Beslissing ten gronde nr. 141/2021

1/26 Geschillenkamer Beslissing ten gronde 141/2021 van 16 december 2021 Dossiernummer : DOS-2020-03763 Betreft : De uitoefening van de rechten van de betrokkene met betrekking tot de informatiesystemen van een Bank. De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter en de heren Dirk Van Der Kelen en Frank De Smet; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; heeft de volgende beslissing genomen inzake: . De verweerder: de bank Y, vertegenwoordigd door Mr. Erik Valgaeren en Mr. Carolien Michielsen, . hierna “de verweerder” . Beslissing ten gronde 141/2021 - 2/26 I. Feiten en procedure A. Onderzoek van de Inspectiedienst 1. Op 22 april 2020 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna GBA) om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° WOG. Naar aanleiding van beslissing nr. 01/2019 die door de Geschillenkamer werd genomen op 15 mei 2019 en het daaropvolgende arrest van het Marktenhof d.d. 9 oktober 2019 stelde het Directiecomité immers vast dat er ernstige aanwijzingen bestaan van praktijken die aanleiding kunnen geven tot inbreuken op de grondbeginselen van de bescherming van persoonsgegevens. Het Directiecomité heeft dan ook het dossier aanhangig gemaakt bij de Inspectiedienst met het verzoek een onderzoek te voeren naar de mate waarin de informatiesystemen van de verweerder de uitoefening van de rechten van de betrokkene, in het bijzonder het recht op rectificatie (artikel 16 AVG), mogelijk maakt. Dit betekent dat de Inspectiedienst is gevat om te toetsen of de informatiesystemen van de verweerder in overeenstemming zijn met de vereisten die de AVG stelt op het vlak van de uitoefening van de rechten waarover elke betrokkene1 beschikt in zijn hoedanigheid van cliënt van de verweerder. 2. De Inspectiedienst maakt haar verslag d.d. 23 maart 2021 aan de Geschillenkamer over op basis van artikel 91, §2 WOG, waardoor de Geschillenkamer werd gevat op grond van artikel 92, 3° WOG; B. Procedure voor de Geschillenkamer 3. Op 6 april 2021 beslist de Geschillenkamer op grond van art. 95, §1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. 4. Op dezelfde dag wordt de verweerder per aangetekende zending in kennis gesteld van deze beslissing, alsook van het inspectieverslag en van de inventaris van de stukken van het dossier dat door de Inspectiedienst aan de Geschillenkamer werd overgemaakt. Tevens wordt de verweerder in kennis gesteld van de bepalingen zoals vermeld in artikel 98 WOG en wordt de verweerder op grond van art. 99 WOG in kennis gesteld van de termijn om zijn verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd op 28 mei 2021 vastgelegd. 5. Op 10 mei 2021 vraagt de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), dewelke hem wordt overgemaakt op 12 mei 2021. Tevens aanvaardt de verweerder elektronisch alle 1 Beslissing nr. 01/2019 van 15 mei 2019 betreft daarentegen enkel de vrijwaring van de rechten van één welbepaalde klager wiens persoonsgegevens door de verweerder worden verwerkt, aangezien de Geschillenkamer enkel voor die verwerking werd gevat in de klacht. Beslissing ten gronde 141/2021 - 3/26 communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 6. Op 28 mei 2021 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder waarin wordt gevraagd om in hoofdorde vast te stellen dat er geen schending voorligt van de artikelen 5.1 c),

1. d)en f), 5.2, 12, 16, 24, 25, 30.1, 31, 32, 38.3 en 38.6 AVG, en in ondergeschikte orde rekening te houden met de verzachtende omstandigheden bij het opleggen van een sanctie. 7. Op 14 juli 2021 wordt de verweerder ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 30 september 2021. 8. Op 30 september 2021 wordt de verweerder gehoord door de Geschillenkamer en krijgt hij aldus de gelegenheid om zijn argumenten naar voor te brengen. De Geschillenkamer beslist om de zaak in voortzetting te stellen teneinde de verweerder de gelegenheid te bieden om na het verstrijken van de door hemzelf vooropgestelde termijn van 15 november 2021, als zijnde de datum waarop de invoering van diakritische tekens in de namen en de voornamen in haar applicaties zou moeten zijn gerealiseerd, het vernieuwde informaticasysteem te komen toelichten. Een nieuwe hoorzitting zal kort na die datum daartoe worden ingepland. 9. Op 1 oktober 2021 wordt de verweerder ervan in kennis gesteld dat de hoorzitting tot behandeling van de zaak in voortzetting zal plaatsvinden op 22 november 2021. 10. Op 12 oktober 2021 wordt het proces-verbaal van de hoorzitting van 30 september 2021 aan de verweerder voorgelegd in overeenstemming met artikel 54 van het reglement van interne orde van de GBA. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent te laten toevoegen als bijlage bij het proces-verbaal. 11. Op 19 oktober 2021 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad nadat de hoorzitting vastgelegd op 22 november 2021 zal hebben plaatsgevonden. 12. Op 22 november 2021 wordt de verweerder gehoord door de Geschillenkamer en licht de verweerder de realisatie van de invoering van diakritische tekens in de namen en de voornamen in haar applicaties toe. 13. Op 23 november 2021 wordt het proces-verbaal van de hoorzitting van 22 november 2021 aan de verweerder voorgelegd in overeenstemming met artikel 54 van het reglement van interne orde van de GBA. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent te laten toevoegen als bijlage bij het proces-verbaal, zonder dat dit een heropening van de debatten inhoudt. 14. Op 23 november 2021 heeft de Geschillenkamer aan de verweerder het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag Beslissing ten gronde 141/2021 - 4/26 daarvan teneinde de verweerder de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 15. Op 29 november 2021 ontvangt de Geschillenkamer de opmerkingen bij het proces-verbaal van de hoorzitting die plaatsvond op 22 november 2021, dewelke de Geschillenkamer mee opneemt in haar beraad. 16. Op 14 december 2021 ontvangt de Geschillenkamer de reactie van de verweerder op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. De verweerder voert aan dat een aantal verzachtende omstandigheden die uiteengezet werden in de conclusie voor Y België en tijdens de hoorzitting, niet in overweging blijken te zijn genomen door de Geschillenkamer gezien ze niet voorkomen in het sanctieformulier, alsook dat de voorgenomen boete disproportioneel hoog zou zijn in verhouding tot de beslissing ten gronde nr. 18/2020 van 28 april 2020 voor een identieke inbreuk. II. Motivering 17. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het verslag van de Inspectiedienst in het licht van de daaromtrent door de verweerder aangevoerde middelen.
