Beslissing ten gronde nr. 149/2023

1/36 Geschillenkamer Beslissing 149/2023 van 10 november 2023 Bij arrest van 8 mei 2024 (2023/AR/1519) werd het beroep van de verzoekster (klaagster bij de Geschillenkamer) deels niet-ontvankelijk en deels ongegrond verklaard Dossiernummers : DOS-2020-05649 en DOS-2021-05271 Betreft: klachten met betrekking tot de verwerking van persoonsgegevens door een online platform voor het boeken van medische en paramedische afspraken De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Yves Poullet, leden, die de zaak in deze samenstelling behandelen; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, hierna "WRR"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van de dossiers; Heeft de volgende beslissing genomen inzake: Klager nr. 1: mevrouw X1, (DOS-2020-05649); Klager nr. 2: de heer X2, (DOS-2021-05271); De verweerders: het bedrijf Y1, vertegenwoordigd door meesters Florence Garcet en Claire Vandesande, advocaten, met kantoor gevestigd te 4000 Luik, rue des Augustins, 32, hierna "de eerste verweerder" (DOS-2020-05649 en DOS2021-05271); het bedrijf Y2, hierna “de tweede verweerder” (DOS-2020-05649); hierna samen genoemd "de verweerders". Beslissing ten gronde 149/2023 — 2/36 I. Feiten en procedure Wat betreft de klacht van klager nr. 1 (DOS-2020-05649) I.1. 1. Op 4 december 2020 dient klager nr. 1 een klacht in bij de Gegevensbeschermingsautoriteit (GBA) tegen de verweerders. 2. Overeenkomstig haar klacht en de in haar conclusies en tijdens de hoorzitting verstrekte nadere gegevens (zie hierna), maakt klager nr. 1 melding van de volgende feiten. 3. Begin oktober 2020 stelt klager nr. 1, die een afspraak bij haar tandarts wil maken zonder haar te telefoneren, dat de site [...] (hierna "Z", "het platform" of "het Z-platform") de mogelijkheid biedt om rechtstreeks online afspraken met beroepsbeoefenaars in de gezondheidszorg te maken. De contactgegevens van haar tandarts staan vermeld op het platform en klager nr. 1 maakt een account aan om een afspraak bij haar te maken. 4. Klager nr. 1 geeft aan dat zij pas na het aanmaken van haar account de informatie kreeg dat zij geen afspraak bij haar tandarts kon maken, aangezien alleen de contactgegevens van de tandarts op de site stonden, zonder mogelijkheid om een afspraak bij haar te maken via het platform zelf. 5. Voor een goed begrip van de onderhavige beslissing voegt de Geschillenkamer er onmiddellijk aan toe dat het doel van het Z-platform is om snel contact te vergemakkelijken tussen patiënten en beroepsbeoefenaars in de gezondheidszorg - met inbegrip van, maar niet beperkt tot, artsen - met name door middel van het online maken van afspraken. Wanneer een patiënt toegang krijgt tot het platform, heeft hij twee mogelijkheden: - Ofwel verschijnen alleen de contactgegevens van de gewenste zorgverlener op het platform, zonder de mogelijkheid om een afspraak bij hem te boeken via het platform. Dan spreekt men van een "niet-geregistreerde zorgverlener/beroepsbeoefenaar". In dit geval kan de patiënt een afspraak maken met de zorgverlener via diens eigen contactkanalen aan de hand van de contactgegevens die op het platform vermeld staan. Hiervoor is geen account nodig. - Ofwel is het mogelijk om rechtstreeks via het platform een afspraak te maken bij de gewenste zorgverlener. Dan spreekt men van een "geregistreerde zorgverlener/beroepsbeoefenaar" op het platform. Om een dergelijke afspraak te maken, moet de patiënt een patiëntenaccount aanmaken waarvoor hem gevraagd wordt de volgende persoonsgegevens te verstrekken: achternaam, voornaam, emailadres, telefoonnummer en rijksregisternummer (RRN). 6. Op 21 oktober 2020 vraagt klager nr. 1, die via het platform geen afspraak heeft kunnen maken met haar (niet-geregistreerde) tandarts, om de wissing van haar account en haar persoonsgegevens, die zij voor het aanmaken hiervan heeft verstrekt. In de e-mail die zij hiervoor naar het e-mailadres info@[...] heeft gestuurd, trekt klager nr. 1 bovendien de verplichting in twijfel om haar RRN te verstrekken bij het aanmaken van haar account. Beslissing ten gronde 149/2023 — 3/36 7. Klager nr. 1 geeft aan geen reactie te hebben ontvangen op haar verzoek tot wissing. 8. Op 22 oktober 2020 vraagt klager nr. 1 via een bedrijf dat gespecialiseerd is in wetgeving op het gebied van gegevensbescherming wat de wettelijke basis is voor de verschillende gegevensverwerkingen die vanaf het platform worden verricht, de redenen voor de verwerking van het RRN en de precieze identiteit van de verwerkingsverantwoordelijke. Klager nr. 1 meldt dat ook dit verzoek onbeantwoord is gebleven. 