Beslissing ten gronde nr. 149/2022

1/30 Geschillenkamer Beslissing ten gronde 149/2022 van 18 oktober 2022 Dossiernummer : DOS-2021-06293 en DOS-2021-06884 Betreft : Delen van persoonsgegevens betreffende huurders van een sociale woning in het kader van een vermogensonderzoek De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: de heer X1 en mevrouw X1, hierna: klager 1 de heer X2 en mevrouw X2, hierna: klager 2 allen vertegenwoordigd door Mr. Rahim Aktepe, kantoorhoudende te 2000 Antwerpen, Amerikalei 95 hierna gezamenlijk “de klager” genoemd; De verweerster: Y, vertegenwoordigd door Mr. Myrthe Maes, Mr. Nele Somers en Mr. Thomas Bronselaer, kantoorhoudende te 2000 Antwerpen, Amerikalei 79, bus 201, hierna “de verweerster”. Beslissing ten gronde 149/2022 - 2/30 I. 1. Feiten en procedure Het voorwerp van de klacht betreft het meedelen van persoonsgegevens van sociale huurders aan derden in het kader van een buitenlands vermogensonderzoek. 2. Op respectievelijk 27 september 2021 en 22 oktober 2021 dienen de klager 1 en de klager 2 een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. 3. Op respectievelijk 1 oktober 2021 en 5 januari 2022 worden de klachten door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en worden ze op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op respectievelijk 27 oktober 2021 en op 17 januari 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 15 februari 2022 worden de onderzoeken door de Inspectiedienst afgerond, worden beide verslagen bij het dossier gevoegd en worden de dossiers door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag dat werd opgemaakt in verband met klager 1 bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat: 1. er geen sprake is van een inbreuk op artikel 5, lid 1,

1. a)en lid 2 AVG, artikel 6, lid 1 AVG voor wat betreft het beginsel inzake rechtmatigheid; 2. er sprake is van een inbreuk op artikel 5 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en 2 AVG voor wat betreft de beginselen inzake behoorlijkheid en transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking en integriteit en vertrouwelijkheid; 3. er sprake is van een inbreuk op artikel 28, lid 2 en lid 3 AVG; en 4. er sprake is van een inbreuk op de artikelen 44, 46, 24, lid 1 en 5, lid 2 AVG voor wat betreft de doorgifte van persoonsgegevens naar Turkije. Het verslag dat werd opgemaakt in verband met klager 1 bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat: 1. er sprake is van een inbreuk op artikel 30, lid 1 AVG wegens de niet-naleving van verscheidene verplichtingen inzake het register van verwerkingsactiviteiten. 6. Het verslag dat werd opgemaakt in verband met klager 2 sluit zich aan bij de vaststellingen van het eerste verslag. In deze beslissing zal dan ook verwezen worden naar het eerste verslag als het Inspectieverslag. Beslissing ten gronde 149/2022 - 3/30 7. Op 21 februari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat beide dossiers gereed zijn voor behandeling ten gronde. De Geschillenkamer stelt voor aan de partijen om beide zaken samen te voegen. Eveneens op 21 februari 2022 mocht de Geschillenkamer het akkoord tot samenvoeging van beide partijen ontvangen. 8. Op 21 februari 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 4 april 2022, deze voor de conclusie van repliek van de klager op 25 april 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 16 mei 2022. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster voor wat betreft de vaststellingen buiten het ontwerp van de klacht werd daarbij vastgelegd op 4 april 2022. 9. Op 21 februari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 10. Op 8 maart 2022 vraagt de verweerster een kopie van het dossier (artikel 95, §2, 3° WOG), dewelke haar werd overgemaakt op 23 maart 2022. 11. Op 8 maart 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 12. Op 4 april 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht, alsook de vaststellingen buiten het voorwerp van de klacht. De verweerster stelt dat de verwerking in haren hoofde een rechtmatige gegevensverwerking uitmaakt. Ten tweede betoogt de verweerster dat de gegevensverwerking in kwestie een correcte en toegelaten gegevensverwerking uitmaakt, waarbij alle grondbeginselen uit artikel 5, lid 1 AVG worden gerespecteerd en dat zij dat ook kan aantonen. Ten derde ontkent de verweerster de vaststellingen van de Inspectiedienst omtrent de verwerkersovereenkomst niet, maar stelt dat zij deze inbreuken weggewerkt heeft. Ten vierde argumenteert de verweerster dat de doorgifte van persoonsgegevens aan Turkije op rechtmatige wijze heeft plaatsgevonden. Tot slot voert de verweerster aan dat het register van verwerkingsactiviteiten werd bijgewerkt waardoor gevolg werd gegeven aan de door de Inspectiedienst vastgestelde tekortkomingen. 13. Op 22 april 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager, waarin een overzicht wordt gegeven van de eerder gevoerde procedure door de klager ten aanzien Beslissing ten gronde 149/2022 - 4/30 van de verweerster voor de vrederechter. De klager betwist de rechtmatigheid van de gegevensverwerking, alsook stelt de klager dat de gegevensverwerking niet plaatsgevonden heeft in overeenstemming met de grondbeginselen van artikel 5, lid 1 AVG. Voor wat betreft de vaststellingen inzake de verwerkersovereenkomst, de doorgifte van persoonsgegevens aan Turkije en het register van verwerkingsactiviteiten, sluit de klager zich aan bij de vaststellingen van de Inspectiedienst. 14. Op 18 mei 2022 ontvangt de Geschillenkamer de conclusie van repliek van de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Hierin herhaalt de verweerster haar standpunten uit de conclusie van antwoord. 15. Op 10 augustus 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 22 september 2022. 16. Op 22 september 2022 worden de partijen gehoord door de Geschillenkamer. 17. Op 23 september 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 18. Op 29 september 2022 ontvangt de Geschillenkamer vanwege de verweerster enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 19. De Geschillenkamer ontvangt geen opmerkingen met betrekking tot het proces-verbaal vanwege de klager. II. Motivering II.1. Bevoegdheid van de Geschillenkamer 20. In zijn conclusies zet de klager in zijn eerste drie middelen uiteen dat zij geen eigenaar zijn van een onroerend goed in Turkije, betwisten ze de bewijswaarde van de onderzoeksrapporten die zijn opgesteld door Z in het kader van het buitenlands vermogensonderzoek, en tot slot bespreekt de klager de leer van het onrechtmatig verkregen bewijs. 21. De Geschillenkamer is echter enkel bevoegd om te oordelen of het buitenlands vermogensonderzoek heeft plaatsgevonden in overeenstemming met de AVG. De bovenstaande middelen behoren niet tot de bevoegdheid van de Geschillenkamer en werden reeds beoordeeld door de vrederechter van Lier (zie hieronder). Deze argumenten zullen dus niet het voorwerp uitmaken van de procedure voor de Geschillenkamer. II.2. Artikel 5, lid 1,