2. a)Beginsel van juistheid (artikel 5.1
3. d)AVG), verantwoordingsplicht (artikel 5.2 AVG), transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene (artikel 12 AVG), recht op rectificatie (artikel 16 AVG), gegevensbescherming door ontwerp en standaardinstellingen (artikel 25 AVG) en medewerkingsplicht (artikel 31 AVG) 18. Het eerste element dat het voorwerp van onderzoek vormt van de Inspectiedienst betreft de beoordeling van de mate waarin de verweerder de nodige aanpassingen heeft verricht om de diakritische tekens in zijn ICT-systemen te implementeren. 19. De Inspectiedienst stelt vast dat de verweerder geen helder en systeemtechnisch beeld kan scheppen qua tijdshorizon voor het implementeren van diakritische tekens in het huidige ICTsysteem (applicaties + mainframe) en mogelijke eerste resultaten die blijk geven van de uitgevoerde inspanningen. Verder stelt de Inspectiedienst ook dat de verweerder blijft steken in de “verkennende fase” van voorstudie en gesprekken zonder concrete doelen en resultaten te willen bereiken. 20. De Inspectiedienst komt tot het besluit dat de verweerder een inbreuk pleegt op de artikelen 5.1 d, 5.2, 12, 16, 25 en 31 AVG omdat de verweerder geen concrete tijdshorizon met concrete resultaten wil of kan voorleggen, en evenmin systeemtechnische wijzigingen wil of kan aantonen die een positieve invloed hebben op de initiële vraag van de betrokkene. De situatie is volgens de Inspectiedienst sinds de beslissing genomen door de Geschillenkamer d.d. 15 mei 2019 – behoudens het uitvoeren van enig voorstudiewerk (feasability) – ongewijzigd en dus niet verbeterd. Beslissing ten gronde 141/2021 - 5/26 21. De Inspectiedienst laat volgende overwegingen daartoe gelden: o De verweerder heeft IT-applicaties en database-systemen (een 150-tal) waaronder het centrale klantensysteem dat een mainframe systeem betreft dat in 1995 in gebruik werd genomen. Dat centrale klantensysteem ondersteunt enkel EBCDIC (“extended binarycoded decimal interchange code”). Hoewel diakritische tekens ondertussen werden toegevoegd aan de EBCDIC tabel heeft de verweerder geen wijzigingen doorgevoerd in het centrale klantensysteem. De verweerder maakt anno 2020 nog steeds gebruik van een informaticasysteem dat dateert van 1995 en blijkt niet in staat het recht op rectificatie uit te voeren. o Aangaande het aantal onderliggende applicaties die interageren met het centrale klantensysteem, dewelke een wijziging behoeven ten gevolge van de invoering van diakritische tekens stelt de Inspectiedienst vast dat de verweerder in het initiële schrijven d.d. 6 november 2019 150 applicaties vermeldt en pas op 2 november 2020 in staat is om een lijst af te leveren die overeenkomt met het precieze aantal zoals vermeld op 6 november 2019, aangevuld met de correcte systeemtechnische benaming en uitfiltering van de dubbeltellingen. De Inspectiedienst merkt daarbij op dat de verweerder vaak antwoordde dat de analyse nog ‘niet afgerond’ was, wat vreemd is gezien het aantal maanden doorlooptijd, het aantal personeelsleden, de financiële middelen en mogelijkheden van de verweerder. o Voor wat betreft de grote en zeer oude systemen waarvoor de verweerder op 6 november 2019 stelt dat voor de aanpassing ervan een doorlooptijd van 18 maanden wordt verwacht, stelt de Inspectiedienst vast dat de verweerder pas op 2 november 2020 een lijst aflevert waarin die systemen worden omschreven en specifiek benoemd. o Door het onderzoek naar het ‘change management’ en het plan van aanpak om over te gaan tot de implementatie van de technische voorstellen poogt de Inspectiedienst zicht te krijgen op de procesmatige ontwikkeling en de wijze waarop implementaties bij de verweerder worden doorgevoerd. De Inspectiedienst stelt vast dat de verweerder op 16 september 2020 aangeeft dat de wijzigingen die moeten worden doorgevoerd met het oog op de invoering van letters met accenten, zal gebeuren volgens het binnen Y leidende principe van AGILE, hetwelk inhoudt dat de verweerder in kleine, overzichtelijke stappen de beperking van letters met accenten zal oplossen. Op 12 oktober 2020 meldt de verweerder initiatieven te hebben genomen om de diakritische tekens op te nemen in het centraal klantsysteem, waarbij een aanpak in 4 fases wordt gevolgd en op dat ogenblik fase 1 en 2 worden verwerkt: 1) analyse van alle systemen en applicaties die mogelijk geraakt worden; Beslissing ten gronde 141/2021 - 6/26 2) aanpassingen van deze systemen in de testomgeving en deze afzonderlijk testen op de verwerking van diakritische tekens; 3) het uitvoeren van keten testen om de samenhang van de applicaties te garanderen; 4) het daadwerkelijk doorvoeren van de wijzigingen Op 2 november 2020 documenteert de verweerder op welke wijze AGILE werd vertaald in zijn organisatie en bezorgt informatie omtrent de feasability study in de vorm van twee schema’s over de testing approach. De Inspectiedienst komt tot de vaststelling dat het vreemd is dat er weinig gestructureerde en overkoepelende informatie aanwezig is om deze aanpassing overkoepelend op te volgen. Behoudens algemene informatie over de AGILE aanpak en de fase van voorstudie, kan de verweerder geen informatie afleveren die eventuele vooruitgang of concrete resultaten aantoont die een positief effect kan hebben op de betrokkene en de uitoefening van zijn rechten. o Ingevolge het onderzoek van het technisch design bevat het inspectieverslag de technische figuren met betrekking tot het architecturaal design waarbij de verweerder telkens aanduidt of, en desgevallend in welke mate wijzigingen impact kunnen hebben op elk van de onderdelen, dit zowel voor het centrale klantensysteem, de ondersteunende en onderliggende technologieën – middleware, de mainframe Z applicaties, de nietmainframe Z applicaties, de niet-mainframe applicaties, als voor de kanalen en front-end applicaties. Artikelen 5.1 d), 12 en 16 AVG 22. De verweerder voert aan dat de artikelen 5.1 d), 12 en 16 AVG worden nageleefd en argumenteert als volgt: - De uitoefening van de rechten van de betrokkene wordt gefaciliteerd overeenkomstig artikel 12 AVG doordat de klanten zelf hun gegevens kunnen aanpassen via de applicaties voor internetbankieren, of deze laten aanpassen door medewerkers in de front-office. Ook het Privacy Statement vermeldt de nodige contactgegevens om het recht tot verbetering uit te oefenen. Daarnaast is er ook een interne leidraad en documentatie van de procedures voor de uitoefening van de rechten van de betrokkenen. Alsook zijn de nodige processen geïmplementeerd om verzoeken tot uitoefening van rechten op adequate wijze te behandelen. - Het recht op rectificatie (artikel 16 AVG) wordt nageleefd bij alle verzoeken tot aanpassing of verbetering. De onmogelijkheid waarin de verweerder zich bevindt om gevolg te geven aan het verzoek tot aanpassing is beperkt tot de verwerking van diakritische tekens in een naam. Beslissing ten gronde 141/2021 - 7/26 - Het doorvoeren van een complex IT-project met aanpassingen aan vele systemen, hetwelk veel tijd en investeringen vergt om te kunnen voldoen aan een absolute minderheid van verzoeken tot verbetering valt volgens de verweerder niet te beschouwen als een redelijke maatregel in de zin van artikel 5.1
4. d)AVG. - De verweerder haalt aan dat het arrest van het Marktenhof d.d. 9 oktober 2019 nog hangende is voor het Hof van Cassatie en in afwachting van de uitspraak niet zonder meer kan worden beweerd dat de artikelen 5.1 d), 12 en 16 AVG niet worden nageleefd omwille van het gebrek aan weergave van diakritische tekens. 23. In de conclusie van de verweerder wordt verklaard dat aanvankelijk was voorzien om de diakritische tekens te implementeren in haar ICT-systemen als onderdeel van het in 2019 reeds lopende ICTproject UNITE binnen de Y Groep, hetwelk erop was gericht om de systemen en applicaties van de Y-entiteiten in België en deze van de Y-entiteiten in Nederland volledig op elkaar af te stemmen, maar het UNITE project te ambitieus bleek waardoor de verweerder in 2020 onder aparte aansturing, dus zonder Y Nederland, de nodige systeemtechnische aanpassingen diende uit te voeren. Op basis van deze verklaring stelt de Geschillenkamer vast dat het voornemen bestond om diakritische tekens op te nemen in de applicaties van de verweerder, maar dat dit geen doorgang heeft gevonden door de loskoppeling van de verweerder binnen het UNITE project. De verweerder stelt thans in de conclusie dat de opname van diakritische tekens in de applicaties veronderstelt dat dit de grens van de redelijkheid overstijgt, terwijl artikel 5.1