9. In haar bij de GBA ingediende klacht op 4 december 2020, d.w.z. anderhalve maand nadat de bovengenoemde verzoeken werden verzonden, hekelt klager nr. 1 zowel het gebrek aan gevolg dat aan haar verzoek tot wissing is gegeven als het gebrek aan antwoord op haar vragen met betrekking tot de wettelijke basis voor de verschillende gegevensverwerkingen die door het platform worden uitgevoerd, waaronder haar RRN. 10. Op 5 januari 2021 wordt klacht nr. 1 ontvankelijk verklaard door de Eerstelijnsdienst (EDL) van de GBA op grond van de artikelen 58 en 60 van de WOG en wordt deze op grond van artikel 62, § 1, van de WOG aan de Geschillenkamer overgemaakt. 11. Op 2 februari 2021 wordt, overeenkomstig artikel 96, § 1, van de WOG, het verzoek van de Geschillenkamer om een onderzoek in te stellen, overgemaakt aan de Inspectiedienst (ID). 12. Op 9 mei 2022 wordt het onderzoek van de ID afgerond, het verslag bij het dossier gevoegd en het dossier door de ID aan de voorzitter van de Geschillenkamer overgemaakt (artikel 91, §§ 1 en 2, van de WOG). 13. De inhoud van het verslag van de ID kan als volgt worden samengevat: - De eerste verweerder is de enige verwerkingsverantwoordelijke in de zin van artikel 4.7 van de AVG, met uitsluiting van de tweede verweerder. In zijn analyse wijst de inspecteur-generaal op een gebrek aan duidelijkheid met betrekking tot de identificatie van de verwerkingsverantwoordelijke in het privacybeleid van het platform (artikel 13.1.

1. a)van de AVG); - Bij wijze van inleidende opmerkingen wijst de ID erop dat het platform in april 2020 door het Algemeen Secretariaat is geëvalueerd. De ID merkt op dat bepaalde inbreuken die door het Algemeen Secretariaat zijn vastgesteld, niet verholpen lijken te zijn zoals aanbevolen (blz. 10 van het onderzoeksverslag). In dit verband wijst de ID op lacunes in de verstrekte informatie over de rechtmatigheidsgrond (artikel 13.1.
2. c)van de AVG) en de bewaartermijn van de gegevens (13.2.
3. a)van de AVG). De ID wijst er ook op dat het platform volgens hem een grote hoeveelheid gezondheidsgegevens verwerkt in de zin van artikel 9 van de AVG. - Uitgaande van de feiten die in de klacht aan de kaak worden gesteld, verklaart de ID, binnen de reikwijdte van de klacht, een aantal schendingen van de AVG vast te stellen: Beslissing ten gronde 149/2023 — 4/36 o een inbreuk door de eerste verweerder op artikel 12 van de AVG doordat hij klager nr. 1 geen informatie heeft verstrekt na haar verzoek tot wissing van 21 oktober 2020; o een inbreuk door de eerste verweerder op de artikelen 7.3 in fine en 12.1 van de AVG, omdat hij in zijn hoedanigheid van verwerkingsverantwoordelijke de verwijdering van een "patiëntenaccount" niet even eenvoudig maakt als de aanmaak van die account en dus de uitoefening van de rechten van de betrokkenen, in casu het recht van de klager op wissing, niet faciliteert; o een inbreuk door de eerste verweerder op de artikelen 15.1 en 19 van de AVG, omdat hij in zijn hoedanigheid van verwerkingsverantwoordelijke klager nr. 1 niet de bevestiging heeft gegeven dat de haar betreffende persoonsgegevens niet meer werden verwerkt, en hij klager nr. 1 niet in kennis heeft gesteld van de wissing van haar gegevens; o een inbreuk door de eerste verweerder op de artikelen 5.1.a), 5.2.2 en 6 van de AVG doordat de eerste verweerder verwerkingsverantwoordelijke niet zich in zijn hoedanigheid van rechtsgeldig kan beroepen zijn op gerechtvaardigd belang (artikel 6.1.
4. f)van de AVG) om "niet-geregistreerde" beroepsbeoefenaars in de gezondheidszorg op het platform te vermelden; o een mogelijke inbreuk door de eerste verweerder in zijn hoedanigheid van verwerkingsverantwoordelijke op artikel 32 van de AVG, aangezien het gebruik door de eerste verweerder van systemen zoals Cloudflare, Amazon Web Services en Runcloud voor het beheer van zijn infrastructuur geen passende technische maatregel vormt ter waarborging van een beveiligingsniveau dat in verhouding staat tot het risico dat zijn activiteit met zich meebrengt1. 14. Op 15 juni 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde.. 15. Op dezelfde datum worden de partijen per aangetekende post in kennis gesteld van de bepalingen zoals opgenomen in artikel 95, § 2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG op de hoogte gebracht van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerders wordt daarbij vastgelegd op 10 augustus 2022, die van de conclusie van repliek van klager nr. 1 op 1 september 2022, en die van de conclusie van repliek van de verweerders op 23 september 2022. 1 De ID nuanceert deze vaststelling echter in de inleiding van zijn verslag, door aan te geven dat bepaalde aspecten zijn opgemerkt zonder dat echter alle aspecten met betrekking tot de verplichting tot beveiliging van de verwerking volledig zijn onderzocht. Beslissing ten gronde 149/2023 — 5/36 16. De partijen worden uitgenodigd om zich te verdedigen in het licht van de volgende vaststellingen en grieven die door de Geschillenkamer in aanmerking zijn genomen 2 : - De kwalificatie van de eerste verweerder als enige verwerkingsverantwoordelijke in de zin van artikel 4.7 van de AVG; - Een schending van de artikelen 13.1.a), 13.1.
