Beslissing ten gronde nr. 147/2022

1/8 Geschillenkamer Beslissing ten gronde 147/2022 van 17 oktober 2022 Dossiernummer : DOS-2019-04465 Betreft : Digitale membershipkaart als toegangskaart voor verlaagd tarief De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager” De verweerder: Y. Y1. hierna “de verweerder” Beslissing ten gronde 147/2022 - 2/8 I. 1. Feiten en procedure Op 3 december 2019 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft de aanmaak van een digitale membershipkaart door de verweerder voor eigenaars van een vakantiehuis en hun familieleden beperkt tot een bepaalde graad van verwantschap teneinde deze aan een voordelig tarief toegang te geven tot het zwembad voor een groot aantal zwembeurten per vakantiehuis. Daartoe dient niet alleen de naam van de aanvrager, tevens eigenaar van het vakantiehuis, te worden verstrekt, maar ook moet voor iedere gebruiker van de kaart een foto worden opgeladen in een gegevensbestand, alsook dient de familieband (1e of 2e graad) te worden vermeld. De klager die eigenaar is van een woning in het vakantiepark wenst toegang te verkrijgen tot het zwembad aan het voordeeltarief, evenwel zonder verstrekking van foto’s en zonder vermelding van de graad van verwantschap. 3. Op 7 januari 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van art. 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 11 augustus 2020 beslist de Geschillenkamer op grond van art. 95, § 1, 1° en art. 98 WOG dat het dossier gereed is voor behandeling ten gronde. 5. Op 11 augustus 2020 worden de betrokken partijen in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in art. 98 WOG. Tevens worden zij op grond van art. 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 25 september 2020, deze voor de conclusie van repliek van de klager op 16 oktober 2020 en ten slotte deze voor de conclusie van repliek van de verweerder op 6 november 2020. 6. Bij gebrek aan reactie vanwege de verweerder op de uitnodiging tot het indienen van verweermiddelen en met het oog op de vrijwaring van de rechten van verdediging beslist de Geschillenkamer op 24 juni 2022 om in overeenstemming met artikel 52 van het reglement van interne orde over te gaan tot een hoorzitting dewelke wordt vastgelegd op 4 juli 2022. 7. Op 28 juni 2022 vraagt de verweerder een kopie van het dossier (art. 95, §2, 3° WOG), dewelke hem werd overgemaakt dezelfde dag. 8. Op verzoek van de verweerder wordt de datum van de hoorzitting verplaatst naar 5 september 2022. 9. Op 29 augustus 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Daarin zet de verweerder uiteen dat de membershipkaart een uitzonderlijk Beslissing ten gronde 147/2022 - 3/8 commercieel aanbod voor private eigenaars uitmaakt en het ongeoorloofd gebruik ervan geleid heeft tot de verzameling van persoonsgegevens inclusief foto’s van de begunstigden van de kaart. In rechte stelt de verweerder dat de privacybeginselen zoals opgenomen in artikel 5.1

1. a)-
2. d)en
3. f)AVG worden nageleefd, evenals het verantwoordingsbeginsel vastgelegd in artikel 5.2 AVG. Ten slotte stelt de verweerder dat de foto’s niet kunnen worden beschouwd als biometrische gegevens in de zin van artikel 9 AVG. 10. Op 5 september 2022 worden de partijen gehoord door de Geschillenkamer. 11. Op 7 september 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 12. Op 13 september 2022 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 13. Op 15 september 2022 ontvangt de Geschillenkamer vanwege de klager eveneens enkele opmerkingen met betrekking tot het proces-verbaal, dewelke mee worden opgenomen in het beraad. II. Motivering
4. a)Rechtsgrond 14. De verweerder voert aan dat de verwerking van de persoonsgegevens aan de hand van de digitale membershipkaart, namelijk de voornaam en familienaam, evenals de foto van zowel de private eigenaar als elk van diens familieleden beperkt tot de 1e en 2e graad, zijn grondslag vindt in artikel 6.1
5. b)AVG. De verweerder beroept zich bovendien in subsidiaire orde op zijn gerechtvaardigd belang (artikel 6.1
6. f)AVG) om de gegevensverwerking op basis van de digitale kaart als rechtmatig te bestempelen. 15. De Geschillenkamer gaat nader in op de rechtsgronden die door de verweerder worden aangehaald. Overeenkomstig artikel 13.1
