig hebben gemaakt aan een schending van artikel 28, lid 3, van de AVG. Voor de goede orde preciseert de Geschillenkamer dat zij bevoegd is om een schending van deze bepaling door de tweede verweerder in aanmerking te nemen, niettegenstaande het ontbreken van een door de ID vastgestelde schending door deze laatste, en dit in uitvoering van haar eigen bevoegdheden 8. De tweede in de klacht genoemde verweerder (punt 1) werd ook uitgenodigd om zich ten aanzien van deze schending te verdedigen overeenkomstig het recht van hoor en wederhoor (punt 15), en hij ontkent niet dat er ten tijde van de feiten geen overeenkomst bestond. 8 De WOG gebiedt de Geschillenkamer niet een beroep te doen op de Inspectiedienst. De Geschillenkamer beslist immers soeverein of naar aanleiding van een ingediende klacht een onderzoek al dan niet nodig is (artikel 63, 2° van de WOG en artikel 94, 1° van de WOG). Artikel 94, 3°, van de WOG bepaalt uitdrukkelijk dat eens gevat de Geschillenkamer de klacht mag behandelen zonder een beroep te doen op de Inspectiedienst. Zij is dus bevoegd om de klacht onafhankelijk van de inspectie te beoordelen (Marktenhof (19e kamer A), 7 december 2022, 2022/KB/560 en 2022/KB/564; Marktenhof (19e kamer A), 7 december 2022, 2022/KB/556). Beslissing ten gronde 137/2023 – 10/17 31. De verweerders stellen voorts dat zij hoe dan ook voldeden aan de verplichtingen die voortvloeien uit de voorheen geldende wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (WVP) (artikel 16 inzake de verplichtingen van de verwerker9) en dat de naleving van de AVG, gelet op andere dringende zaken, met name in verband met de pandemie van het COVID-19-virus, vanaf 2018 niet als een prioriteit werd gezien, gelet op de geringe risico's die de belastingplichtige in de betrokken context liep. De verweerders voeren ook aan dat de rechten van de klager altijd zijn geëerbiedigd, zelfs vóór de sluiting van de overeenkomst op 27 juli 2020, en dat de hem betreffende gegevens niet zijn gebruikt voor andere doeleinden dan die in verband met de parkeerretributie. 32. Voor de Geschillenkamer zijn de door de verweerders aangevoerde omstandigheden - zelfs indien bewezen - niet van dien aard dat zij het bestaan van een schending van hun kant uitsluiten. De Geschillenkamer kan er hooguit rekening mee houden bij de beoordeling van de passende sanctie in de gegeven omstandigheden van de zaak. II.2. Wat betreft de schending van artikel 12, lid 1, en artikel 14 van de AVG door de eerste verweerder 33. De Geschillenkamer merkt op dat de eerste verweerder nu enerzijds op zijn website informatie verstrekt over de elementen die in uitvoering van artikel 14 van de AVG vereist zijn voor de betrokkenen, en anderzijds informatie aan de betrokkenen verstrekt wanneer betaalverzoeken voor parkeergeld worden verzonden. 34. De Geschillenkamer concludeert niettemin dat de eerste verweerder in het verleden de artikelen 12, lid 1, en 14 van de AVG heeft geschonden door geen passende informatie aan de betrokkenen te hebben verstrekt. De Geschillenkamer is het eens met de analyse van de ID die de toepasselijkheid van artikel 14, lid 5, punt c), van de AVG uitsluit. 35. Volgens artikel 14, lid 5, punt c), wordt de verwerkingsverantwoordelijke vrijgesteld van zijn informatieplicht wanneer en voor zover "het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen". 36. De Geschillenkamer wijst op een taalverschil tussen de Franse versie en bijvoorbeeld de Nederlandse en Engelse versie van deze bepaling. Waar de Franse versie van artikel 14, lid 5, punt c), vermeldt: « lorsque et dans la mesure où l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou de l’Etat membre », luiden 9 Opgemerkt moet worden dat de verplichtingen van de verwerker zeer beperkt waren in vergelijking met de vereisten van artikel 28 van de AVG. Artikel 16 van de WVP was in feite beperkt tot de bepaling dat de verwerker slechts handelde in opdracht van de verwerkingsverantwoordelijke en voldoende waarborgen moest bieden voor de beveiliging van de hem als verwerker toevertrouwde verwerkingen. Beslissing ten gronde 137/2023 – 11/17 de Nederlandse en Engelse versies van de tekst : « wanneer en voor zover het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unierecht of lidstatelijk recht » en « where and insofar as obtaining or disclosure is expressly laid down by Union or Member State law ». (lees: obtaining or disclosure of data overeenkomstig de bewoordingen van