5. c)en 13.2 van de AVG door de eerste verweerder doordat het privacybeleid van het platform de identiteit en de contactgegevens van de verwerkingsverantwoordelijke niet op passende wijze vermeldt (artikel 13.1.
6. a)van de AVG), de rechtsgrond voor de uitgevoerde gegevensverwerking - met inbegrip van gegevens met betrekking tot de gezondheid in de zin van artikel 4.19 van de AVG - niet vermeldt (artikel 13.1.
7. c)van de AVG), en de termijnen voor de opslag van de verwerkte persoonsgegevens niet vermeldt (artikel 13.2.
8. a)van de AVG meer bepaald); - Een schending van artikel 12 van de AVG doordat de eerste verweerder geen informatie aan klager nr. 1 heeft verstrekt na haar verzoek tot uitoefening van het recht op wissing; - Een schending van de artikelen 7.3 in fine en 12.1 van de AVG doordat de eerste verweerder het verwijderen van een "patiëntenaccount" niet even eenvoudig heeft gemaakt als het aanmaken van die account (het is dus niet even eenvoudig om toestemming in te trekken als om haar te geven) en de uitoefening van de rechten van de betrokkenen dus niet faciliteert; - Een schending van de artikelen 5.1. a), 5.2. en 6 van de AVG doordat het gerechtvaardigd belang waarop de eerste verweerder zich beroept als rechtmatigheidsgrond voor de verwerking met betrekking tot beroepsbeoefenaars die op het platform op de lijst staan maar "niet-geregistreerd" zijn, niet rechtsgeldig is. 17. De Geschillenkamer nodigt de partijen ook uit om hun argumenten naar voren te brengen met betrekking tot de rechtmatigheidsgrond voor de verwerking door de eerste verweerder van het RRN waartegen klager nr. 1 in haar klacht bedenkingen heeft. De Geschillenkamer deelt de partijen tevens mee dat bij de Geschillenkamer ook een klacht over dezelfde kwestie in behandeling is (DOS-2021-05271 - klacht nr. 2 hieronder). 2 Als onderdeel van haar eigen beoordeling is de Geschillenkamer vrij om een van de vaststellingen van de inspectie te selecteren voor opname in de lijst van grieven ten aanzien van welke zij de partijen vraagt zich te verdedigen in de brief op basis van artikel 98 van de bovengenoemde WOG. Uit het afzien van deze of gene grief kan geen andere conclusie worden getrokken dan dat de Geschillenkamer het niet opportuun acht de partijen hierover te laten concluderen. Er kan niet uit worden afgeleid dat de Geschillenkamer bevestigt dat deze punten in overeenstemming zijn met de AVG. Met betrekking tot deze eigen beoordeling, preciseert de Geschillenkamer dat zij op grond van de WOG geen beroep op de Inspectiedienst hoeft te doen. De Geschillenkamer beslist immers soeverein of naar aanleiding van een ingediende klacht een onderzoek al dan niet nodig is (artikel 63, 2° van de WOG en artikel 94, 1° van de WOG). Artikel 94, 3°, van de WOG bepaalt uitdrukkelijk dat eens gevat de Geschillenkamer de klacht mag behandelen zonder een beroep te doen op de Inspectiedienst. Zij is dus bevoegd om de klacht onafhankelijk van de inspectie te beoordelen (Marktenhof (19e kamer A), 7 december 2022, 2022/KB/560 en 2022/KB/564; Marktenhof (19e kamer A), 7 december 2022, 2022/KB/556). Beslissing ten gronde 149/2023 — 6/36 18. Op 2 augustus 2022 stemt de eerste verweerder ermee in alle communicatie omtrent de zaak elektronisch te ontvangen. Hij vraagt in dezelfde brief eveneens een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem op 4 augustus 2022 wordt toegezonden. 19. Op 10 augustus 2022 vraagt klager nr. 1 een kopie van het dossier (artikel 95, § 2, 3°, WOG), die haar op 11 augustus 2022 wordt toegezonden. 20. Op 10 augustus 2022 ontvangt de Geschillenkamer de conclusie van antwoord van de eerste verweerder. De eerste verweerder dient een conclusie van repliek en een syntheseconclusie in; zijn argumenten worden in punt 22 hieronder samengevat. 21. Op 1 september 2022 ontvangt de Geschillenkamer de conclusie van repliek van klager nr. 1. Samengevat verdedigt deze hierin het volgende: - De eerste en de tweede verweerder verwerkingsverantwoordelijken (artikel 4.7 van de zijn gezamenlijke AVG), gezien een reeks elementen waaruit blijkt dat de tweede verweerder niet enkel een investeerder is in het project van de eerste verweerder; - De identificatie van de verwerkingsverantwoordelijke in het privacybeleid van het platform is niet voldoende duidelijk en voldoet niet aan de vereisten van artikel 13.1.