2. a)AVG, artikel 6, lid 1 AVG 22. De Inspectiedienst komt tot de vaststelling dat verweerster de verplichtingen opgelegd door artikel 5, lid 1
3. a)en lid 2 AVG en artikel 6 AVG heeft nageleefd voor wat betreft het beginsel Beslissing ten gronde 149/2022 - 5/30 inzake rechtmatigheid. Op basis van de antwoorden verkregen van de verweerster tijdens het onderzoek, volgt de Inspectiedienst de stelling van de verweerster dat zij zich beroept op de rechtsgrond uit artikel 6, lid 1,
4. e)AVG (de noodzakelijkheid voor de vervulling van een taak van algemeen belang). 23. Uitgangspunt van artikel 5, lid 1,
5. a)AVG is dat persoonsgegevens alleen op rechtmatige wijze mogen worden verwerkt. Dit betekent dat een rechtsgrond voor de verwerking van persoonsgegevens als bedoeld in artikel 6, lid 1 van de AVG aanwezig moet zijn. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen worden verwerkt op grond van één van de in het artikel opgesomde rechtsgronden. 24. De klager betwist de vaststellingen van de Inspectiedienst en voert aan dat de verweerster zich onterecht beroept op artikel 6, lid 1,
6. e)AVG. Daarnaast stelt de klager dat de verweerster zich evenmin kan beroepen op enige andere rechtsgrond, zoals de toestemming (artikel 6, lid 1,
7. a)AVG). 25. Om zich rechtmatig te kunnen beroepen op de rechtsgrondslag uit artikel 6, lid 1,
8. e)AVG mogen persoonsgegevens enkel verwerkt worden als dit noodzakelijk is voor de vervulling van een taak in het algemeen belang of als het noodzakelijk is voor de uitoefening van het openbaar gezag dat aan de verantwoordelijke is opgedragen. De verwerking moet in deze gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de betreffende lidstaat, waarin ook het doel van de verwerking moet staan. Er moet bijgevolg worden nagegaan of in dit geval aan de in dat artikel gestelde voorwaarden is voldaan. 26. Krachtens artikel 6, lid 3 en Overweging 45 van de AVG moet een verwerking op grond van artikel 6, lid 1,
9. e)AVG aan de volgende voorwaarden voldoen: a. De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een opdracht van algemeen belang of een opdracht die deel uitmaakt van de uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is vervat; b. De doeleinden van de verwerking worden in de rechtsgrond vastgesteld of moeten noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de uitoefening van het openbaar gezag. 27. De Geschillenkamer zal de voorwaarden van algemeen belang, wettelijke basis en noodzakelijkheid hieronder beoordelen. Taak van algemeen belang 28. De taak van algemeen belang in kwestie waarop de verweerster zich beroept is de controle op de inschrijvings- en toekenningsvoorwaarden in het kader van de sociale huur teneinde Beslissing ten gronde 149/2022 - 6/30 woningen te verhuren aan huurders die niet op eigen kracht in hun huisvestingsbehoeften kunnen voorzien. Zoals ook bevestigd door de vrederechter van het kanton Lier die reeds uitspraak gedaan heeft in deze zaak met betrekking tot de aspecten inzake de beëindiging van de huurovereenkomst, rust op sociale huisvestingsmaatschappijen de wettelijke verplichting om na te gaan of hun (kandidaat-)huurders aan de toepasselijke voorwaarden voldoen, zowel bij de start als gedurende de volledige duurtijd van de huurovereenkomst. Sociale woninghuur is immers voorbehouden voor kwetsbare personen die zelf niet kunnen voorzien in hun huisvestingsbehoeften zonder hulp. Gelet op de beperkte beschikbare overheidsbudgetten, dienen de sociale huurwoningen toe te komen aan deze personen die het meest woonbehoeftig zijn.1 29. Voor de Geschillenkamer is het duidelijk dat de verweerster door verwerkingen in het kader van haar wettelijke opdracht het algemeen belang vervult, zijnde een zinvolle besteding van beperkte overheidsmiddelen door het toekennen van sociale woningen aan personen die het meest woonbehoeftig zijn. De verweerster stelt dan ook terecht dat de verwerking kan worden gebaseerd op artikel 6, lid 1,
10. e)van de AVG.2 De toestemming van de klager is derhalve niet vereist opdat de verwerking rechtmatig zou zijn, temeer daar deze grondslag voor rechtmatigheid niet door de verweerster wordt aangevoerd. Een duidelijke, precieze en voorspelbare rechtsgrondslag 30. Volgens Overweging 41 van de AVG moet deze rechtsgrondslag of wetgevingsmaatregel duidelijk en nauwkeurig zijn en moet de toepassing ervan voor de rechtzoekenden voorspelbaar zijn, overeenkomstig de jurisprudentie van het Hof van Justitie van de Europese Unie en het EVRM. Het EHRM heeft in het Rotaru-arrest3 het begrip voorspelbaarheid van de rechtsgrondslag nader bepaald. Aangezien die zaak betrekking had op bewakingssystemen van het veiligheidsapparaat van een staat, verschilt de context van de onderhavige zaak. In andere gevallen heeft het EHRM weliswaar aangegeven dat het zich door deze beginselen kan laten leiden, maar het is van oordeel dat deze criteria, die in de specifieke context van die concrete zaak zijn vastgesteld en gevolgd dus niet als zodanig op alle gevallen van toepassing zijn4. 31. Uit de conclusies van de verweerster blijkt dat zij zich beroept op haar opdracht als sociale huisvestigingsmaatschappij om uitvoering te geven aan artikel 23 van de Grondwet waarin 1 T. VANDROMME, Begripsomschrijving in B. HUBEAU en A. HANSELAER, Sociale Huur, Brugge, die Keuren, 2010, p. 24. 2 Zie in die zin ook T. VANDROMME, Ook beroepsrechter laat bewijs van onroerend buitenlands bezit door privéfirma toe, De Juristenkrant, 27 januari 2021 en o.a. 3 EHRM, 4 mei 2000, Rotaru t. Roemenië. 4 EHRM, 2 september 2010, Uzun t. Duitsland, § 66. Beslissing ten gronde 149/2022 - 7/30 het recht op behoorlijke huisvesting is opgenomen.5 Hiermee geeft de verweerster uitvoering aan het internationaal erkend recht op behoorlijke huisvesting. 32. Op basis van artikel 33 van het Decreet houdende de Vlaamse Wooncode6 (hierna: “Vlaamse Wooncode”) dienen de sociale huisvestingsmaatschappijen onder andere de woonvoorwaarden van de woonbehoeftige gezinnen en alleenstaanden te verbeteren, inzonderheid van de meest behoeftige gezinnen en alleenstaanden, door te zorgen voor een voldoende aanbod van sociale huurwoningen en sociale koopwoningen. Dit heeft ertoe geleid dat de Vlaamse Regering verschillende voorwaarden heeft vastgelegd waaraan (kandidaat-)huurders moeten voldoen, opdat de meest woonbehoeftigen de sociale woningen toegewezen krijgen. 