overweging 62). De Geschillenkamer is van mening dat het verkrijgen en verstrekken van gegevens door het nationale recht (of in voorkomend geval, het recht van de Europese Unie) moet worden geregeld, niettegenstaande de bewoordingen van de Franse versie van artikel 14, lid 5, punt c), van de AVG. 37. Artikel 15, lid 5, punt c), van de AVG vormt een uitzondering op het recht op informatie. Indien de betrokkene niet op de hoogte wordt gesteld van het feit dat er gegevens over hem worden verwerkt, wordt hem informatie onthouden die in beginsel spontaan door de verwerkingsverantwoordelijke wordt verstrekt en die de uitoefening van zijn andere rechten, waarvan hij ook op de hoogte wordt gesteld, vergemakkelijkt (artikel 13, lid 2, punten b),
  3. c)en d), en artikel 14, lid 2, punten c),
  4. d)en
  5. e)van de AVG). 38. Deze vrijstelling moet restrictief worden geïnterpreteerd, aangezien het gaat om een uitzondering op de informatieplicht van het grondrecht op gegevensbescherming en de daaruit voortvloeiende informatieplicht die op de verwerkingsverantwoordelijke rust. Bovendien, zoals reeds vermeld, wordt de betrokkene informatie onthouden over het bestaan en de nadere regels voor de uitoefening van zijn andere rechten, die niet onder dezelfde uitzondering vallen "in geval van verkrijging of mededeling waarin de wet uitdrukkelijk voorziet". Het recht van inzage (artikel 15 van de AVG) - dat op zijn beurt de weg vrijmaakt voor de uitoefening van andere rechten, zoals het recht op rectificatie, het recht van bezwaar of het recht op gegevenswissing - valt bijvoorbeeld niet onder deze uitzondering (artikel 15, lid 4, van de AVG). 39. De ratio legis van deze uitzondering in artikel 14, lid 5, punt c), van de AVG is gebaseerd op het feit dat de nationale wetgeving vereist dat de genoemde gegevens worden verkregen of meegedeeld. Het is daarom belangrijk dat deze wetgeving bijzonder duidelijk is en voldoet aan de kwaliteiten die alle wetgeving inzake gegevensbescherming moet hebben, en dat de verwerkingsverantwoordelijke verplicht is deze gegevens te verkrijgen/verstrekken, hetgeen hij moet kunnen aantonen. Die wetgeving moet ook voorzien in passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene. 40. De Geschillenkamer voegt er ten slotte aan toe dat, om de uitzondering van artikel 14, lid 5, onder c), van de AVG in werking te doen treden, de verplichting tot verkrijging of mededeling van de genoemde gegevens logischerwijs betrekking moet hebben op alle gegevens die worden verwerkt door de verwerkingsverantwoordelijke die zich beroept op de vrijstelling van informatieverstrekking. Beslissing ten gronde 137/2023 – 12/17 41. Het verslag van de ID merkt op dat de eerste verweerder zich beroept op de volgende teksten: a. Artikel 6 van het koninklijk besluit van 20 juli 2001 betreffende de inschrijving van voertuigen dat bepaalt dat de strafrechtelijke opsporing en vervolging van misdaden, wanbedrijven en overtredingen, de doeleinden zijn waarvoor de persoonsgegevens van het DIV-repertorium (Dienst voor Inschrijvingen van Voertuigen) mogen worden verwerkt. De Geschillenkamer merkt op dat in deze bepaling de doeleinden worden gepreciseerd van de DIV, waarvan de raadpleging ten behoeve van de eerste verweerder is toegestaan voor dit doeleinde, waaronder dit van de retributie. b. De wet van 22 februari 1965 waarbij aan gemeenten wordt toegestaan parkeergeld op motorrijtuigen in te voeren. Ook hier merkt de Geschillenkamer op dat de tekst in kwestie de eerste verweerder toestaat het parkeergeld vast te stellen. Bij bestudering van de tekst merkt de Geschillenkamer op dat artikel 2 van de wetgeving bepaalt: "Met het oog op de inning van de in artikel 1 bedoelde retributies, belastingen of parkeergelden, zijn de steden en gemeenten en haar concessiehouders en de autonome gemeentebedrijven gemachtigd om de identiteit van de houder van de nummerplaat op te vragen bij de overheid die belast is met de inschrijving van de voertuigen in overeenstemming met de wet tot bescherming van de persoonlijke levenssfeer”. De tekst voorziet dus in het recht van gemeenten zoals de eerste verweerder om de DIV te raadplegen met het oog op de vaststelling van de retributie. c. Het retributiereglement betreffende het gemeentelijk parkeerbeleid dat de gemeenteraad op [...] heeft aangenomen, dat het mogelijk maakt om parkeerretributies vast te stellen wanneer een voertuig niet voldoet aan de desbetreffende wetgeving. Na analyse van de door de eerste verweerder aan de ID meegedeelde tekst, merkt de Geschillenkamer op (
  6. i)dat daarin de procedure wordt uiteengezet volgens welke het parkeren wordt geregeld en onderverdeeld (betaalzone, blauwe zone, enz.) en volgens welk tarief, (
  7. ii)dat de procedure voor minnelijke invordering en bezwaar uitvoerig wordt beschreven, alsmede (iii) de procedure voor gedwongen invordering en beroep tegen de procedure voor gedwongen invordering. De tekst gaat ook verder in op van de bestaande vrijstellingskaarten. Beslissing ten gronde 137/2023 – 13/17 De Geschillenkamer ziet daarentegen geen bepaling die preciseert welke gegevens de eerste verweerder zou moeten verkrijgen in de context van het vaststellen en innen van een parkeerretributie. d. De ordonnantie van 22 januari 2009 10 - Hoofdstuk VII - parkeerretributies en controle op de naleving van de parkeerregels. De tekst organiseert het parkeerbeleid in het Brussels Hoofdstedelijk Gewest, richt het Parkeeragentschap op, legt de bedragen van de retributies vast en behandelt de kwestie van de controle en de inning van deze retributies, evenals de kosten ervan voor de gemeenten, enz. Ook hier ziet de Geschillenkamer geen bepaling met betrekking tot het verplicht verkrijgen/verstrekken van gegevens waarop de eerste verweerder zich zou kunnen beroepen om de door hem ingeroepen vrijstelling van informatieverstrekking te rechtvaardigen. 42. Op grond van het voorgaande concludeert de Geschillenkamer dat het weliswaar begrijpelijk is dat de eerste verweerder bepaalde gegevens nodig heeft om een parkeerretributie vast te stellen en te innen (en daartoe een bron als de DIV moet kunnen raadplegen), maar dat de teksten waarop hij zich beroept om zijn bevoegdheid aan te tonen, niet voorzien in het verplicht verkrijgen of meedelen van de gegevens die hij in casu heeft verwerkt (waaronder foto's). Zoals de ID ook opmerkt, voorziet geen van deze teksten bovendien in passende maatregelen om de belangen van de betrokkenen te beschermen in deze context waarin hun geen informatie wordt verstrekt in de proactieve betekenis die de AVG aan deze verplichting geeft. Bijgevolg is de Geschillenkamer van oordeel dat niet is voldaan aan de toepassingsvoorwaarden van artikel 14, lid 5, punt c), van de AVG, en dat de eerste verweerder zich derhalve niet op deze uitzondering mocht beroepen. 43. In die zin moesten volgens de beraadslaging van het SCFO waarnaar de eerste verweerder verwijst, de betrokkenen worden geïnformeerd, hetgeen de eerste verweerder heeft nagelaten. 44. Tot slot, voor gevallen waarin de verwerkingsverantwoordelijke zich terecht beroept op artikel 14, lid 5, punt c), van de AVG, herinnert de Geschillenkamer eraan dat, zoals de EDPB in zijn bovengenoemde transparantierichtsnoeren opmerkt, deze vrijstelling niettemin vereist dat "de verwerkingsverantwoordelijke het aan de betrokkenen duidelijk moet maken dat hij of zij persoonsgegevens verkrijgt of verstrekt overeenkomstig het recht in kwestie, tenzij een wettelijk verbod de verwerkingsverantwoordelijke belet om dat te doen. Dit is in overeenstemming met overweging 41 van de AVG, waarin wordt verklaard dat een 10 Zie de ordonnantie van 22 januari 2009 houdende de organisatie van het parkeerbeleid en de oprichting van het Brussels Hoofdstedelijk Parkeeragentschap, BS, 30 januari 2009. Beslissing ten gronde 137/2023 – 14/17 rechtsgrond of een wetgevingsmaatregel duidelijk en nauwkeurig moet zijn en de toepassing daarvan voorspelbaar moet zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie en het Europees Hof voor de rechten van de mens." Deze verplichting ligt in de lijn van de plicht van de verwerkingsverantwoordelijke om - in uitvoering van artikel 13, lid 1, punt c), en artikel 14, lid 1, punt c), van de AVG - de rechtsgrond voor zijn verwerkingen te bepalen, voordat deze worden uitgevoerd. Het is in dit verband niet voldoende om te verklaren dat de gegevensverwerkingen zullen plaatsvinden in overeenstemming met een wettelijke verplichting of om eenvoudigweg te verwijzen naar de toepassing van artikel 6, lid 1, punt c), van de AVG. Het is aan de verwerkingsverantwoordelijke om de relevante wetgeving te vermelden waarop de door hem uitgevoerde verwerkingen zijn gebaseerd. 