9. a)van de AVG, aangezien de eerste verweerder niet als zodanig wordt genoemd. Slechts twee natuurlijke personen, bestuurders van de eerste verweerder, worden vermeld in de contactgegevens; - Artikel 13.1.
10. c)van de AVG wordt niet nageleefd doordat het privacybeleid van het platform de rechtsgronden voor elke afzonderlijke verwerking niet vermeldt en enkel artikel 6.1 van de AVG in zijn geheel noemt, en niet verwijst naar artikel 9.2.
11. a)van de AVG voor de verschillende verwerkingen van gezondheidsgegevens die via het platform worden uitgevoerd; - Het privacybeleid van het platform bevat geen informatie over de bewaartermijnen van de gegevens (artikel 13.2
12. a)van de AVG); - Omdat zij niet op de hoogte is gesteld van de maatregelen die naar aanleiding van haar verzoek tot wissing zijn genomen, is er sprake van schending van artikel 12.3 van de AVG; - De artikelen 7.3 in fine en 12.2 van de AVG zijn geschonden, aangezien het verwijderen van een account ingewikkelder is dan het aanmaken ervan. Bovendien bestaan er twee afzonderlijke procedures naast elkaar om enerzijds het recht op wissing uit te oefenen en anderzijds de andere rechten uit te oefenen; - Klager nr. 1 verklaart dat zij het volledig eens is met de redenering van de ID met betrekking tot de ongeldigheid van het gerechtvaardigd belang (artikel 6.1.
13. f)van de AVG) voor de verwerking van de persoonsgegevens van de niet-geregistreerde Beslissing ten gronde 149/2023 — 7/36 zorgverleners zoals haar tandarts, en onderschrijft bijgevolg de vaststelling van een schending van de artikelen 5.1.a), 5.2. en 6 van de AVG door de verweerders; - Haar klacht is ontvankelijk, ook wat de verwerking van haar RRN betreft, aangezien het rechtsbeginsel "ne bis in idem" waarop de eerste verweerder zich beroept, in casu niet van toepassing is. - Wat de rechtmatigheidsgrond voor de verwerking van het RRN betreft, wijst klager nr. 1 erop dat de verwerking van het RRN in principe verboden is, behalve in de gevallen waarin de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen (WRR - artikel 5) voorziet en die in principe onderworpen zijn aan een machtiging van de minister van Binnenlandse Zaken (artikel 8.1). De in artikel 8.3 van de WRR voorziene vrijstelling van machtiging, waarop de eerste verweerder zich beroept, is niet van toepassing, aangezien het invoeren van het RRN op het platform het niet mogelijk maakt om de persoon te identificeren of te authenticeren zoals vereist in het genoemde artikel 8.3. 22. Op 23 september 2022 ontvangt de Geschillenkamer de conclusie van repliek en de syntheseconclusie van de eerste verweerder. Samengevat verdedigt deze hierin het volgende: - Het loutere feit dat investeerder/aandeelhouder de tweede impliceert ipso verweerder optreedt als facto dat een niet hij verwerkingsverantwoordelijke is in de zin van artikel 4.7 van de AVG. De tweede verweerder heeft in feite geen enkele beslissing genomen met betrekking tot het doel van of de middelen voor de verwerking van persoonsgegevens in het kader van het platform; - Erop wijzend dat de ID formeel geen schending van de artikelen 13.1.a), 13.1.
14. c)en 13.2 van de AVG heeft vastgesteld met betrekking tot het privacybeleid van het platform, verklaart de eerste verweerder (zonder enige schending te erkennen) dat hij voornemens is een nieuw privacybeleid op te stellen waarin de informatie waarop de voornoemde artikelen betrekking hebben, wordt toegelicht; - Hij heeft het verzoek van klager nr. 1 tot wissing ingewilligd, alleen is de e-mail waarin werd bevestigd dat de wissing had plaatsgevonden niet naar klager nr. 1 gestuurd; - Het is niet minder eenvoudig om een account te verwijderen dan om er een aan te maken, aangezien de twee procedures, zonder formeel identiek te zijn, in verschillende stappen worden uitgevoerd en in beide gevallen actieve stappen vereisen (artikel 7.3. in fine); - Het optreden van de GBA ten aanzien van de rechtmatigheidsgrond voor de verwerkingen van de gegevens van niet-geregistreerde beroepsbeoefenaars is niet-ontvankelijk. De klacht van klager nr. 1 had volgens de eerste verweerder op Beslissing ten gronde 149/2023 — 8/36 geen enkele wijze betrekking op deze kwestie, die in een afzonderlijke procedure aan de orde had moeten komen. De eerste verweerder is van mening dat hij zich op dit punt niet hoeft te verantwoorden in het kader van de onderhavige procedure en tegenover klager nr. 1. Subsidiair legt hij uit waarom hij zich meent te kunnen beroepen op zijn gerechtvaardigd belang in de zin van artikel 6.1.