33. Om in aanmerking te komen voor sociale huur, moet de potentiële huurder dus onder andere voldoen aan de inschrijvingsvoorwaarden uit artikel 3 van het Besluit van de Vlaamse Regering tot reglementering van het sociale huurstelsel ter uitvoering van titel VII van de Vlaamse Wooncode7 (hierna: Kaderbesluit) waaronder: “Artikel 3 § 1. Een natuurlijke persoon kan zich laten inschrijven in het register, vermeld in artikel 7, als hij aan de volgende voorwaarden voldoet : […] 3° hij heeft, samen met zijn gezinsleden, geen woning of geen perceel dat bestemd is voor woningbouw volledig in volle eigendom of volledig in vruchtgebruik in binnen- of buitenland, tenzij het een in het Vlaams Gewest gevestigd campingverblijf betreft; […].” 34. Het onderzoek naar het voldoen aan de voorwaarden en verplichtingen voor sociale huur wordt geregeld door artikel 52 van het Kaderbesluit: “Artikel 52 § 1. De referentiepersoon geeft aan de verhuurder, door zijn aanvraag tot inschrijving in het register, zijn inschrijving als kandidaat-huurder of zijn huurderschap, de toestemming om bij de bevoegde overheden en instellingen en bij de lokale besturen de noodzakelijke documenten of gegevens betreffende de in dit besluit gestelde voorwaarden en verplichtingen te verkrijgen, met behoud van de toepassing van de bepalingen van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, haar 5 Artikel 23: “Ieder heeft het recht een menswaardig leven te leiden […] Die rechten omvatten inzonderheid […] 3° het recht op behoorlijke huisvesting […]” 6 7 Decreet houdende de Vlaamse Wooncode van 15 juli 1997, BS 19 augustus 1997. Besluit van 12 oktober 2007 van de Vlaamse Regering tot reglementering van het sociale huurstelsel ter uitvoering van titel VII van de Vlaamse Wooncode, BS 7 december 2007. Beslissing ten gronde 149/2022 - 8/30 uitvoeringsbesluiten en elke andere bepaling tot bescherming van de persoonlijke levenssfeer, vastgesteld door of krachtens een wet, decreet of besluit. § 2. Voor de uitvoering van de bepalingen van dit besluit doet de verhuurder een beroep op informatie die de bevoegde overheden of instellingen of andere verhuurders hem elektronisch kunnen bezorgen. Als op die manier geen of onvoldoende gegevens worden verkregen, wordt de kandidaathuurder of huurder gevraagd de nodige gegevens te bezorgen. Als via de verkregen informatie van de bevoegde overheden of instellingen of andere verhuurders blijkt dat de kandidaat-huurder of huurder niet of niet meer voldoet aan de voorwaarden en verplichtingen van dit besluit, wordt die vaststelling meegedeeld aan de kandidaathuurder of huurder die dan binnen een week na de mededeling kan reageren. Onder de bevoegde overheden en instellingen, vermeld in § 1 en § 2, eerste lid, worden onder meer begrepen : 1° het Rijksregister van de natuurlijk personen, vermeld in de wet van 8 augustus 1983 tot regeling van een rijksregister van de natuurlijke personen ;2° de instellingen van sociale zekerheid, vermeld in artikelen 1 en 2, eerste lid, 2°, van de wet van 15 januari 1990 houdende oprichting en organisatie van een Kruispuntbank van de Sociale Zekerheid en de personen waartoe het netwerk van de sociale zekerheid met toepassing van artikel 18 van dezelfde wet werd uitgebreid; 3° de Federale Overheidsdienst Financiën; 4° de Kruispuntbank Inburgering; 5° de Huizen van het Nederlands; 6° de onthaalbureaus; 7° de coördinatiecel Vlaamse E-government; 8° de organisaties en de instellingen, vermeld in artikel 4, eerste lid, met inbegrip van het beleidsdomein Onderwijs en Vorming van de Vlaamse Gemeenschap. 35. Uit analyse van het bovenstaande is het bijgevolg voorspelbaar dat de naleving van de inschrijvingsvoorwaarden gecontroleerd kan worden door sociale huisvestingsmaatschappijen zoals de verweerster zowel bij de start als gedurende de hele duurtijd van de huurovereenkomst. 36. De wijze waarop deze controle zal plaatsvinden is minder voorspelbaar aangezien voormeld artikel 52 van het Kaderbesluit een niet-limitatieve opsomming (“onder meer”) bevat waardoor de verhuurder gebruik kan maken van verschillende instrumenten die niet in dit artikel zijn opgenomen. 37. De Geschillenkamer heeft er in dit verband al op gewezen in beslissing 124/2021 dd. 10 november 2021 dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen die voldoen aan de eisen vermeld onder randnummer 29 e.v. meer bepaald het vastleggen van de essentiële kenmerken van de gegevensverwerking. Veeleer vinden verwerkingen plaats op basis van een meer algemene Beslissing ten gronde 149/2022 - 9/30 machtiging om te handelen, zoals voor de vervulling van de taak die noodzakelijk is, zoals ook in casu het geval is. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag willen beroep doen op artikel 6, lid 1
11. e)AVG moeten dan zelf een afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. 38. Ten overvloede wijst de Geschillenkamer erop dat sinds 1 januari 2022 de Vlaamse decreetgever heeft opgetreden om een nieuwe wettelijke basis te voorzien voor de verwerking van persoonsgegevens in het kader van een buitenlands vermogensonderzoek. Aan het Gecodificeerd Decreet over het Vlaamse woonbeleid (hierna: Vlaamse Codex Wonen)8 werden artikel 6.3/1 en 63/2 toegevoegd die nu uitdrukkelijk voorzien dat sociale huisvestingsmaatschappijen aan private onderzoeksbureaus persoonsgegevens kunnen doorgeven in het kader van een buitenlands vermogensonderzoek. Deze artikelen luiden als volgt: Artikel 6/3.1 van de Vlaamse Codex Wonen: § 1. Voor de toepassing van dit boek worden persoonsgegevens verwerkt voor de volgende doeleinden: 1° nagaan of voldaan is aan de voorwaarden en verplichtingen van dit boek en die de Vlaamse Regering vaststelt conform dit boek; […] § 2. De verwerkingsverantwoordelijken, vermeld in artikel 4, 7), van de algemene verordening gegevensbescherming, zijn: 1° de verhuurder, voor wat betreft de verwerkingen die hij voor zijn rekening neemt; […] § 3. Met toepassing van paragraaf 1 kunnen de volgende categorieën van persoonsgegevens worden verwerkt: 1° identificatiegegevens; 2° het rijksregisternummer en de identificatienummers van de sociale zekerheid; 3° persoonlijke kenmerken; 4° gezinssamenstelling; 5° financiële bijzonderheden; 6° gegevens over onroerende rechten; 7° gegevens van cursisten Nederlands als tweede taal (NT2); 8° woningkenmerken; 9° beroep en betrekking; 8 Gecodificeerd Decreet over het Vlaamse woonbeleid, gecodificeerd op 17 juli 2020, BS 13 november 2020. Beslissing ten gronde 149/2022 - 10/30 10° gegevens uit sociaal onderzoek; 11° leefgewoonten; 12° gerechtelijke gegevens over het beëindigen van de huurovereenkomst wegens het veroorzaken van ernstige overlast of ernstige verwaarlozing van de sociale huurwoning; 13° gegevens over de lichamelijke of psychische gezondheid; 14° opleiding en vorming; 15° gegevens van de huurovereenkomst die is opgezegd door de verhuurder; 16° verbruiksgegevens. […] § 6. De verwerkingsverantwoordelijke, vermeld