45. In conclusie stelt de Geschillenkamer een schending vast van artikel 14 van de AVG door de eerste verweerder, gecombineerd met een schending van artikel 12, lid 1, van de AVG. Door de in artikel 14 van de AVG opgesomde informatie niet aan de betrokkenen te verstrekken, schendt de eerste verweerder immers ook deze bepaling, die vereist dat de verwerkingsverantwoordelijke passende maatregelen neemt om de in de artikelen 13 en 14 bedoelde informatie te verstrekken in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal. II.3. Wat betreft de corrigerende maatregelen en sancties 46. Overeenkomstig artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; Beslissing ten gronde 137/2023 – 15/17 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 47. Het is belangrijk om de schendingen waarvoor elk van de verweerders verantwoordelijk is in de juiste context te plaatsen om de meest geschikte corrigerende maatregelen en sancties vast te stellen. 48. De Geschillenkamer wenst erop te wijzen dat het als onafhankelijke administratieve autoriteit haar soevereine bevoegdheid is - met inachtneming van de relevante artikelen van de AVG en van de WOG - om in de gegeven omstandigheden van de zaak de passende corrigerende maatregel(
  8. en)en sanctie(
  9. s)vast te stellen. Het is dus niet aan de klager om de Geschillenkamer te vragen een bepaalde corrigerende maatregel of (exemplarische) sanctie op te leggen, laat staan maatregelen te nemen die niet behoren tot de maatregelen die de Geschillenkamer bevoegd is op te leggen. Indien, niettegenstaande het voorgaande, de klager een dergelijk verzoek zou indienen, is het niet aan de Geschillenkamer om te motiveren waarom zij niet ingaat op een van de verzoeken van de klager. Deze overwegingen laten de verplichting van de Geschillenkamer onverlet om de keuze te motiveren van de maatregelen en/of sancties (uit de lijst van maatregelen en sancties die haar ter beschikking worden gesteld door artikel 58 van de AVG en de artikelen 95, § 1, en 100, § 1, van de WOG) die zij passend acht om de betrokken partij(
  10. en)op te leggen. 49. Eveneens in dit verband wijst de Geschillenkamer erop dat zij niet bevoegd is om schadevergoeding of compensatie voor eventueel geleden schade toe te kennen, noch om een parkeerretributie ongeldig te verklaren. In deze bevoegdheden wordt niet voorzien door het eerder genoemde artikel 58 van de AVG of door het eerder genoemde artikel 100, § 1, van de WOG. Het opleggen van dergelijke maatregelen is voorbehouden aan de bevoegde hoven en rechtbanken. 50. Wat betreft de bij de eerste verweerder vastgestelde schendingen van artikel 28, lid 3, (punt 30), artikel 14 en artikel 12, lid 1, van de AVG (punt 45) in zijn hoedanigheid van overheidsinstantie, beslist de Geschillenkamer dat een berisping de geschikte sanctie is. 51. De Geschillenkamer merkt bovendien op dat uit de erkenning van de feiten door de eerste verweerder, de ondertekening van een verwerkersovereenkomst in juli 2020 en de gedane toezeggingen op het gebied van informatieverstrekking aan de betrokkenen, blijkt dat de eerste verweerder de maatregel voor de hierboven genoemde schendingen van artikel 28, lid 3, artikel 14 en artikel 12, lid 1, van de AVG heeft genomen. 52. Wat de tweede verweerder betreft, beslist de Geschillenkamer ook hem een berisping te geven wegens diens schending van artikel 28, lid 3, van de RGPD (punt 30). Beslissing ten gronde 137/2023 – 16/17 Gelet op de gegeven omstandigheden van de zaak is deze maatregel volgens de Geschillenkamer de passende sanctie voor de in het verleden vastgestelde overtreding. III. Publicatie van de beslissing 53. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer wordt deze beslissing gepubliceerd op de website van de GBA. Het is evenwel niet nodig dat daarvoor de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit na beraadslaging om: - op grond van artikel 100.5° van de WOG, een berisping te geven aan de eerste verweerder voor de schendingen van artikel 28, lid 3, artikel 14 en artikel 12, lid 1, van de AVG. - Op grond van artikel 100.5° van de WOG, een berisping te geven aan de tweede verweerder voor de schending van artikel 28, lid 3, van de AVG. Tegen deze beslissing kan op grond van artikel 108, § 1 van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 11. Het interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W. of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). 11 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregisterof ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Beslissing ten gronde 137/2023 – 17/17 (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.