15. f)van de AVG als grondslag voor deze verwerkingen (zie ook punt 88 hieronder). - Met betrekking tot de kwestie van de rechtmatigheid van de verwerking van het RRN is hij verbaasd dat deze het voorwerp kan zijn van twee verschillende procedures (zowel in het kader van klacht nr. 1 als klacht nr. 2 - zie hieronder en punt 32), en wijst hij erop dat hij in het kader van klacht nr. 23 al over deze problematiek concludeerde. Volgens hem is het aanklagen van een partij voor identieke feiten zonder een definitieve oplossing voor het eerste geschil niet verenigbaar met het recht op een eerlijk proces dat is vastgelegd in artikel 6 van het Europees Verdrag voor de Rechten van de Mens (EVRM). De eerste verweerder acht de vordering van klager nr. 1 (en de GBA) op dit punt dan ook niet-ontvankelijk. Subsidiair verwijst de eerste verweerder naar de conclusie die hij in het kader van klacht nr. 2 hierover heeft ingediend (punt 46). 23. Op 2 augustus 2023 deelt de Geschillenkamer de partijen mee dat de hoorzitting op 15 september 2023 zal plaatsvinden.. 24. In dezelfde brief worden de partijen ervan in kennis gesteld dat op 14 juni 2023 de Geschillenkamer beslissing 75/2023 heeft genomen 4. Gelet op deze beslissing5 die de partijen niet bekend was op het moment dat zij werden uitgenodigd om te concluderen, stelt de Geschillenkamer de partijen in de gelegenheid om tot 31 augustus 2023 aanvullend te concluderen over haar standpunt in deze beslissing 75/2023, in het bijzonder over de aspecten die relevant zouden zijn voor klacht nr. 1. 25. Op 31 augustus 2023 dient de eerste verweerder, hierop ingaande, een laatste conclusie in. 26. Hij preciseert hierin dat deze de motivering vervangt die hij in zijn eerdere conclusie had ontwikkeld met betrekking tot het ingeroepen gerechtvaardigd belang als rechtmatigheidsgrond (artikel 6.1.
16. f)van de AVG) bij de verwerking van de gegevens van "niet-geregistreerde" beroepsbeoefenaars in de gezondheidszorg. De eerste verweerder 3 De Geschillenkamer licht in dit verband toe dat de onderhavige beslissing elk van de klachten in de chronologische volgorde behandelt waarin elk van hen is ingediend; eerst de procedure met betrekking tot klacht nr. 1, ingediend in 2020, en vervolgens de procedure met betrekking tot klacht nr. 2, ingediend in 2021. Aangezien klacht nr. 2 niet naar de Inspectiedienst werd gestuurd, wiens verslag op 9 februari aan de Geschillenkamer werd meegedeeld, werden de partijen bij deze tweede klacht gevraagd te concluderen vóór de partijen bij klacht nr. 1, ook al werd klacht nr. 2 dus na klacht nr. 1 ingediend. 4 5 https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-75-2023.pdf. De partijen werden er ook van in kennis gesteld dat een beroep tot nietigverklaring tegen deze beslissing was ingesteld bij het Marktenhof. Zie ook de verwijzing hiernaar in de beslissing die die bij de instelling van het beroep is bekendgemaakt: https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-75-2023.pdf. Beslissing ten gronde 149/2023 — 9/36 blijft erbij dat hij zich kon beroepen op artikel 6.1.