in paragraaf 2, 1° en 2°, kan persoonsgegevens doorgeven onder de volgende voorwaarden: 1° […]; 2° de persoonsgegevens, vermeld in paragraaf 3, eerste lid, 1°, 2°, 3°, 8° en 10°, aan de private partners die de Vlaamse Regering conform artikel 6.3/2, tweede lid, aanduidt voor het onderzoek naar het onroerend bezit in het buitenland; […]” Artikel 6/3.2, lid 1 van de Vlaamse Codex Wonen: “De verhuurder die nagaat of voldaan is aan de voorwaarden inzake onroerend bezit, vermeld in artikel 6.8, eerste lid, 2°, artikel 6.11 en 6.21, eerste lid, kan voor het onroerend bezit in het buitenland, een beroep doen op private of publieke partners. De Vlaamse Regering kan de entiteit aanduiden die een raamovereenkomst sluit waarin de private partners worden aangeduid.” De Geschillenkamer merkt in dit verband op dat deze nieuwe wetgeving gepubliceerd werd na de litigieuze gegevensverwerkingen en dus niet van toepassing is op de buitenlandse vermogensonderzoeken in deze zaak. Aangezien deze Vlaamse Codex Wonen nog niet in werking getreden was op het moment van de buitenlandse vermogensonderzoeken heeft de Geschillenkamer geen beroep gedaan op deze wetgeving om tot deze beslissing te komen. Noodzakelijkheid 39. Ingevolge artikel 6, lid 1,
12. e)AVG geldt dat de verwerking alleen rechtmatig is indien en voor zover de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Zoals hierboven uiteengezet bevat wetgeving vaak geen concreet omschreven bepalingen omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag beroep willen doen op artikel 6, lid 1
13. e)AVG moeten dan zelf een Beslissing ten gronde 149/2022 - 11/30 afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. 40. De verweerster stelt dat zij in het kader van de beoordeling van de noodzakelijkheid een belangenafweging heeft uitgevoerd alvorens de persoonsgegevens in kwestie over te maken aan Z voor het uitvoeren van een buitenlands vermogensonderzoek. De verweerster betoogt dat deze belangenafweging zich heeft veruitwendigd in het aanbieden van de mogelijkheid om voorafgaand spontaan melding te maken van eigendom in het buitenland en de doorgifte van persoonsgegevens vervolgens heeft plaatsgevonden op basis van redelijke vermoedens van eigendomsfraude. De vrederechter van het kanton Lier heeft in haar vonnis dd. 8 maart 2022 (voor wat betreft klager 1) en haar vonnis dd. 12 april 2022 (voor wat betreft klager 2) vastgesteld dat op 29 juli 2020 de verweerster aan al haar huurders een brief heeft verzonden waarin werd aangekondigd dat zij gecontroleerd zouden worden op onroerend bezit? in het buitenland. De brief werd persoonlijk per drager rondgebracht bij elke huurder en bij afwezigheid werd de brief in de brievenbus achtergelaten. Door het gebrek aan antwoord van de klagers op dit schrijven, stelt de verweerster dat zij geen andere mogelijkheid had, dan een dergelijk buitenlands vermogensonderzoek uit te voeren. 41. De Geschillenkamer stelt enerzijds vast dat artikel 52 van het Kaderbesluit geen expliciete verwijzing bevat naar private onderzoeksbureaus zoals Z om de vereiste gegevens te verzamelen, maar anderzijds ook dat de voormelde opsomming op niet-limitatief wijze is geformuleerd waardoor het beroep op private onderzoeksbureaus niet door voormeld artikel 52 van het Kaderbesluit wordt uitgesloten. 42. In overeenstemming met haar eerdere beslissing9, herinnert de Geschillenkamer eraan dat vermogensonderzoeken in het binnenland kunnen gebeuren via een eenvoudige consultatie van het kadaster. Onderzoeken naar onroerende goederen in het buitenland en vooral nietEU-lidstaten zijn echter minder evident. De sociale huisvestingsmaatschappijen laten dan ook de huurders op eer verklaren dat zij geen onroerend goed bezitten in het buitenland. Om deze verklaringen te controleren doen deze sociale huisvestingsmaatschappijen, zoals de verweerster, een beroep op gespecialiseerde firma’s, zoals in casu Z, als verwerker om een buitenlands vermogensonderzoek uit te voeren wanneer zij ernstige aanwijzingen of vermoedens heeft van buitenlands onroerend bezit. 43. De noodzakelijkheid van het buitenlands vermogensonderzoek blijkt uit het feit dat de klager al meerdere keren werd uitgenodigd om een eventueel bezit in het buitenland te melden, eerst bij de ondertekening van de bovenvermelde verklaring op eer en vervolgens wanneer de verweerster de klager via de waarschuwingsbrief op de hoogte had gebracht van haar voornemen om een buitenlands vermogensonderzoek te voeren. De verweerster 9 Beslissing 124/2021 dd. 10 november 2021, https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen te raadplegen via Beslissing ten gronde 149/2022 - 12/30 mocht echter geen afdoend antwoord ontvangen. Gelet op haar wettelijk taak om beperkte overheidsmiddelen aan te wenden om de meest kwetsbare personen te huisvesten, gelet op het groot tekort aan sociale woningen en gelet op de moeilijkheden om dergelijke gegevens op te zoeken voor onroerende goederen gelegen in het buitenland, was de verweerster genoodzaakt om het buitenlands vermogensonderzoek uit te voeren om haar ernstige vermoeden van buitenlands onroerend bezit te controleren. 44. Deze vaststellingen werden ook reeds gedaan door de vrederechter van het kanton Lier in haar vonnis dd. 8 maart 2022 (voor wat betreft klager 1) en in haar vonnis dd. 12 april 2022 (voor wat betreft klager 2). De vrederechter kwam tot de vaststelling dat de verweerster zich rechtmatig kon beroepen op artikel 6, lid 1,
14. e)AVG voor het uitvoeren van het buitenlands vermogensonderzoek. De Geschillenkamer ziet geen redenen om hieromtrent een afwijkende standpunt in te nemen. 45. Tot slot stelt de klager dat de verweerster zich niet kan beroepen op artikel 6, lid 1,
15. e)AVG zoals vermeld in de privacy policy op haar website omdat deze privacy policy niet aan de klager werd betekend. Hieromtrent verwijst de Geschillenkamer naar de richtsnoeren inzake transparantie van de Groep Gegevensbescherming artikel 29 waarin wordt bepaald als volgt: "Elke onderneming met een website zou op die site een verklaring of een mededeling over de bescherming van de persoonlijke levenssfeer moeten publiceren. Een rechtstreekse link naar deze verklaring of mededeling over de bescherming van de persoonlijke levenssfeer zou duidelijk zichtbaar moeten zijn op elke pagina van de website, onder een algemeen gebruikte term (bv. "Vertrouwelijkheid", "Vertrouwelijkheidsbeleid" "Mededeling inzake de bescherming van de persoonlijke levenssfeer". 10 of Er is dus geen verplichting om deze informatie persoonlijk aan de klager te bezorgen. Meer zelfs, de Groep Gegevensbescherming artikel 29 stelt dat "alle informatie die aan een betrokkene wordt toegestuurd, ook toegankelijk zou moeten zijn op een enkele plaats of in eenzelfde document (op papier of in elektronisch formaat) dat vlot kan worden geraadpleegd door deze persoon indien hij alle informatie die hem wordt toegestuurd wenst te raadplegen."11 Bijgevolg kan hieruit worden geconcludeerd dat het publiceren van een rechtstreekse link naar de verklaring omtrent de bescherming van persoonsgegevens op de website (welke in casu aanwezig was) volstaat. 46. Voortvloeiend uit het bovenstaande meent de Geschillenkamer dat er geen inbreuk op de artikelen 5, lid 1, a), 6, lid 1 AVG werd begaan door de verweerster. 10 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 11. 11 Werkgroep "Artikel 29", "Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679", herziene en op 11 april 2018 goedgekeurde versie (beschikbaar op: https://ec.europa.eu/newsroom/article29/items/622227), punt 17. Beslissing ten gronde 149/2022 - 13/30 II.3. Artikel 5 AVG, artikel 24, lid 1 AVG en artikel 25, lid 1 en 2 AVG Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG 47. De verwerkingsverantwoordelijke moet de beginselen uit artikel 5 AVG naleven en dat kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 j° artikel 24, lid 1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt overeenkomstig de AVG. 48. In zijn Inspectieverslag stelt de Inspectiedienst vast dat de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG werden geschonden. In het kader van zijn onderzoek omtrent de verantwoordingsplicht heeft de Inspectiedienst volgende vraag overgemaakt aan de verweerster: “Gelieve aan te tonen met behulp van documenten overeenkomstig artikelen 5, 6, 24 en 25 van de AVG dat uw organisatie passende technische en organisatorische maatregelen heeft genomen teneinde de naleving van de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, te waarborgen in het kader van het vermogensonderzoek in het buitenland vermeld in de klacht”. 49. De verweerster heeft hierop een antwoord geformuleerd waarin, aldus het Inspectiedienst, toelichting wordt gegeven over de genomen beveiligingsmaatregelen in het kader waarvan ook verschillende bijlagen worden overgemaakt. De Inspectiedienst stelt vast in zijn verslag dat beveiligingsmaatregelen verband houden met integriteit en vertrouwelijkheid, zoals begrepen in artikel 5, lid 1,
16. f)AVG, maar dat de verweerster niet verduidelijkt hoe de andere beginselen van artikel 5, lid 1 AVG worden gewaarborgd. Bovendien concludeert de Inspectiedienst dat bepaalde elementen niet in concreto worden toegelicht door de verweerster. Het betreft onder andere of en desgevallend hoe het hoogste leidinggevende niveau van de verweerster de afspraken over beveiligingsmaatregelen in verslagen en teamvergaderingen opvolgt, of en desgevallend hoe de functionaris voor gegevensbescherming van de verweerster betrokken wordt bij het voorbereiden en opvolgen van beveiligingsmaatregelen, of en desgevallend hoe inbreuken op de deontologische code door? leden van de raad van bestuur door? de verweerster effectief wordt gesanctioneerd, wanneer de analyse van de technische infrastructuur van de verweerster werd uitgevoerd en welke concrete maatregelen de verweerster na het kennisnemen van die analyse heeft genomen en tot slot hoe de naleving van de voormelde beveiligingsmaatregelen in het algemeen door de verweerster wordt gecontroleerd en hoe inbreuken effectief worden gesanctioneerd. Bijgevolg komt de Inspectiedienst tot de vaststelling dat er een inbreuk is op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 AVG. Beslissing ten gronde 149/2022 - 14/30 50. In haar conclusies betwist de verweerster deze vaststelling. Zij voert aan dat zij verondersteld had te moeten aantonen welke technische en organisatorische maatregelen zij heeft genomen met behulp van de documenten die zij diende op te stellen, zoals bijvoorbeeld het register van verwerkingsactiviteiten, de afgesloten verwerkersovereenkomst met de verwerker van de persoonsgegevens tijdens het buitenlands vermogensonderzoek, en andere documenten waaruit blijkt dat zij passende technische en organisatorische maatregelen heeft getroffen in het kader van het buitenlands vermogensonderzoek. De verweerster betreurt dat de Inspectiedienst is gekomen tot een schending van alle principes uit artikel 5, lid 1 AVG omwille van een misvatting van een van de vragen van de Inspectiedienst door de verweerster. De verweerster stelt dat de vaststellingen van de Inspectiedienst gebaseerd zijn op een onjuiste interpretatie van de onderzoeksvraag door de verweerster. In haar conclusies geeft de verweerster bijgevolg meer toelichting omtrent de naleving van de principes uit artikel 5, lid 1 AVG. 51. De Geschillenkamer stelt dat de Inspectiedienst, als onderzoeksorgaan van de GBA belast is met het onderzoeken van klachten over en ernstige aanwijzingen van inbreuken op de Europese en Belgische wetgeving inzake persoonsgegevens, waaronder de AVG. Een van de manieren waarop het onderzoek gevoerd wordt is om zich van alle nuttige inlichtingen en documenten te laten voorzien. Deze mogelijkheid laat de verwerkingsverantwoordelijken en/of verwerkers toe uit te leggen en aan te tonen welke maatregelen zijn genomen om de toepasselijke wetgeving na te leven.12 52. In het kader van het onderzoek van de naleving van de grondbeginselen en de verantwoordingsplicht zoals begrepen in artikel 5 van de AVG, heeft de Inspectiedienst een algemene vraag gesteld aan de verwerkingsverantwoordelijke die luidt als volgt: “Gelieve aan te tonen met behulp van documenten overeenkomstig artikelen 5, 6, 24 en 25 van de AVG dat uw organisatie passende technische en organisatorische maatregelen heeft genomen teneinde de naleving van de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, te waarborgen in het kader van het vermogensonderzoek in het buitenland vermeld in de klacht”. 