5. d)AVG enkel vereist dat de verweerder alle redelijke maatregelen neemt om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren. 24. Op basis van het inspectieverslag stelt de Geschillenkamer vast dat het centrale klantensysteem, dat de kern vormt van de bank doordat daarin de klantdata centraal worden opgeslagen en van daaruit worden opgehaald door aanpalende systemen, een mainframe systeem betreft dat in 1995 in gebruik werd genomen. Hoewel diakritische tekens ondertussen werden toegevoegd aan de EBCDIC tabel werden door de verweerder geen wijzigingen doorgevoerd in het centraal klantsysteem dat EBCDIC ondersteunt. Dit betekent dat de verweerder deze mogelijkheid niet heeft benut om zijn systeem aan te passen. 25. Hoewel de redelijkheid van het doorvoeren van die maatregel door de verweerder wordt betwist, is de Geschillenkamer van oordeel dat het behoort tot het normale verwachtingspatroon van een klant wiens persoonsgegevens worden verwerkt in het kader van zijn financiële relatie met de bank, dat zijn naam juist wordt weergegeven, precies gelet op het belang van juistheid van gegevens bij het verlenen van financiële diensten en verstrekken van financiële producten. De Geschillenkamer verwijst in dit verband ook naar het arrest van het Marktenhof d.d. 9 oktober 2019 waarin het stelt dat van een correct werkende bankinstelling mag worden verwacht dat zij over een computerprogramma beschikt dat beantwoordt aan de huidige normen, waartoe het voornoemde recht op correcte schrijfwijze van de naam behoort . Het Hof voegt daaraan tot dat het recht op Beslissing ten gronde 141/2021 - 8/26 rectificatie een grondrecht is2. Het komt dan ook als redelijk naar voor dat de bank de maatregelen aanwendt die haar ter beschikking staan teneinde de naam van klanten met diakritische tekens te verwerken en aldus het sinds 1995 in gebruik zijnde mainframe systeem aan te passen aan de huidige mogelijkheden. Aangaande het argument van de verweerder dat dergelijke aanpassing niet alleen aan haar centrale klantensysteem, maar ook aan de onderliggende of aanpalende systemen veel tijd en investeringen vergt, dewelke niet als redelijk te beschouwen valt, merkt de Geschillenkamer op dat dit doorgaans eigen is aan elke fundamentele wijziging van informaticasystemen, hetwelk des te meer geldt voor het geval waarin het gaat om oude systemen zoals in voorliggend geval. De noodzaak om tijd te besteden aan en investeringen te doen in aangepaste informaticasystemen teneinde diakritische tekens te kunnen verwerken, is niet – in tegenstelling tot wat de verweerder voorhoudt - beperkt tot een absolute minderheid van verzoeken tot verbetering maar is nodig in het belang van elke klant wiens naam diakritische tekens bevat. Het uitgangspunt dient immers te zijn dat de verweerder, net zoals elke verwerkingsverantwoordelijke, alles in het werk stelt om juiste gegevens te verwerken en geen afwachtende houding aanneemt en dus slechts na een verzoek van een klant tot aanpassing van zijn naam actie onderneemt om die aanpassing te bewerkstelligen. 26. De Geschillenkamer is dan ook van oordeel dat de onmogelijkheid van de verweerder om tot op heden over te gaan tot rectificatie van de naam van klanten die om de weergave van diakritische tekens in hun naam verzoeken, een inbreuk op artikel 5.1
6. d)AVG uitmaakt. Tevens vormt dit ook een inbreuk op artikel 16 AVG, aangezien de verweerder niet in staat is om het recht op rectificatie ten volle te eerbiedigen. De verweerder stelt dat alle verzoeken tot aanpassing of verbetering worden doorgevoerd, behalve het verzoek tot aanpassing van diakritische tekens. Dit brengt de Geschillenkamer tot het besluit dat de verweerder geen gevolg geeft aan elke uitoefening van het recht op rectificatie. Het recht op rectificatie dient echter te worden nageleefd in al zijn facetten. 27. De Geschillenkamer houdt evenwel bij de bepaling van de sanctie op deze inbreuken rekening met de verklaring van de verweerder zich ertoe te verbinden om tegen 15 november 2021 al de nodige aanpassingen te hebben doorgevoerd om de diakritische tekens in de namen en de voornamen te 2 Het arrest van het Marktenhof is opgesteld in de volgende bewoordingen: “[…] Het feit dat het technisch een ‘inspanning’ zou vragen om een computerprogramma te gebruiken dat wel degelijk accenten op hoofdletters plaatst, is niet ernstig en niet relevant. Het thans (anno 2019!) stellen dat het aanpassen van een computerprogramma een aantal maanden werk zou vergen en/of financiële meerkosten voor de bankinstelling zou uitmaken, laat de NV Y BELGIË niet toe om de rechten van de betrokkene te miskennen. De rechten die aan de persoon worden toegekend zijn gelijk te stellen met resultaatsverbintenissen in hoofde van de verwerker van de persoonsgegevens. Van een correct werkende bankinstelling mag verwacht worden dat zij – wanneer zij een computerprogramma gebruikt – zij over een computerprogramma beschikt dat beantwoordt aan de huidige normen, waartoe het voornoemde recht op correcte schijfwijze van de naam behoort. Het recht op rectificatie is een grondrecht. […]” Beslissing ten gronde 141/2021 - 9/26 kunnen weergeven in haar applicaties. Bij deze resultaatsverbintenis worden door de verweerder twee ‘caveats’ gemaakt waarvan de Geschillenkamer akte neemt: 1° Overeenkomstig de wereldwijd geldende industrienorm worden op bankkaarten geen diakritische tekens vermeld. Indien de verweerder dit wel zou doen, zou dit tot problemen kunnen leiden bij het gebruik van de bankkaart, zowel online als offline. Ook voor wat betreft het elektronisch betaalverkeer (SEPA) hebben alle Belgische banken gezamenlijk besloten om zich te beperken tot de standaard tekenset zonder diakritische tekens. 2° De weergave van diakritische tekens op de geprinte uittreksels van kredietkaarten zal pas op een latere datum beschikbaar zijn. Tijdens de hoorzitting van 22 november 2021 maakt de verweerder aan de hand van een presentatie voldoende aannemelijk dat de nodige stappen werden gezet tot verwerking van de diakritische tekens in de namen van de klanten waardoor de Geschillenkamer kan vaststellen dat er op dit punt vooruitgang is. Specifiek voor wat betreft de klager in beslissing 01/2019 van 15 mei 2019 toont de verweerder ook aan dat het diakritisch teken in diens naam wordt verwerkt. 28. Met betrekking tot artikel 12 AVG stelt de Geschillenkamer dat de verweerder op afdoende wijze aantoont dat er sprake is van transparante communicatie ten opzichte van de klanten teneinde hen te informeren over de uitoefening van hun rechten, alsook dat de nodige middelen ter beschikking worden gesteld om die rechten uit te oefenen waardoor de verweerder aldus de uitoefening van die rechten faciliteert. Bovendien blijkt uit het inspectieverslag niet dat de verweerder geen transparante communicatie (artikel 12.1 AVG) zou voeren. Het inspectieverslag toont enkel aan dat het voor de verweerder systeemtechnisch gezien niet mogelijk is om gevolg te geven aan een verzoek tot rectificatie dat betrekking heeft op diakritische tekens, maar dit neemt niet weg dat de verweerder wel degelijk de uitoefening van de rechten van zijn klanten faciliteert (artikel 12.2 AVG) via de applicaties inzake internetbankieren of met de hulp van de front-office medewerkers, doch de verweerder niet in staat is hieraan passend gevolg te geven en onverwijld over te gaan tot rectificatie in zoverre het verzoek betrekking heeft op diakritische tekens (artikel 16 AVG). Hieruit volgt dat er geen inbreuk op artikel 12 AVG kan worden vastgesteld. 29. Aangaande de stelling van de verweerder dat de Geschillenkamer niet zou kunnen overgaan tot het vaststellen van een inbreuk op de artikelen 5.1 d), 12 en 16 AVG wegens gebrek aan weergave van diakritische tekens, omwille van de hangende procedure voor het Hof van Cassatie die door de verweerder werd ingesteld tegen het arrest van het Marktenhof gewezen ingevolge beslissing 01/20193 van de Geschillenkamer, wijst de Geschillenkamer erop dat het cassatieberoep een buitengewoon rechtsmiddel is dat geen schorsende werking heeft. Dit betekent dat het arrest van het Marktenhof, in afwachting van de uitspraak van het Hof van Cassatie, ten volle uitwerking heeft 3 Beslissing 01/2019 van 15 mei 2019 betreffende klacht wegens nalaten gevolg te geven aan verzoek tot verbetering van schrijfwijze van naam Beslissing ten gronde 141/2021 - 10/26 en de Inspectiedienst via het inspectieverslag van 23 maart 2021 de Geschillenkamer kon vatten waardoor de Geschillenkamer thans kan overgaan tot het nemen van de huidige beslissing ten gronde. Artikel 25 AVG 30. De verweerder stelt dat de Inspectiedienst een beweerdelijke inbreuk op artikel 25 AVG vaststelt, maar niet verklaart waaruit deze inbreuk zou bestaan. 31. De Geschillenkamer is van oordeel dat het inspectieverslag duidelijk aantoont dat de verweerder tot op heden voor zijn centrale klantensysteem nog steeds gebruik maakt van een mainframe dat in 1995 in gebruik werd genomen en niettegenstaande de technische mogelijkheid om diakritische tekens daarin op te nemen en te verwerken, ervoor heeft geopteerd om haar systeem niet daarop af te stemmen. Overeenkomstig artikel 25 AVG vereist de stand van de techniek die de verwerking van diakritische tekens toelaat, dat de verweerder de passende technische en organisatorische maatregelen treft met als doel de gegevensbeschermingsbeginselen, waaronder het beginsel van juistheid, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen teneinde de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van de AVG en ter bescherming van de rechten van de betrokkenen. 32. De verweerder haalt aan dat artikel 25 AVG ook als criteria bij het bepalen van de passende maatregelen verwijst naar de uitvoeringskosten, evenals met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden. De verweerder beweert dienaangaande dat er geen enkel risico is voor wat betreft de identificatie van de persoon inzake het concrete gebruik van een bepaalde naam zonder weergave van het specifieke diakritische teken. Bovendien vergt het doorvoeren van een zeer complex IT-project met aanpassingen aan tal van systemen veel tijd en investeringen teneinde te kunnen voldoen aan een absolute minderheid van verzoeken tot verbetering waardoor volgens de verweerder het risico uiterst beperkt is qua ernst en waarschijnlijkheid voor de rechten en vrijheden van natuurlijke personen. 33. De bewering van de verweerder dat er geen risico zou zijn inzake identificatie van de betrokkene bij gebrek aan de verwerking van diakritische tekens, alsook het volgens de verweerder uiterst beperkte risico gelet op het geringe aantal verzoeken tot verbetering inzake diakritische tekens, kan naar het oordeel van de Geschillenkamer niet tot gevolg hebben dat de verweerder volledig in gebreke blijft, zoals in casu, om ook maar enige maatregel door te voeren om te kunnen voldoen aan mogelijke verzoeken tot verbetering. Beslissing ten gronde 141/2021 - 11/26 34. Verder verwijst de verweerder naar de richtsnoeren 4/2019 inzake artikel 25 Gegevensbescherming door ontwerp en door standaardinstellingen waarin aangaande juistheid 4 van de gegevens is opgenomen dat de vereisten gesteld in artikel 5.1
7. d)AVG moeten worden gezien in verhouding tot de risico’s en de gevolgen van het concrete gebruik van de gegevens. Daaruit meent de verweerder te kunnen afleiden dat de maatregel bestaande in de opname van diakritische tekens in zijn systemen niet in verhouding staat tot de risico’s voor de betrokkene. De verweerder gaat evenwel voorbij aan het feit dat de richtsnoeren voor wat betreft de ontwerp- en standaardinstellingselementen inzake juistheid, specifiek voor wat betreft wissing/rectificatie bepaalt dat de verwerkingsverantwoordelijke onjuiste gegevens onverwijld wist of rectificeert. De richtsnoeren bevestigen hiermee wat is bepaald in artikel 5.1
8. d)AVG, namelijk dat elke verwerkingsverantwoordelijke de verplichting heeft om onjuiste gegevens onverwijld te wissen of te rectificeren en het aldus niet toekomt aan het oordeel van de verwerkingsverantwoordelijke om al dan niet in te gaan op een verzoek tot wissing of rectificatie van onjuiste gegevens, ingegeven vanuit financiële overwegingen of risicoanalyse. 35. Doordat de verweerder in gebreke is gebleven om zijn IT-systemen aan te passen teneinde de verwerking van diakritische tekens in de naam van klanten mogelijk te maken indien daartoe een verzoek wordt ingediend, is er sprake van een inbreuk op artikel 25 AVG. Het feit dat de verweerder laat gelden dat inmiddels, namelijk sinds beslissing 01/2019 van 15 mei 20219 en het voorliggende inspectieverslag, reeds tal van inspanningen heeft gedaan om zijn systemen AVGconform te maken voor wat betreft de verwerking van diakritische tekens, vormt ook hier een belangrijk element bij de bepaling van de sanctie op deze inbreuk. Dit kan er evenwel niet toe leiden dat de inbreuk retroactief ongedaan wordt gemaakt. 36. Gelet op de inspanningen die de verweerder inmiddels heeft verricht en de beperkte ernst en risico voor de fundamentele rechten van de getroffen personen, in het licht van overweging 75 van de AVG, besluit de Geschillenkamer om ondanks dat zij inbreuken heeft vastgesteld op de artikelen 5.1.d), 16 en 25 AVG niet over te gaan tot het opleggen van een sanctie voor deze inbreuken. Zij beveelt derhalve op grond van artikel 100, §1, 2° WOG een buitenvervolgingstelling. Artikel 5.2 en 31 AVG 37. In het verslag van de Inspectiedienst komt meermaals naar voor dat de verweerder meerdere brieven nodig had om concrete antwoorden te formuleren op de gestelde vragen, waaruit de Inspectiedienst afleidt dat de verweerder zijn verantwoordings- en medewerkingsplicht niet heeft nageleefd. Ook vindt de Inspectiedienst het vreemd dat er weinig gestructureerde en overkoepelende informatie aanwezig is om de aanpassingen vanuit een overkoepelend zicht op te volgen. Behoudens algemene informatie over de AGILE-aanpak en de voorstudiefase, kan de verweerder volgens de Inspectiedienst geen informatie afleveren die eventuele vooruitgang in het 4 https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_nl.pdf Beslissing ten gronde 141/2021 - 12/26 dossier aantoont of concrete resultaten die een positief effect kunnen hebben op de betrokkene en het uitoefenen van zijn of haar rechten en vrijheden. 38. Op basis van de door de verweerder verstrekte stukken, dient de Geschillenkamer echter vast te stellen dat de verweerder door middel van de nodige documentatie kan aantonen in hoeverre de AVG wordt nageleefd. Niet alleen heeft de verweerder een interne leidraad en documentatie van de procedures voor de uitoefening van de rechten van de betrokkenen ter beschikking gesteld, maar ook specifiek documentatie met betrekking tot het IT-project tot implementatie van de diakritische tekens en de processen die de voortgang van het project aantonen. Op die manier heeft de verweerder gedocumenteerd welke stappen reeds zijn genomen en nog zal nemen. De verklaring van de verweerder voor de tijdsduur die nodig was om in verscheidene fases te antwoorden op de door de Inspectiedienst gestelde vragen, bestaat erin dat nadere analyse was vereist teneinde te determineren welke applicaties een impact kunnen ondervinden van de toevoeging van diakritische tekens en dat dit niet onmiddellijk mogelijk was. De verweerder stelt dat er tijd nodig was om analyses en testen uit te voeren om vervolgens op gecontroleerde wijze de aanpassingen door te voeren zonder de stabiliteit van haar systemen in het gedrang te brengen. Dienaangaande stelt de Geschillenkamer op basis van de stukken vast dat de verweerder op afdoende wijze documentatie heeft bijgebracht die onmiskenbaar de vooruitgang in het dossier en concrete resultaten aantoont, zodat er geen inbreuk op artikel 5.2 AVG kan worden vastgesteld. 39. De Geschillenkamer heeft ook de vaststellingen van de Inspectiedienst in het licht van de medewerkingsplicht van de verweerder beoordeeld en stelt vast dat de Inspectiedienst onvoldoende heeft aangetoond dat de verweerder door middel van antwoordbrieven niet heeft getracht om uitgebreid en omstandig te antwoorden op de gestelde vragen. Daarenboven verklaarde de verweerder zich meermaals bereid om in aanvulling daarop in overleg te treden, waardoor niet kan worden vastgesteld dat hij niet is tegemoet gekomen aan de verplichting tot medewerking met de toezichthoudende autoriteit. 40. De Geschillenkamer oordeelt dan ook dat er geen inbreuk op artikel 31 AVG kan worden vastgesteld. Dit oordeel is gebaseerd op feitelijke vaststellingen, waardoor het niet nodig is in deze zaak een principieel oordeel te geven over de omvang van de medewerkingsplicht.
9. b)Beginsel van minimale gegevensverwerking (artikel 5.1
10. c)AVG), integriteit en vertrouwelijkheid (artikel 5.1
11. f)AVG), verantwoordingsplicht (artikel 5.2 AVG), verantwoordelijkheid van de verwerkingsverantwoordelijke (artikel 24 AVG), gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) en beveiliging van de verwerking (artikel 32 AVG) 41. De Inspectiedienst stelt vast dat de verweerder de familienaam van de klager5 gebruikt in 5 De Inspectiedienst verwijst naar de klager in beslissing nr. 01/2019 van 15 mei 2019 Beslissing ten gronde 141/2021 - 13/26 - interne nota’s voor en presentaties van het “Data Council” - e-mailverkeer en ICT testen die betrekking heeft op het ICT programma in verband met het gebruik van de diakritische tekens. 42. De Inspectiedienst komt tot het besluit dat deze verwerkingsactiviteit door de verweerder een schending is van de artikelen 5.1
12. c)en f), 5.2, 24, 25 en 32 AVG, hetwelk is gebaseerd op de overweging dat het gebruik van de familienaam van de klager niet noodzakelijk is voor het doeleinde waarvoor ze wordt verwerkt en dus kan worden vermeden. De naam voor het project of de case een andere naam kon dragen en de familienaam van de klager geen meerwaarde heeft. Er zijn volgens de Inspectiedienst diverse woorden in andere talen met diakritische tekens die hiervoor kunnen worden gebruikt, het gebruik van de familienaam van de klager kan stigmatiserend zijn en door verspreiding ervan over haar organisatie heeft de verweerder hierover geen controle. Het inspectieverslag besluit dat de familienaam gebruiken als “testpersoon” of als “case” niet in verhouding staat tot - het toepassen van de basisbeginselen “minimale gegevensverwerking” en “integriteit en vertrouwelijkheid”; - de te nemen passende technische of organisatorische maatregelen; - het garanderen van de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van haar verwerkingssystemen en diensten; - de contractuele (bancaire) discretieplicht of het discreet verwerken van de persoonsgegevens als bank ten aanzien van de klant. 43. De Geschillenkamer stelt dat de familienaam van de klager in beslissing nr. 01/2019 van 15 mei 2019 wel degelijk een persoonsgegeven vormt in de zin van artikel 4.1) AVG, vermits de klager identificeerbaar is aan de hand van de door de Geschillenkamer genomen beslissing nr. 01/2019 en het arrest van het Marktenhof d.d. 9 oktober 2019, waarin de verweerder telkens partij was en de identiteit van de klager hem aldus bekend was. Dit brengt met zich mee dat de klager aan de hand van enkel en alleen zijn familienaam direct kan worden geïdentificeerd binnen de organisatie van de verweerder, vermits zij beiden partij waren in het geschil. Volgens de Geschillenkamer is het gebruik van de familienaam als projectnaam te beschouwen als een verwerking die is gebaseerd op het gerechtvaardigd belang van de verweerder (artikel 6.1
13. f)AVG). 44. Overeenkomstig artikel 6.1
14. f)AVG en de rechtspraak van het Hof van Justitie van de Europese Unie (hierna “het Hof”) dient aan drie cumulatieve voorwaarden te zijn voldaan opdat een verwerkingsverantwoordelijke, zijnde de verweerder, zich rechtsgeldig kan beroepen op deze rechtmatigheidsgrond, “te weten, in de eerste plaats, de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(
15. n)aan wie de gegevens Beslissing ten gronde 141/2021 - 14/26 worden verstrekt, in de tweede plaats, de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, in de derde plaats, de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren” (arrest “Rigas”6). 45. Teneinde zich conform artikel 6.1
16. f)AVG te kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, dient de verwerkingsverantwoordelijke met andere woorden aan te tonen dat: - de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); - de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”); en - de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”). 46. Wat betreft de eerste voorwaarde (de zogenaamde “doeltoets”), is de Geschillenkamer van oordeel dat het doeleinde dat erin bestaat uitvoering te geven aan zowel de hiervoor vermelde beslissing van de Geschillenkamer, als het arrest van het Marktenhof 7, kan worden aangemerkt met oog op een gerechtvaardigd belang. Het belang dat de verweerder als verwerkingsverantwoordelijke nastreefde kan overeenkomstig overweging 47 AVG op zich als gerechtvaardigd worden beschouwd. Er wordt bijgevolg voldaan aan de eerste voorwaarde vervat in artikel 6.1
17. f)AVG. 47. Teneinde te voldoen aan de tweede voorwaarde, dient te worden aangetoond dat de verwerking noodzakelijk is voor de verwezenlijking van de nagestreefde doeleinden. Dit betekent meer bepaald dat de vraag dient te worden gesteld of met andere middelen hetzelfde resultaat kan worden bereikt zonder verwerking van persoonsgegevens of zonder een onnodig ingrijpende verwerking voor de betrokkene. 48. Aangezien de verweerder telkens partij was in de procedure voor de Geschillenkamer en het Marktenhof was de identiteit van de klager aldus reeds bekend binnen een beperkte kring van personen binnen de organisatie van de verweerder. 49. Bovendien verklaart de verweerder dat de familienaam gebruikt werd in louter interne en vertrouwelijke documenten binnen de Data Council bestaande uit slechts 7 leden, en in enkele emails beperkt tot de strikt noodzakelijke personen betrokken bij het project. Uit geen enkel stuk 6 HvJEU, 4 mei 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde tegen Rīgas pašvaldības SIA „Rīgas satiksme”, overweging 28. Zie ook HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 40. 7 Zie in dezelfde zin Beslissing ten gronde 35/2020 van 30 juni 2020, randnr. 28. Beslissing ten gronde 141/2021 - 15/26 blijkt dat de verwerking van de familienaam van de klager onnodig ingrijpend zou zijn geweest voor de betrokkene. Aldus oordeelt de Geschillenkamer dat de verweerder de familienaam van de betrokkene niet heeft verwerkt met miskenning van het beginsel van minimale gegevensverwerking, zodat is voldaan aan de tweede voorwaarde. 50. Teneinde na te gaan of aan de derde voorwaarde van artikel 6.1
18. f)AVG - de zogenaamde “afwegingstoets” tussen de belangen van de verwerkingsverantwoordelijke, enerzijds, en de fundamentele vrijheden en grondrechten van betrokkene, anderzijds - kan worden voldaan, dient overeenkomstig overweging 47 AVG rekening te worden gehouden met de redelijke verwachtingen van de betrokkene. Er dient meer bepaald te worden geëvalueerd of “betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden” 8. 51. Dit wordt eveneens benadrukt door het Hof in zijn arrest “TK t/ Asociaţia de Proprietari bloc M5AScaraA” van 11 december 20199, waarin het stelt: “Ook relevant voor deze afweging zijn de redelijke verwachtingen van de betrokkene dat zijn of haar persoonsgegevens niet zullen worden verwerkt wanneer, in de gegeven omstandigheden van het geval, de betrokkene redelijkerwijs geen verdere verwerking van de gegevens kan verwachten”. 52. Uit zowel de beslissing nr. 01/2019 genomen door de Geschillenkamer op 15 mei 2019, als het arrest van het Marktenhof d.d. 9 oktober 2019 vloeit voort dat de verweerder zijn applicaties diende aan te passen, minstens voor wat betreft de verwerking van diakritische tekens in de familienaam van de betrokkene. Dit brengt noodzakelijkerwijs met zich mee dat de betrokkene zich er redelijkerwijs aan kon verwachten10 dat zijn familienaam zou worden gebruikt binnen de organisatie van de verweerder teneinde tegemoet te komen aan de vereisten gesteld in voormelde beslissing van de Geschillenkamer, alsook in deze van het Marktenhof. 8 Overweging 47 AVG. 9 HvJEU, 11 december 2019, C-708/18, TK t/ Asociaţia de Proprietari bloc M5A-ScaraA, overweging 58. 10 Overweging 47 AVG. De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. Aangezien het aan de wetgever staat om de rechtsgrond voor persoonsgegevensverwerking door overheidsinstanties te creëren, mag die rechtsgrond niet van toepassing zijn op de verwerking door overheidsinstanties in het kader van de uitvoering van hun taken. De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. (eigen onderlijning) Beslissing ten gronde 141/2021 - 16/26 53. Het geheel van de hiervoor vermelde elementen brengt de Geschillenkamer tot het besluit dat de verweerder de familienaam van de betrokkene binnen haar organisatie heeft rechtmatig heeft verwerkt op grond van artikel 6.1
19. f)AVG en er geen elementen worden aangebracht waaruit blijkt dat de verweerder zou hebben gehandeld in strijd met de vereisten van de AVG, zodat er dan ook in hoofde van de verweerder geen inbreuk op de artikelen 5.1
20. c)en f), 5.2, 24, 25 en 32 AVG werd gepleegd.
21. c)Positie van de functionaris voor gegevensbescherming (artikel 38.3 en 38.6 AVG) 54. Het verslag van de Inspectiedienst stelt omtrent de positie van de functionaris voor gegevensbescherming vast dat er een belangenconflict is in zijnen hoofde, alsook dat deze niet rechtstreeks rapporteert aan het hoogst leidinggevende orgaan. 55. In het verweer wordt aangaande de vereiste tot rechtstreekse rapportering aan het hoogste leidinggevende niveau (artikel 38.3 AVG) beklemtoond dat de functionaris voor gegevensbescherming rapporteert aan het Executive Committee, ook Directiecomité genoemd, en dit via de Chief Risk Officer (CRO) die zelf zetelt in het Executive Committee, zijnde het hoogste orgaan. De verweerder beklemtoont dat de rapporteringslijn wel degelijk rechtstreeks gaat van de functionaris voor gegevensbescherming naar het Executive Committee. Rapportering aan een orgaan kan enkel via een natuurlijke persoon, zijnde in casu de CRO die dient als toegangspunt tot dat orgaan. De verweerder verantwoordt deze keuze voor de CRO doordat hij het lid is van het Executive Committee dat de bevoorrechte gesprekspartner is van het Risk Committee dat kennis neemt van alle belangrijke privacy-gerelateerde problemen. 56. De functionaris voor gegevensbescherming is zelf een vast lid van de Data council, hetwelk een gedelegeerd subcomité en verlengstuk is van het Executive Committee waarbij de beslissingen van de Data Council bindend zijn voor het Executive Committee. De verweerder onderstreept dat het zetelen van de functionaris voor gegevensbescherming in de Data Council een vorm van rapportering uitmaakt aan het hoogste niveau. 57. De verweerder voegt ook nog toe dat het Executive Committee een collegiaal orgaan is, waarbij de CEO één stem heeft in het beslissingsproces, net als alle andere leden ervan. De verweerder benadrukt tijdens de hoorzitting dat de DPO niet hoeft te rapporteren aan het hoogste individu, namelijk de CEO, binnen het hoogste orgaan, maar dat rapportering aan het hoogste orgaan voldoende is.. Bovendien zijn alle andere leden van het Executive Committee, waaronder ook de CEO, verantwoordelijk voor departementen die data verwerken. Hieruit volgt volgens de verweerder dat niet kan worden beweerd dat een bepaald lid van het Executive Committee neutraler zou zijn dan de andere leden. 58. Op basis van de stukken die de door de verweerder verstrekte toelichting staven, oordeelt de Geschillenkamer dat er geen inbreuk op artikel 38.3 AVG kan worden vastgesteld. Beslissing ten gronde 141/2021 - 17/26 59. Voor wat betreft de vaststelling van de Inspectiedienst dat er in hoofde van de functionaris voor gegevensbescherming een belangenconflict (artikel 38.6 AVG) is doordat hij eveneens diensthoofd is van de diensten Operational Risk Management (ORM), Information Risk Management (IRM) en Special Investigation Unit (SIU), voert de verweerder aan dat het hoofd van deze diensten geen beslissingsbevoegdheid heeft op het niveau van de doeleinden en middelen van operationele verwerkingen van persoonsgegevens, maar een louter adviserende en controlerende bevoegdheid. 60. De Geschillenkamer onderzocht tijdens de hoorzitting de impact die de functionaris voor gegevensbescherming heeft op de besluitvorming uit hoofde van zijn andere functies. 61. De Geschillenkamer stelt vast dat de verweerder in zijn conclusie de louter adviserende en controlerende bevoegdheid van elk van de drie diensten, namelijk Operational Risk Management, Information Risk Management en Special Investigation Unit, beklemtoont. De verweerder meent hierdoor te kunnen stellen dat de functionaris voor gegevensbescherming geen taken (ook via zijn functies in elk van de betreffende diensten) heeft waardoor hij beslissingen zou kunnen nemen over het doel en de middelen van enige verwerking van persoonsgegevens. 62. De Geschillenkamer is van oordeel dat daarmee niet is aangetoond dat de functionaris voor gegevensbescherming die ook diensthoofd is van elk van deze diensten en daarin dus een verantwoordelijke positie bekleedt, geen taken zou uitvoeren die onverenigbaar zijn met zijn positie als functionaris voor gegevensbescherming. 63. De Geschillenkamer merkt in dit kader op dat de adviserende en controlerende rol van de departementen als dusdanig niet betekent dat ze niet het doel en middelen van gegevensverwerkingen zouden bepalen. 64. De Geschillenkamer dient te beoordelen hoe en in welke mate de onafhankelijkheid van de functionaris voor gegevensbescherming ten aanzien van elk van deze drie departementen – waarvan hij diensthoofd is – wordt verzekerd. 65. De verweerder duidt aldus zelf eenzelfde fysieke persoon aan als verantwoordelijke voor elk van de drie departementen én als functionaris voor gegevensbescherming. Deze verantwoordelijkheid voor elk van deze drie departementen houdt onmiskenbaar in dat die persoon in die hoedanigheid de doelstellingen van en de middelen voor de verwerking van persoonsgegevens binnen deze drie departementen bepaalt en dus verantwoordelijk is voor de gegevensverwerkingsprocessen die vallen onder het domein Operational Risk Management, Information Risk Management en Special Investigation Unit zoals werd vastgesteld in het inspectieverslag. Beslissing ten gronde 141/2021 - 18/26 66. De Richtlijnen van de Groep 29 voor functionarissen voor gegevensbescherming 11 leggen uit dat de functionaris voor gegevensbescherming binnen de organisatie geen functie kan bekleden waarbij hij of zij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen. Dit is aldus een wezenlijk belangenconflict. De rol van verantwoordelijke van een dienst valt aldus niet te rijmen met de functie van functionaris voor gegevensbescherming die zijn taken onafhankelijk moet kunnen uitvoeren. Door het cumuleren in hoofde van eenzelfde fysieke persoon van de functie van verantwoordelijke voor elk van de drie betreffende diensten afzonderlijk enerzijds en de functie van functionaris voor gegevensbescherming anderzijds, ontbreekt voor elk van deze drie diensten enig mogelijk onafhankelijk toezicht vanwege de functionaris voor gegevensbescherming. Bovendien kan het cumuleren van deze functies ertoe leiden dat de geheimhouding en vertrouwelijkheid jegens personeelsleden overeenkomstig artikel 38.5 AVG in onvoldoende mate kan worden gegarandeerd. 67. De verweerder tracht het bestaan van een belangenconflict in hoofde van de functionaris voor gegevensbescherming te weerleggen door te stellen dat de diensten IRM, ORM en SIU deel uitmaken van de tweedelijnsfunctie die enkel toezichts- en controlefuncties omvatten. Het hoofd van deze diensten, tevens functionaris voor gegevensbescherming, heeft volgens de verweerder geen beslissingsbevoegdheid op het niveau van de doeleinden en de middelen van operationele verwerkingen van persoonsgegevens, maar een louter adviserende en controlerende bevoegdheid. De verweerder meent voor deze argumentatie ondersteuning te vinden in beslissing ten gronde 56/2021 van 26 april 2021. 68. Zoals ook reeds is bepaald in de Richtlijnen van de Groep 29 voor functionarissen voor gegevensbescherming12, is de Geschillenkamer van oordeel dat de beoordeling van enig Krachtens artikel 38, lid 6, kunnen functionarissen voor gegevensbescherming "andere taken en plichten vervullen". Daartoe moet de organisatie er echter voor zorgen dat "deze taken of plichten niet tot een belangenconflict leiden". 11 Het uitblijven van een belangenconflict hangt nauw samen met de vereiste om autonoom te handelen. Hoewel functionarissen voor gegevensbescherming andere functies kunnen bekleden, kunnen hen alleen andere taken en plichten worden toevertrouwd als deze geen aanleiding geven tot enig belangenconflict. Dit houdt met name in dat de functionaris voor gegevensbescherming binnen de organisatie geen functie kan bekleden waarbij hij of zij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen. Gezien de specifieke organisatiestructuur van elke organisatie moet dit geval per geval worden beoordeeld. Als vuistregel worden binnen de organisatie als functies met een belangenconflict beschouwd: functies in het hogere management (bv. Chief Executive, Chief Operating, Chief Financial, Chief Medical Officer, hoofd van de marketingafdeling, hoofd van Human Resources of hoofd van de IT-afdeling), maar ook lagere functies binnen de organisatiestructuur als deze personen de doelstellingen van en middelen voor de verwerking van gegevens moeten bepalen. Daarenboven kan een belangenconflict zich bijvoorbeeld ook voordoen wanneer aan een externe functionaris voor gegevensbescherming wordt gevraagd om de verwerkingsverantwoordelijke of de verwerker te vertegenwoordigen in de rechtbank bij rechtszaken over problemen met de gegevensbescherming. Afhankelijk van de activiteiten, de grootte en de structuur van de organisatie kan het voor verwerkingsverantwoordelijken of verwerkers een goede praktijk zijn om:•de posities te identificeren die incompatibel kunnen zijn met de functie van functionaris voor gegevensbescherming;•interne regels daartoe op te stellen om belangenconflicten te vermijden;•een meer algemene uitleg over belangenconflicten op te nemen;•te verklaren dat hun functionaris voor gegevensbescherming geen belangenconflict heeft in zijn functie als functionaris voor gegevensbescherming, als een manier om anderen voor deze vereiste te sensibiliseren;•in het huisreglement van de organisatie waarborgen op te nemen en ervoor te zorgen dat de vacature voor de positie van functionaris voor gegevensbescherming of de dienstverleningsovereenkomst voldoende gepreciseerd en gedetailleerd is om belangenconflicten te vermijden. In dit verband moeten we rekening houden met het feit dat belangenconflicten diverse vormen kunnen aannemen, afhankelijk van het feit of de functionaris voor gegevensbescherming intern of extern is gerekruteerd. WP243Rev01, para 3.5, onderstreping door Geschillenkamer. Deze richtlijnen zijn bekrachtigd door het Europees Comité voor de Gegevensbescherming (EDPB). 12 Zie hierboven, voetnoot 11. Beslissing ten gronde 141/2021 - 19/26 belangenconflict geval per geval dient te gebeuren gelet op de specifieke organisatiestructuur van elke organisatie. Aldus beoordeelt de Geschillenkamer in concreto. 69. Hoewel de verweerder volhoudt dat de drie betreffende diensten behoren tot de tweedelijnsfunctie waardoor deze diensten zelf geen verwerkingen introduceren, maar enkel toezicht uitoefenen, kaders opstellen en controles uitvoeren, peilt de Geschillenkamer tijdens de hoorzitting naar de verhouding tussen de tweedelijns- en eerstelijnsfunctie teneinde te vernemen of de tweedelijnsfunctie haar adviserende en controlerende taak kan vervullen zonder het doel en de middelen te bepalen van eventueel eigen verwerkingen en de verwerkingen door de eerstelijnsfunctie. Concreet wordt tijdens de hoorzitting door de Geschillenkamer vastgesteld dat wanneer de tweedelijnsfunctie haar controlerende en toezichthoudende bevoegdheden moet uitoefenen, zij daartoe ook informatie nodig heeft van de eerstelijnsfunctie. Dit blijkt ook uit het register van verwerkingsactiviteiten waarin een omvangrijk aantal categorieën van persoonsgegevens wordt opgesomd die worden verwerkt door de tweedelijnsfunctie. Hieruit blijkt volgens de Geschillenkamer duidelijk dat er persoonsgegevens worden verwerkt door de tweedelijnsfunctie waarvoor deze het doel en de middelen bepaalt. 70. De reactie van de verweerder hierop is dat het kennis nemen van, zijnde het lezen, van persoonsgegevens niet voldoende is om als een verwerking van persoonsgegevens te bestempelen. De verweerder maakt hierbij de vergelijking met een werknemer die bij de uitoefening van zijn/haar job persoonsgegevens raadpleegt, maar niet zelf optreedt als afzonderlijke verwerkingsverantwoordelijke voor de verwerking. Een andere interpretatie volgen zou er volgens de verweerder toe leiden dat elke werknemer als afzonderlijke verwerkingsverantwoordelijke beschouwd moet worden. 71. Aangaande de in het verwerkingsregister aangeduide categorieën van persoonsgegevens verwerkt door de tweedelijnsfunctie, stelt de verweerder dat deze zijn opgesomd uit ‘voorzichtigheid’, omdat de tweedelijnsfunctie kennis kan krijgen van die persoonsgegevens in functie van de uitoefening van zijn taken. Opnieuw voegt de verweerder hieraan toe dat de tweedelijnsfunctie niet de verantwoordelijkheid heeft voor de verwerking van persoonsgegevens, maar enkel door de uitoefening van hun controlebevoegdheid kennis kunnen krijgen van bepaalde categorieën van persoonsgegevens en de tweedelijnsfunctie nooit zal kunnen bepalen hoe persoonsgegevens binnen de bank ingevuld en verwerkt zullen worden. 72. De Geschillenkamer merkt op dat het raadplegen van persoonsgegevens wel degelijk een verwerking uitmaakt in de zin van artikel 4, 2) AVG. Hierbij dient te worden aangestipt dat het verwerken van persoonsgegevens niet tot gevolg heeft dat diegene die de verwerking uitvoert, zoals bijvoorbeeld een werknemer, als afzonderlijke verwerkingsverantwoordelijke dient te worden bestempeld. De verwerkingsverantwoordelijke is diegene die het doel en de middelen van de verwerking bepaalt in de zin van artikel 4, 7) AVG. De tweedelijnsfunctie bepaalt – als entiteit binnen Beslissing ten gronde 141/2021 - 20/26 de verwerkingsverantwoordelijke – mee het doel en de middelen voor wat betreft de persoonsgegevens die de eerstelijnsfunctie aan haar dient te verstrekken – en bepaalt aldus in die zin mee het doel en de middelen van de verwerkingen van de eerstelijnsdienst –, opdat de tweedelijnsfunctie haar eigen controlerende en adviserende taak zou kunnen vervullen. Dit blijkt ontegensprekelijk uit het verwerkingsregister. Hieruit volgt dat de functionaris voor gegevensbescherming die eveneens de functie bekleedt van diensthoofd van de diensten ORM/IRM/SIU, het doel en de middelen bepaalt van de gegevensverwerkingen door de eerstelijnsfunctie in de mate dat die informatie nodig is voor de taken waarmee de tweedelijnsfunctie is belast en hij vervolgens ook het doel en de middelen bepaalt van de gegevensverwerkingen die de tweedelijnsfunctie doet. 73. Dit brengt de Geschillenkamer tot het besluit dat de combinatie van de hoedanigheid van functionaris voor gegevensbescherming met de functie als diensthoofd van de drie diensten ORM/IRM/SIU niet houdbaar is zonder belangenconflict in hoofde van de functionaris voor gegevensbescherming. De Geschillenkamer is bijgevolg van oordeel dat de inbreuk op artikel 38.6 AVG is bewezen. 74. Het is belangrijk dat de functionaris voor gegevensbescherming zijn taken en plichten kan vervullen met respect voor de positie zoals artikel 38 AVG die aan hem heeft toebedeeld, inzonderheid dat hij kan optreden zonder dat er sprake is van een belangenconflict. De Geschillenkamer draagt de verweerder dan ook op om de verwerking op dit punt in overeenstemming te brengen met artikel 38.6 AVG en er aldus voor te zorgen dat deze taken of plichten niet tot een belangenconflict leiden. 75. Rekening houdend met het feit dat de AVG een sleutelrol heeft toebedeeld aan de functionaris voor gegevensbescherming door hem een informerende en adviserende taak te geven ten aanzien van de verwerkingsverantwoordelijke omtrent alle aangelegenheden die verband houden met de bescherming van persoonsgegevens, waaronder de melding van gegevensinbreuken, gaat de Geschillenkamer eveneens over tot het opleggen van een administratieve geldboete. 76. Naast de corrigerende maatregel om de verwerking in overeenstemming te brengen met artikel 38.6 AVG, beslist de Geschillenkamer ook tot het opleggen van een administratieve geldboete die er niet toe strekt om een gemaakte overtreding te beëindigen, maar wel met het oog op een krachtige handhaving van de regels van de AVG. Zoals blijkt uit Overweging 148, verlangt de AVG dat bij serieuze inbreuken straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen die worden opgelegd. 13 De Geschillenkamer doet dit in toepassing van 13 Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij Beslissing ten gronde 141/2021 - 21/26 artikel 58.2
22. i)AVG. Het instrument van administratieve boete heeft dus geenszins tot doel inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, §1, 8° en 9° WOG. 77. Allereerst wordt de aard en de ernst van de inbreuk door de Geschillenkamer in aanmerking genomen om het opleggen van deze sanctie en de hoogte ervan te rechtvaardigen. 78. Hierbij stelt de Geschillenkamer vast dat ofschoon er geen element is waaruit blijkt dat er sprake is van een opzettelijke inbreuk, er sprake is van ernstige nalatigheid in hoofde van de verweerder. Hoewel de functionaris voor gegevensbescherming een functie is die in de AVG voor het eerst verplicht op Europees niveau werd voorgeschreven, is het concept van een functionaris voor de gegevensbescherming niet nieuw en bestaat reeds lang in veel lidstaten en in veel organisaties. 14 79. Bovendien heeft de Groep 29 reeds op 13 december 2016 richtlijnen vastgesteld voor deze functionarissen. Deze richtsnoeren werden na een wijde publieke consultatie op 5 april 2017 herzien. Zoals blijkt uit het hieronder gestelde zijn deze richtsnoeren duidelijk omtrent de mate waarin de functionaris voor gegevensbescherming ook andere functies kan vervullen binnen de onderneming, rekening houdend met de organisatiestructuur eigen aan elke organisatie en geval per geval dient te worden beoordeeld. 80. Kortom, naar het oordeel van de Geschillenkamer bestaat er geen twijfel dat het cumuleren van de functie van functionaris voor gegevensverwerking met een functie als hoofd van een departement (waar ook persoonsgegevens worden verwerkt) waarop de functionaris voor gegevensverwerking toezicht moet uitoefenen, niet kan gebeuren op een onafhankelijke wijze. 81. Van een organisatie als verweerder mag worden verwacht dat het zich op zorgvuldige wijze op de invoering van de AVG voorbereidt en reeds vanaf het tijdstip van de inwerkingtreding van de AVG, overeenkomstig art. 99 AVG in mei 2016. De verwerking van persoonsgegevens is immers een kernactiviteit van verweerder, die bovendien op zeer grote schaal persoonsgegevens verwerkt. 82. Ook de duur van de inbreuk wordt in beschouwing genomen. De functionaris voor gegevensbescherming is gecreëerd in de AVG die van toepassing is sinds 25 mei 2018, zodat de inbreuk op artikel 38.6 AVG reeds vanaf die datum vaststaat. In ieder geval duurde de overtreding tot op de datum van indiensttreding van de voltijds aangestelde functionaris voor gegevensbescherming, i.e. 1 juli 2021. 83. Tot slot verwerkt de verweerder persoonsgegevens van een ontzettend groot aantal mensen. Ondoeltreffende waarborgen voor de bescherming van persoonsgegevens, meer bepaald door de aanwijzing van een functionaris voor gegevensbescherming die niet voldoet aan de vereiste van een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. 14 Zie onder meer WP243Rev01, para 1. Beslissing ten gronde 141/2021 - 22/26 onafhankelijkheid en dus niet vrij van enig belangenconflict kan optreden, hebben dus een potentiële impact op een enorm aantal betrokkenen. 84. Het geheel van de hierboven uiteengezette elementen rechtvaardigt een doeltreffende, evenredige en afschrikkende sanctie als bedoeld in artikel 83 AVG, rekening houdend met de daarin bepaalde beoordelingscriteria, ter hoogte van een bedrag van 75.000 EUR. De Geschillenkamer wijst erop dat de andere criteria van artikel 83.2. AVG in dit geval niet van aard zijn dat zij leiden tot een andere administratieve geldboete dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld. 85. De verzachtende omstandigheden waarnaar de verweerder verwijst in zijn reactie op het voornemen van de Geschillenkamer tot het opleggen van een administratieve geldboete, namelijk de afwezigheid van schade voor de betrokkenen (artikel 83.2
23. a)AVG ); de genomen maatregelen om potentiële belangenconflicten tijdig te detecteren en te voorkomen, met name door het implementeren van geschikte policies en mechanismes zoals beschreven in de conclusie (artikel 83.2,
24. c)AVG); de afwezigheid van eerdere relevante inbreuken (artikel 83.2
25. e)AVG), alsook het te goeder trouw samenwerken met de GBA (artikel 83.2
26. f)AVG), worden door de Geschillenkamer mee in overweging genomen bij het bepalen van het bedrag van de administratieve geldboete. 86. Om concreet het bezwaar van de verweerder te beantwoorden stelt de Geschillenkamer dat er weliswaar niet werd vastgesteld dat er sprake zou zijn van schade in hoofde van de betrokkenen, maar de afwezigheid van enige schade werd evenmin aangetoond, noch werden eerdere inbreuken vastgesteld. Deze vaststelling leidt ertoe dat de Geschillenkamer het initieel vooropgestelde bedrag van de administratieve geldboete, zijnde 100.000 EUR, heeft verlaagd tot 75.000 EUR. 87. Voor wat betreft de implementatie van policies en mechanismes om belangenconflicten te vermijden, merkt de Geschillenkamer op dat deze laattijdig zijn genomen, d.w.z. ruim na de inwerkingtreding15, alsook het van toepassing16 worden van de AVG. De ‘Conflicts of Interest Policy’ dateert van 20 januari 2020 en de specifieke DPO-policy werd geïmplementeerd op 12 oktober 2020 naar aanleiding van de beslissing ten gronde nr. 18/2020 van 28 april 2020, zoals in de conclusie wordt vermeld, een voltijdse functionaris voor de gegevensbescherming werd pas aangesteld op 1 juli 2021. Dit betekent dat de verweerder weliswaar heeft samengewerkt met de GBA om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken, maar dit vond plaats geruime tijd na de inwerkingtreding en het van toepassing worden van de AVG, hetwelk impact heeft op de duur van de inbreuk (zie hoger randnr. 82). 15 Ingevolge artikel 99.1 AVG is de AVG in werking getreden op 25 mei 2016. 16 Artikel 99.2 AVG bepaalt dat de AVG van toepassing is met ingang van 25 mei 2018. Beslissing ten gronde 141/2021 - 23/26 88. Aangaande het bedrag van de boete werpt de verweerder op dat de boete hoger is dan deze opgelegd voor een identieke inbreuk in beslissing ten gronde nr. 18/2020 van 28 april 2020, terwijl de verweerder beweert dat zijn geconsolideerde omzet lager is, hij al maatregelen nam om tegemoet te komen aan de bezorgdheden van de GBA en een kleinere marktpositie heeft. 89. De Geschillenkamer stelt dat het maximumbedrag van de administratieve geldboete voor een inbreuk op artikel 38 AVG wordt bepaald in artikel 83.4 AVG 17. Het bedrag van de boete opgelegd in deze beslissing ligt gevoelig lager dan het maximumbedrag vastgelegd in artikel 83.4 AVG, gelet op het feit dat de Geschillenkamer alle relevante criteria opgenomen in artikel 83.2 AVG in rekening heeft gebracht. Bovendien beoordeelt de Geschillenkamer de concrete elementen van elk dossier afzonderlijk teneinde een passende sanctie op te leggen 18. De verwijzing door de verweerder naar beslissing ten gronde nr. 18/2020 van 28 april 2020 betreft dezelfde inbreuk, namelijk het bestaan van een belangenconflict in hoofde van de functionaris voor gegevensbescherming (artikel 38.6 AVG), maar voor het overige dient de Geschillenkamer alle feitelijke elementen in acht te nemen die eigen zijn aan elk dossier afzonderlijk, waarbij in voorliggend dossier de duur van de inbreuk een belangrijk element vormt, hetwelk verantwoordt dat in voorliggend geval een boete wordt opgelegd van 75.000 EUR, waarbij de Geschillenkamer zich baseert op de geconsolideerde jaarrekening van de verweerder.
27. d)Register van verwerkingsactiviteiten (artikel 30 AVG) 90. De Inspectiedienst doet aangaande het register van verwerkingsactiviteiten volgende vaststellingen, zoals hierna samengevat: - het register van de verwerkingsactiviteiten van de diensten ORM/IRM/SIU19 is onvolledig; - het register van de verwerkingsactiviteiten bevat slechts drie verwerkingsactiviteiten, namelijk voor elk van de diensten één verwerkingsactiviteit. Dit vindt de Inspectiedienst vreemd, aangezien er in elk van de drie diensten verschillende verwerkingsactiviteiten binnen de tweedelijnsfunctie zijn waardoor het eerder abnormaal is om deze verwerkingsactiviteiten samen te brengen tot één verwerkingsactiviteit; 17 Artikel 83.4 AVG. Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is:
28. a)de verplichtingen van de verwerkingsverantwoordelijke en de verwerker overeenkomstig de artikelen 8, 11, 25 tot en met 39, en 42 en 43; […] 18 Zie in dat verband het arrest van het Marktenhof d.d. 7 juli 2021, rolnummer 2021/AR/320, NV Nationale Dienst voor Promotie van Kinderartikelen (N.D.P.K. N.V.) t. GBA, p. 42 19 Operational Risk Management (ORM)/Information Risk Management (IRM)/Special Investigation Unit (SIU) Beslissing ten gronde 141/2021 - 24/26 - de verweerder heeft geen volledige opsomming van al de verwerkingsdoeleinden van persoonsgegevens voorzien overeenkomstig artikel 30.1
29. b)AVG; - de volgende informatie in het register van de verwerkingsactiviteiten is niet zichtbaar: • de naam en de contactgegevens van de functionaris voor gegevensbescherming overeenkomstig artikel 30.1
30. a)AVG; • een beschrijving van de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist overeenkomstig artikel 30.1
31. f)AVG; • een beschrijving van de technische en organisatorische beveiligingsmaatregelen overeenkomstig artikel 30.1
32. g)AVG. - het register van de verwerkingsactiviteiten moet op zichzelf volledig en duidelijk zijn, maar de volgende termen worden niet uitgelegd: “12. TIN” en “S9. Criminal data” . Ook is de omschrijving van de doeleinden van de verwerking vaag: “E7_To support the activities to safeguard and ensure the security and integrity of Y and/or the financial sector” en “C6_Compliance with legal obligations”, en geeft niet precies de verwerkingsactiviteit en het verwerkingsdoel van deze diensten van de verweerder weer. - Specifiek voor de dienst SIU wordt in het register van de verwerkingsactiviteiten vermeld dat persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten worden verwerkt met volgende melding “S9. Criminal data”. De Inspectiedienst vindt het vreemd dat dit niet specifiek wordt uitgeklaard. 91. De verweerder laat met betrekking tot deze vaststellingen van de Inspectiedienst het volgende gelden: - Behoudens de opsomming van de elementen die verplicht moeten worden opgenomen in het register en de verplichting om het register desgevraagd mee te delen aan de toezichthoudende autoriteit, legt de AVG geen enkele andere wettelijke verplichting op betreffende het register. De Inspectiedienst lijkt volgens de verweerder met haar vaststellingen in het inspectieverslag de drempel dus hoger te willen leggen dan de wettelijke vereisten ter zake. De verweerder voegt hieraan toe en toont aan dat hij bovendien rekening heeft gehouden met aanbeveling nr. 06/2017 van 14 juni 2017, zoals bepaald door de Commissie voor de Bescherming van de Persoonlijke Levenssfeer; - Aangaande de vage termen en vage omschrijving van de doeleinden van de verwerking stelt de verweerder dat het register een intern instrument en hulpmiddel is voor de verwerkingsverantwoordelijke. De verweerder erkent dat het register ook dient als informatiebron voor de GBA en in die zin dan ook begrijpelijk moet zijn voor de GBA zelf. Er wordt echter niet uitgesloten dat de verwerkingsverantwoordelijke ten aanzien van de GBA Beslissing ten gronde 141/2021 - 25/26 nog toelichting mag geven bij bepaalde interne terminologie die wordt gehanteerd in het register. Artikel 30.1 AVG vereist dat het register van verwerkingsactiviteiten een beschrijving van de categorieën van persoonsgegevens, evenals van de verwerkingsdoeleinden bevat, maar bevat geen concrete verplichtingen betreffende het niveau van detail van deze categorieën van persoonsgegevens en verwerkingsdoeleinden. In voormelde aanbeveling nr. 06/2017 worden overigens voorbeelden gegeven van categorieën van persoonsgegevens en doeleinden die van eenzelfde ‘algemene’ aard zijn. Aangaande de door de Inspectiedienst als vaag bestempelde begrippen en doeleinden, stelt de verweerder dat deze werden gedefinieerd in een ander intern document. De definities uit dat document werden – zowel voor wat de categorieën van persoonsgegevens, als de doeleinden betreft – hernomen in het register en waren reeds in het register beschikbaar door op de desbetreffende termen te klikken. - De verweerder benadrukt dat de Inspectiedienst enkel het register voor de verwerkingsactiviteiten van de diensten ORM/IRM/SIU heeft opgevraagd en niet het volledige register. Het door de verweerder aangeleverde document betrof een beperkt uittreksel van het register en omvat enkel de details van de verwerkingsactiviteiten van de betreffende diensten. - De verwerkingsactiviteiten van de diensten ORM, IRM en SIU worden door de verweerder nader toegelicht. Hij verklaart dat de diensten IRM en ORM voornamelijk een adviserende en controlerende aard hebben, zonder daadwerkelijk een uitvoerende taak te hebben op het vlak van verwerking van informatie en/of persoonsgegevens. Het gaat om zeer beperkte verwerkingen die in het register worden gegroepeerd onder één verwerkingsactiviteit voor elk van beide diensten. Een aantal verwerkingsactiviteiten die de Inspectiedienst toeschrijft aan de dienst IRM, respectievelijk ORM betreffen activiteiten die elders in het register worden beschreven bij de daarvoor verantwoordelijke afdelingen. Voor wat betreft de dienst SIU worden de activiteiten eveneens beschreven en ook hier werden deze in het uittreksel van het register gegroepeerd weergegeven als zijnde één verwerkingsactiviteit. De verweerder benadrukt nogmaals dat de AVG geen specifiek vereist niveau van detail voorschrijft. - Voor wat betreft de volgens het inspectieverslag ontbrekende informatie in het register van de verwerkingsactiviteiten voert de verweerder aan dat de naam en contactgegevens van de functionaris voor gegevensbescherming zijn opgenomen in een groot aantal interne documenten en dus wel degelijk gekend zijn binnen de organisatie van de verweerder, maar die gegevens betreffende de functionaris voor gegevensbescherming louter om technische redenen niet in het uittreksel van het register van de verwerkingsactiviteiten zijn verschenen. Aangaande de bewaartermijnen, alsook de technische en organisatorische maatregelen schrijft artikel 30 AVG voor dat het register indien mogelijk deze informatie bevat, maar niet als dusdanig verplicht om deze te vermelden in het register zelf. De verweerder stelt dat ervoor Beslissing ten gronde 141/2021 - 26/26 werd geopteerd om deze informatie omwille van pragmatische redenen en met het oog op een betere overzichtelijkheid te beschrijven in een afzonderlijke documenten. 92. Op basis van het verweer en de ondersteunende stukken daartoe, beslist de Geschillenkamer dat er in hoofde van de verweerder geen inbreuk op artikel 30 AVG is. III. Publicatie van de beslissing 93. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel 100, §1, 2° WOG, een buitenvervolgingstelling te bevelen voor de inbreuk op de artikelen 5.1 d), 16 en 25 AVG ; - Op grond van artikel 100, §1, 13° en artikel 101 WOG een administratieve geldboete van € 75.000 op te leggen ingevolge de inbreuk op artikel 38.6 AVG. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de kennisgeving, Gegevensbeschermingsautoriteit als verweerder. (get). Hielke Hijmans Voorzitter van de Geschillenkamer bij het Marktenhof, met de