17. f)van de AVG om de gegevens van nietgeregistreerde beroepsbeoefenaars in de gezondheidszorg te verwerken. 27. Niettemin verklaart de eerste verweerder dat hij door nauwgezet juridisch toezicht in de zomer kennis heeft genomen van beslissing 75/2023 van de Geschillenkamer en heeft besloten zich voortaan te baseren op de toestemming van de genoemde beroepsbeoefenaars, en in de zomer is begonnen met het verzamelen van hun toestemming. De eerste verweerder heeft bovendien de laatste versie van het privacybeleid van het platform opgesteld, die in augustus 2023 online is gezet en waarin nu wordt verwezen naar het bovengenoemde verzoek om toestemming van de nietgeregistreerde beroepsbeoefenaars. 28. Op 15 december 2023 worden klager nr. 1 en de vertegenwoordigers van de eerste verweerder door de Geschillenkamer gehoord. De tweede verweerder verschijnt niet. Zij zetten elk de in hun conclusies ontwikkelde argumenten uiteen. Op vraag van de Geschillenkamer legt de eerste verweerder uit hoe op het platform een account kan worden aangemaakt en verwijderd. Hij laat ook de testversie van het platform zien, dat voortaan zal werken zonder het RRN op te vragen, waarbij de eerste verweerder, met name gelet op de twee klachten, ervan afziet met dit identificatienummer te werken. Hij bevestigt wat hij in zijn conclusie aangaf, namelijk het stapsgewijs verzamelen van toestemming van nietgeregistreerde beroepsbeoefenaars in de gezondheidszorg en het opgeven van het gerechtvaardigd belang als rechtmatigheidsgrond. 29. Op 28 september 2023 wordt het proces-verbaal van de hoorzitting voorgelegd aan de partijen die daarbij aanwezig waren. Ter informatie ontvangt de tweede verweerder een kopie. 30. Op 6 oktober 2023 heeft de Geschillenkamer van de eerste verweerder en klager nr. 1, die aanwezig waren op de hoorzitting, geen opmerkingen met betrekking tot het procesverbaal ontvangen, I.2. 31. Wat betreft de klacht van klager nr. 2 (DOS-2021-05271) Op 31 juli 2021 dient klager nr. 2 een klacht in (hierna klacht nr. 2) bij de GBA tegen de eerste verweerder.. 32. In de klacht meldt klager nr. 2 dat hij heeft vastgesteld dat om een afspraak te maken op het platform "Z" men verplicht is - bij het aanmaken van zijn account, zonder welke geen afspraak kan worden gemaakt – om zijn RRN te verstrekken en dat deze praktijk hem in strijd lijkt met de wet. 33. Klager nr. 2 overlegt de e-mail die hij op 17 juli 2021 aan de eerste verweerder heeft gestuurd en waarin hij benadrukt dat het volgens hem (sic) "bij wet strikt verboden is voor een privébedrijf als het uwe om het nationaal nummer op te vragen. Gelieve dit verplichte veld om een afspraak te maken, te verwijderen". Beslissing ten gronde 149/2023 — 10/36 34. Dezelfde dag antwoordt de eerste verweerder dat (sic) "uw nationaal nummer wordt gevraagd als een veiligheidsmaatregel en is volledig versleuteld in onze database, dus onbruikbaar voor een derde. Een nationaal nummer is veel moeilijker te raden dan een emailadres en is dus veiliger. Vooral in een toepassing voor de gezondheidszorg". 35. Zoals vermeld in punt 32 heeft klager nr. 2, ontevreden over het ontvangen antwoord, op 31 juli 2021 een klacht ingediend bij het GBA. 36. Op 16 augustus 2021 wordt zijn klacht door de Eerstelijnsdienst van de GBA ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, § 1, van de WOG aan de Geschillenkamer overgemaakt. 37. Uit de ingediende klacht blijkt niet dat klager nr. 2 zijn RRN aan de eerste verweerder heeft meegedeeld. Integendeel, het lijkt erop dat klager nr. 2 besloot geen account aan te maken omdat hem om zijn RRN werd gevraagd. In zijn conclusie (punt 46 hieronder) verklaart de eerste verweerder dat hij niet kan vaststellen of klager nr. 2 daadwerkelijk een afspraak heeft gemaakt via het platform. Hij zegt dat als in de database van het platform op diens naam wordt gezocht, in ieder geval blijkt dat hij hierop geen account heeft. Met andere woorden, het lijkt er dus op dat de eerste verweerder geen persoonsgegevens met betrekking tot klager nr. 2 (waaronder zijn RRN) heeft verwerkt. Deze laatste is daarom geen betrokkene in de zin van artikel 4.1 en artikel 77 van de AVG. 38. Dit gebrek aan hoedanigheid ontneemt klager nr. 2 echter niet het recht om een klacht in te dienen bij de GBA op grond van artikel 77 van de AVG aangevuld met artikel 58 en volgende van de WOG6. In dit verband herinnert de Geschillenkamer eraan dat in een arrest van 7 oktober 20217 het Hof van Cassatie het volgende heeft uitgesproken: "3. Uit het geheel van voornoemde wetsbepalingen volgt onmiskenbaar dat een betrokkene het recht heeft om een klacht in te dienen bij de Gegevensbeschermingsautoriteit tegen een verwerkingspraktijk waarvan hij meent dat deze inbreuk maakt op zijn rechten uit hoofde van de AVG (...). Dit is ook het geval wanneer de persoonsgegevens van de betrokkene zelf niet zijn verwerkt, maar deze het voordeel of de dienst niet heeft verkregen, doordat