53. In casu heeft de verweerster een uitgebreid antwoord verstrekt aan de Inspectiedienst??, waarin zij inderdaad uitvoerig? ingaat op de genomen beveiligingsmaatregelen. De Geschillenkamer leest echter in het Inspectierapport dat het antwoord dat door de verweerster geformuleerd werd, niet volstond voor de Inspectiedienst. Zoals hierboven uiteengezet is de Inspectiedienst in casu van oordeel dat bepaalde informatie, die voor de Inspectiedienst essentieel is om tot een goede beoordeling te komen, ontbreekt. Bijgevolg 12 Charter van de Inspectiedienst, augustus 2022, online te https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf raadplegen via Beslissing ten gronde 149/2022 - 15/30 werd er door de Inspectiedienst geoordeeld dat er sprake was van een schending van artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG. 54. De Geschillenkamer stelt echter dat een onderzoek door de Inspectiedienst op een loyale wijze dient te gebeuren. Indien het antwoord van de verwerkingsverantwoordelijke voor de Inspectiedienst niet volstaat, komt het in het kader van een loyaal onderzoek toe aan de Inspectiedienst om te verduidelijken op welke punten meer informatie gevraagd wordt. Dit kan bijvoorbeeld door specifiekere vragen te stellen over een bepaald onderwerp of door concrete documenten of informatie op te vragen. Het is immers voor de verwerkingsverantwoordelijke niet altijd gemakkelijk om op dergelijk algemene en ruime vraag een omvattend antwoord te formuleren. Indien de Inspectiedienst specifiekere vragen gesteld heeft of concrete documenten opgevraagd heeft en de verwerkingsverantwoordelijke niet de gevraagde informatie heeft kunnen aanleveren, komt het toe aan de Inspectiedienst om schending van de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 en artikel 24, lid 1 AVG vast te stellen. De Geschillenkamer merkt hierbij op dat de Inspectiedienst geen bijkomende vragen gesteld heeft over welbepaalde onderwerpen of dat er geen welbepaalde documenten werden opgevraagd om tot een goede beoordeling van de zaak te kunnen komen. De Geschillenkamer stelt dan ook vast dat het Inspectieonderzoek niet op loyale wijze gevoerd werd voor wat betreft deze vaststelling. Bijgevolg komt de Geschillenkamer dan ook tot de conclusie dat op basis van het onderzoeksverslag niet besloten kan worden tot een schending van artikel 5, lid 2, artikel 24, lid 1 en artikelen 25, lid 1 en 2 AVG. Artikel 5, lid 1 AVG 55. Zoals hierboven reeds gesteld, heeft de verweerster toegelicht op welke manier zij de naleving van de grondbeginselen van de AVG garandeert. De Geschillenkamer stelt vast dat, op basis van het aangeleverde antwoord van de verweerster in het kader van het onderzoek, de Inspectiedienst tot de vaststelling komt dat er een inbreuk is op alle grondbeginselen met betrekking tot de bescherming van persoonsgegevens zoals bepaald in artikel 5, lid 1 AVG. Hoewel artikel 5, lid 1 en lid 2 AVG nauw met elkaar verbonden zijn, betekent een eventuele schending van de verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een schending van artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele veruitwendiging om door middel van documenten de naleving van de materiële grondbeginselen van de AVG aan te tonen. 56. In haar conclusies heeft de verweerster toegelicht hoe de verwerkingen wel voldoen aan de grondbeginselen uit artikel 5, lid 1 AVG. Deze worden hierna kort hernomen. 57. De verweerster stelt dat zij wel voldoet aan het beginsel van behoorlijkheid en transparantie. Zij verwerkt volgende persoonsgegevens in het kader van het vermogensonderzoek: naam en voornaam van de huurder, geboortedatum en -plaats, rijksregisternummer (indien van Beslissing ten gronde 149/2022 - 16/30 toepassing en beschikbaar), datum en plaats van huwelijk (indien van toepassing en beschikbaar), het dossiernummer en elementen van het sociaal onderzoek. De verweerster bekomt deze persoonsgegevens hetzij omdat zij wettelijk verplicht is deze op te vragen (artikel 68 Vlaamse Codex Wonen), hetzij omdat ze deze gegevens ontvangt van Z (dossiernummer en elementen van het sociaal onderzoek). Dit werd ook bevestigd door de rechtspraak.13 Voor de rechtmatigheid van de rechtsgrond verwijst de Geschillenkamer naar hetgeen werd toegelicht in sectie II.2. Voor wat betreft het transparantiebeginsel, stelt de verweerster dat zij voor de aanvang van het buitenlands vermogensonderzoek heeft gemeld, in duidelijke taal aangepast aan de doelgroep, in casu bewoners van sociale woningen, dat de gegevens zouden worden gebruikt voor een buitenlands vermogensonderzoek. Deze informatie was opgenomen in de privacyverklaring op de website en vervolgens in de waarschuwingsbrief. Met betrekking tot het principe van transparantie stelt de Geschillenkamer vast dat de relevante passage uit de privacyverklaring luidt als volgt: Ook de waarschuwingsbrief die werd verstuurd door de verweerster op 29 juli 2020 is in klare verstaanbare taal opgesteld: 13 Zie o.a. Vred. Hamme 6 juni 2019, Huur 2020/1, 57. Beslissing ten gronde 149/2022 - 17/30 58. Zoals reeds gesteld, was de privacyverklaring toegankelijk via een rechtstreekse link op de website en opgesteld in duidelijke taal. Ook de waarschuwingsbrief die naar de klagers werd verzonden op 29 juli 2020 is in voldoende klare taal is geschreven. Gelet op het bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1,
17. a)AVG. 59. De Geschillenkamer herinnert eraan dat overeenkomstig artikel 5, lid 1,
18. b)AVG persoonsgegevens alleen verzameld en verwerkt mogen worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Wanneer de gegevens later voor een ander doel worden gebruikt, dan moet dat nieuwe doel verenigbaar zijn met het oorspronkelijke verzameldoel. Met betrekking tot artikel 5, lid 1,
19. b)AVG betoogt de verweerster dat het doel van de verwerking ab initio vastgesteld en welbepaald was, aangezien in het privacyverklaring expliciet vermeld staat dat persoonsgegevens kunnen worden doorgegeven aan private instanties ter controle van de hierboven vermelde inschrijvings- en toelatingsvoorwaarden. Het doeleinde is ook uitdrukkelijk omschreven in de privacyverklaring, stelt de verweerster. Voor het bepalen van het gerechtvaardigd doeleinde, moet dit doeleinde een (ver)band hebben met de activiteiten van de verwerkingsverantwoordelijke, dus de verweerster. Hieromtrent verwijst de verweerster Beslissing ten gronde 149/2022 - 18/30 naar artikel 52 van het Kaderbesluit, zijnde het controleren van de naleving van de inschrijvings- en toelatingsvoorwaarden in het kader van sociale huur. 60. Op basis van de stukken van de verweerster stelt de Geschillenkamer vast dat de persoonsgegevens werden verzameld met de bedoeling de administratieve inschrijving op de wachtlijst en eventuele toewijzing van sociale woningen mogelijk te maken. De privacyverklaring (zie randnummer 56) stelt duidelijk dat de verweerster belast is met een taak van algemeen belang, te weten het aanwenden van schaarse overheidsmiddelen om sociale woningen toe te kennen aan de personen die het meest kwetsbaar zijn. Daartoe kan de verweerster private instanties belasten met onderzoeken naar onroerend vermogen in het buitenland, zoals ook is opgenomen in de privacyverklaring. Deze controle op het vervullen van de inschrijvings- en toelatingsvoorwaarden is inherent verbonden met de taak van algemeen belang van de verweerster, zijnde de uitvoering van het recht op behoorlijke huisvesting, ook in het bijzonder voor de meest behoeftigen. Gelet op het bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1,
20. b)AVG. 61. Het beginsel van minimale gegevensverwerking zoals bepaald in artikel 5, lid 1,