7. c)AVG moet voordat begonnen wordt met de verwerkingsactiviteiten door de verwerkingsverantwoordelijke worden bepaald welke rechtsgrondslag van toepassing is, en in verband met welk specifiek doel 1, met de verplichting voor de verweerder om de klager hiervan in kennis te stellen. 16. Concreet toegepast op onderhavig dossier stelt de Geschillenkamer vast dat de bijlage bij de basisakte2 betreffende het vakantiedomein in artikel 193 bepaalt dat de verweerder voor 1 Zie in dat verband de Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (randnrs. 121123); https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_nl.pdf 2 3 In de basisakte aangeduid als: “annex Reglement van Medeëigendom en Inwendige Orde” Artikel 19 van de basisakte luidt als volgt: “Iedere eigenaar mag op het domein verblijven wanneer het hem past met de leden van zijn gezin. Hij mag eveneens gasten ontvangen op voorwaarde dat ze noch te talrijk, noch te luidruchtig zijn. De Beslissing ten gronde 147/2022 - 4/8 de bezoekende familieleden of gasten gepaste reglementen zal uitvaardigen of vergoedingen vragen voor het gebruik van o.a. de zwemkom. De Geschillenkamer stelt vast dat de verweerder volgens voormelde bepaling contractueel over de mogelijkheid beschikt om de toegang tot het zwembad te reglementeren, zoals de verweerder in de praktijk heeft gedaan door in een voordeeltarief te voorzien voor de eigenaar en zijn verwanten in 1e en 2e graad. De klager erkent in zijn conclusie alsook tijdens de hoorzitting dat dit systeem om aan een gunstig tarief toegang te krijgen tot het zwemgedeelte reeds sinds vele jaren bestaat. De Geschillenkamer is van oordeel dat de grondslag hiervoor is te vinden in de basisakte en de gegevensverwerking aldus is gebaseerd op artikel 6.1
8. b)AVG teneinde de eigenaar van een vakantiehuis en zijn familieleden beperkt tot de 1 e en 2e graad via een toegangskaart te kunnen laten genieten van het voordeel bestaande uit een toegang tot het zwembad aan een voordeeltarief. 17. Hierna wordt nader ingegaan op de vraag in welke mate de verwerking van de persoonsgegevens door middel van de digitale membershipkaart zoals deze thans is opgezet, namelijk met verwerking van de foto’s van de gebruikers van de kaart alsmede de vermelding van de graad van verwantschap ten opzichte van de eigenaar van het vakantiehuis, het beginsel van minimale gegevensverwerking respecteert. 18. Volledigheidshalve merkt de Geschillenkamer ook nog op dat de rechtsgrond ‘gerechtvaardigd belang’ (artikel 6.1
9. f)AVG) waarop de verweerder zich in subsidiaire orde baseert, door de verweerder post factum wordt ingeroepen en de verweerder aangeeft dat deze rechtsgrond recentelijk aan de privacyverklaring werd toegevoegd. De Geschillenkamer herhaalt dat wegens de verplichting om ten tijde van het verzamelen van persoonsgegevens de rechtsgrond te verstrekken waarop de verwerkingsverantwoordelijke een beroep doet (artikel 13.1
10. c)AVG), de verweerder voordat begonnen wordt met verzamelen moet beslissen wat de rechtsgrond hiervoor is. De toevoeging van de rechtsgrond ‘gerechtvaardigd belang’ nadat de gegevensinzameling heeft plaatsgevonden, zoals in casu, is niet in overeenstemming met de vereiste dat de rechtsgrond voorafgaand aan de inzameling van de foto’s en de informatie omtrent de graad van verwantschap dient te zijn bepaald en kenbaar dient te worden gemaakt aan de betrokkene, zijnde de klager. Het is evenwel voldoende dat er één geldige rechtsgrond aanwezig is, hetwelk in voorliggend geval de overeenkomst is die aan de basis lag van de gegevensinzameling. 19. Uit het voorgaande volgt dat de Geschillenkamer vaststelt dat de rechtsgrond waarop de klager zich in hoofdorde beroept de uitvoering van een overeenkomst betreft (artikel 6.1
11. b)eigenaar van het perceel is verantwoordelijk voor de schade die door zijn gasten wordt aangebracht. De comparant zal voor de bezoekende familieleden of gasten gepaste reglementen uitvaardigen of vergoedingen vragen voor ‘t gebruik van o.a. zwemkom, sportvijver of zelfs voor de toegang tot het domein. De eigenaar is persoonlijk verantwoordelijk voor de inschrijving van de personen die hij onder zijn dak onderbrengt. Andere externe bezoekers van het domein zullen aan dezelfde bepalingen worden onderworpen.” Beslissing ten gronde 147/2022 - 5/8 AVG), hetwelk een geldige rechtsgrond vormt die de verwerking door de verweerder van de persoonsgegevens aan de hand van de digitale membershipkaart kan rechtvaardigen. Aldus komt vast te staan dat de verweerder geen inbreuk op artikel 6.1 AVG juncto artikel 13.1
12. c)AVG heeft gepleegd.
13. b)Beginsel van minimale gegevensverwerking 20. De aanwezigheid van een rechtsgrond die de verweerder toelaat om tot gegevensverwerking over te gaan in het licht van het door hem nagestreefde doeleinde, in dit geval bestaande uit het toekennen van een voordeel aan de eigenaars en een beperkt aantal verwanten door hen aan een gunstig tarief toegang te geven tot het zwembad, neemt niet weg dat de verweerder gehouden is tot naleving van het beginsel van minimale gegevensverwerking. Dit betekent dat de verweerder dient na te gaan op welke wijze het doeleinde kan worden gerealiseerd aan de hand van gegevens die toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (artikel 5.1
14. c)AVG). 21. Toegepast op de voorliggende klacht dient te worden nagegaan of de verweerder de foto’s en de graad van verwantschap van de beoogde gebruikers van de membershipkaart mag opvragen en vervolgens verwerken in een gegevensbestand met het oog op een gecontroleerde toegang tot het zwembad aan het voordeeltarief om misbruik van de kaart door derden te voorkomen. In het verleden werd immers meermaals vastgesteld dat derden ongeoorloofd gebruik maakten van de kaart doordat sommige eigenaars de toen gangbare papieren kaart met zwembeurten ter beschikking stelden aan de huurders van hun vakantiewoning in het kader van particuliere verhuur. Uitgaande van het doeleinde bestaande uit het afwenden van mogelijk misbruik van de kaart, dient te worden getoetst of daartoe de verwerking van de betreffende foto’s en graad van verwantschap is vereist. 22. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt4. Uit de feitelijke elementen van 4 Overweging 39 AVG. “Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. Dat beginsel betreft met name het informeren van de betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot de natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. Natuurlijke personen moeten bewust worden gemaakt van de risico's, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld. De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het Beslissing ten gronde 147/2022 - 6/8 het dossier blijkt dat er nood is aan identificatie van de gebruikers van de kaart die zich aanbieden bij het zwembad, zodat kan worden geverifieerd of de gebruikers daadwerkelijk diegenen zijn die gerechtigd zijn om zich toegang te verschaffen tot het zwembad aan het gunstige voordeeltarief en aldus misbruik kan worden uitgesloten. Dit vormt een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde in de zin van artikel 5.1
15. b)AVG5. Het staat vast dat de betrokken eigenaars, waaronder de klager, werden aangeschreven door de verweerder waarbij in de brief werd toegelicht dat ingevolge misbruik van de papieren kaart zou worden overgeschakeld naar een digitale kaart met toelichting dat voortaan de foto’s van de begunstigden met aanduiding van de graad van verwantschap daartoe nodig zou zijn. 23. Precies aangaande de noodzaak tot het verstrekken van foto’s met vermelding van de graad van verwantschap en de verwerking ervan in een gegevensbestand met het oog op het gebruik van de digitale kaart in het kader van het bestrijden van misbruik, geeft de verweerder tijdens de hoorzitting aan te hebben onderzocht om de identiteitskaart als middel voor toegangscontrole te gebruiken, maar dat de uitlezing ervan geenszins minder privacy-schendend zou zijn, aangezien de identiteitskaart meer gegevens bevat dan nodig voor toegangscontrole. 24. Dienaangaande wijst de Geschillenkamer erop dat het doeleinde zoals nagestreefd door de verweerder wel degelijk kan worden bereikt door enkel en alleen de namen van de begunstigden van het voordeeltarief te verwerken in een gegevensbestand dat is gekoppeld aan een digitale kaart. Het volstaat immers dat de begunstigde van de kaart zich aanbiedt aan het toegangsloket van het zwembad waar hem het voordeeltarief kan worden toegekend mits het aanbieden van zijn digitale membershipkaart én op vertoon van zijn identiteitskaart. Het is geenszins noodzakelijk dat de klager hierbij zijn identiteitskaart laat ‘uitlezen’ zoals de verweerder aanvoert, hetwelk een geautomatiseerde gegevensverwerking impliceert overeenkomstig artikel 2.1 AVG. Het uitlezen van de identiteitskaart zou immers tot gevolg hebben dat door middel van een e-ID kaartlezer, meer gegevens worden verwerkt dan nodig voor het doeleinde, aangezien zich op de kaart veel meer informatie bevindt dan deze die de verweerder meent nodig te hebben. 25. De Geschillenkamer stelt dat het voldoende is dat de namen van de begunstigden worden verwerkt door middel van de membershipkaart en kunnen worden geraadpleegd door de doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Om ervoor te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan. Alle redelijke maatregelen moeten worden genomen om ervoor te zorgen dat onjuiste persoonsgegevens worden gerectificeerd of gewist. Persoonsgegevens moeten worden verwerkt op een manier die een passende beveiliging en vertrouwelijkheid van die gegevens waarborgt, ook ter voorkoming van ongeoorloofde toegang tot of het ongeoorloofde gebruik van persoonsgegevens en de apparatuur die voor de verwerking wordt gebruikt.” [eigen onderlijning] 5 Zie in dit verband ook overweging 39 AVG waarin is opgenomen: “[…] Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld. […]” Beslissing ten gronde 147/2022 - 7/8 receptioniste. Teneinde na te gaan of diegene die de membershipkaart aanbiedt wel degelijk een begunstigde van het voordeeltarief is, biedt een louter visuele controle van de identiteitskaart waarop zowel de naam als de foto van de betrokkene zichtbaar staan vermeld, de garantie op correcte identificatie. Het verwerken van foto’s van de begunstigden kan dus geenszins worden aangemerkt als ter zake dienend en noodzakelijk voor de realisatie van het nagestreefde doeleinde. De combinatie van enerzijds de verwerking van de namen van de begunstigden van het voordeeltarief door middel van de membershipkaart die is gekoppeld aan een gegevensbestand, hetwelk een gegevensverwerking uitmaakt in de zin van artikel 4. 2) AVG, en anderzijds de visuele controle van de identiteitskaart waarop zich tevens de naam van de begunstigde bevindt, alsmede de foto aan de hand waarvan kan worden nagegaan of de persoon die zich aanbiedt aan het toegangsloket daadwerkelijk diegene is aan wie die naam en foto toebehoren en aldus gerechtigd is gebruik te maken van de membershipkaart, is afdoende om misbruik tegen te gaan. Een louter visuele controle waarbij de fysieke gelijkenissen worden nagegaan van diegene die toegang wenst en de foto op de identiteitskaart, valt niet onder het toepassingsgebied van de AVG, vermits dergelijke controle niet gepaard gaat met enige vorm van verwerking in de zin van artikel 2.1 AVG. In geval van verificatie van de identiteit de visu, is er immers geen sprake van een geheel of gedeeltelijk geautomatiseerde verwerking, noch van een verwerking die in een bestand is opgenomen of bedoeld om daarin te worden opgenomen. Hieruit volgt dat met deze werkwijze het beoogde doel kan worden bereikt op een minder privacy-schendende manier dan deze die de verweerder thans aanwendt. 26. Dit geldt evenzeer voor de verwerking van de graad van verwantschap waarvan de verwerking evenmin ter zake dienend en noodzakelijk is in het licht van het doeleinde. De mededeling van de graad van verwantschap voor elke begunstigde, zoals gevraagd door de verweerder, is gebaseerd op de eenvoudige “verklaring op eer” van de eigenaar van het vakantiehuis. De Geschillenkamer is van oordeel dat het volstaat dat de eigenaar van het vakantiehuis enkel de namen opgeeft van zijn verwanten in de 1e en 2e graad zonder dat hij voor elk van hen de precieze graad dient te vermelden. De aanduiding van de verwantschapsgraad biedt geen enkele toegevoegde waarde, aangezien dit gegeven niet aan enige controle kan worden onderworpen gelet op het feit dat het niet-geverifieerde informatie betreft die door de eigenaar zelf dient te worden verstrekt, dewelke niet objectief kan worden vastgesteld door de verweerder aan de hand van enig document. Dit leidt ertoe dat de Geschillenkamer van oordeel is dat ook voor wat betreft de verwantschapsgraad de verwerking van enkel de namen van de begunstigden volstaat zonder verdere specificatie van de graad van verwantschap. 27. Ingevolge het feit dat het doeleinde van de verweerder kan worden gerealiseerd zonder verwerking van de foto’s van de begunstigden van de membershipkaart en hun graad van Beslissing ten gronde 147/2022 - 8/8 verwantschap, komt vast te staan dat de verweerder een inbreuk op artikel 5.1
16. c)AVG heeft gepleegd. III. Publicatie van de beslissing 28. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing Gegevensbeschermingsautoriteit. Het is gepubliceerd evenwel op niet de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond van art. 100, §1, 9° WOG, de verweerder te bevelen dat de verwerking in overeenstemming wordt gebracht met artikel 5.1,
17. c)AVG, en wel binnen een termijn van twee maanden, en de Gegevensbeschermingsautoriteit daarover binnen dezelfde termijn te informeren. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 6. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.7, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 6 7 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.