hij, precies 6 Artikel 58 van de WOG bepaalt: “Eenieder kan schriftelijk, gedateerd en ondertekend een klacht of een verzoek indienen bij de Gegevensbeschermingsautoriteit.” Het moet worden gelezen in samenhang met de criteria voor ontvankelijkheid van de klacht in artikel 60 van de WOG, die de voorwaarde om een betrokkene te zijn, niet omvatten. Er zijn echter grenzen aan de ontvankelijkheid van een klacht die verband houdt met het belang van de klager om op te treden, zoals beschreven door de Geschillenkamer in haar Nota inzake de positie van de klager in de procedure bij de Geschillenkamer en in een aantal van haar beslissingen. Zie bijvoorbeeld: Beslissing ten gronde 30/2020 van 8 juni 2020 (punten 4-7); Beslissing ten gronde 80/2020 van 17 december 2020 (punten 44-52); Beslissing ten gronde 63/2021 van 1 juni 2021 (punten 10-18); Beslissing ten gronde 117/2021 van 22 oktober 2021 (punten 29-35); Beslissing 49/2022 van 5 april 2022 (punten 7-12); Beslissing ten gronde 106/2022 van 27 juni 2022. https://www.gegevensbeschermingsautoriteit.be/publications/nota-inzake-de-positie-van-deklager-in-de-procedure-bij-de-geschillenkamer.pdf. 7 https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/NL?HiLi=eNpLtDK2qs60MrAutjI2sFJKT01PLUvNK05K LU7OSC3KzcxLL04sLckvyixJzSxRss60MoSqdHd1dw1z9Qt2cg129nAN8vX0cw92DA3xD/IMcfUMAak0gqkkYGYtAFHdLHE =. Beslissing ten gronde 149/2023 — 11/36 omwille van het bestaan van de vermeend inbreukmakende praktijk, zijn toestemming met de verwerking heeft geweigerd.”8 39. In het onderhavige geval stelt klager nr. 2 een praktijk aan de kaak waarbij het RRN vereist is om een account bij het platform aan te maken. Klacht nr. 2 is overigens de tweede klacht die de GBA over dit onderwerp ontvangt, de eerste is die van klager nr. 1 hierboven (DOS2020-05649). 40. Op 21 januari 2022 worden de eerste verweerder en klager nr. 2 (d.w.z. de betrokken partijen van klacht nr. 2) per aangetekende post op de hoogte gebracht van de bepalingen zoals opgenomen in artikel 95, § 2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG op de hoogte gebracht van de termijnen om hun conclusies in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de eerste verweerder werd daarbij vastgelegd op 4 maart 2022, deze voor de conclusie van repliek van klager nr. 2 op 28 maart 2022, en deze voor de conclusie van repliek van de eerste verweerder op 19 april 2022. 41. In deze brief worden de eerste verweerder en klager nr. 2 uitgenodigd om hun argumenten aan te voeren met betrekking tot de mogelijke schendingen van de AVG wegens de aan de kaak gestelde praktijk van het verwerken van het RRN; namelijk een mogelijke schending van de artikelen 5.1.
18. a)gegevensverwerking), 5.1.
19. e)(transparantie), (verplichting 13 (beperkte tot (rechtmatigheidsbeginsel), bewaartermijn), 6.1. 5.1.
20. c)(minimale (rechtmatigheid), informatieverstrekking) 5.2. en 12 24 (verantwoordingsplicht/accountability) en 32 (beveiligingsplicht) van de AVG, evenals de overeenstemmende bepalingen van de WRR, met name artikel 5 daarvan (machtiging tot verwerking). 42. Op 22 februari 2022 vraagt de eerste verweerder een kopie van het dossier (art. 95, § 2, 3°, WOG), die hem wordt bezorgd op 25 februari 2022. 43. Op diezelfde datum stemt de eerste verweerder ermee in om alle communicatie met betrekking tot de zaak elektronisch te ontvangen. 44. Op 3 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord van de eerste verweerder. De eerste verweerder dient ook een conclusie van repliek en een syntheseconclusie in; een samenvatting van zijn argumenten wordt in punt 46 hieronder gegeven. 45. Op 13 april 2022 dient de eerste verweerder zijn verzoek in om te worden gehoord overeenkomstig artikel 98 van de WOG. 8 Zie in dit verband beslissing 126/2021 van de Geschillenkamer https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-126-2021.pdf. De Geschillenkamer onderstreept. Beslissing ten gronde 149/2023 — 12/36 46. Op 15 april 2022 ontvangt de Geschillenkamer de conclusie van repliek en de syntheseconclusie van de eerste verweerder. Samengevat verdedigt deze hierin het volgende: - De verwerking van het RRN is gebaseerd op de vrije toestemming van de betrokkene (artikel 5.1.
21. a)en artikel 6 van de AVG): het staat de patiënt vrij om al dan niet een account aan te maken. Hij kan ook gebruik maken van de informatiedienst van het platform en contact opnemen met de zorgverlener van zijn keuze via diens communicatiekanalen op basis van de contactinformatie die hem op deze manier ter beschikking wordt gesteld; - Als in de database van het platform op naam van klager nr. 2 wordt gezocht, wordt vastgesteld dat deze geen account op het platform heeft; - De beslissing om het RRN te gebruiken is ingegeven door de absolute noodzaak om de patiënt op een duidelijke en unieke manier te identificeren. Er is dus geen sprake van een schending van het beginsel van minimale gegevensverwerking (artikel 5.1.