21. c)AVG stelt dat de verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Hieruit volgt dat de persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. Voor wat betreft het beginsel van “minimale gegevensverwerking” betoogt de verweerster dat zowel het doeleinde, de gegevens en de verwerking proportioneel zijn. 62. Overweging 39 van de AVG stelt dat persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Op basis van de stukken van het dossier stelt de Geschillenkamer vast dat de verweerster volgende vermogensonderzoek: gegevens naam en verwerkt in voornaam, het kader van geboortedatum, het buitenlands geboorteplaats, Rijksregisternummer (Belgisch of van het thuisland, desgevallend), datum en plaats van het huwelijk (indien van toepassing en beschikbaar) en eventuele elementen van het onderzoek van de dienst Toezicht die tot de doorgave van het dossier geleid hebben (vermoedens van buitenlands onroerend bezit). Uit de stukken begrijpt de Geschillenkamer dat de verweerster niet meteen overgegaan is tot een buitenlands vermogensonderzoek. De klagers hebben vooreerst een verklaring op eer getekend bij de start van de huurovereenkomst, verder heeft de klager de wettelijke verplichting om het eventueel verwerven van een onroerend goed tijdens de lopende huurovereenkomst te melden aan de verhuurder, in casu de verweerster, vervolgens heeft de verweerster op 29 juli 2020 een waarschuwingsbrief overgemaakt aan de klagers, waarin enerzijds het buitenlands vermogensonderzoek wordt Beslissing ten gronde 149/2022 - 19/30 aangekondigd, en anderzijds de mogelijkheid wordt geboden om eventueel buitenlands onroerend bezit te melden om tot een minnelijke regel te komen. Tot slot vermeldt de verweerster dat er eerst een verkennend onderzoek wordt gedaan. Slechts wanneer er ernstige aanwijzingen of vermoedens zijn van buitenlands onroerend bezit, zal er worden overgegaan tot een buitenlands vermogensonderzoek zoals in onderhavige zaak het geval was. Aangezien de verweerster niet de nodige middelen of expertise heeft om dergelijke onderzoeken te voeren, is het niet buitensporig om een beroep te doen op een gespecialiseerde firma. Gelet op het bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1, c ) AVG. 63. Ingevolge artikel 5, lid 1,
22. d)AVG moet de verwerkingsverantwoordelijke alle redelijke maatregelen nemen om ervoor te zorgen dat de gegevens correct en actueel zijn. Gegevens die dat niet (meer) zijn, dienen te worden gewist of gecorrigeerd. De verweerster stelt dat zij samen met haar functionaris voor gegevensbescherming een intern beleid opgesteld heeft met richtlijnen voor haar medewerkers die in aanraking komen met persoonsgegevens. Uit de agenda van de teammeeting van de verweerster dd. 19 oktober 2021 blijkt dat deze interne nota samen met andere punten inzake de AVG besproken werd. De Geschillenkamer concludeert dat er geen sprake is van een schending van artikel 5, lid 1,
23. d)AVG. 64. De Geschillenkamer herinnert eraan dat ingevolge het beginsel van opslagbeperking (artikel 5, lid 1,
24. e)AVG) persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel van de verwerking. Wanneer de gegevens niet langer noodzakelijk zijn, dan moeten zij worden vernietigd of gewist. De verweerster wijst erop dat het register van verwerkingsactiviteiten een gedetailleerd overzicht biedt van de bewaartermijnen van de categorieën van persoonsgegevens die zij verwerkt. Daarnaast voorziet artikel 10 van de verwerkersovereenkomst met Z dat deze alle ontvangen en verwerkte persoonsgegevens met betrekking tot het buitenlands vermogensonderzoek zal vernietigen wanneer de verwerkersovereenkomst een einde neemt, te weten 31 mei 2022 (behoudens verlenging). In tegenstelling tot de stelling van de klager, erkent de verweerster dus niet dat zij het beginsel van opslagbeperking geschonden heeft. Gelet op het bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een schending van artikel 5, lid 1,
25. e)AVG. 65. Artikel 5, 1,
26. f)van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. In dit kader licht de verweerster toe in haar conclusies hoe zij verschillende maatregelen heeft genomen die los staan van de verwerkingsactiviteiten in het kader van het buitenlands vermogensonderzoek, zoals het informeren van haar medewerkers over de na te leven beveiligingsmaatregelen (zoals Beslissing ten gronde 149/2022 - 20/30 paswoordgebruik, twee-factor-identificatie, intern beleid omtrent de behandeling van persoonsgegevens). Verder licht de verweerster toe dat de bestuurders een deontologische code dienen te ondertekenen waarbij zij zich ertoe verbinden tot een geheimhouding van persoonsgegevens en vertrouwelijke bedrijfsgegevens. Daarna vermeldt de verweerster een reeks maatregelen die getroffen zijn na een analyse van de technische infrastructuur door een onafhankelijke onderneming. Het betreft onder meer: het maken van offline en online back-ups van de verwerkte persoonsgegevens, installatie firewall, antivirus en antimalwaresoftware, paswoordbeleid met regelmatige aanpassing van de paswoorden en uitschakeling van alle standaard user accounts. Deze onafhankelijke onderneming voert periodieke controles uit met betrekking tot de veiligheid van de IT-infrastructuur. Ook de verwerkersovereenkomst bepaalt welke maatregelen de verwerker moet nemen met het oog op de beveiliging, zoals regelmatige vernieuwing van paswoorden en toegangscodes, pseudonimisering en versleuteling van persoonsgegevens, interne auditprocedures ter beoordeling van de genomen beveiligingsmaatregelen, vertrouwelijkheidsclausule voor de betreffende werknemers etc. Uit het bovenstaande concludeert de Geschillenkamer dat er geen sprake is van een inbreuk op artikel 5, lid 1,
27. f)AVG. 66. De Geschillenkamer stelt opnieuw dat het in casu disproportioneel is om een schending van de artikelen 5, 24, lid 1 en 25, lid 1 en 2 AVG vast te stellen op basis van een algemene vraag in het kader van de verantwoordingsplicht, waarop geantwoord werd door de verweerster, zonder verdere opvolgvragen van de Inspectiedienst. Het komt toe aan de Inspectiedienst om op basis van een loyaal onderzoek een eventuele tekortkoming van artikel 5, lid 1 AVG door de verweerster aan te tonen. 67. Aangezien de Inspectiedienst niet aantoont op welke manier de verweerster de grondbeginselen uit artikel 5, inclusief de verantwoordingsplicht geschonden heeft, en de verweerster in haar conclusies uitvoerig toelicht op welke mate zij deze beginselen wel naleeft, concludeert de Geschillenkamer dat er geen inbreuk op de artikelen 5, 24, lid 1 en 25 lid 1 en 2 AVG werd begaan door de verweerster. II.4. Artikel 28, lid 2 en lid 3 AVG 68. Ingevolge artikel 28, lid 2 AVG neemt de verwerker geen andere verwerker in dienst zonder voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. In het geval van algemene schriftelijke toestemming licht de verwerker de verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van andere verwerkers, waarbij de verwerkingsverantwoordelijke de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken. 69. Artikel 28, lid 3 AVG bepaalt dat de verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht Beslissing ten gronde 149/2022 - 21/30 die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker: • de persoonsgegevens alleen verwerkt onder de schriftelijke instructies van de verwerkingsverantwoordelijke, onder andere voor wat betreft de doorgifte van persoonsgegevens aan een derde land of een internationale organisatie (tenzij deze daartoe wettelijk is verplicht); • waarborgt dat de toegang tot die gegevens is beperkt tot gemachtigde personen. Deze personen moeten gebonden zijn aan geheimhouding op grond van een overeenkomst of een wettelijke verplichting; • minimaal hetzelfde niveau van beveiliging van de persoonsgegevens hanteert als de verwerkingsverantwoordelijke doet; • de verwerkingsverantwoordelijke alle mogelijke ondersteuning biedt bij het nakomen van diens verplichtingen met het oog op beantwoording van verzoeken rondom de rechten van betrokkenen; • de verwerkingsverantwoordelijke bijstaat bij het nakomen van diens verplichtingen op het gebied van beveiliging van persoonsgegevens en de meldplicht datalekken; • na beëindiging van de overeenkomst tussen de verwerkingsverantwoordelijke en verwerker, de in opdracht van de verwerkingsverantwoordelijke verwerkte persoonsgegevens wist of aan hem teruggeeft, en bestaande kopieën verwijdert; • de verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om aantoonbaar te maken dat de verplichtingen op grond van de Verordening rondom het inzetten van een verwerker worden nageleefd en die nodig is om audits mogelijk te maken; • 70. afspraken met betrekking tot sub-verwerkers maakt. De Inspectiedienst stelt in zijn onderzoek vast dat er sprake is van een inbreuk op artikel 28, lid 2 en lid 3 AVG aangezien in de verwerkingsovereenkomst tussen de verweerster en verwerker volgende elementen ontbreken: - De handtekening van de directeur die de verweerster vertegenwoordigt, enkel de handtekening van de directeur van de verwerker staat in de verwerkingsovereenkomst; - De datum waarop de verwerkingsovereenkomst aanvangt. Op pagina 10 van de verwerkingsovereenkomst staat “14 oktober 2020” maar het is niet duidelijk of dat ook de aanvangsdatum is; Beslissing ten gronde 149/2022 - 22/30 - Een omschrijving van de duur van de verwerking; - Een omschrijving van het soort persoonsgegevens en de categorieën van betrokkenen en van de aard van de verwerking; en - Een voorafgaande specifieke of algemene schriftelijke toestemming van de verweerster aan de verwerker om andere verwerkers in dienst te nemen. Ondanks het gebrek aan enige bepaling hieromtrent heeft de verwerker een verwerker in Turkije in dienst genomen. 71. De verweerster betwist deze vaststellingen niet. Zij stelt dat zij na ontvangst van het Inspectierapport onverwijld de instructie heeft gegeven om de verwerkersovereenkomst die zij hanteert voor het uitvoeren van vermogensonderzoeken door private ondernemingen aan te passen en de aangehaalde elementen uit te werken en in te voegen. De verweerster voert aan dat op dit moment de verwerker geen vermogensonderzoeken ten behoeve van de verweerster meer uitvoert, noch maakt de verweerster nog persoonsgegevens over aan de verwerker. Bij haar conclusies voegt de verweerster een aangepaste template van verwerkingsovereenkomst toe die gebruikt zal worden bij eventuele toekomstige buitenlandse vermogensonderzoeken. 72. De Geschillenkamer oordeelt dat de verwerkersovereenkomst die werd overgemaakt door de verweerster onvolledig is, zoals vastgesteld in het Inspectieverslag. In haar conclusies stelt de verweerster dat zij nu geen buitenlandse vermogensonderzoeken meer uitvoert, maar dat zij de herwerkte template van de verwerkersovereenkomst, in navolging van het Inspectieverslag overmaakt. De Geschillenkamer stelt vast dat de verweerster inspanningen gedaan heeft om de verwerkersovereenkomst in overeenstemming met de vereisten van artikel 28, lid 2 en 3 AVG te brengen. 73. Ondanks de corrigerende maatregelen stelt de Geschillenkamer vast dat de verwerkersovereenkomst op basis waarvan het buitenlands vermogensonderzoek is uitgevoerd niet voldeed aan de vereisten van artikel 28, lid 2 en 3 AVG, waardoor er sprake was van een inbreuk op artikel 28, lid 2 en 3 AVG, maar dat dit intussen verholpen werd. II.5. Artikelen 44, 46, 24, lid 1 en 5, en lid 2 AVG 74. Op het moment dat persoonsgegevens naar landen buiten de Europese Unie worden overgemaakt is er sprake van een doorgifte van persoonsgegevens. Voor het doorgeven van persoonsgegevens naar landen buiten de Europese Unie stelt de AVG dat dit alleen mag als het door de AVG geboden beschermingsniveau niet wordt ondermijnd. Dit is het geval als het land buiten de Europese Unie een adequaat niveau van gegevensbescherming kent of aanvullende waarborgen biedt bij de doorgifte van gegevens. Als de Europese Commissie geen adequaatheidsbeslissing heeft genomen, dan dienen op een andere manier passende waarborgen te worden getroffen om een voldoende hoog beschermingsniveau te bieden. Beslissing ten gronde 149/2022 - 23/30 75. De Inspectiedienst stelt aangaande de doorgifte van persoonsgegevens aan Turkije vast dat de verweerster een inbreuk heeft begaan op de artikelen 44, 46, 24, lid 1 en 5 en lid 2 AVG aangezien de verweerster niet zou hebben aangetoond welke maatregelen zij en Z hebben genomen om bij de doorgifte van persoonsgegevens aan Turkije de artikelen 44 en 46 AVG en het Schrems II-arrest na te leven. De Inspectiedienst komt tot de vaststelling dat de Turkse wet inzake bescherming van persoonsgegevens een vrijstelling voorziet voor de verwerking van persoonsgegevens binnen het kader van preventieve, beschermende en inlichtingen activiteiten uitgevoerd door publieke instellingen en organisaties die naar behoren zijn toegelaten en aangewezen door de wet om de nationale verdediging, nationale veiligheid, publieke veiligheid, publiek orde of economische veiligheid te waarborgen. De verwerkersovereenkomst tussen Z en haar Turkse partner zou onvoldoende bijkomende waarborgen bieden om een passend beschermingsniveau van de doorgegeven persoonsgegevens te garanderen. 76. Vooreerst werpt de verweerster op dat zij niet de exporteur is van deze persoonsgegevens naar Turkije in het kader van het vermogensonderzoek. Het is Z die de gegevens ontvangt van de verweerster, maar die op haar beurt doorgeeft aan haar partner in Turkije, die dan deze gegevens gebruikt om de nodige opzoekingen te doen in de publieke registers. 77. De Geschillenkamer volgt deze ‘verwerkingsverantwoordelijke’ redenering als de niet. “natuurlijke Artikel 4