1/15 Geschillenkamer Beslissing ten gronde 145/2023 van 26 oktober 2023 Dossiernummer : DOS-2020-00200 Betreft : het versturen van een e-mail aan studenten en collega’s n.a.v. het ontslag van een docent De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Jelle Stassijns en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: dhr. X, vertegenwoordigd door Mr. Lien MICHIELSEN, kantoor houdende te Lange Van Ruusbroecstraat 76, 2018 Antwerpen; hierna “de klager”, en De verweerster: Y, vertegenwoordigd door Mr. Tom PEETERS, kantoor houdende te Borsbeeksebrug 36, 2600 Antwerpen-Berchem; hierna “de verweerster”. Beslissing ten gronde 145/2023 – 2/15 I. Feiten en procedure I.1. 1. Feiten Het voorwerp van de klacht betreft het versturen van e-mails met persoonsgegevens van de klager aan (voormalig) studenten en collega’s door de verweerster, een onderwijsinstelling, naar aanleiding van het ontslag van de klager door de verweerster ingevolge een tuchtmaatregel. 2. De tuchtmaatregel volgde op een incident tussen de klager en één van diens studenten in de rand van een les die gegeven werd door de klager. De klager ontkent niet dat hij een student fysiek heeft geraakt, maar stelt dat dit per ongeluk gebeurde door het maken van een wegwuifgebaar en dat dit niet een opzettelijke daad van fysieke agressie uitmaakte. Dit alles zou hebben plaatsgevonden in de nasleep van een mondelinge discussie nadat de student heimelijk diens punten zou hebben proberen inkijken op het computerscherm van de klager. 3. Het bestuur van de verweerster besloot de klager om dringende redenen te ontslaan, en er volgde een communicatie vanuit het bestuur van verweerster ten aanzien van studenten en personeelsleden die les kregen resp. samenwerkten met de klager. Daarnaast was er quasiidentieke communicatie ten aanzien van het […] comité. Elk van deze communicaties gebeurde middels drie e-mails op 21 en 22 maart 2019, met de melding van het ontslag in de volgende bewoording: "Dit naar aanleiding van fysieke agressie ten aanzien van één van de studenten […] uit grondig onderzoek is gebleken dat dit voorval elk verder functioneren van [naam klager] als medewerker van [verweerster] onmogelijk maakt." Op basis van de stukken in het dossier kan worden gesteld dat zeker 195 (oud-)studenten het bericht toegestuurd kregen en potentieel konden lezen, losstaand van het aantal geadresseerden in de andere twee berichten. 4. Nadat door de klager beroep werd ingesteld tegen de tuchtmaatregel waarop het ontslag met dringende reden volgde, werd door […] (verder College van beroep) – dat bevoegd is voor beroepen tegen tuchtmaatregelen van het bestuurscollege van verweerster – vastgesteld dat de klager wel degelijk een fout heeft gemaakt, doch dat het bestuur van de verweerster onvoldoende degelijk onderzoek voerde, ter voorbereiding van de beslissing, om de klager te ontslaan. 5. Het College van beroep stelt te dezen onder meer: "[…] hoewel er een veertigtal mogelijke getuigen van het incident zijn, [beperkte] het hogeschoolbestuur zich [] tot het verhoor van slechts medestudenten die dan nog door de vader van de bij het incident betrokken student, aangedragen zijn. Bovendien zijn de summiere verslagen van de verhoren van alle betrokkenen niet eenduidig." Beslissing ten gronde 145/2023 – 3/15 Zij besluit vervolgens: "Om al die redenen verklaart het […] het ontslag om dringende redenen van de [klager] ongegrond. Gezien de onduidelijkheid over de zwaarwichtigheid van de begane fout, beslist het college . . . tot de preventieve schorsing van de [klager], met een tuchtprocedure tot gevolg." 6. Op 3 mei 2019 stelt de verweerster volgens haar syntheseconclusie de leden van het voornoemde comité en “de lectoren van de professionele bachelor […] (niet de lectoren […])” in kennis van de beslissing van het College van beroep. 7. Vervolgens stelt het bestuur van verweerster een tuchtonderzoek in, waarbij in het verslag uiteindelijk het ontslag wordt voorgesteld. Tegen deze beslissing wordt vervolgens opnieuw beroep ingesteld door de klager. Het College van beroep stelt vervolgens een eigen tuchtbeslissing in de plaats van die van het bestuurscollege van verweerster, met als tuchtsanctie de terugkeer naar de tijdelijke aanstelling. 8. Volgend op deze tijdelijke aanstelling, wordt de klager vervolgens door de verweerster ontslagen via de ontslagprocedure voor werknemers. Over dit ontslag werd op 11 december 2019 een bericht gestuurd door de verweerster – volgens haar syntheseconclusie – naar de collega’s van de klager. I.2. 9. Procedure Op 17 januari 2020 wordt de klacht ontvankelijk verklaard door de Eerstelijnsdienst en overgemaakt aan de Geschillenkamer o.g.v. artikel 62, § 1 j° artikel 92, 1° WOG. 10. Op 7 februari 2020 nodigt de Geschillenkamer de partijen uit om conclusies neer te leggen volgens de daarin bepaalde conclusietermijnen. Beide partijen leggen vervolgens hun conclusies met middelen neer bij de Geschillenkamer. Op 30 mei 2023 maakt de Geschillenkamer een brief over aan de partijen, waarbij de partijen op grond van artikel 52 van het Reglement van Interne Orde1 van de Gegevensbeschermingsautoriteit ambtshalve worden uitgenodigd op een hoorzitting. 11. Op 16 juni 2023 legt de verwerende partij – in het licht van de hoorzitting – een “aanvullende nota” voor aan de Geschillenkamer. Deze aanvullende nota maakt melding van een vonnis van de Arbeidsrechtbank […], en voegt het in een bijlage toe. Het vonnis dat de verweerster bijvoegt, vermeldt: “Over de klacht die de heer X neerlegde bij de Gegevensbeschermingsautoriteit wegens schending van zijn recht op privacy, kan de arbeidsrechtbank zich niet uitspreken .” Verder in het vonnis staat: “Naar het oordeel van de rechtbank geeft deze communicatie [in casu gaat het om de hoger vermelde litigieuze communicaties] louter de feiten weer, namelijk dat [klager] werd ontslagen omwille van 1 Beschikbaar via: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde.pdf. Beslissing ten gronde 145/2023 – 4/15 fysieke agressie t.a.v. één van de studenten.” Verder stelt de aanvullende nota van de partij ook dat het opleggen van enige maatregel “in strijd is met de redelijke termijneis” in de zin van artikel 100 WOG. 12. Op 23 juni 2023 vindt een hoorzitting plaats. De partijen zetten op deze hoorzitting hun conclusies uiteen. De partijen gaan bovendien ook dieper in op het verzoek van de Geschillenkamer – dat hen vooraf aan de hoorzitting werd overgemaakt – om hun standpunt kenbaar te maken omtrent de rechtmatigheid van de eventuele verwerkingen (in de zin van artikel 6.1. AVG), alsook op de toepassing van het principe van minimale gegevensverwerking op de eventuele verwerkingen (in de zin van artikel 5.1.c. AVG). 13. Het proces-verbaal van de hoorzitting wordt vervolgens overgemaakt aan de partijen op 28 juni 2023; overeenkomstig artikel 54 van het Reglement van Interne Orde van de GBA krijgen de partijen de mogelijkheid opmerkingen te laten voegen aan het proces-verbaal. Beide partijen bezorgen zulke opmerkingen, die integraal worden toegevoegd aan het dossier en waarvan de Geschillenkamer heeft kennis genomen in het kader van de beraadslagingen voorafgaand aan de voorliggende beslissing. II. Motivering II.1. Ontvankelijkheid klacht en bevoegdheid Gegevensbeschermingsautoriteit 14. In haar syntheseconclusie argumenteert de verwerende partij dat de litigieuze verwerking, met name het verzenden van een e-mail aan studenten en personeelsleden m.b.t. het ontslag van de klager, geen verwerking uitmaakt in de zin van de AVG. De verwerende partij stelt te dezen met name: “In casu is er geen sprake van een verwerking van persoonsgegevens zoals gedefinieerd in artikel 4, 1) en 2) van de AVG […] Er is evenmin sprake van een automatische verwerking van gegevens of een manuele verwerking van gegevens die bestemd zijn om deel uit te maken van een bestand als bedoeld in artikel 2 van de AVG. Het gaat in casu louter om een interne communicatie per e-mail . . .” 15. De redenering van de verwerende partij kan niet worden gevolgd en zou haaks staan op de geest en de letter van de regelgeving ter zake. De redenering zou immers impliceren dat van zodra een document dat persoonsgegevens bevat als “intern” aangemerkt zou worden, Beslissing ten gronde 145/2023 – 5/15 de verwerking van zulke persoonsgegevens zou ontsnappen aan de bescherming van de AVG, met inbegrip van het toezicht ervan door de bevoegde autoriteiten (in casu de GBA). 16. De Geschillenkamer houdt voor dat er geen twijfel is dat de AVG van toepassing is en dat de GBA overeenkomstig artikel 4 WOG bevoegd is om handhavend op te treden. 17. Vooreerst is het duidelijk dat de inhoud van de litigieuze e-mailberichten persoonsgegevens uitmaken in de zin van artikel 4.1. AVG. Zoals de klager terecht opmerkt in zijn conclusies gaat het immers om informatie betreffende hem als geïdentificeerde persoon. Meer bepaald bevat de e-mail informatie over de klager, met name het feit dat de klager ontslagen wordt bij de onderwijsinstelling waar hij doceert, alsook de reden voor dat ontslag (“fysieke agressie”). De klager kan ook zonder twijfel worden aangemerkt als geïdentificeerde persoon, nu de klager uitdrukkelijk (bij naam) wordt genoemd in de litigieuze communicaties. 18. Vervolgens is er ook geen twijfel dat de vermelding van bepaalde gegevens in de litigieuze e-mailberichten verwerkingen meebrengen in de zin van artikel 4.2. AVG, nu de verwerkingen worden uitgevoerd via een geautomatiseerd procedé. De litigieuze emailberichten kwamen tot stand op initiatief van de verweerster die de persoonsgegevens invoerde en op een bepaalde manier structureerde – waarbij de verweerster koos welke gegevens zij concreet vermeldde – waarna het bericht vervolgens aan een bepaald aantal personen werd geadresseerd zodat de informatie werd ontsloten door het verzenden van een e-mail (i.e. een geautomatiseerd procedé). 19. In die zin is het duidelijk dat binnen de definities aangereikt door de AVG, de feiten uit de klacht duidelijk vallen onder het materieel toepassingsgebied van de AVG (artikel 2.1. AVG). Geen van de 4 uitzonderingsgronden onder artikel 2.2. AVG zijn hier van toepassing. Nu de verwerende partij haar middel niet uitdrukkelijk op deze bepaling stoelt, is het niet nodig in te gaan op deze uitzonderingsgronden in de beslissing. 20. Om al de voorgaande redenen is het duidelijk dat de e-mailberichten die aan de basis lagen van de klacht in dit dossier, persoonsgegevensverwerkingen uitmaken die onder het materieel toepassingsgebied van de AVG vallen (art. 2 AVG), waarbij de daar gehanteerde definities (specifiek die in artikel 4, leden 1 en 2 AVG) ontegensprekelijk op de feiten van toepassing zijn. II.2. Bijkomend stuk ter hoorzitting, toevoeging aan het administratief dossier en gevolgen voor de procedure 21. Het stuk dat de verweerster ter hoorzitting neerlegt en dat onder meer het vernoemde vonnis van de arbeidsrechtbank bevat, wordt aanvaard en toegevoegd aan het dossier door de Geschillenkamer nu het als kennelijk relevant kan worden beschouwd in het kader van Beslissing ten gronde 145/2023 – 6/15 het vrijwaren van de rechten en vrijheden van partijen – met inbegrip van de rechten van verdediging van de verweerster. De klager heeft kennis kunnen nemen van het stuk voorafgaand aan de hoorzitting, en heeft de kans gekregen zich er over uit te spreken gedurende de hoorzitting. De ontvankelijkheid van het stuk wordt – blijkens het procesverbaal van de hoorzitting – door geen der partijen betwist. 22. Dat de grieven in de klacht zonder voorwerp zouden zijn geworden door het hogervermelde vonnis van de arbeidsrechtbank – zoals de verweerster opwerpt – kan door de Geschillenkamer om meerdere redenen niet gevolgd worden. 23. Ten eerste werd de vordering van de klager in de procedure voor de arbeidsrechtbank afgewezen, waardoor er geenszins sprake kan zijn van een dubbele bestraffing. Ten tweede dient te worden benadrukt dat de procedure voor de Geschillenkamer een – zij het sui generis – administratieve procedure betreft, die duidelijk verschilt van enige burgerrechtelijke of strafrechtelijke procedure. Hoewel het zeker zo is dat het ne bis in idem principe in dat kader dient te gelden, is het wel van belang te onderstrepen dat de Geschillenkamer op gespecialiseerde wijze uitspraak doet omtrent feiten die specifiek betrekking hebben op gegevensbescherming, en niet op ‘holistische’ wijze de civiele aanspraken van partijen trancheert. 24. Het vonnis van de arbeidsrechtbank erkent om die reden ook nadrukkelijk dat die rechtbank zich niet kan uitspreken over de lopende procedure bij “de Gegevensbeschermingsautoriteit”. Het vonnis spreekt zich enkel uit omtrent de eventuele schade die de communicatie al dan niet veroorzaakte, maar geenszins omtrent de specifieke gegevensbeschermingsrechtelijke aspecten. Het vonnis gaat daarenboven niet in op enige wettelijke bepaling ter zake, waardoor bezwaarlijk kan gesteld worden dat er reeds een concrete beoordeling van gegevensbeschermingsrechtelijke aspecten plaatsvond. Om elk van die redenen kan niet worden aanvaard dat de behandeling van dit klachtdossier zou worden stopgezet door de Geschillenkamer, binnen de concrete omstandigheden. II.3. De rechtmatigheid van de verwerking en de beginselen inzake de verwerking van persoonsgegevens: Standpunt klager: 25. De klager argumenteert dat er verschillende beginselen inzake de bescherming van persoonsgegevens (artikel 5 AVG) geschonden zijn. De klager stelt te dezen meer bepaald: “Er is geen sprake van een rechtmatige, behoorlijke en transparante verwerking van de gegevens. Beslissing ten gronde 145/2023 – 7/15 De [verweerster] verklaart niet voor welke welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden de gegevens werden verwerkt zoals ze werden verwerkt. Er is hoegenaamd geen sprake van een minimale gegevensverwerking, integendeel. Van minimale gegevensverwerking is sprake wanneer ze toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Een minimale gegevensverwerking zou zijn geweest een mededeling aan collega’s en studenten - geen ex-studenten - dat de [klager] niet meer zou komen werken en eventueel vervangen werd door persoon X. Zonder een voldoende objectief onderzoek communiceren naar aanleiding van fysieke agressie ten aanzien van één van de studenten is geenszins een minimale gegevensverwerking. De gegevens dienen juist en geactualiseerd te zijn. Volgens de beslissing van het college van beroep van 23 april 2019 werd onvoldoende onderzoek gedaan naar de aard van de feiten, bovendien werd de beslissing van de [verweerster] ongegrond werd verklaard. Zowel op 21 maart als na de beslissing van het college was er bijgevolg sprake van een schending van de verwerking van de persoonsgegevens. De [verweerster] heeft voorbarig en onnodig het bericht rondgestuurd met de informatie van de fysieke agressie. De verweerster stelt ook in haar conclusies dat zij "nooit in detail getreden [is]" omtrent de redenen van het ontslag in de e-mails naar studenten en collega's van de klager. Enerzijds klopt deze bewering niet, omdat er wel degelijk melding werd gemaakt van de feiten van fysieke agressie. Anderzijds is die bewoording zodanig algemeen dat dit net kan leiden tot bijkomende speculaties over de reikwijdte van deze (vermeende) agressie door de klager; het gebruik van zulke bewoordingen getuigt niet van een behoorlijke visie op persoonsgegevensverwerkingen zijdens de verweerster.”2 Standpunt verweerster: 26. De verweerster verweert zich met betrekking tot dit punt als volgt, zij het in ondergeschikte orde nu zij in hoofdorde de bevoegdheid van de Geschillenkamer betwistte: “[Verweerster] heeft de e-mails intern gestuurd met als louter doel om de collega’s en studenten lichamelijke opvoeding te informeren over het feit dat de [klager] ontslagen werd om dringende reden en niet langer actief zal zijn als docent, niets meer 2 Repliekconclusie klagende partij. en niets minder. Beslissing ten gronde 145/2023 – 8/15 Gelet op het feit dat er tegenwoordig een verhoogde drang is naar transparantie naar de leidinggevenden toe, heeft [verweerster] dus gezorgd voor een algemene en zorgzame communicatie aan de collega’s en studenten. [Verweerster] trachtte zich te houden aan haar informatieplicht en trachtte komaf te maken met de zwijgcultuur die vaak heerst bij leidinggevenden naar hun medewerkers toe. Daarnaast blijkt uit geen enkel stuk dat concluante de gegevens van de klager zou aanwenden voor enig ander doeleinde […] Bovendien houdt concluante zich aan het beginsel van minimale gegevensverwerking doordat in het licht van het beoogde doeleinde alleen de naam van de klager wordt verwerkt (artikel 5.1.
- c)van de AVG) […] Concluante is bovendien nooit in detail getreden. Verder werd deze interne communicatie enkel overgemaakt aan de collega’s . . . en aan zijn studenten . . . De informatie werd niet overgemaakt aan privé-mailadressen, maar enkel aan professionele mailadressen. Wat de bewering van de [klager] betreft dat de informatie werd gestuurd naar ex-studenten, klopt het enigszins dat een paar studenten op dat moment geen les meer hadden van [klager], maar dit betreffen enkel studenten die reeds afgestudeerd waren in het eerste semester. Indien studenten afstuderen in het eerste semester, wordt hun mogelijkheid tot toegang tot bepaalde interne websites en de mailbox . . . pas in oktober in het volgend academiejaar geannuleerd […] De verwerking is bovendien rechtmatig […] Het ontslag wegens dringende reden heeft heel wat vragen en bezorgdheden opgewerkt bij studenten en collega’s […] Bovendien werd enkel de relevante en proportionele informatie verwerkt. Zoals hierboven reeds uiteengezet, werd enkel melding gemaakt van de naam van de klager en het feit dat hij ontslagen werd wegens dringende reden proportionaliteitsbeginsel Beoordeling Geschillenkamer omwille is van fysieke derhalve agressie. Het nageleefd.” Beslissing ten gronde 145/2023 – 9/15 27. De Geschillenkamer is geen (civiele) rechtbank, maar maakt onderdeel uit van een administratief orgaan. Volgens de haar toebedeelde bevoegdheden 3, komt aan de Geschillenkamer toe om de feiten in het dossier te toetsen aan het gegevensbeschermingsrechtelijk kader, met de toepassing van enkele beleidsmatige overwegingen – zoals wat betreft de opportuniteit om gevolg te geven aan een klacht. 4 Het komt met andere woorden de Geschillenkamer niet toe om over aspecten en middelen die aangedragen worden door partijen uitspraken te doen die voorbijgaan aan de relevante gegevensbeschermingsrechtelijke toetsing. 28. In casu betreffen de relevante litigieuze feiten voor de beoordeling door de Geschillenkamer drie e-mailberichten verzonden onder de verantwoordelijkheid van de verweerster. De klager haalt verschillende elementen aan die in zijn opzicht elk afzonderlijk inbreuken uitmaken op de beginselen inzake de verwerking van persoonsgegevens. Het komt de Geschillenkamer voor dat het gaat om één gedraging in elk van de drie communicaties, waarbij de manier waarop de persoonsgegevens worden verwerkt een potentiële inbreuk uitmaakt op één bepaling.5 Door de specialiteit van artikel 6, lid 1 AVG is het aan de orde om louter de rechtmatigheid van de verwerking te onderzoeken – doch wel in het licht van de beginselen vervat onder artikel 5 AVG. 29. De Geschillenkamer beperkt haar toetsing van de rechtmatigheid van de verwerking tot de vermelding van het “ontslag om dringende reden” en het gebruik van de verwoording “fysieke agressie” in drie e-mailberichten van de verweerster dd. 21 maart 2019 resp. 22 maart 2019, en houdt daarbij eveneens rekening met het aantal geadresseerden en de relevantie van het aanschrijven van al deze geadresseerden. 30. Hierna volgt een uittreksel van de communicatie van de e-mail dd. 22 maart 2019 aan “195 studenten en ex-studenten” (aldus de conclusies van de klager, niet betwist door de verweerster): “Beste student . . . Gisteren is de directie overgegaan tot het ontslag om dringende redenen van [vooren familienaam klager], […]-docent. Dit naar aanleiding van een geval van fysieke 3 Overeenkomstig artikel 4, §1 WOG is de Gegevensbeschermingsautoriteit, waartoe de Geschillenkamer behoort, “verantwoordelijk voor het toezicht op de naleving van de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens.” 4 Zie onder meer te dezen, het Sepotbeleid van de Geschillenkamer, beschikbaar via: https://www.gegevensbeschermingsautoriteit.be/burger/sepotbeleid-in-het-kort; met dien verstande dat een toezichthoudende autoriteit een klacht “met de nodige voortvarendheid en zorgvuldigheid” dient te onderzoeken, zie Arrest van het Hof van Justitie van de EU van 6 oktober 2015, Schrems t. DPC, C-362/14. 5 Vergelijk mutatis mutandis de redenering van het Europees Comité voor Gegevensbescherming in Hoofdstuk 3 (“Chapter III”) van haar “Guidelines 04/2022 on the calculation of administrative fines under the GDPR”, v 2.1. van 24 mei 2023, beschikbaar via: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculationadministrative-fines-under_en (voorlopig enkel beschikbaar in het Engels). Beslissing ten gronde 145/2023 – 10/15 agressie ten aanzien van één van de studenten tijdens de les […] voorbije maandag. Uit grondig onderzoek na maandag is gebleken dat het verder functioneren van Mr. [familienaam klager] als docent aan [verweerster] niet meer mogelijk is. We begrijpen dat dit bericht en deze beslissing heel wat vragen en bezorgdheden kan opwekken bij jou en andere studenten[…]” Het bericht voegt nadien informatie toe omtrent contactmomenten en -personen naar aanleiding van de gebeurtenis. 31. In het voorliggende geval wordt door geen van de partijen aangedragen dat er een rechtmatige verwerking zou zijn door het verlenen van toestemming door de klager om zijn persoonsgegevens te verwerken (artikel 6.1.a. AVG), noch dat er een overeenkomst zou zijn tussen de partijen waarop de persoonsgegevensverwerking zou steunen (artikel 6.1.b. AVG). Er wordt voorts nergens opgeworpen – met name door de verweerster – dat de litigieuze verwerkingen wettelijk verplicht zouden zijn (artikel 6.1.c. AVG) of dat deze verwerkingen noodzakelijk zijn voor de vitale belangen van eender wie (artikel 6.1.d. AVG) dan wel noodzakelijk voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verweerster is opgedragen (artikel 6.1.e. AVG). 32. De verweerster stoelt in haar conclusies de rechtmatigheid van de voornoemde verwerkingen op artikel 6.1.f. AVG. Nu de verweerster als verwerkingsverantwoordelijke verwijst naar deze grondslag,6 staat het aan de Geschillenkamer om te toetsen of alle voorwaarden van deze wettelijke bepaling vervuld zijn om te spreken van een rechtmatige verwerking. 33. Overeenkomstig de rechtspraak van het Hof van Justitie7 dient de tweede verweerder als verwerkingsverantwoordelijke daarom aan te tonen dat: 1) de belangen die zij met de verwerking nastreven, als gerechtvaardigd kunnen worden erkend (de “doeltoets”); 2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van die belangen (de “noodzakelijkheidstoets”); en 3) de afweging van die belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel verwerkingsverantwoordelijken of van een derde (de “afwegingstoets”). 6 Paragraaf 12 e.v. van de syntheseconclusie van de verweerster. 7 Arrest HvJEU van 4 mei 2017, Rigas satiksme, C-13/16, EU:C:2017:336, punt 28. van de Beslissing ten gronde 145/2023 – 11/15
- a)Doeltoets 34. In de visie van de Geschillenkamer kunnen personeelsgerelateerde communicaties wel degelijk – naar aanleiding van ontslag of langdurige afwezigheid – gerechtvaardigd zijn. In die zin kan een communicatie omtrent een ontslag – met inbegrip van de reden voor dat ontslag – van een personeelslid of lector op zich gerechtvaardigd worden. 35. Te dezen haalt de verweerster terecht aan dat er een nadrukkelijke maatschappelijke vraag is naar transparantie omtrent maatregelen die genomen worden door leidinggevenden ten aanzien van het personeel. Naast communicatie aan collega’s van betrokkenen, bewijst de situatie ook dat communicaties aan studenten eveneens een dergelijke legitieme doelstelling kunnen nastreven. 36. Het communiceren omtrent een ontslag, en de reden van dat ontslag, streeft op zich een legitiem doel na. Er is ter zake geen enkele aanwijzing dat de communicaties voor andere doelstellingen – zoals het bewust schaden van de klager – zouden zijn verstuurd. De Geschillenkamer volgt hierbij met name uitdrukkelijk niet de redenering van de klager als zou een communicatie op het moment van de feiten “voorbarig” zijn.8 Nu het ontslag om dringende redenen geschiedde, los van het al dan niet terechte karakter van dat ontslag, ontstond er een onmiddellijke en legitieme nood om te communiceren over dat ontslag aan studenten en collega’s van de klager.
- b)Noodzakelijkheidstoets 37. Er dient voor het uitvoeren van deze toets allereerst op algemeen niveau een onderscheid gemaakt te worden tussen twee soorten verwerkingen die gedestilleerd dienen te worden uit de litigieuze feiten en de drie e-mails. Ten eerste wordt de noodzakelijkheid van het aanschrijven van oud-studenten besproken, via het litigieuze e-mailbericht dd. 22 maart 2019. Ten tweede wordt de noodzakelijkheid van de communicaties aan collega’s, leden van het hogergenoemde comité en “actuele” studenten van de klager (op het moment van de feiten) besproken, alsmede de manier waarop de persoonsgegevens van de klager werden aangewend in de twee communicaties daartoe op resp. 21 en 22 maart 2019. b.1. Communicatie aan oud-studenten: 38. Met betrekking tot de communicatie aan oud-studenten kan kortweg worden gezegd dat het bezwaarlijk “noodzakelijk” kan worden genoemd deze personen in te lichten omtrent het ontslag – laat staan de reden van het ontslag – van de klager. Het verweer op dit punt 8 Syntheseconclusie klager, p. 7: “De [verweerster] heeft voorbarig en onnodig het bericht rondgestuurd met de informatie van de fysieke agressie.” Beslissing ten gronde 145/2023 – 12/15 van de verweerster, als zou het moeilijk of onmogelijk zijn om te werken met een geactualiseerde lijst van studenten, kan hierbij niet worden weerhouden. 39. De Geschillenkamer oordeelt dat op grond van de verantwoordingsplicht uit de AVG van een grote organisatie als die van verweerster verwacht kan worden dat zij de technische en organisatorische maatregelen neemt om haar lijsten – zij het hier de accounts en bijhorende mailboxen – met studenten voortdurend actueel te houden, en minstens frequenter dan per academiejaar. Dit geldt a fortiori wanneer zulke “studentenlijsten” worden aangewend voor communicaties zoals die op 22 maart 2019 door verweerster, waarbij persoonsgegevens van de klager op een delicate manier werden aangewend en verwerkt. 40. Nu de verweerster in haar conclusies uitdrukkelijk erkent dat enkele van de geadresseerden “geen les meer hadden van [klager]”, volgt hieruit duidelijk dat ten aanzien van die geadresseerden de litigieuze communicaties duidelijk als niet noodzakelijk dienen aangemerkt. Door het niet beantwoorden aan de noodzakelijkheidstoets voor wat betreft de communicatie aan oud-studenten op 22 maart 2019, kan alleszins voor deze verwerking op dit punt reeds afzonderlijk een inbreuk worden vastgesteld op art. 6.1.f. AVG. b.2. Communicatie aan “actuele” studenten en collega’s: 41. Zoals hierboven gesteld, maakt het inlichten van studenten en collega’s over een ontslag een reële en maatschappelijke nood uit die als relevant en legitiem kan worden aangemerkt volgens de Geschillenkamer. De Geschillenkamer moet echter te dezen vaststellen dat de betreffende communicaties, en meer bepaald de verwijzingen naar “fysieke agressie” – in het licht van het algemene principe van minimale gegevensverwerking in de zin van artikel 5.1.c. AVG – niet noodzakelijk waren. 42. Meer in het bijzonder, hoewel het voor de verweerster nodig kan zijn om “transparant” te communiceren omtrent het ontslag, komt het de Geschillenkamer echter geenszins als noodzakelijk voor om de “fysieke agressie” te noemen, temeer omdat er wordt gecommuniceerd over een ontslag. De studenten en collega’s en andere personen aan wie wordt gecommuniceerd hebben immers geen enkele actuele nood om die reden te kennen. Dat er achterklap dan wel wantrouwen zou ontstaan door het niet-communiceren van de reden van het ontslag, is niet als zodanig de (maatschappelijke, laat staan juridische) verantwoordelijkheid van de verweerster. In geen geval zijn er immers omstandigheden die de verweerster heeft aangedragen in de huidige procedure, die op enige wijze de effectieve en directe noodzaak tot het kenbaar maken van deze persoonsgegevens rechtvaardigden. Beslissing ten gronde 145/2023 – 13/15 43. Nu de communicatie aan zowel collega’s als “actuele” studenten op het moment van de feiten op zich als niet noodzakelijk voor de verwezenlijking van de belangen van de verweerster kan worden aangemerkt, stelt de Geschillenkamer vast dat niet wordt voldaan aan de noodzakelijkheidstoets en daarom niet aan de voorwaarden van artikel 6.1.f. AVG voor de litigieuze feiten middels de drie e-mailberichten verzonden door de verweerster. Om die reden op zich maken de verwerkingen dd. 21 en 22 maart 2019 inbreuk uit op die bepaling. Deze inbreuk is het gevolg van het vermelden van de reden “fysieke agressie”. 44. Ten overvloede merkt de Geschillenkamer op dat het feit dat zulke communicaties “intern” gebeuren en gericht zijn aan e-mailadressen verbonden aan de instelling, niet relevant is voor de beoordeling van de noodzakelijkheid. Het feit dat bepaalde feiten in een werkgebonden context gebeurd zijn, of dat communicaties op een “intern platform” gestuurd zijn, doet niet ter zake in die beoordeling. 9
- c)Afwegingstoets 45. Rekening houdend met verschillende elementen besluit de Geschillenkamer dat de rechten en vrijheden van de klager niet afdoende in overweging zijn genomen door de verweerster bij het versturen van de litigieuze communicaties. Elk van deze elementen op zich toont een schending van de afwegingstoets aan, leidend tot een inbreuk op artikel 6.1.f. AVG, waarop de litigieuze verwerkingen zouden stoelen. 46. Vooreerst stelt de Geschillenkamer vast dat in de communicaties wordt gesproken van een “grondig onderzoek”, terwijl de uitspraak van het College van beroep dd. 23 april 2019 stelt dat het bestuur van de verweerster “onvoldoende objectief gestaafde elementen” aangebracht zou hebben. Het feit dat deze communicaties – zij het a posteriori door het College van beroep – als minstens deels foutief kunnen worden bestempeld , toont op zich aan dat de rechten en vrijheden van de klager buitensporig geschaad werden.10 Dit blijkt overigens eveneens uit de uitspraak van de rechtbank die een schadevergoeding toekende voor het verloop van het ontslag van de klager door de verweerster. Dit aspect op zich toont aan dat de rechten en vrijheden van de klager buitensporig geschaad zijn door de communicaties in het licht van de afwegingstoets, waar de verweerster het ontslag omwille van “fysieke agressie” minstens gedeeltelijk onterecht in verband brengt met een “grondig onderzoek“. 47. Ten tweede stelt de Geschillenkamer vast dat in de initiële communicatie ook geen melding wordt gemaakt van het feit dat de klager ook nog beroep kan aantekenen tegen de beslissing van het bestuur van de verweerster, en de daarmee verbonden overwegingen 9 Vergelijk ook, mutatis mutandis, de verspreiding van persoonsgegevens in een arbeidsrechtelijke context op een intern platform: Beslissing Geschillenkamer GBA 115/2022 van 15 juli 2022, beschikbaar in het Nederlands via: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-115-2022.pdf. 10 Vergelijk ook in het licht van het beginsel van de juistheid van persoonsgegevens: artikel 5.1.b. AVG Beslissing ten gronde 145/2023 – 14/15 die het bestuur in acht nam om over te gaan tot het ontslag. Wanneer de verweerster gewag maakt van een ontslag na “grondig onderzoek” dat “fysieke agressie” vaststelde, had de verweerster op zijn minst kunnen vermelden dat tegen de beslissing nog beroep openstond bij een beroepsorgaan. Het feit dat deze beroepsmogelijkheid niet vermeld werd in de litigieuze communicaties – dit terwijl deze communicaties melding maken van een ontslag om dringende redenen na grondig onderzoek dat fysieke agressie als reden voor het ontslag aanduidt – toont op zich aan dat de rechten en vrijheden van de klager buitensporig geschaad zijn door de communicaties in het licht van de afwegingstoets. 48. Voor beide elementen afzonderlijk besluit de Geschillenkamer dat de afwegingstoets niet is gerespecteerd. Hiermee staat, voor elk van die beide elementen door het schenden van de afwegingstoets, de inbreuk op artikel 6.1.f. AVG vast voor de litigieuze verwerkingen in de drie e-mailberichten. II.4. Sanctionering 49. Nu de Geschillenkamer heeft vastgesteld dat de drie e-mails houdende de communicaties aan studenten, ex-studenten, collega’s en leden van het hogergenoemde comité, persoonsgegevensverwerkingen bevatten die inbreuk uitmaken op artikel 6.1. AVG, is het aan de orde corrigerende maatregelen te nemen lastens de verweerster. 50. In het kader van een effectieve rechtsbescherming onder artikel 47 van het Handvest van de Europese Unie, en de effectieve handhaving die de wetgever met de AVG nastreeft, is het ook nu nog aan de orde de verweerster hieromtrent terecht te wijzen. 51. Om die reden komt het de Geschillenkamer opportuun voor de verweerster te berispen omwille van de vermelding in de litigieuze communicaties dat het ontslag van de om redenen van fysieke agressie gebeurde, alsook omwille van het aanschrijven van exstudenten, voor wie zeker geen noodzaak bestond kenden om kennis te nemen van het ontslag, laat staan op dergelijke wijze. III. Publicatie van de beslissing 52. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. van de daartoe de Beslissing ten gronde 145/2023 – 15/15 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - Op grond van artikel 100, §1, 5° van de WOG, de verweerster te berispen. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 11. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.12, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 11 12 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.