22. c)van de AVG) met betrekking tot de verwerking van dit RRN; - Gegevens worden alleen bewaard gedurende de tijd die nodig is om de patiënt te identificeren en authenticeren, en worden verwijderd zodra de patiënt zich uitschrijft van het platform (artikel 5.1.
23. e)van de AVG); - Met betrekking tot de verplichtingen tot transparantie en informatieverstrekking is er een specifiek tabblad gewijd aan informatie over de verwerking van het RRN op het platform (FAQ - vertrouwelijkheid). De redenen waarom het RRN wordt gevraagd, worden hierin beschreven; - Door te kiezen voor de verwerking van het RRN voor de identificatie en unieke authenticatie van de betrokkene, heeft de eerste verweerder artikel 32 van de AVG correct uitgevoerd, rekening houdend met de risico's die verbonden zijn aan de aard van de verwerkte gegevens. Alle verwerkte gegevens (waaronder het RRN) zijn opgenomen in een versleutelde en beveiligde database (artikel 32 van de AVG); - Uit de getroffen maatregelen (met name op het gebied van informatieverstrekking en beveiliging) moet worden afgeleid dat de eerste verweerder heeft voldaan aan zijn verplichtingen krachtens de artikelen 5.2 en 24 van de AVG; - Wat de naleving van de WRR betreft, verwerkt de eerste verweerder het RRN alleen voor de identificatie en de authenticatie van de gebruiker van het platform. Hij is daarom vrijgesteld van voorafgaande toestemming door de minister van Binnenlandse Zaken krachtens artikel 8.3 van de WRR. De eerste verweerder voegt eraan toe dat hij het Rijksregister van de natuurlijke personen en de daarin opgenomen gegevens niet raadpleegt (blz. 15 van zijn conclusie - laatste paragraaf), en dat artikel 5 van de WRR derhalve niet op hem van toepassing is. Beslissing ten gronde 149/2023 — 13/36 47. Op 2 augustus 2023 worden de eerste verweerder en klager nr. 2 ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 15 september 2023. Opgemerkt moet worden dat klager nr. 2 - die niet concludeert - in reactie op de uitnodiging voor de hoorzitting aangeeft dat hij met het indienen van zijn klacht de GBA alleen wilde wijzen op een mogelijke schending. Voor zover nodig wijst de Geschillenkamer erop dat deze verklaring geenszins de ontvankelijkheid van zijn klacht in twijfel trekt (punten 36-39), noch moet worden uitgelegd als een intrekking van de klacht. Zelfs in de veronderstelling dat klager nr. 2 dit toch voor ogen had, staat het de Geschillenkamer vrij om de klacht ondanks een dergelijke intrekking verder te onderzoeken, aangezien zij van oordeel is dat de inbreuk waarover wordt geklaagd voldoende ernstig is of wijst op het bestaan van een praktijk die de fundamentele beginselen van de bescherming van persoonsgegevens 9 kan ondermijnen, zoals hier het geval is. 48. Op 15 september 2023 wordt de eerste verweerder door de Geschillenkamer gehoord. Klager nr. 2 verschijnt niet. 49. Op 28 september 2023 wordt het proces-verbaal van de hoorzitting aan de eerste verweerder meegedeeld. Klager nr. 2 ontvangt hier ter informatie een kopie van. 50. Op 6 oktober 2023 heeft de Geschillenkamer geen opmerkingen met betrekking tot het proces-verbaal ontvangen van de eerste verweerder. I.3. 51. Wat betreft de samenvoeging van de klachten nrs. 1 en 2 Bij deze beslissing beslist de Geschillenkamer de klachten nrs. 1 en 2 samen te voegen; deze klachten zijn volgens haar zo nauw met elkaar verbonden dat het van belang is daarover een enkele beslissing te nemen teneinde de samenhang van haar beslissingen te waarborgen. De twee klachten zijn door verschillende klagers (nr. 1 en nr. 2) ingediend, maar hebben betrekking op hetzelfde platform en uitten ook een gemeenschappelijke grief in verband met het RRN, zoals vermeld in de punten 9 (klacht nr. 1) en 32 (klacht nr. 2) hierboven. Met andere woorden, aangezien de Geschillenkamer bij de behandeling van de aan haar voorgelegde klachten coherentie nastreeft, kunnen deze klachten beter niet afzonderlijk onderzocht worden. 9 Sepotbeleid van de Geschillenkamer, gepubliceerd op 3.1 juni 3.1 (beschikbaar op : https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf). Beslissing ten gronde 149/2023 — 14/36 II. Motivering II.1. Wat betreft de kwalificatie van de tweede verweerder (DOS-2020-05649) II.1.1. Het standpunt van de ID en van de partijen 52. Zoals vermeld in punt 1, dient klager nr. 1 haar klacht in tegen zowel de eerste als de tweede verweerder, die zij aanduidt als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 4.7 van de AVG. 53. Klager nr. 1 is van mening dat er sterke en consistente aanwijzingen zijn ten gunste van deze stelling: