Beslissing ten gronde nr. 15/2020

1/31 Geschillenkamer Beslissing ten gronde 15/2020 van 15 april 2020 Dossiernummer : DOS-2018-04725 Betreft : Klacht wegens de verwerking van de persoonsgegevens van huurders via de belastingaangifte door een gemeente De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Beslissing ten gronde 15/2020 - 2/31 heeft de volgende beslissing genomen inzake: • Dhr. X, hierna: de “klager” • De Stad Y, hierna: de “verweerster”: 1. Feiten en procedure Feiten 1. Op 30 augustus 2018 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit. 2. De klacht kan worden samengevat als volgt. In het kader van de belastingaangifte voor tweede verblijven vraagt de fiscale administratie van de verweerster aan de verhuurder (de eigenaar) een aantal persoonsgegevens op van de huurder van de woning of wooneenheid via de belastingaangifte voor tweede verblijven. Die persoonsgegevens worden dus niet rechtstreeks verkregen van de betrokkene, in dit geval de huurder. Het gaat om persoonsgegevens die op basis van de belastingaangifte relevant zijn voor het verwerven van een belastingvermindering voor de eigenaar bij de vaststelling van het belastingtarief op tweede verblijven die zich bevinden op het grondgebied van de verweerster. De verweerster maakt een Vlaamse gemeentelijke instelling uit. Volgens de klager, die als eigenaar en verhuurder het betrokken belastingformulier dient in te vullen en de persoonsgegevens van zijn huurders dient over te maken, betreft die verwerking van persoonsgegevens een inbreuk op de AVG. 3. Volgens de klager betreffen de vragen die betrekking hebben op persoonsgegevens van de huurder de “persoonlijke levenssfeer van de student huurder, welke niet relevant zijn in de relatie student-verhuurder [die] contractueel bepaald is”. De klager noemt de vragen van de verweerster “onbehoorlijk bestuur” omdat ze aanleiding geven tot een volgens de klager onrechtmatige verwerking. De klager vraagt de Gegevensbeschermingsautoriteit “correctieve maatregelen” te nemen ten aanzien van de verweerster. 4. Bij de klacht aan de Gegevensbeschermingsautoriteit voegt de klager ook het aangifteformulier voor de belasting op tweede verblijven bij, die de volgende persoonsgegevens van de huurder bij de verhuurder opvraagt: • de naam en voornaam van de huurder; • een noodnummer gelinkt aan de huurder; • een inschrijvingsattest waaruit blijkt dat de huurder ingeschreven is in het voltijds dagonderwijs op 1 januari van het aanslagjaar; • wanneer relevant, een kopie van de studietoelage waaruit blijkt dat de toelage van de studiebeurs voor de huurder als student meer dan 200 EUR is; • wanneer relevant, een aankomstverklaring voor grensstudenten, benoemd als een ‘bijlage 33’. 5. De klacht werd ontvankelijk verklaard op 20 september 2018. De ontvankelijkheid werd op die dag per brief ter kennis gebracht van de klager. 6. Op haar zitting van 3 oktober 2018, stelt de Geschillenkamer vast dat er nog geen beslissing kan genomen worden bij toepassing van artikel 95 WOG. Toepassing makende van artikel 63, 2° en 94, 1° WOG vraagt de Geschillenkamer een onderzoek aan de Inspectiedienst. Dit verzoek wordt op 5 oktober 2018 overgemaakt aan de Inspecteur-Generaal. 7. Op 7 juni 2019 verstuurt de Inspectiedienst per e-mail een brief aan het secretariaat van de verweerster en het e-mailadres ‘GDPR@[verweerster].be’. Beide accounts worden beheerd door Beslissing ten gronde 15/2020 - 3/31 de administratie van de verweerster als verwerkingsverantwoordelijke. In de brief stelt de Inspectiedienst het volgende, na te hebben verwezen naar de inhoud van de klacht: “Gelieve [de Inspectiedienst] per kerende en ten laatste 1 maand na datum van dit schrijven de hierna vermelde informatie en daarmee verband houdende documenten te bezorgen (cf. artikelen 5, 6, 30, 37 en 38 van de AVG): 1. een kopie van de documenten van de [verweerster] inzake de verantwoording overeenkomstig artikel 5 van de AVG en de juridische basis overeenkomstig artikel 6 van de AVG voor de verwerking van de persoonsgegevens van huurders die moeten worden meegedeeld aan [de verweerster] via haar aangifteformulier voor de belasting tweede verblijven voor aanslagjaar 2018; 2. een kopie van de adviezen van de functionaris voor gegevensbescherming van de [verweerster] overeenkomstig artikelen 38 en 39 van de AVG inzake haar aangifteformulier voor de belasting tweede verblijven voor aanslagjaar 2018; 3. een uittreksel uit het register van de verwerkingsactiviteiten van de [verweerster] overeenkomstig artikel 30 van de AVG voor wat betreft de verwerkingsactiviteiten inzake haar belasting tweede verblijven voor aanslagjaar 2018.” 8. Op 1 juli 2019 maakt de verweerster per e-mail een brief over aan de Inspectiedienst. In dit bericht licht men de achtergrond van de verwerking toe. De verweerster heft voor haar algemene financiering een belasting op de tweede verblijven, waarvoor de gemeenteraad een belastingreglement goedkeurde. Indien de eigenaar kan bewijzen dat het tweede verblijf betrokken wordt door een student, wordt dit bedrag verminderd. Een bijkomende vermindering wordt toegekend aan de eigenaar wiens tweede verblijf betrokken wordt door een student die in het aanslagjaar recht heeft op een studiebeurs van meer dan 200 EUR. Het opvragen van de persoonsgegevens kadert zodus in de vaststelling van het gemeentelijk belastingtarief. 9. De verweerster vermeldt daarnaast dat “om (belasting-)fraude tegen te gaan is vereist dat de studenten geïdentificeerd kunnen worden.” De verweerster stelt daarenboven in de brief dat het om redenen van openbare veiligheid (“veiligheidsredenen”) vereist is om de persoonsgegevens van de huurders te verzamelen. Onder meer het verzamelen van het noodnummer van een persoon die kan bereikt worden wanneer de huurder betrokken is in een noodgeval (ICE-nummer) is hierom een bijkomende vereiste op de voornoemde belastingaangifte. De verweerster verduidelijkt als volgt: “Bij noodgevallen kan dan makkelijk en snel een lijst van mogelijk getroffen studenten samengesteld worden. De [verweerster] heeft hiervoor op 2 mei 2016 advies gevraagd aan de Commissie voor de Bescherming van de Persoonlijke Levenssfeer 1.” 10. Als reactie op de brief en de bijlagen van de verweerster van 1 juli 2019, maakt de Inspectiedienst op 3 juli 2019 per e-mail een brief over aan de verweerster met de vraag om bijkomende documenten en toelichtingen omtrent het verzamelen van persoonsgegevens via het aangifteformulier voor de belasting op tweede verblijven. Meer bepaald verwacht de inspectiedienst: “a. een concrete en met documenten gestaafde toelichting van [de verweerster] over de beslissingen en maatregelen die door [de verweerster] werden genomen sinds 24 mei 2016, namelijk de datum van inwerkingtreding van de AVG, om ervoor te zorgen dat de verwerking van persoonsgegevens van huurders via haar aangifteformulier voor de belasting tweede 1 Hierna: CBPL. Beslissing ten gronde 15/2020 - 4/31 verblijven voor aanslagjaar 2018 gebeurt in overeenstemming met de AVG en de daarmee verband houdende nationale wetgeving. b. een toelichting van [de verweerster] die concreet aantoont hoe haar aangifteformulier voor de belasting tweede verblijven voor aanslagjaar 2018 rekening houdt met het uittreksel uit het notulenboek van de gemeenteraad […] c. een kopie van de beslissingen van [de verweerster] en van de adviezen van de functionaris voor gegevensbescherming van [de verweerster] over de registratie van gegevens van studenten om veiligheidsredenen […] 11. Daarnaast stelt de Inspectiedienst een aantal bijkomende vragen omtrent de invulling van het gegevensverwerkingsregister. De Inspectiedienst vraagt verduidelijking bij de invulling van de categorieën betrokkenen, de vaststelling van de bewaartermijn, de ontvanger van de persoonsgegevens en de beveiligingsmaatregelen. Ook vraagt de Inspectiedienst verantwoording voor het ontbreken van de naam en de contactgegevens van de functionaris voor gegevensbescherming op het gegevensverwerkingsregister. 12. Tot slot vraagt de Inspectiedienst de volgende documentatie over de functionaris voor gegevensbescherming van de verweerster: “a. een kopie van het organigram van [de verweerster] met een toelichting over de plaats waar de functionaris voor gegevensbescherming zich daarin precies bevindt; b. een kopie van de documenten van [de verweerster] die aantonen wat de tijdbesteding van de functionaris voor gegevensbescherming van [de verweerster] concreet inhoudt; c. een kopie van de documenten van [de verweerster] die aantonen hoe de professionele kwaliteiten van zijn functionaris voor gegevensbescherming en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 van de AVG bedoelde taken te vervullen werden geanalyseerd en beoordeeld bij het nemen van de beslissing tot aanduiding van de functionaris voor gegevensbescherming van [de verweerster]; d. een kopie van de adviezen die gegeven werden door de functionaris voor gegevensbescherming van [de verweerster] bij het [uittreksel van het gegevensverwerkingsregister]” 13. Op 2 augustus 2019 bezorgt de verweerster een antwoordbrief aan de Inspectiedienst. Hierin vermeldt de verweerster dat zij “enkele algemene maatregelen” nam om zich te conformeren aan de AVG. De verweerster stelt dat zij momenteel werkt aan een informatiebeheersplan voor de stad, waar onder meer de bewaartermijnen in zullen worden opgenomen. Met betrekking tot de maatregelen omtrent de verwerking waarover de klacht gaat, stelt verweerster: “Er werden geen specifieke beslissingen of maatregelen genomen in het kader van de verwerking van persoonsgegevens van huurders via het aangifteformulier voor de belasting tweede verblijven.” 14. De verweerster licht het gebruik van het concrete aangifteformulier op basis van het belastingreglement aangenomen door de gemeenteraad toe als volgt: “Op die manier kan de dienst financiën van [de verweerster] nagaan of het al dan niet om een tweede verblijf gaat en dus of de belasting al dan niet verschuldigd is. De eigenaars kunnen ook de gegevens van de bewoners invullen. Het gaat hierbij om de naam en voornaam, een noodnummer en, ingeval van een student, een inschrijvingsbewijs bij een onderwijsinstelling en een bewijs indien de student houder is van een studiebeurs.” Beslissing ten gronde 15/2020 - 5/31 15. Met betrekking tot de vraag op basis van welke beslissingen de verweerster de persoonsgegevens opvraagt in het kader van het waarborgen van de openbare veiligheid, en de eventueel hierbij horende adviezen van de functionaris voor gegevensbescherming van de verweerster, bezorgt de verweerster het volgende antwoord: “Dit gebeurt al sinds 2015 naar aanleiding van een zware brand in een studentenhuis […] waarbij twee studenten om het leven kwamen. Als bijlage bezorgen wij u de beslissingen van de gemeenteraad van 23 juni 2014 en 17 december 2018. Aangezien deze werkwijze reeds werd goedgekeurd voor de inwerkingtreding van de algemene verordening gegevensbescherming is er geen advies van de functionaris voor gegevensbescherming. Bij nieuwe projecten waarbij persoonsgegevens verwerkt worden en wijzigingen van bestaande verwerkingen, wordt overeenkomstig artikel 35 van de algemene verordening gegevensbescherming het advies van de functionaris voor gegevensbescherming gevraagd. Het is echter onmogelijk om voor alle bestaande verwerkingen het advies van de functionaris voor gegevensbescherming te vragen.” 16. Over het verwerkingsregister reikt de verweerster bijkomende elementen aan met betrekking tot de vernoemde categorieën persoonsgegevens, de bewaartermijnen, de doorgifte van de persoonsgegevens, de beveiligingsmaatregelen en het niet vermelden van de functionaris voor gegevensbescherming. Wat betreft dit laatste stelt de verweerster: “In het dataverwerkingsregister worden inderdaad niet de contactgegevens vermeld van de functionaris voor gegevensbescherming. Dit zal nog worden toegevoegd.” 17. Met betrekking tot de vragen van de Inspectiedienst betreffende de invulling van de functie van de functionaris voor gegevensbescherming, haalt de verweerster aan, wat betreft punt a: er werd een functionaris voor gegevensbescherming aangesteld via een externe dienstverlener en deze werd niet opgenomen in het organigram van de verweerster; punt b: voor het weergeven van de tijdsbesteding wordt een document toegevoegd door de verweerster waaruit blijkt dat de externe functionaris 3,48 uur per week fysiek aanwezig is bij de verweerster en daarnaast 11,24 uur als functionaris voor gegevensbescherming werkt voor de verweerster, maar dan bijvoorbeeld vanuit de kantoren van de externe dienstverlener, op plaatsbezoek bij diensten en afdelingen van de verweerster en voor vormingen en het bijwonen van relevante vergaderingen in de uitvoering van haar taken als functionaris voor gegevensbescherming voor de verweerster; punt c: de functie van functionaris voor gegevensverwerking wordt gecumuleerd met die van informatieveiligheidsconsulent, zoals vooropgesteld door het college van burgemeester en schepenen van de stad op 9 mei 2018. De verweerster stelt dat de externe dienstverlener die de functionaris voor gegevensbescherming aanlevert “bij de aanwerving van zijn personeelsleden hun kwaliteiten en deskundigheid nagegaan”; punt d: er bestaan geen schriftelijke adviezen van de functionaris voor gegevensbescherming “voor de reeds bestaande verwerkingen. Het is immers onmogelijk om voor alle bestaande verwerkingen een advies te vragen aan de functionaris voor gegevensverwerking. Bij nieuwe verwerkingen of wijzigingen wordt wel telkens de functionaris voor gegevensbescherming betrokken”. 18. Voor de beoordeling van deze zaak, is het belastingreglement dat werd goedgekeurd door de gemeenteraad op 23 juni 2014 van belang. Dit reglement gold op het ogenblik van het indienen van de klacht op 30 augustus 2018. Het is relevant voor de beoordeling van de rechtmatigheid van de verwerking vast te stellen dat het belastingreglement van de verweerster vermeldt dat de attesten of bewijzen met betrekking Beslissing ten gronde 15/2020 - 6/31 tot de inschrijving van een student, met betrekking tot het aanspraak maken op een studiebeurs door de student en met betrekking tot het aanspraak maken op gesubsidieerde sociale huisvesting, “bij de aangifte” moeten worden voorgelegd door de eigenaar. 19. Wat betreft de aanstelling van een andere externe functionaris voor gegevensbescherming op 15 maart 2019, die via dezelfde externe dienstverlener wordt aangeleverd, verwijst het besluit van het college van burgemeester en schepenen van de verweerster naar een “interne reorganisatie” bij de externe dienstverlener. 20. Wat betreft het gegevensverwerkingsregister, vermeldt de algemene pagina onder meer het volgende: “Elke directie is zelf verantwoordelijk voor zijn dataregister, en moet deze zelf aanvullen en up to date houden. Heb je inhoudelijke of juridische vragen over de GDPR, dan kan je terecht op gdpr@[verweerster].be. Dit wordt opgenomen door het secretariaat en de dienst communicatie. De communicatie ivm de GDPR wordt opgenomen door de dienst communicatie [e-mailadres van een personeelslid van de verweerster] Voor technische vragen over het dataregister kan je terecht bij [e-mailadres van een personeelslid van de verweerster]” 21. In de stukken die de Inspectiedienst toevoegt aan het dossier, wordt onder meer ook het antwoord van de CBPL op de adviesaanvraag van verweerster met betrekking tot de verplichte registratie van persoonsgegevens van studenten van de stad bijgevoegd, met als datum 2 juni 2016. In dit antwoord wordt aan de verweerster meegedeeld dat de verweerster als gemeentelijke instelling niet gerechtigd is een advies aan de CBPL te vragen. De vraag van de verweerster zou daarom “louter als een informatieaanvraag worden behandeld”. Ook in haar antwoord, voegt de CBPL een verwijzing naar de website toe waar de verweerster meer informatie kan vinden, en de boodschap dat zij de CBPL bij verdere vragen opnieuw kan contacteren. Het Inspectieverslag 22. Op 22 augustus 2018 maakt de Inspectiedienst haar verslag van het onderzoek in deze zaak over aan de Geschillenkamer. 23. Voor wat betreft de vaststellingen binnen scope, verwijst de Inspectiedienst naar artikel 5 en 6 AVG. De Inspectiedienst stelt dat de verweerster deze artikelen schond door de persoonsgegevens van de huurders op te vragen via het aangifteformulier voor tweede verblijven dat de verhuurder dient in te vullen. De Inspectiedienst stelt dat de verweerster “geen specifieke beslissingen of maatregelen heeft genomen om zich te conformeren aan de AVG” wat betreft deze verwerking. 24. Ook voor wat betreft de verwerking van de persoonsgegevens van de huurders voor het waarborgen van de openbare veiligheid via hetzelfde aangifteformulier, stelt de Inspectiedienst problemen vast. De Inspectiedienst stelt het volgende vast. “[de verweerster] verwijst naar een adviesaanvraag die zij op 02/05/2016 richtte aan de Commissie voor de Bescherming van de Persoonlijke Levenssfeer […] ter verdediging van haar praktijk om sinds 2015 ‘gegevens van studenten’ te registreren ‘om veiligheidsredenen’. Beslissing ten gronde 15/2020 - 7/31 Voormelde adviesaanvraag werd beantwoord via een schrijven van de CBPL van 02/06/2016 […] waarbij werd verwezen naar de documentatie op de website van de CBPL, maar uit de antwoorden van [de verweerster] blijkt niet wat [zij] daarmee heeft gedaan. Bovendien impliceert voormelde zware brand niet dat een verwerking van gegevens van studenten […] ‘noodzakelijk is voor de veiligheid en de identificatie van de personen’ zoals [de verweerster] beweert in haar voormelde antwoordbrief van 30/07/2019. [De verweerster] toont immers niet voldoende aan wat de toegevoegde waarde is van de voormelde verwerking gelet op het beginsel van minimale gegevensverwerking samen gelezen met de verantwoordingsplicht.” 25. Wat betreft het verweer dat het opvragen van de persoonsgegevens noodzakelijk is om fraude in de belastingaangifte na te gaan, meent de Inspectiedienst dat de doelstelling fraudebestrijding de verwerking in concreto niet rechtvaardigt. “[De verweerster] toont immers niet voldoende aan wat de toegevoegde waarde is van de voormelde verwerking gelet op het beginsel van minimale gegevensverwerking samen gelezen met de verantwoordingsplicht.” 26. De Inspectiedienst acht ook een aantal elementen “buiten de scope van de klacht” of aanvullende vaststellingen van belang om op te nemen in het Inspectieverslag. Zij verwijst onder meer naar vaststellingen “inzake transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene (artikel 12 van de AVG) en inzake te verstrekken informatie wanneer de persoonsgegevens bij de betrokkene worden verzameld (artikel 13 van de AVG)” 27. In het kader van artikel 12 AVG, wijst de Inspectiedienst op een privacyverklaring van de verweerster die niet in overeenstemming zou zijn met de AVG omwille van de volgende redenen. “

1. a)De verstrekte informatie is niet altijd transparant en begrijpelijk voor de betrokkene zoals artikel 12, lid 1 van de AVG oplegt. Zo maakt de [verweerster] naar eigen zeggen gebruik van ‘platformen zoals Twitter, Facebook, Mailchimp en Google Analytics’, zonder de betrokkene transparant te informeren over hoe die platformen omgaan met hun persoonsgegevens. Tot slot vermeldt [de verweerster] dat ‘wijzigingen in ons privacybeleid’ mogelijk zijn, zonder te verduidelijken hoe de betrokkenen daarover op transparante en verstaanbare wijze zullen worden geïnformeerd.
2. b)De verstrekte informatie is onvolledig aangezien niet alle overeenkomstig artikel 13 van de AVG te verstrekken informatie effectief wordt verstrekt aan de betrokkenen. Zo worden de betrokkenen door [de verweerster] niet geïnformeerd over de toepasselijke adequaatheidsbesluiten van de Commissie en/of over de passende of geschikte waarborgen die toepasselijk zijn bij doorgifte van persoonsgegevens naar een derde land met name bij verwerking via/door de voormelde platformen waarvoor [de verweerster] in zijn privacyverklaring nochtans stelt dat ‘Jouw gegevens kunnen buiten de EU terechtkomen’. Verder wordt er geen melding gemaakt van het recht op beperking van de verwerking, noch van het recht om tegen de verwerking bezwaar te maken en evenmin van het recht op gegevensoverdraagbaarheid. Tot slot wordt er niet vermeld dat de betrokkenen het recht hebben om een klacht in te dienen bij de Gegevensbeschermingsautoriteit.” 28. Tot slot stelt de Inspectiedienst ook vast dat er tekortkomingen zijn inzake de aanwijzingen van de functionaris voor gegevensbescherming en diens positie (artikel 37, respectievelijk 38 AVG). De Inspectiedienst meent dat de verweerster onvoldoende aantoont hoe de professionele kwaliteiten van de opeenvolgende functionarissen voor gegevensbescherming en in het bijzonder hun deskundigheid op het gebied van de wetgeving en de praktijken inzake gegevensbescherming werden beoordeeld of getest. Zo kon ook hun vermogen om de in artikel 39 AVG bedoelde taken uit te oefenen onvoldoende worden geanalyseerd, meent de Inspectiedienst. Beslissing ten gronde 15/2020 - 8/31 29. Wat betreft de positie van de functionaris voor gegevensbescherming, merkt de Inspectiedienst op dat de functionaris voor gegevensbescherming niet in het organigram van de verweerster werd opgenomen. De verweerster vermeldde in haar antwoord aan de inspectiedienst van 2 augustus 2019 dat de functionaris valt onder het “rechtstreeks functionele gezag van de verantwoordelijke voor het dagelijks bestuur binnen de instantie, dit is in casu de algemeen directeur van [de verweerster]”. De Inspectiedienst stelt: “Gelet op de algemeen verwoorde tekst van artikel 9 van het Besluit van de Vlaamse Regering van 23/11/2018 betreffende de functionarissen voor gegevensbescherming, vermeld in artikel 9 van het decreet van 18/07/2008 betreffende het elektronische gegevensverkeer, waarvan een kopie werd toegevoegd in dit dossier (stuk 16), is het niet duidelijk of [de verweerster] er effectief voor zorgt dat haar functionaris voor gegevensbescherming kan werken en rechtstreeks verslag uitbrengt aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke. Volgens de Inspectiedienst is het hoogste leidinggevende niveau hier mogelijk het College van burgemeester en schepenen dat instaat ‘voor het dagelijks bestuur van de stad’[…]” Procedure voor de Geschillenkamer 30. Op 25 september 2019 beslist de Geschillenkamer dat het dossier gereed is voor behandeling ten gronde. 31. De verweerster en de klager worden van de voorgaande beslissing van de Geschillenkamer op de hoogte gebracht per aangetekende brief van 25 september 2019 conform artikel 98 j° 95, §2 WOG. In deze brief worden ook de termijnen voor het indienen van de verweermiddelen vastgelegd. 32. Op 29 november 2019 legt de verweerster haar conclusie neer. Zij haalt verweermiddelen aan die betrekking hebben op de bevoegdheid van de Gegevensbeschermingsautoriteit (hierna: GBA), de gegrondheid van de klacht en de vaststellingen van de Inspectiedienst. 1) De bevoegdheid van de GBA 33. De verweerster verwijst naar artikel 4 WOG. Dit artikel bepaalt dat de GBA “op het grondgebied van het hele Koninkrijk” toezicht houdt op de naleving van de grondbeginselen van de bescherming van persoonsgegevens “onverminderd de bevoegdheden van de Gemeenschaps- of Gewestregeringen, van de Gemeenschaps- of Gewestparlementen, van het Verenigd College of van de Verenigde Vergaderingen bedoeld in artikel 60 van de bijzondere wet van 12 januari 1989 met betrekking tot de Brusselse instellingen.” 34. De verweerster verwijst naar de bevoegdheden van de gewesten die conform artikel 39 Grondwet geregeld worden in de Bijzondere Wet van 8 augustus 1980 tot hervorming der Instellingen (hierna: BWHI). Artikel 6, §1 VIII BWHI bepaalt dat de gewesten bevoegd zijn voor de gemeentelijke instellingen. De verweerster besluit: “de organisatie en werking van de gemeentelijke instellingen, waaronder de maatregelen die deze nemen inzake gegevensbescherming, behoort bijgevolg tot de gewestelijke bevoegdheden. De federale staat is hiervoor niet bevoegd.” 35. De verweerster stelt dat de Vlaamse Toezichtcommissie zonder meer bevoegd is “om controle uit te oefenen op de naleving van de AVG door de gemeenten en niet de Beslissing ten gronde 15/2020 - 9/31 Gegevensbeschermingsautoriteit.” De verweerster argumenteert dat “inzoverre art. [4 WOG] zou geïnterpreteerd worden in die zin dat ook de Gegevensbeschermingsautoriteit naast de [Vlaamse Toezichtcommissie] toezicht kan uitoefenen op de naleving van de AVG door de gemeenten, schendt dit artikel 6, §1, VIII van de BWHI.” Om die reden vraagt de verweerster aan de Geschillenkamer om zich onbevoegd te verklaren. 36. In ondergeschikte orde wat de bevoegdheid van de GBA in het geheel betreft, gezien de verweerster meent dat het van belang is dit conflict omtrent de bevoegdheidsverdelende regels uit te klaren, vraagt zij de Geschillenkamer een prejudiciële vraag tot het Grondwettelijk Hof te richten conform artikel 26, §1, 1° en 2° van de Bijzondere Wet van 6 januari 1989 op het Grondwettelijk Hof. De verweerster meent dat de Geschillenkamer een “rechtscollege in de zin van artikel 26 van de Bijzondere wet van 6 januari 1989 [is] aangezien deze belast is met de beslechting van juridische geschillen inzake de toepassing van AVG en tevens bevoegd is om in het kader daarvan sanctie en maatregelen op te leggen”. Zij verzoekt de Geschillenkamer de volgende prejudiciële vraag tot het Grondwettelijk Hof te richten en in afwachting de zaak op te schorten: “Schendt art. 3 [WOG] in de interpretatie dat de [GBA] toezicht kan uitoefenen op de naleving van de AVG door de gemeenten de bevoegdheidsverdelende regels, waaronder het artikel 6, §1 VIII van de BWHI?” 2) Gegrondheid – vaststellingen “binnen de scope van de klacht” 37. De verweerster argumenteert dat de verwerking rechtmatig is, in eerste instantie omdat de verwerking in het kader van de belastingaangifte rechtmatig is op basis van de rechtsgrond in artikel 6, §1, c AVG: “de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust”. 38. Voor wat betreft het opvragen van de persoonsgegevens van de huurders voor het invullen van de aangifte voor de belasting op tweede verblijven, verwijst de verweerster naar het hiertoe goedgekeurde belastingreglement van de gemeenteraad. Uit de lezing van overweging 41 AVG blijkt dat ook een op gemeentelijk niveau vastgelegde rechtsnorm als een “wettelijke verplichting” dient te worden beschouwd, benadrukt de verweerster. 39. De verweerster stelt dat zonder het opvragen van de vernoemde persoonsgegevens “het onmogelijk [is] voor concluante om het tarief van de verschuldigde belasting vast te stellen. Ook de namen van de studenten zijn noodzakelijk aangezien concluante indien zij daarover niet beschikt onmogelijk kan controleren of het betreffende tweede verblijf effectief bewoond wordt door een student, eventueel met studiebeurs, zoals de belastingplichtige voorhoudt.” Daarenboven meent de verweerster dat de GBA zich niet in de plaats mag stellen van een bestuurlijke instantie met beoordelingsbevoegdheid zoals in casu de gemeenteraad. 2 40. In tweede instantie verwijst de verweerster ook naar artikel 6, lid 1,
3. e)AVG: “de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”. 2 De verweerster verwijst naar een arrest tot vernietiging van een beslissing van de GBA : Hof van Beroep van Brussel, sectie Marktenhof (19de kamer A, Kamer voor marktzaken), Arrest van 23 oktober 2019, Federale Overheidsdienst Volksgezondheid t. Gegevensbeschermingsautoriteit, repertoriumnr. 2019/8029. Beslissing ten gronde 15/2020 - 10/31 41. Voor wat betreft het opvragen van een telefoonnummer in noodgevallen op de aangifte voor de belasting tweede verblijven, meent de verweerster dat dit “noodzakelijk is om de veiligheid in studentenhuizen te kunnen garanderen, de brandweer optimaal te kunnen bijstaan bij branden of andere rampen en om zo mensenlevens te kunnen redden”. De gemeenten zijn overeenkomstig artikel 135 van de Nieuwe Gemeentewet (24 juni 1988, gecoördineerd) bevoegd voor de openbare veiligheid, aldus de verweerster, en de verweerster is als dusdanig bevoegd zulke maatregelen te nemen. Ook wat dit betreft, stelt de verweerster: “het komt niet toe aan de GBA om zich in de plaats van concluante als bestuurlijke instantie met beoordelingsbevoegdheid te stellen en te bepalen welke gegevens concluante mag opvragen teneinde de uitoefening van haar taken van algemeen belang en haar openbaar gezag mogelijk te maken.” 42. Met betrekking tot de vaststelling van de Inspectiedienst dat de verweerster “geen specifieke beslissingen of maatregelen” ondernam om haar belastingaangifte voor de tweede verblijven conform de AVG te maken, stelt de verweerster dat het “onmogelijk [was] om alle bestaande processen te herzien in het kader van de AVG.” 43. Met betrekking tot de vaststelling van de Inspectiedienst dat de verweerster niet aantoont, in het kader van minimale gegevensverwerking en de verantwoordingsplicht, dat de verwerking noodzakelijk is voor de openbare veiligheid, wijst de verweerster erop dat de verwerking er ook toe strekt om het verschuldigd belastingtarief vast te kunnen stellen. Zij voegt hieraan toe: “de belasting op tweede verblijven wordt overigens door alle eigenaars doorgerekend aan de huurders, zijnde de studenten. Deze studenten kunnen er bijgevolg ook voor opteren om hun persoonsgegevens niet door te geven, doch dan zal het normale belastingtarief toegepast worden.” De verweerster meent bovendien dat de persoonsgegevens “wel degelijk noodzakelijk” zijn om de openbare veiligheid te waarborgen. Zij verwijst hiervoor naar een dodelijk incident in een studentenhuis. De relevante persoonsgegevens zouden bovendien enkel geconsulteerd en doorgegeven “ingeval van brand of andere rampen”. 44. Met betrekking tot de vaststelling van de Inspectiedienst dat de verweerster niet aantoont, in het kader van minimale gegevensverwerking en de verantwoordingsplicht, op welke manier de doelstelling ‘fraudebestrijding’ het opvragen van de persoonsgegevens van de huurder bij de verhuurder verantwoordt, stelt de verweerster dat zij niet gewoon kan vertrouwen “op een verklaring van de belastingplichtige omtrent het feit dat het tweede verblijf wordt bewoond door een student met al dan niet een studietoelage”. De verweerster acht de verwerking daarom “strikt noodzakelijk in het licht van het beoogde doel”. 3) Gegrondheid – vaststellingen “buiten de scope van de klacht” 45. Met betrekking tot de vaststelling van de Inspectiedienst omtrent de gebreken in de naleving van artikel 12 en 13 AVG, stelt de verweerster dat de privacyverklaring wel degelijk duidelijk maakt hoe de persoonsgegevens van betrokkenen worden gebruikt. Er wordt concreet verwezen naar de vaststellingen over informatie en transparantie inzake het gebruik van Twitter, Facebook, Mailchimp en Google Analytics: “Concluante heeft echter geen zicht op de verwerking nadien van persoonsgegevens door deze platformen, doch meent dat dit de verantwoordelijkheid is van deze platformen zelf […] Meer concreet worden de betreffende platformen als volgt gebruikt door concluante: Mailchimp: wordt gebruikt voor mailverkeer waar er steeds gewerkt wordt met een opt in Google Analytics: alles wordt geanonimiseerd Beslissing ten gronde 15/2020 - 11/31 - Facebook – Twitter: Er worden door de stad foto’s/berichten op facebook geplaatst, deze zijn steeds in overeenstemming met de AVG. Daarnaast wordt er ook gereageerd op berichten van burgers die zij plaatsen vanop hun privé accounts.” Er kan daarbij worden opgemerkt dat de verweerster zich er in haar verweermiddelen toe verbindt haar privacy policy “aan te passen zodat dit gebruik verder verduidelijkt wordt”. 46. Met betrekking tot de vaststelling van de Inspectiedienst dat de betrokkenen niet geïnformeerd worden over de toepasselijke adeqaatheidsbesluiten van de Commissie en/of over de passende en geschikte waarborgen die toepasselijk zijn bij de doorgifte van de persoonsgegevens aan derde landen, stelt de verweerster dat zij reeds “concrete stappen” heeft ondernomen om dit problemen te verhelpen door het toekennen aan een externe dienstverlener belast met het beheer van “al haar ICT” om een nieuwe digitale tool aan te kopen. 47. Met betrekking tot de vaststelling van de Inspectiedienst dat de privacyverklaring niet vermeldt hoe betrokkenen hun recht kunnen uitoefenen, stelt de verweerster dat het recht van bezwaar en het recht op beperking van de verwerking inmiddels vermeld worden. Met betrekking tot de vermelding aan betrokkenen dat zij klacht kunnen indienen bij de Gegevensbeschermingsautoriteit, verwijst de verweerster naar haar vaststellingen inzake de onbevoegdheid van de Gegevensbeschermingsautoriteit, waardoor zij die vermelding niet relevant acht. Met betrekking tot het recht op gegevensoverdraagbaarheid, meent de verweerster dat zij voor de verwerkingen die zij vervult in het kader van taken van algemeen belang en taken in het kader van de uitoefening van het openbaar gezag, niet onderworpen is aan de verplichting om gevolg te geven aan zulke verzoeken van betrokkenen. 48. Met betrekking tot de vaststellingen van de inspectiedienst inzake het register van verwerkingsactiviteiten, stelt de verweerster: “De contactgegevens van de functionaris voor gegevensbescherming werden inmiddels opgenomen in het dataregister van [de verweerster], zodat aan de opmerking m.b.t. het ontbreken daarvan tegemoet werd gekomen. Al de overige ontbrekende informatie die wordt vermeld in het inspectieverslag zal consulteerbaar worden in de nieuwe tool […] Aan alle opmerkingen werd bijgevolg inmiddels voldaan.” 49. Met betrekking tot de vaststellingen van de Inspectiedienst omtrent de aanwijzing van de functionaris voor gegevensbescherming bij de verweerster en diens positie, herhaalt de verweerster dat de functionaris voor gegevensbescherming via een externe dienstverlener werkt, en daarom niet voorkomt in het organigram van de verweerster. De beoordeling door de verweerster van de professionele kwaliteiten en de deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming, acht de verweerster afdoend aangetoond, gezien de laatste functionaris voor gegevensbescherming bij de externe dienstverlenende onderneming “een schriftelijke en mondelinge proef” diende af te leggen en dit geanalyseerd en beoordeeld werd door de externe dienstverlenende onderneming. De verweerster licht dit in haar conclusie als volgt toe: “De heer [Y] kwam als meest geschikte kandidaat uit deze selectieprocedure […] De verweerster mag er dan ook redelijkerwijze op vertrouwen dat de heer [Y] de nodige Beslissing ten gronde 15/2020 - 12/31 professionele kwaliteiten heeft. Hij vervult deze functie overigens ook voor andere lokale besturen. Het feit dat de heer [Y] werd aangesteld door [de externe dienstverlenende onderneming] garandeert tevens dat hij onafhankelijk kan werken. Het college van burgemeester en schepenen heeft inmiddels beslist om haar bevoegdheid inzake de AVG te delegeren naar de algemeen directeur, met uitzondering van haar bevoegdheid in het kader van het veiligheidsplan en het jaarverslag van de DPO.” 50. Op basis van alle bemerkingen omtrent de gegrondheid vraagt de verweerster aan de Geschillenkamer, ondergeschikt aan het zich onbevoegd verklaren en het richten van een prejudiciële vraag aan het Grondwettelijk Hof, de klacht van de klager te seponeren en voor het overige de buitenvervolgingstelling van de verweerster te bevelen. 51. De verweerster vraagt bij het indienen van haar conclusie ook om gehoord te worden, conform artikel 98, lid 1, 2° WOG. Op 2 maart 2020 nodigt de Geschillenkamer de verweerster en de klager uit om gehoord te worden op 17 maart 2020. Enkel de verweerster bevestigt haar aanwezigheid op deze hoorzitting. 52. Gezien de federale overheid op verschillende momenten in de aanloop naar de hoorzitting, onder meer bij Ministerieel Besluit van 18 maart 2020 houdende dringende maatregelen om de verspreiding van het coronavirus COVID-19 te beperken (B.S. 18 maart 2020), maatregelen uitvaardigde die het voor de Geschillenkamer onmogelijk maakten om een hoorzitting in de gebruikelijke opstelling te laten plaatsvinden, werd aan de verwerende partij voorgesteld om de hoorzitting met elektronische communicatiemiddelen te laten doorgaan. De verweerster stemde hiermee in. De hoorzitting werd dientengevolge verdaagd tot 23 maart 2020. Hoorzitting 53. Op de hoorzitting van 23 maart 2020 licht de verweerster haar verweermiddelen nogmaals mondeling toe. 54. De verweerster stelt dat het opvragen van de persoonsgegevens via de belastingaangifte twee doelen dient. Er is namelijk een grote overlap tussen de persoonsgegevens noodzakelijk voor de vaststelling van het belastingtarief en de persoonsgegevensverwerking die het doel ‘openbare veiligheid’ dient. Er werd door de verweerster besloten om dit via de belastingaangifte voor tweede verblijven te combineren, omdat de persoonsgegevens in elk geval toch al via deze weg werden opgevraagd, en om administratieve overlast omwille van het opvragen van dezelfde persoonsgegevens te vermijden. De verweerster licht toe dat het opvragen van het gsm-nummer enkel noodzakelijk is voor het waarborgen van de openbare veiligheid. Zij neemt de doelstelling openbare veiligheid over in het belastingreglement, om te vermijden dat dit afzonderlijk in een politiereglement dient te worden geregeld. 55. De Geschillenkamer vraagt om verduidelijking omtrent de transparante informatie met betrekking tot de verwerking naar de betrokkenen toe. Meer bepaald wenst zij te weten hoe bijvoorbeeld betrokken studenten als huurders op de hoogte worden gesteld dat hun persoonsgegevens worden verwerkt. Beslissing ten gronde 15/2020 - 13/31 56. De verweerster verwijst naar het belastingreglement als rechtsnorm, en naar het algemeen rechtsbeginsel dat iedereen wordt geacht de geldende regelgeving te kennen. Er wordt daarnaast verwezen naar het gebruik dat de verhuurders een doorrekening doen van de belasting aan hun huurders, waardoor zij mogelijk op deze wijze op de hoogte worden gesteld van de doorgifte van de persoonsgegevens. 57. De Geschillenkamer wenst ook toelichting omtrent de positie van de functionaris voor gegevensbescherming. Meer bepaald de tijdsbesteding en de toegang tot het hoogste leidinggevende orgaan van de gemeente vereisen verdere toelichting. 58. De verweerster verwijst naar het Decreet over lokaal bestuur dat stelt dat bepaalde bevoegdheden kunnen gedelegeerd worden aan de algemeen directeur van de gemeente, gezien die algemeen directeur aan het hoofd staat van de volledige stadsadministratie. 59. Er wordt op gewezen dat er door de functionaris voor gegevensbescherming momenteel geen andere taken worden uitgevoerd dan deze van functionaris voor gegevensbescherming, en dat er dienaangaande geen belangenconflicten bestaan. De functionaris voor gegevensbescherming voert ook taken als functionaris voor gegevensbescherming uit voor andere gemeenten onder het netwerk van de externe dienstverlener. Voor wat betreft de tijdsbesteding draagt de verweerster in haar opmerkingen bij het proces-verbaal van de hoorzitting aan dat de functionaris voor gegevensbescherming gemiddeld drie dagen per week werkt voor de verweerster. 60. De verweerster licht daarnaast nog toe dat het een gebruik is dat de verhuurders de belasting op tweede verblijven doorrekenen aan de huurders, doch geen wettelijke verplichting. 61. De verweerster licht ook toe dat zij geen specifieke databank gebruikt waar de persoonsgegevens worden bewaard en geconsulteerd die in het kader van het waarborgen van de openbare veiligheid worden verzameld. Dienaangaande vermeldt de verweerster in haar opmerkingen bij het procesverbaal dat de persoonsgegevens die worden verzameld in het kader van het belastingreglement worden bewaard in de belastingtoepassing van de stad, inclusief het telefoonnummer van de contactpersoon. 62. De Geschillenkamer wenst ook verduidelijking omtrent hoe betrokkenen die geen huurder zijn en wiens persoonsgegevens worden verwerkt, worden geïnformeerd over de verwerking van de hun toebehorende persoonsgegevens. Zo wordt door de verweerster aangehaald dat het gsm-nummer dat wordt gevraagd om te consulteren in noodgevallen, niet dit van de huurder hoeft te zijn, en dus aan andere betrokkenen kan toebehoren. 63. De verweerster geeft aan dat dit niet expliciet wordt vastgelegd in een reglement of besluit van de stad, maar dat de betrokkenen op de hoogte kunnen gebracht worden, wanneer de verhuurder de persoonsgegevens opvraagt bij de huurders. 64. Er worden ook vragen gesteld omtrent het gebruik van sociale media door de verweerster. De verweerster licht toe dat via de in de privacyverklaring vermelde gebruikersplatformen (Facebook, Twitter) berichten van betrokkenen kunnen worden beantwoord door de verwerende partij. Zij wenst hier te onderstrepen dat het de betrokkenen zelf zijn die beslissen om bepaalde persoonsgegevens te delen via de platformen. De betrokkenen zijn er met andere woorden geenszins toe verplicht persoonsgegevens via de genoemde platformen over te maken aan de verweerster. 65. Op de hoorzitting wordt ten slotte ook gevraagd of de twee in het dossier voorkomende functionarissen voor gegevensbescherming van de verweerster werden gemeld bij de GBA. De verweerster kan dit op de hoorzitting niet bevestigen, maar haalt in haar opmerkingen bij het Beslissing ten gronde 15/2020 - 14/31 proces-verbaal van de hoorzitting aan dat de meldingen wel degelijk plaatsvonden. Zij verwijst hiervoor naar de interne registratienummers van de GBA. 2. Motivering 2.1. De bevoegdheid van de Geschillenkamer 66. De verweerster meent dat de Gegevensbeschermingsautoriteit, met inbegrip van haar organen en dus ook met inbegrip van de Geschillenkamer, onbevoegd is om toezicht uit te oefenen op de naleving van de (grond-)wettelijke en andere regelgevende bepalingen inzake persoonsgegevensbescherming wanneer dit toezicht betrekking heeft op de Vlaamse gemeentelijke instellingen. 67. De Geschillenkamer oordeelt dat dit standpunt van de verweerster uitgaat van een onjuiste rechtsopvatting. Daarbij staat voor de Geschillenkamer centraal dat de klacht van de klager, alsmede het rapport van de Inspectiedienst, betrekking hebben op de (niet) naleving van dwingende bepalingen uit de AVG, die geen nadere uitwerking behoeven in het nationale recht. In een dergelijke omstandigheid is enkel de Geschillenkamer als orgaan van de GBA bevoegd te oordelen, zowel uit hoofde van het nationaal recht dat de federale inrichting van België regelt als uit hoofde van het recht van de Europese Unie. 68. Vanuit nationaalrechtelijk perspectief staat voorop dat de Gegevensbeschermingsautoriteit haar toezichthoudende bevoegdheid uitoefent op basis van de bepalingen in de WOG. 69. Om te beginnen herinnert de Geschillenkamer eraan dat de Gegevensbeschermingsautoriteit is opgericht op grond van de WOG en overeenkomstig artikel 4 van dezelfde wet verantwoordelijk is voor het toezicht op de naleving van de wetgeving op het gebied van de bescherming van persoonsgegevens, in het bijzonder de AVG. Onverminderd de bevoegdheden van de deelstaten, oefent de GBA die opdracht uit op het hele Belgische grondgebied, ongeacht welk nationaal recht op de betrokken verwerking van toepassing is (art. 4, § 1, tweede lid WOG). 70. Het klopt dat, zoals artikel 4, § 1, tweede lid WOG uitdrukkelijk bevestigt, ook de deelstaten zelf gegevensbeschermingsautoriteiten kunnen oprichten. Overeenkomstig de bevoegdheidsverdelende regels van het federale België zijn die deelstatelijke autoriteiten, zoals de Vlaamse Toezichtcommissie, evenwel in geen geval bevoegd om toe te zien op de naleving van de dwingende bepalingen van de AVG, ook niet indien de gegevensverwerking plaatsvindt in aangelegenheden waarvoor de gemeenschappen of de gewesten bevoegd zijn, en ook niet indien de verwerkingsverantwoordelijke een deelstatelijke of lokale overheidsinstantie is. 3 71. Het is vaste rechtspraak van het Grondwettelijk Hof dat het recht op eerbiediging van het privéleven, zoals gewaarborgd in artikel 22 van de Grondwet (alsook in verdragen), een ruime draagwijdte heeft en onder meer de bescherming van persoonsgegevens en van persoonlijke informatie omvat. 4 3 Zie hieromtrent ook de memorie van toelichting bij de WOG; Parl. St. Kamer 2016-17, nr. 2648/1, 8: “Het advies nr. 61 267/AG van 15 juni 2017 van de Raad van State geeft nu aan dat de regio’s ook volwaardige toezichthouders kunnen oprichten om toezicht uit te oefenen op regelgeving die ze in hun eigen bevoegdheidsdomein uitvaardigen. Dit standpunt doet evenwel geen afbreuk aan het feit dat de federale toezichthouder haar algemene bevoegdheid – met name toezicht houden op het algemeen gegevensbeschermingskader – behoudt.” 4 Zie bv. GwH, nr. 29/2018, 15 maart 2018, B.11; nr. 104/2018, 19 juli 2018, B.21; nr. 153/2018, 8 november 2018, B.9.1. Beslissing ten gronde 15/2020 - 15/31 72. Wat betreft het recht op eerbiediging van het privéleven, bepaalt artikel 22 Grondwet het volgende: “Ieder heeft recht op eerbiediging van zijn privé-leven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden onder de wet bepaald. De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming van dat recht.” 73. Aangezien artikel 22 van de Grondwet dateert van ná de staatshervorming van 1980, wordt met het woord “wet” in die bepaling een federale wet bedoeld. Beperkingen op de door die grondwetsbepaling gewaarborgde rechten kunnen in beginsel dus niet door een decreet of een ordonnantie worden ingesteld. Dit zou betekenen dat een inmenging in het privéleven – waaronder begrepen de verwerking van persoonsgegevens – niet kan voortvloeien uit decreten of ordonnanties. 5 74. Aangezien een dergelijke interpretatie de bevoegdheden van de gemeenschappen en gewesten zou uithollen, hebben het Grondwettelijk Hof en de afdeling Wetgeving van de Raad van State geoordeeld dat enkel het instellen van algemene beperkingen een aan de federale wetgever voorbehouden materie is. De deelgebieden behouden wel de mogelijkheid om, binnen hun bevoegdheden, specifieke beperkingen te voorzien, op voorwaarde dat zij het algemene federale kader respecteren. 6 75. Over het voorontwerp van de WOG leverde de afdeling Wetgeving van de Raad van State een advies dat onder meer de grondwettelijke aspecten van de wet in de context van het Belgisch federalisme onderzoekt. 7 In dit advies verwees de Raad van State terug naar de hierboven uiteengezette bevoegdheidsverdelende regels. Daaruit leidde de Raad af dat het toekomt aan de federale overheid om een toezichthoudende autoriteit op te richten die bevoegd is voor het toezicht op de algemene regels inzake de beperking van het recht op eerbiediging van het privéleven. 8 Die federale toezichthouder heeft volgens de Raad “een algemene bevoegdheid (…) over alle verwerkingen van persoonsgegevens, ook die welke plaatsvinden in aangelegenheden waarvoor de gemeenschappen en de gewesten bevoegd zijn.” 9 76. Verder preciseerde de Raad dat ook de gemeenschappen en de gewesten bevoegd zijn om een eigen toezichthoudende autoriteit op te richten. 10 Om die reden is de bepaling in artikel 4, § 1, lid 2 WOG ingevoegd, waarnaar de verweerster verwijst. Zo maakte de Vlaamse wetgever inderdaad gebruik van haar bevoegdheid om zelf een toezichthoudende autoriteit in de zin van de AVG op A. ALEN en K. MUYLLE, Handboek van het Belgisch Staatsrecht, Mechelen, Kluwer, 2011, 918; K. REYBROUCK en S. SOTTIAUX, De federale bevoegdheden, Antwerpen, Intersentia, 2019, 122; J. VANDE LANOTTE, G. GOEDERTIER, Y. HAECK, J. GOOSSENS en T. DE PELSMAEKER, Belgisch Publiekrecht, Brugge, die Keure, 2015, 449. 6 GwH, nr. 50/2003, 30 april 2003, B.8.10; nr. 51/2003, 30 april 2003, B.4.12.; Adv. RvS nr. 37.288/3 van 15 juli 2004, Parl. St. Vl. Parl. 2005-2006, nr. 531/1: “[…] de gemeenschappen en de gewesten [zijn] slechts bevoegd […] om specifieke beperkingen van het recht op de eerbiediging van het privéleven toe te staan en te regelen voor zover ze daarbij de federaal bepaalde basisnormen aanpassen of aanvullen, maar […] ze [zijn] niet bevoegd […] om die federale basisnormen aan te tasten”. 5 Adv.RvS nr. 61.267/2 van 27 juni 2017 over het voorontwerp van wet ‘tot hervorming van de Commissie voor de bescherming van persoonlijke levenssfeer’. 7 8 Ibid., 36, rn. 4.1 t.e.m.6. Ibid., 36, rn. 5, verwijzend naar Adv.RvS, nr. 37.288/3 van 15 juli 2004 over een voorontwerp van decreet ‘betreffende het gezondheidsinformatiesysteem’, Parl.St. Vl.Parl. 2005-06, nr. 531/1, 153 e.v. 9 Ibid., 36, rn. 7.1-7.2. Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een ontwerp van besluit van de Vlaamse Regering van 10 december 2010 ‘tot uitvoering van het decreet betreffende de private arbeidsbemiddeling, wat betreft de invoering van een registratieverplichting voor sportmakelaars’, 4; Adv.RvS., nr. 66.277/1 van 2 juli 2019 over een ontwerp van besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de bewaring en de bewijskracht van de elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, 6-7. 10 Beslissing ten gronde 15/2020 - 16/31 te richten: de Vlaamse Toezichtcommissie. 11 De deelstatelijke toezichthoudende autoriteiten kunnen volgens de Raad van State echter enkel worden gemachtigd om toezicht te houden op de specifieke regels die de deelstaten hebben uitgevaardigd voor gegevensverwerkingen in het kader van activiteiten die onder hun bevoegdheid vallen, en dit uiteraard slechts in zoverre de AVG de lidstaten nog toestaat om specifieke bepalingen vast te stellen en geen afbreuk wordt gedaan aan de bepalingen van de WOG. 77. Kortom, de GBA is, als federale toezichthoudende autoriteit, de bevoegde instantie om toe te zien op de rechtstreeks toepasselijke bepalingen van de AVG die geen verdere nationale uitvoering behoeven, alsmede – maar dat is voor deze zaak niet rechtstreeks van belang - voor de algemene regels die de federale overheid ter uitvoering van de AVG heeft vastgesteld. 12 Dit is ook het geval indien de gegevensverwerking betrekking heeft op een materie die onder de bevoegdheid van de gemeenschappen of de gewesten valt en/of indien de verwerkingsverantwoordelijke een overheidsinstantie is die onder de gemeenschappen of de gewesten ressorteert, zoals een gemeente. 78. De Gegevensbeschermingsautoriteit is dus in elk geval bevoegd om in het algemeen toezicht te houden op de algemene regels met betrekking tot de bescherming van de persoonlijke levenssfeer, inter alia de AVG, ten opzichte van de gemeentelijke instellingen, zelfs al heeft de deelstaat zelf een toezichthoudende autoriteit in de zin van de AVG opgericht. 79. Vanuit het perspectief van het recht van de Europese Unie, staat vast dat de Gegevensbeschermingsautoriteit een toezichthoudende autoriteit is in de zin van artikel 8.3 van het Europees Grondrechtenhandvest en in de zin van hoofdstuk VI van de AVG. 80. De Geschillenkamer wijst er voorts op dat de EU verdragen, alsmede de rechtspraak van het Europees Hof van Justitie, strenge eisen stellen aan de onafhankelijkheid en taakuitvoering van de toezichthouders. Het toezicht is een wezenlijk onderdeel van het recht van mensen op de bescherming van hun persoonsgegevens. 13 Met andere worden, personen hebben een aanspraak op de bescherming door een autoriteit. Deel van die aanspraak bestaat eruit dat een klacht op een gepaste manier door de autoriteit wordt behandeld. 14 81. Aangezien de WOG de Gegevensbeschermingsautoriteit heeft aangewezen als de verantwoordelijke autoriteit voor het toezicht op de AVG, hebben betrokkenen er aanspraak op dat hun klacht op een gepaste manier door deze autoriteit wordt behandeld. 82. Ook andere verplichtingen voor verwerkingsverantwoordelijken en – indien toepasselijk – verwerkers, zoals het melden van de functionaris voor gegevensbescherming, vallen onder de toezichtsbevoegdheid van de Gegevensbeschermingsautoriteit. In dezen zij er ten overvloede op gewezen dat verweerster in haar handelingen de bevoegdheid van de GBA ook niet ontkent. Immers, vastgesteld is dat de verweerster de melding van haar functionarissen voor gegevensbescherming wel degelijk (ook) tot de Gegevensbeschermingsautoriteit richtte. 11 Opgericht bij decreet van 8 juni 2018 “houdende de aanpassing van de decreten aan de verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)”, B.S. 26 juni 2018. 12 Zie ook bv. Adv.RvS, nr. 66.033/1/AV van 3 juni 2019 over een ontwerp van besluit van de Vlaamse Regering van 10 december 2010 ‘tot uitvoering van het decreet betreffende de private arbeidsbemiddeling, wat betreft de invoering van een registratieverplichting voor sportmakelaars’, 5; Adv.RvS., nr. 66.277/1 van 2 juli 2019 over een ontwerp van besluit van de Vlaamse Regering ‘houdende de nadere regels voor de verwerking, de bewaring en de bewijskracht van de elektronische gegevens betreffende de toelagen in het kader van het gezinsbeleid’, 7. 13 Overweging 117 van de AVG en HvJEU Arrest van 9 maart 2010, Commissie t. Duitsland, C-518/07,, ECLI:EU:C:2010:125 par. 23. 14 HvJEU Arrest van 6 oktober 2015, Schrems t. Data Protection Commissioner, C-362/14, ECLI:EU:C:2015:650, par. 63. Beslissing ten gronde 15/2020 - 17/31 83. De Geschillenkamer wijst er ook nog op dat de AVG een verordening is die rechtstreeks toepasselijk is in de Unie en niet door de lidstaten mag worden omgezet in de nationale wetgeving. Bepalingen uit de AVG mogen ook niet worden gespecificeerd in de Belgische regelgeving, behoudens op de punten waar de AVG dit uitdrukkelijk mogelijk maakt. De gegevensbescherming is in beginsel een Europeesrechtelijke aangelegenheid geworden. 15 84. Het is de taak van de lidstaten om op effectieve wijze en op coherente wijze in het toezicht te voorzien, 16 waarbij de AVG – behoudens specifieke hier niet aan de orde zijnde bepalingen - geen onderscheid maakt tussen de publieke en de private sector. Het zou niet in overeenstemming zijn met dit alomvattende karakter van de AVG indien de algemene toezichthouder in een lidstaat niet bevoegd zou zijn ten aanzien van bepaalde categorieën van verwerkingsverantwoordelijken, tenzij een lidstaat wettelijke voorzieningen vaststelt die de effectiviteit en coherentie van het toezicht waarborgen. 85. De Geschillenkamer spreekt zich niet uit over de vraag of de Vlaamse Toezichtcommissie voldoet aan de eisen die de AVG aan een onafhankelijke toezichthouder stelt en evenmin over de vraag of de Vlaamse Toezichtcommissie bevoegd zou zijn om bepaalde taken van de toezichthouder genoemd in artikel 57.1 AVG uit te oefenen. 86. Het mogelijke bestaan van een dergelijke specifieke taakuitoefening doet echter geen afbreuk aan de algemene toezichthoudende bevoegdheid van de Gegevensbeschermingsautoriteit onder het nationale en het Europese recht. 2.2. Een prejudiciële vraag aan het Grondwettelijk Hof 87. De verweerster acht het in subsidiaire orde noodzakelijk om op basis van artikel 26 van de Bijzondere Wet van 6 januari 1989 op het Grondwettelijk Hof de volgende prejudiciële vraag tot het Grondwettelijk Hof te richten: “Schendt art. 3 [WOG] in de interpretatie dat de [Gegevensbeschermingsautoriteit] toezicht kan uitoefenen op de naleving van de AVG door de gemeenten de bevoegdheidsverdelende regels, waaronder het artikel 6, §1 VIII van de BWHI?” 88. Hoewel de Geschillenkamer onder 2.1. reeds stelde dat zij bevoegd is om de onderhavige zaak te behandelen en de genoemde bepaling uit de WOG klaarblijkelijk geen schending van de bevoegdheidsverdelende regels uitmaakt, wenst de Geschillenkamer ook te onderstrepen dat de Gegevensbeschermingsautoriteit deel uitmaakt van het openbaar bestuur en dat tegen de beslissingen en maatregelen van de Geschillenkamer krachtens artikel 108 WOG beroep mogelijk is bij het Marktenhof. Er bestaat dus geenszins een noodzaak om de prejudiciële vraag zoals hierboven vermeld te richten tot het Grondwettelijk Hof, nog los van de vraag of de Geschillenkamer hiertoe bevoegd zou zijn. 2.3. De basisbeginselen en de rechtmatigheid van de verwerking (artikel 5 en 6 AVG) 89. Voor de beoordeling van de rechtmatigheid van de verwerking, is het van belang een onderscheid te maken tussen de verwerking van persoonsgegevens die gebeurt in het kader van de vaststelling Zie bijv in C. KUNER, L.A. BYGRAVE en C. DOCKSEY (eds.),The EU General Data Protection Regulation: A Commentary, Oxford University Press, 2020, 54-56. 15 Ter illustratie: Zo bepaalt art 51, lid 2 AVG dat de toezichthouder bijdraagt aan de consequente toepassing van de verordening in de gehele Unie. Mutatis mutandis moet deze ervoor kunnen zorgen dat de verordening in de eigen lidstaat consequent wordt toegepast. 16 Beslissing ten gronde 15/2020 - 18/31 van het bedrag van de gemeentebelasting op tweede verblijven enerzijds, en de verwerking van persoonsgegevens om redenen van het waarborgen van de openbare veiligheid anderzijds. 90. De persoonsgegevens die via het aangifteformulier ‘belasting tweede verblijven’ van de verweerster worden verzameld bij de verhuurders, waaronder de klager, betreffen voor die twee doeleinden de persoonsgegevens van dezelfde betrokkenen, namelijk de huurders. Niet enkel de persoonsgegevens van de huurders worden echter gevraagd door de verweerster, ook de persoonsgegevens van andere betrokkenen dan de huurders worden opgevraagd door de vraag een ‘noodnummer’ te verstrekken op het aangifteformulier belasting tweede verblijven. 91. Voor wat betreft het ‘noodnummer’ kan er dan ook worden vanuit gegaan dat dit persoonsgegeven enkel gelieerd is aan het hierboven als tweede omschreven doeleinde ‘openbare veiligheid’. Dit stelt de Geschillenkamer onder meer vast in wat de verweerster zelf verklaart in haar conclusie: “Wat betreft het opvragen van een GSM-nummer, wordt verwezen naar de uiteenzetting van de feiten hierboven, waarin reeds gewezen werd op het feit dat dit noodzakelijk is om de veiligheid in studentenhuizen te kunnen garanderen, de brandweer optimaal te kunnen bijstaan bij branden of andere rampen en om zo mensenlevens te kunnen redden.” 92. Gezien de doelbinding van de verwerking volgens het voorgaande tweeërlei is, behandelt de Geschillenkamer de twee onderscheiden verwerkingen afzonderlijk. 93. Op het aangifteformulier belasting voor tweede verblijven van de verweerster, worden de volgende persoonsgegevens opgevraagd bij de verhuurder van een tweede verblijf : - - De naam van de huurder De voornaam van de huurder Een noodnummer van de huurder De bevestiging dat de huurder al dan niet gedomicilieerd is in het register van de burgerlijke stand van de verweerster Aan de hand van het inschrijvingsbewijs, of de huurder al dan niet een student is Aan de hand van een “kopie van hun studietoelage waaruit blijkt dat de toelage meer dan 200 € is”, of de huurder al dan niet een student is die recht heeft op een studietoelage die meer dan 200 EUR bedraagt. Aan de hand van een “bijlage 33 (= aankomstverklaring voor grensstudenten)”, of de huurder al dan niet een student uit één van de buurlanden van België betreft. 2.3.1. Verwerking op basis van het belastingreglement van de verweerster 94. Artikel 6, lid 1,
4. c)AVG duidt een verwerking “noodzakelijk om te voldoen aan een wettelijke verplichting” aan als voldoende alternatieve voorwaarde voor persoonsgegevensverwerking. De verweerster meent dat de verwerking op basis van deze bepaling rechtmatig is, omdat zij in haar belastingreglement van 23 juni 2014 schrijft dat het belastingtarief lager is indien de eigenaar van het tweede verblijf bewijsstukken kan voorleggen van de inschrijving, studietoelage en/of het ‘bijlage 33’-attest van de huurder, afhankelijk van de situatie van de huurder en de belastingvermindering die met zijn of haar situatie gepaard gaat. De voorwaarde die hiervoor in het voorgenoemde gemeentebesluit van de gemeenteraad wordt gesteld om van dit voordeel te genieten, betreft de overlevering van die documenten bij de aangifte van de belasting. 95. Het moet omwille van de adequate toepassing van de bepalingen omtrent de bescherming van de persoonlijke levenssfeer benadrukt worden dat er een verschil bestaat tussen de werkzaamheden Beslissing ten gronde 15/2020 - 19/31 van de verweerster die via haar gemeenteraad besluiten aanneemt enerzijds, en de werkzaamheden van de administratie die uitvoering geeft aan deze besluiten anderzijds. 96. Wanneer de verweerster via haar aangifteformulier aan de klager vraagt dat hij de persoonsgegevens van de huurder doorgeeft, en zij dit baseert op een rechtsnorm zoals vastgelegd door een gemeenteraad, betekent dit niet dat de uitvoerende modaliteiten van de administratie voor deze aangifte voor wat betreft de persoonsgegevensverwerking niet aan het toezicht van de Gegevensbeschermingsautoriteit en de beoordeling van de Geschillenkamer kunnen worden onderworpen wat betreft hun rechtmatigheid in de zin van artikel 6 AVG. Dit zou immers afbreuk doen aan de rechtsbescherming tegen de overheid voor de burgers in de bescherming van hun persoonlijke levenssfeer. 97. Daarnevens moet de verwerking beantwoorden aan de beginselen inzake de verwerking van persoonsgegevens die worden vastgelegd in artikel 5 AVG. De verweerster is voor de verwerkingen die zij uitvoert immers niet vrijgesteld van de voornoemde beginselen, louter omdat zij de verwerking vastlegt in een reglement via haar gemeenteraad. In casu onderzoekt de Geschillenkamer de inbreuken op de beginselen geformuleerd in de eerste drie onderdelen van artikel 5 AVG.
5. a)Behoorlijkheid en transparantie 98. Dienaangaande stelt de Geschillenkamer vast dat er niet voldoende maatregelen zijn genomen conform artikel 5, lid 1,
6. a)AVG opdat de verwerking behoorlijk en transparant ten aanzien van de betrokkene verloopt. De verweerster als verwerkingsverantwoordelijke verwerkt de persoonsgegevens van de huurders namelijk niet behoorlijk en transparant, wanneer zij op geen enkel moment aangeeft aan de betrokkenen wiens persoonsgegevens worden verzameld dat deze gegevens door haar worden verzameld, en voor welke doeleinden. 99. Zo blijkt dat de verweerster op geen enkel moment zelf stappen onderneemt om de betrokkenen in te lichten dat hun persoonsgegevens door haar worden verwerkt. Bovendien draagt zij op geen enkel moment aan dat zij instructies geeft aan de verhuurders – waaronder de klager – om de huurders op enigerlei wijze op de hoogte te stellen van het voornemen om de persoonsgegevens te verzamelen en verder te verwerken. 100. De verweerster stelt in haar conclusie: “Het is overigens de belastingplichtige zelf die een belastingvermindering vraagt en dus het bewijs dient te leveren dat hij daarvoor in aanmerking komt. De belastingplichtige kan er ook voor opteren om geen belastingvermindering te vragen, in welk geval er geen bewijs moet geleverd worden en er geen persoonsgegevens dienen overgemaakt te worden.” De Geschillenkamer wijst erop dat het de verweerster is die de persoonsgegevens verwerkt, en dat zij dientengevolge verantwoording dient te kunnen afleggen wat betreft de conformiteit van de verwerking. Uit alle eerdere elementen van het verweer blijkt overigens dat de verweerster de rechtmatigheid voor de verwerking stoelt op artikel 6, lid 1,
7. c)AVG, met het belastingreglement als wettelijke norm, en dus niet op een toestemming van de betrokkenen overeenkomstig artikel 6, lid 1,
8. a)AVG. Voor die verwerking is de verweerster verwerkingsverantwoordelijke, en zij kan niet ontsnappen aan de verplichtingen die haar door de wettelijke bepalingen omtrent de bescherming van de persoonlijke levenssfeer worden opgelegd.
9. b)Doelbinding Beslissing ten gronde 15/2020 - 20/31 101. De doeleinden van de verwerking die in het belastingreglement worden omschreven, zijn beperkter dan de verwerking die uiteindelijk plaatsvindt met de persoonsgegevens die via de belastingaangifte worden verzameld. Artikel 5, lid 1,
10. b)AVG stelt dat persoonsgegevens “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden [moeten] worden verzameld en mogen vervolgens niet verder op een met de doeleinden onverenigbare wijze worden verwerkt”. 102. Wanneer het belastingreglement stelt dat de persoonsgegevens worden aangewend voor de vaststelling van het belastingtarief voor een tweede verblijf, en nadien blijkt dat de persoonsgegevens die in de belastingaangifte worden verzameld ook voor andere doeleinden worden verwerkt, en met name in kader van het waarborgen van de openbare veiligheid, is dit op zich al voldoende om een schending van de beginselen inzake de verwerking van persoonsgegevens vast te stellen.
11. c)Minimale gegevensverwerking 103. Zoals reeds gesteld, is het ‘noodnummer’ dat via de belastingaangifte voor tweede verblijven van de verweerster wordt opgevraagd, niet noodzakelijk voor de belastingaangifte. De verwerking van dit noodnummer dient een ander doel. Voor de volledigheid kan daarom vermeld worden dat dit met het oog op de belastingaangifte geen noodzakelijke verwerking is die beantwoordt aan het beginsel van minimale gegevensverwerking bedoeld in artikel 5, lid 1,
12. c)AVG. 104. De verweerster stelt in haar conclusie: “De GBA mag zich dan ook niet in de plaats stellen van de gemeenteraad om te oordelen welke gegevens er mogen opgevraagd worden in uitvoering van een gemeentelijk belastingreglement.” Deze stelling gaat uit van een onjuiste rechtsopvatting. Uiteraard is het primair een bevoegdheid van de gemeenteraad te bepalen welke persoonsgegevens nodig zijn ter uitvoering van een bepaalde taak. De uitvoering van die bevoegdheid moet echter wel voldoen aan de bepalingen van de AVG of andere relevante nationaalrechtelijke bepalingen inzake de bescherming van de persoonlijke levenssfeer. Uiteraard behoort het tot de bevoegdheid van de Geschillenkamer – in zaken waarin zij is gevat - om te onderzoeken in welke mate dit het geval is. De beoordeling van de verwerking staat uiteraard niet los van de vraag of deze persoonsgegevens noodzakelijk zijn voor het doeleinde zoals vastgelegd in het belastingreglement. .
13. d)Conclusie 105. Al het bovenstaande in acht genomen, acht de Geschillenkamer het voldoende bewezen dat een inbreuk wordt gepleegd op artikel 5 AVG door de vastgestelde tekortkomingen in de naleving van de beginselen inzake verwerking van persoonsgegevens. Het gaat ten eerste om het onvoldoende behoorlijk en transparant verwerken van de persoonsgegevens (artikel 5, lid 1,
14. a)AVG). Ten tweede zijn de doeleinden niet welbepaald en uitdrukkelijk omschreven, gezien de persoonsgegevens die in de belastingaangifte worden gebruikt voor meerdere doeleinden worden gebruikt zonder dat dit uitdrukkelijk en welbepaald kenbaar wordt gemaakt aan noch de betrokkenen, noch de verhuurders zoals de klager (artikel 5, lid 1,
15. b)AVG). 106. Tot slot kan het opvragen van een telefoonnummer kennelijk niet als een verwerking worden gezien die strookt met het beginsel van minimale persoonsgegevensverwerking, in zoverre die verwerking met de finaliteit van het vaststellen van het belastingtarief wordt verbonden. (artikel 5, lid 1,
16. c)AVG). Beslissing ten gronde 15/2020 - 21/31 2.3.2. Verwerking van de persoonsgegevens voor de openbare veiligheid
17. a)Bevoegdheid gemeenten m.b.t. het waarborgen van de openbare veiligheid 107. De persoonsgegevens die via de belastingaangifte voor tweede verblijven worden verzameld en verder verwerkt, worden in tweede instantie ook aangewend “teneinde de openbare veiligheid efficiënt te kunnen handhaven”, aldus de verweerster. Zij verwijst voor de rechtmatigheid naar artikel 6, lid 1,
18. e)AVG. Dit artikel stelt dat wanneer de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen, de verwerking rechtmatig is. 108. De verwerking waarvan sprake is, betreft het verzamelen van de persoonsgegevens via de belastingaangifte, waarna de persoonsgegevens in bepaalde gevallen van nood waarin de huurders terecht kunnen komen, verder kunnen worden gebruikt. De verweerster stelt in haar conclusie: “De concluante [houdt] de namen van de studenten en het opgegeven telefoonnummer bij, welke gegevens zij enkel consulteert ingeval van brand of andere rampen (naast het feit dat de namen ook gebruikt worden voor de beoordeling van de aanvraag van de belastingvermindering).” 109. De verweerster verwijst naar artikel 135 van de Nieuwe Gemeentewet, die stelt dat de gemeenten bevoegd zijn voor de openbare veiligheid op hun grondgebied en in dit kader maatregelen kunnen nemen.
19. b)Adviesaanvraag bij de Commissie voor de bescherming van de persoonlijke levenssfeer 110. De verweerster verwijst dienaangaande ook naar een adviesaanvraag die zij aan de Commissie voor de bescherming van de persoonlijke levenssfeer (hierna: CBPL) richtte op 2 mei 2016. Volgens de adviesaanvraag zou het de bedoeling zijn de volgende persoonsgegevens op te vragen: de naam van de bewoner per woonentiteit, het exacte adres gekoppeld aan deze bewoner, de contactgegevens van de bewoner (er wordt verwezen naar een “gsm-nummer”) en een “in case of emergency-ICE”-telefoonnummer. Deze persoonsgegevens zouden worden geraadpleegd in “noodgevallen” en worden bijgehouden in een “nieuw te ontwikkelen databank”, aldus de verweerster in de adviesaanvraag van 2 mei 2016. 111. Als antwoord op de adviesaanvraag heeft de CBPL de verweerster meegedeeld dat de verweerster geen formele adviesaanvraag tot de CBPL kon richten, omdat dit niet tot de wettelijke bevoegdheden van de CBPL behoorde. De CBPL voegde wel een informatieve verwijzing naar een webpagina van de CBPL toe aan haar antwoord en besloot: “Indien u na het lezen van deze informatie nog precieze vragen heeft, kan u de Commissie opnieuw contacteren.” De verweerster haalt niet aan dat zij de CBPL nadien opnieuw contacteerde.
20. c)Beslissing tot het opvragen van de persoonsgegevens in het kader van het waarborgen van de openbare veiligheid 112. De Inspectiedienst vroeg bijkomende informatie met betrekking tot wanneer en door wie (welk orgaan) is beslist tot de verwerking van de genoemde persoonsgegevens voor dit doel. Ook vroeg de Inspectiedienst in haar brief dd. 3 juli 2019“een kopie van de beslissingen van [verweerster] Beslissing ten gronde 15/2020 - 22/31 en van de adviezen van de functionaris voor gegevensbescherming van [verweerster] over de registratie van gegevens van studenten om veiligheidsredenen zoals vermeld in [het antwoord van de verweerster dd. 1 juli 2019]” 113. In haar antwoord dd. 2 augustus 2019, verwijst belastingreglementen van 23 juni 2014 en 17 december 2018. de verweerster naar haar In de overwegingen van het belastingreglement op de tweede verblijven van 23 juni 2014, geldend op het moment van de klacht, wordt het volgende vermeld: “Overwegende dat het bijhouden van de bevolkingsregisters de taak en de verantwoordelijkheid is van de gemeente en door de gemeente moet uitgevoerd worden overeenkomstig de wet van 19 juli 1991 en dat de inschrijving gebeurt door het toedoen en na onderzoek van de gemeente, zodat de bevolkingsregisters correcte informatie verschaffen over het bevolkingsbestand; Overwegende dat deze correcte informatie noodzakelijk is voor statistische redenen, zodat een goed bevolkingsbeheer kan gevoerd worden; Overwegende dat deze correcte informatie ook noodzakelijk is voor de veiligheid en de identificatie van personen; Overwegende dat het belangrijk is dat degene die zich op het verblijfsadres kan inschrijven dit effectief ook doet, onder andere om veiligheidsredenen en in het belang van het correcte beheer van de bevolkingsregister van de stad” Het belastingreglement van 17 december 2018 kent een gelijkaardige motivering. 114. De verweerster verwijst wat betreft deze rechtvaardigingsgrondslag wederom naar de uitoefening van haar wettelijke bevoegdheden. In haar conclusie stelt zij dienaangaande: “Het komt niet toe aan de GBA om zich in de plaats van concluante als bestuurlijke instantie met beoordelingsbevoegdheid te stellen en te bepalen welke gegevens concluante mag opvragen teneinde de uitoefening van haar taken van algemeen belang en haar openbaar gezag mogelijk te maken.” 115. Ook wat dit betreft, herinnert de Geschillenkamer eraan dat het niet volstaat dat een verwerking rechtmatig gebeurt. De verwerking moet ook aan alle andere beginselen inzake de verwerking van persoonsgegevens beantwoorden. Dienaangaande stelt de Geschillenkamer vast dat er niet voldoende maatregelen zijn genomen overeenkomstig artikel 5, lid 1,
21. a)AVG opdat de verwerking behoorlijk en transparant ten aanzien van de betrokkene verloopt. De verweerster als verwerkingsverantwoordelijke verwerkt de persoonsgegevens van de huurders als betrokkenen niet behoorlijk en transparant, gezien zij op geen enkel moment aangeeft aan de betrokkenen wiens gegevens worden verzameld, dat deze gegevens door haar worden verzameld, en voor welke doeleinden. Zo blijkt ook hier dat de verweerster op geen enkel moment zelf stappen onderneemt om de betrokkenen in te lichten dat hun persoonsgegevens door haar worden verwerkt. Bovendien draagt zij op geen enkel moment aan dat zij instructies geeft aan de verhuurders – waaronder de klager – om de huurders op enigerlei wijze op de hoogte te stellen van het voornemen om de persoonsgegevens te verzamelen en verder te verwerken. 116. Net zoals onder 2.3.1. kan er worden verwezen naar de vermengde doelbinding, waarbij de onderscheiden doelbindingen niet welbepaald en uitdrukkelijk omschreven zijn, zoals vereist door Beslissing ten gronde 15/2020 - 23/31 artikel 5, lid 1,
22. b)AVG. A fortiori koppelt het belastingreglement het opvragen van de persoonsgegevens niet duidelijk en concreet aan de doelomschrijving “openbare veiligheid” die zij in de hierboven geciteerde overwegingen aangreep. Ten overvloede kan hier worden opgemerkt dat de verweerster in het kader van de hoorzitting vermeldt dat zij alle persoonsgegevens opslaat in een “belastingtoepassing van de stad”, en dus geen specifieke databank die bestaat in het kader van het waarborgen van de openbare veiligheid. 117. Het is aan de verwerkingsverantwoordelijke om aan te tonen dat zij de beginselen inzake de verwerking van persoonsgegevens naleeft, conform artikel 5, lid 2 en artikel 24 AVG. De verweerster doet dit in dezen niet op voldoende wijze en pleegt daarop een inbreuk op meerdere beginselen inzake de verwerking van persoonsgegevens zoals geformuleerd in artikel 5, lid 1 AVG, te weten dat de verweerster de persoonsgegevens onvoldoende behoorlijk en transparant verwerkt door de betrokkene geen transparantie te bieden over de verwerking, alsook door de vermengde doelbinding bij het verzamelen van de persoonsgegevens. 2.4. Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen (artikel 14 AVG) 118. Artikel 14, leden 1 en 2 AVG stelt dat bepaalde informatie aan de betrokkene moet worden verstrekt wanneer de persoonsgegevens niet van de betrokkene zelf zijn verkregen. Het gaat onder meer om de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en de contactgegevens van de functionaris voor gegevensbescherming. Artikel 14, lid 3 bepaalt dat deze informatie “binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens” moet worden verstrekt aan de betrokkene door de verwerkingsverantwoordelijke, weliswaar “afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt”. 119. 120. Er wordt door de verweerster op geen enkel moment aangegeven dat zij enigerlei actie onderneemt om de huurders op de hoogte te stellen van het feit dat hun persoonsgegevens worden verwerkt. Ook in de bevindingen van de Inspectiedienst valt geen enkele informatieverstrekking af te leiden. Nochtans zijn de huurders betrokkenen wiens gegevens worden verzameld en verder verwerkt, en dient de verweerster als verwerkingsverantwoordelijke hieromtrent aan de betrokkenen een aantal zaken mee te delen, zoals bepaald in de AVG. 2.5. Vaststellingen buiten de scope van de klacht inzake transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene en inzake te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld (artikel 12 en 13 AVG) 121. In haar verslag stelt de Inspectiedienst een aantal tekortkomingen omtrent de privacyverklaring van de verweerster vast. 122. De eerste tekortkoming die de Inspectiedienst vaststelt, betreft de informatie die verstrekt wordt aan betrokkenen wiens persoonsgegevens de verweerster verwerkt. De Inspectiedienst acht deze informatie “niet altijd transparant en begrijpelijk voor de betrokkenen zoals artikel 12, lid 1 van de AVG oplegt.” De Inspectiedienst stelt vast dat de privacyverklaring het gebruik van platformen zoals Facebook, Twitter, Mailchimp en Google Analytics vermeldt, “zonder de betrokkenen transparant te informeren over hoe die platformen omgaan met hun persoonsgegevens.” Beslissing ten gronde 15/2020 - 24/31 123. Wanneer, zoals de Inspectiedienst vaststelt, de privacyverklaring louter vermeldt dat er gebruik gemaakt wordt van bepaalde platformen, is dit niet voldoende transparant, duidelijk en verstaanbaar, zoals artikel 12, lid 1 AVG vooropstelt. Ook wordt niet alle informatie die vereist is onder artikel 13 AVG op die manier aan de betrokkenen verstrekt. Hieruit kan bijvoorbeeld niet worden afgeleid wat de verwerkingsdoeleinden zijn bij het verzamelen en de verdere verwerking van persoonsgegevens via zulke platformen door de verweerster. Ook de rechtsgrond wordt wat betreft deze verwerking niet expliciet vermeld. Dit is nochtans vereist onder artikel 13, lid 1,
23. c)AVG. 124. In haar conclusie verdedigt de verweerster zich wat dit punt betreft als volgt: “Concluante draagt er steeds zorg voor dat bij de doorgifte van gegevens aan deze platformen de AVG gerespecteerd wordt. Concluante heeft echter geen zicht op de verwerking nadien van persoonsgegevens door deze platformen, doch meent dat dit de verantwoordelijkheid is van deze platformen zelf.” 125. Het valt niet te betwisten dat de genoemde platformen ook verwerkingsverantwoordelijken zijn zoals bedoeld in artikel 4, 7 AVG. Wanneer de verweerster echter gebruik maakt van deze platformen voor de verwerking van persoonsgegevens op basis van een eigen vastgesteld doel (bijvoorbeeld: marketing of dienstverlening) en met eigen vastgestelde middelen (bijvoorbeeld: eigen personeel die teksten schrijft en communiceert via een zelf gecreëerd gebruikersaccount of fanpagina), is zij ook zélf verwerkingsverantwoordelijke voor wat betreft deze verwerking en kan zij niet ontsnappen aan de verplichtingen die haar in die hoedanigheid zijn opgelegd door de wetgeving. Dit is bevestigd in de rechtspraak van het Hof van Justitie van de Europese Unie. 17 126. Hoewel het niveau van de verantwoordelijkheid van de verweerster niet noodzakelijk op gelijke voet staat als die van de genoemde platformen, is de volledige ontkenning van de verantwoordelijkheid door de verweerster niet mogelijk. Bij de beoordeling van het niveau van verantwoordelijkheid moet volgens het Hof van Justitie rekening worden gehouden met alle relevante omstandigheden van het concrete geval. 18 127. Het betreft dus alleszins niet (louter) de verantwoordelijkheid van de genoemde platformen zelf om informatie te verschaffen over het gebruik van die platformen. Wanneer een andere verwerkingsverantwoordelijke gebruik maakt van zulke platformen, moet ook zij zo transparant en begrijpelijk mogelijk de informatie zoals bedoeld in artikel 12 en 13 AVG verschaffen. De verweerster is een verwerkingsverantwoordelijke voor de verwerking, gezien zij op beslissende wijze invloed uitoefent op het verzamelen en doorzenden van de persoonsgegevens van bezoekers van de website ten gunste van de platformen als aanbieders. Het verzamelen en doorzenden van die gegevens zou niet plaatsvinden indien de verweerster niet de optie zou bieden aan de betrokkenen om haar via de platformen te contacteren en op die manier persoonsgegevens te verstrekken. 128. De verweerster haalt in haar conclusie en op de hoorzitting aan, dat het de betrokkenen zelf zijn die persoonsgegevens beschikbaar maken op de platformen waarvan de verweerster gebruik maakt, en dat zij geen zicht heeft op wat er verder met de persoonsgegevens gebeurt door de platformen. Er dient inderdaad rekening mee te worden gehouden dat de verweerster de dienstverlening via de platformen enkel aanbiedt aan betrokkenen die zelf hiertoe het initiatief nemen, bijvoorbeeld door het plaatsen van een openbaar of privaat bericht, zoals de verweerster 17 HvJEU Arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388. 18 HvJEU Arrest van 29 juli 2019, Fashion ID, C-40/17, ECLI:EU:C:2019:629, par.70. Beslissing ten gronde 15/2020 - 25/31 toelicht in haar conclusie en op de hoorzitting. Ook een sporadische, optionele of aanvullende verwerking is echter een verwerking die moet conformeren aan de bepalingen van de AVG. 129. Dit impliceert niet dat de verweerster de verantwoordelijkheid draagt en transparantie moet bieden omtrent elke latere bewerking van de persoonsgegevens door de platformen die verband houden met de initiële verwerking. 19 Wel dient de verweerster transparante informatie in de zin van artikel 12 en 13 AVG te verschaffen aan de betrokkenen, bij verwerkingen waarvoor zij daadwerkelijk het doel en de middelen vaststelt. 20 Dit is het geval wanneer de verweerster de platformen aanwendt ter ondersteuning van haar dienstverlening via haar fanpagina, onder meer wanneer betrokkenen persoonsgegevens verstrekken aan de verweerster in het kader van dienstverlenende activiteiten. 130. Ten overvloede stelt de Geschillenkamer nog vast dat een overheidslichaam er in het bijzonder voor moet zorgen dat het gebruik van sociale media plaatsvindt op een wijze die verantwoord is in het licht van het fundamentele recht op de bescherming van persoonsgegevens. De Geschillenkamer wijst daarbij nogmaals op de in artikel 5, lid 2 en 24 AVG vastgelegde verantwoordingsplicht. Een overheidslichaam heeft een zekere voorbeeldfunctie. 131. Als tweede tekortkoming stelt de Inspectiedienst vast dat de privacyverklaring vermeldt dat wijzigingen in het privacybeleid mogelijk zijn. 21 De Inspectiedienst acht dit onvoldoende, gezien de informatie niet verduidelijkt “hoe de betrokkenen daarover op transparante en verstaanbare wijze zullen worden geïnformeerd.” 132. De Geschillenkamer stelt hieromtrent dat het uiteraard niet de bedoeling is inwoners rechtstreeks (bijvoorbeeld via e-mail) in te lichten over iedere wijziging in het privacybeleid. Die wijzigingen moeten echter wel duidelijk op de website van de gemeente worden gecommuniceerd. 133. De derde tekortkoming die de Inspectiedienst vaststelt, betreft de informatie die bedoeld is in artikel 13, lid 1,
24. f)AVG. Dat artikel stelt dat de verwerkingsverantwoordelijke er de betrokkene van op de hoogte moet stellen dat hij het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie, of er al dan niet een adequaatheidsbesluit van de Commissie bestaat, of, indien er een doorgifte aan een derde land of organisatie gebeurt waarvoor geen dergelijk adequaatheidsbesluit bestaat, welke de passende en geschikte waarborgen zijn die men heeft voorzien in het kader van deze doorgifte, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. 134. De privacyverklaring vermeldt louter: “Jouw gegevens kunnen buiten de EU terechtkomen.” In dezen komt de verweerster duidelijk haar verplichtingen als verwerkingsverantwoordelijke niet na, gezien zij op geen enkel moment aangeeft waar, hoe en welke gegevens in een derde land kunnen terechtkomen. De verweerster haalt hier aan dat zij via een intergemeentelijke opdrachthoudende vereniging een nieuwe informaticatool heeft aangeschaft die mee zou helpen het probleem te verhelpen. Het is echter niet duidelijk hoe die tool op zich meer transparantie aan de betrokkene zou bieden wat betreft de doorgifte van persoonsgegevens, op basis van de stukken die de verweerster hieromtrent overmaakt. 135. Andere tekortkomingen die de Inspectiedienst vaststelt gaan over de vermelding in de privacyverklaring van de uitoefening door de betrokkenen van het recht op beperking van de 19 Ibid., par. 76 en 85 in fine. 20 Ibid., par. 100. De precieze tekst leest als volgt: “We toetsen ons beleid over persoonsgegevens regelmatig aan de wetgeving. Daarom is het mogelijk dat we onze privacyverklaring in de toekomst aanpassen. De wijzigingen zijn geldig vanaf het moment dat ze op deze website gepubliceerd zijn.” 21 Beslissing ten gronde 15/2020 - 26/31 verwerking, het recht om tegen de verwerking bezwaar te maken en het recht op overdraagbaarheid van gegevens. Wat deze aspecten betreft, geeft de verweerster aan dat zij deze ondertussen heeft opgenomen in de privacyverklaring, daar waar deze mogelijkheden voorheen niet vermeld werden. 136. Naast de tekortkomingen die de Inspectiedienst vaststelt met betrekking tot de naleving van artikel 12 en 13 AVG, wijst de Geschillenkamer op nog enkele andere aspecten die tekortkomingen in de zin van de AVG uitmaken. 137. Als eerste voorbeeld kan artikel 13, lid 1,
25. b)AVG aangehaald worden dat stelt dat de gegevens van de functionaris voor gegevensbescherming moeten worden verstrekt. De privacyverklaring vermeldt een algemeen e-mailadres ‘informatieveiligheid’ bij de externe dienstverlener waarop de functionaris kan bereikt worden. De Geschillenkamer wenst te bevestigen dat er niets op tegen is een ‘DPO-team’ in te zetten dat een gemeenschappelijke mailbox gebruikt om de taken van de functionaris voor gegevensbescherming uit te oefenen. 22 Meer nog, dit kan wenselijk of aangewezen zijn in bepaalde gevallen, wanneer het nodig is bepaalde expertise te verzamelen, afhankelijk van de verwerkingsactiviteiten van de verwerkingsverantwoordelijke, dan wel verwerker. Dit wordt expliciet bevestigd door richtsnoeren omtrent gegevensbescherming op Europees niveau. 23 138. Het kan echter wel aangemoedigd worden meer toelichting te geven bij zo’n algemeen emailadres en het statuut van de functionaris van gegevensbescherming, temeer om de waarborgen inzake geheimhouding en vertrouwelijkheid zoals in artikel 38, lid 5 AVG te benadrukken ten aanzien van de betrokkenen. De naam en voornaam van de functionaris voor gegevensbescherming moeten niet per se vermeld worden, maar het zou als een goede praktijk kunnen gelden om toelichting te geven bij de structuur in concreto die op basis van een dienstverleningsovereenkomst is opgezet. 24 139. Voor de volledigheid kan ook vermeld worden dat de privacyverklaring enkel verwijst naar de Vlaamse Toezichtcommissie voor wat betreft het recht voor de betrokkenen om klacht in te dienen bij een toezichthoudende overheid. Het toezicht op de naleving van de algemene regels inzake gegevensbescherming is echter een bevoegdheid van de Gegevensbeschermingsautoriteit, dus moet deze autoriteit vermeld worden als toezichthoudende autoriteit waar de betrokkene klacht kan indienen. 140. De Geschillenkamer stelt in het algemeen vast dat de informatie in het privacybeleid te beknopt is geformuleerd door de verweerster en dat hierdoor een inbreuk op artikel 12 en 13 AVG wordt gepleegd. 2.6. Vaststellingen buiten de scope van de klacht inzake het register van verwerkingsactiviteiten (artikel 30 AVG) 141. De Inspectiedienst vermeldt in haar verslag een aantal tekortkomingen met betrekking tot het uittreksel van het register van de verwerkingsactiviteiten van de verweerster. Zoals uit het 22 Ook infra, 2.7. Article 29 Data Protection Working Party, Guidelines on data protection officers (‘DPO’s’), 5 april 2017, beschikbaar via : http://ec.europa.eu/justice/data-protection/index_en.htm (hierna: WP29 Richtlijnen DPO’s), 10. 23 Ook het vermelden van de naam van de functionaris voor gegevensbescherming geldt als goede praktijk, maar dit is geen verplichting onder de huidige wetgeving, en er kunnen gevallen zijn waarbij het niet wenselijk is deze details te publiceren. Het hangt van de beoordeling van de verwerkingsverantwoordelijke of de verwerker en de functionaris voor gegevensbescherming af om te beslissen of dit ‘noodzakelijk en behulpzaam’ is in specifeke omstandigheden, cfr. WP29 Richtlijnen DPO’s, 13. 24 Beslissing ten gronde 15/2020 - 27/31 feitenrelaas en de conclusie van de verweerster blijkt, werd ondertussen afdoend gevolg gegeven aan de bemerkingen van de Inspectiedienst. 142. De Geschillenkamer wenst er evenwel op te wijzen dat de verweerster haar verwerkingsregister voldoende precies dient in te vullen, opdat de verwerkingen van persoonsgegevens precies en duidelijk in kaart worden gebracht. Dat is van belang gezien dit alles onder de verantwoordelijkheid van de verweerster valt. Een exhaustief overzicht van al de door haar uitgevoerde verwerkingen is dan ook van onbetwistbaar belang om alle verplichtingen onder de AVG te kunnen nakomen. 2.7. Vaststellingen buiten de scope van de klacht inzake de functionaris voor gegevensbescherming en diens positie (artikel 37 en 38 AVG) 143. Gezien de verweerster een overheidsinstantie uitmaakt, dient zij conform artikel 37, lid 1,
26. a)AVG een functionaris voor gegevensbescherming aan te stellen. De verweerster vermeldt in haar antwoorden dat er op het moment van het overmaken van het verslag van de Inspectiedienst, een functionaris voor gegevensbescherming werd aangesteld via de externe dienstverlener. 144. Op het moment van het neerleggen van de klacht was mevrouw X aangesteld als functionaris voor gegevensbescherming. De aanstelling van de heer Y als functionaris voor gegevensbescherming door het college van burgemeester en schepenen gebeurde bij besluit van 15 maart 2019, dit valt volledig vóór het onderzoek van de Inspectiedienst. 145. Gezien de klacht geen betrekking had op de aanwijzing of de positie van de functionaris voor gegevensbescherming, wordt enkel de aanwijzing en de positie van de heer Y onderzocht, gezien dit de meest recente situatie uitmaakt, namelijk die op het moment van het voeren van het onderzoek door de Inspectiedienst. 2.7.2. De aanwijzing van de functionaris voor gegevensbescherming (artikel 37 AVG) 146. De Inspectiedienst stelt vast dat de verweerster een inbreuk pleegt op artikel 37, lid 5 AVG gezien zij niet aantoont “hoe de professionele kwaliteiten van mevrouw [X] en later van haar vervanger de heer [Y] en in het bijzonder hun deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en hun vermogen om de in artikel 39 van de AVG bedoelde taken te vervullen werden geanalyseerd en beoordeeld bij het nemen van de beslissing tot hun aanduiding als functionaris voor gegevensbescherming […]” 147. De verweerster stelt in haar conclusie dat er een aanwervingsprocedure werd georganiseerd door de externe dienstverlener “en dit specifiek voor het functieprofiel ‘informatieveiligheidsconsulent – DPO’.” De verweerster argumenteert dat de heer X als meest geschikte kandidaat uit de selectieprocedure van de externe dienstverlener kwam en dat zij er dan ook “redelijkerwijze [mag] op vertrouwen dat de heer [X] de nodige professionele kwaliteiten heeft.” 148. Het valt op te merken dat, louter omdat een persoon als “meest geschikt” uit een selectieprocedure komt, dit niet ipso facto aantoont dat de persoon voldoende geschikt is. Dit geldt ook, zoals de Inspectiedienst terecht aangeeft, voor de geschiktheidsbeoordeling van een functionaris voor gegevensbescherming, wanneer deze moet aangewezen worden op basis van zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen om de in artikel 39 AVG bedoelde taken te vervullen. Beslissing ten gronde 15/2020 - 28/31 149. Dienaangaande wordt overigens nog meer twijfel gezaaid door de stukken die de verweerster zelf aan haar conclusie bijvoegt. Zo vermeldt de vacature voor de functie van functionaris voor gegevensbescherming letterlijk: “(uitgebreide) Kennis van de GDPR is een pluspunt.” Uit die formulering blijkt niet dat de kandidaten kennis moéten hebben van de wetgeving inzake gegevensbescherming. 150. Bovendien blijkt ook niet uit de vragen die in het kader van de schriftelijke en mondelinge selectieprocedure aan de kandidaten werden voorgelegd dat de kandidaten voldoende in de brede zin werden getest op de in artikel 37, lid 5 AVG bedoelde kwalitatieve vereisten. 25 De Geschillenkamer wenst te benadrukken dat uitgebreide kennis van de interne informaticaystemen en kennis van alle bedrijfsprocessen sensu lato een meerwaarde kunnen betekenen voor de uitoefening van de functie van functionaris voor gegevensbescherming en op zich als relevante vaardigheden en expertise kunnen worden aangeduid. 26 Kennis van de wetgeving inzake gegevensbescherming is echter een vereiste, zeker met het oog op de uitoefening van de in artikel 39 AVG bedoelde taken van de functionaris voor gegevensbescherming. Die kennis op zich wordt in de door de verweerster overgemaakte vragen uit de schriftelijke en mondelinge selectieprocedure niet getest. Ter volledigheid kan vermeld worden dat de antwoorden van de uiteindelijk geselecteerde kandidaat, of de analyse ervan, niet overgemaakt werden aan de Geschillenkamer. 151. Uit de redenering van de verweerster blijkt dat zij op geen enkel moment zelf onderzoekt of de in artikel 37, lid 5 AVG genoemde kwalitatieve vereisten worden vervuld wanneer zij de heer X bij besluit van haar college voor burgemeester en schepenen dd. 15 maart 2019 aanstelt als functionaris voor gegevensbescherming. Deze vaststelling, samen met de gebreken in het antwoord op de vraag van de Inspectiedienst om de professionele kwaliteiten van de heer X conform artikel 37, lid 5 AVG toe te lichten, vormt daarom een inbreuk op artikel 37, lid 5 AVG. 2.7.3. De positie van de functionaris voor gegevensbescherming (artikel 38 AVG) 152. De Inspectiedienst stelt vast dat de verweerster de vereisten inzake de positie van de functionaris voor gegevensbescherming onder artikel 38 AVG niet naleeft, gezien het voor de Inspectiedienst onduidelijk is of de verweerster er effectief voor zorgt dat de functionaris voor gegevensbescherming onafhankelijk kan werken en rechtstreeks verslag uitbrengt aan het hoogst leidinggevende niveau van de verwerkingsverantwoordelijke. 153. De onduidelijkheid die de Inspectiedienst heeft vastgesteld met betrekking tot de positie van de functionaris voor gegevensbescherming kan inderdaad worden afgeleid uit de stukken van het dossier. Zo wordt onder meer gesteld in de conclusie van de verweerster dat het college van burgemeester en schepenen de “bevoegdheden inzake de AVG” heeft gedelegeerd naar de algemeen directeur, “met uitzondering van haar bevoegdheid in het kader van het veiligheidsplan en het jaarverslag van de DPO”. 154. Gezien in een gemeente het college van burgemeester en schepenen het hoogste dagelijkse leidinggevende niveau betreft, dient de functionaris voor gegevensbescherming rechtstreeks aan dit college verslag te kunnen uitbrengen conform artikel 38, lid 3 AVG. Deze verslaggeving kan met andere woorden niet beperkt worden tot het jaarverslag, gezien het rapporteren als bedoeld in de AVG ook betrekking kan hebben op het informeren en adviseren van verplichtingen voor bepaalde specifieke voorgenomen verwerkingen. De functionaris voor gegevensbescherming moet 25 Omtrent de vereiste expertise en vaardigheden, zie WP29 Richtlijnen DPO’s, 11-12. 26 WP29 Richtlijnen DPO’s, 23. Beslissing ten gronde 15/2020 - 29/31 met andere woorden ook ad hoc zijn adviserende of informerende taken ten aanzien van dat hoogst leidinggevende orgaan kunnen uitoefenen. 155. De vereisten voor onafhankelijkheid van de functionaris voor gegevensbescherming zijn in de AVG voorts negatief omschreven. De functionaris voor gegevensbescherming mag conform artikel 38, lid 3 AVG geen instructies ontvangen met betrekking tot de uitoefening van zijn taken en kan niet ontslagen of gestraft worden voor de uitoefening van zijn taken. Er is niet aangetoond dat één van beide situaties zijn voorgevallen, dus kan de Geschillenkamer als dusdanig niet tot een schending van deze bepaling besluiten. 3. De vastgestelde inbreuken op de AVG 156. De Geschillenkamer acht inbreuken op de volgende bepalingen door de verweerster bewezen: a. artikel 5 AVG, gezien de verwerking van de persoonsgegevens van de huurders als betrokkenen via de ‘belastingaangifte tweede verblijven’ niet geschiedt in overeenstemming met de beginselen inzake verwerking van persoonsgegevens; b. artikel 6 AVG, gezien de verweerster onvoldoende aantoont in welke mate die verwerking rechtmatig is in de zin van deze bepaling voor wat betreft het aspect openbare veiligheid; c. artikel 12 AVG, gezien er ten aanzien van betrokkenen geen transparante informatie en communicatie is verschaft en gebruikt door de verweerster; d. artikel 13 AVG, gezien de verweerster in haar privacyverklaring onvoldoende informatie verstrekt omtrent het gebruik van platformen met derde (gezamenlijke) verwerkingsverantwoordelijken ten aanzien van de betrokkenen; e. artikel 14 AVG, gezien de verweerster aan de betrokkenen wiens persoonsgegevens zij via haar belastingaangifte voor tweede verblijven verwerkt en die niet tevens de belastingplichtige in die zin uitmaken, onvoldoende informatie verstrekt over de verwerking van de persoonsgegevens die zij niet via de betrokkenen zelf verkrijgt; f. artikel 37 AVG, gezien de verweerster niet aantoont of de functionaris voor gegevensbescherming voldoet aan de kwalitatieve vereisten opgelegd door de AVG; g. artikel 38 AVG, gezien de verweerster niet kan aantonen dat zij waarborgt dat de positie van de functionaris voor gegevensbescherming voldoende onafhankelijk is en toelaat verslag uit te brengen aan het hoogst leidinggevende orgaan. De Geschillenkamer acht het passend te bevelen dat de verwerking in overeenstemming wordt gebracht met de bepalingen van de AVG (artikel 58, lid 2,
27. d)AVG en artikel 100, §1, 9° WOG). 157. Een inbreuk op één of meerdere van de beginselen inzake verwerking van persoonsgegevens, zoals hierboven beargumenteerd, is per definitie ernstig te noemen naar de letter en de geest van de AVG. Dit is het geval voor de verwerking waarbij persoonsgegevens van de betrokkenen worden opgevraagd bij de verhuurder die belastingplichtige is, zoals gemotiveerd onder punt 2.3 hierboven. De verweerster is een gemeente die meer dan 30.000 tweede verblijven telt. Bepaalde tweede verblijven worden betrokken door meerdere huurders, vaak studenten. Het gaat dus om de verwerking van persoonsgegevens van tienduizenden betrokkenen. Wanneer de verweerster de persoonsgegevens in dit kader niet volgens de beginselen inzake de verwerking van Beslissing ten gronde 15/2020 - 30/31 persoonsgegevens in de AVG verwerkt, blijkt uit de omvang van het aantal betrokkenen ook meteen de ernst van die inbreuk. 27 158. Er dient dan in het bijzonder worden gewezen op de gebreken inzake transparantie die opvallen bij de inbreuken op elk van die beginselen. Zo is men niet transparant tegenover de betrokkenen en de personen, waaronder de klager, waarbij men de persoonsgegevens verzamelt omtrent de dubbele doelbinding van die persoonsgegevens. De controle over de persoonsgegevens wordt daarom in ernstige mate onttrokken aan de betrokkenen. 28 159. Wat betreft het doel “openbare veiligheid” kan de verweerster bovendien geen noodzakelijke verduidelijking omtrent de rechtmatigheid van de verwerking bieden ten opzichte van de Gegevensbeschermingsautoriteit. Er wordt niet naar een concrete beslissing verwezen omtrent het opvragen van de persoonsgegevens in dit kader, en de verweerster kan niet verduidelijken op welke manier zij concrete maatregelen heeft genomen om de persoonsgegevens behoorlijk op te slaan, en op welke manier behoorlijke beveiliging is geboden om ongeoorloofde toegang tot de persoonsgegevens af te schermen. 29 160. Gezien de verwerking, zonder een maatregel van de Geschillenkamer, zou verdergezet worden zonder bijkomende technische en organisatorische maatregelen die de conformiteit met de wetgeving inzake persoonsgegevensbescherming waarborgen, is een tussenkomst van de Geschillenkamer noodzakelijk. De inbreuken op de wetgeving duren immers voort tot op heden. 161. De Geschillenkamer acht het daarom gepast te bevelen om de verwerking te bevriezen totdat de nodige technische en organisatorische maatregelen zijn genomen opdat de verwerking conformeert met de wettelijke bepalingen inzake persoonsgegevensbescherming. Van zodra de verweerster meent dat zij de verwerking in overeenstemming heeft gebracht met de bepalingen van de AVG, dient zij hiervoor de bewijsstukken aan de Geschillenkamer te bezorgen, zodat het tijdelijk bevriezen van de verwerking kan worden opgeheven. 162. De Geschillenkamer wijst erop dat de andere criteria van art. 83, lid 2 AVG in dit geval niet van aard zijn dat zij leiden tot andere sancties of maatregelen dan die welke de Geschillenkamer in het kader van deze beslissing heeft vastgesteld 163. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit, waarbij de directe identificatiegegevens van de genoemde partijen en natuurlijke personen zullen worden verwijderd. Overweging 75 AVG stelt dat het een risico kan vormen voor de rechten en vrijheden van natuurlijke personen “wanneer de verwerking een grote hoeveelheid persoonsgegevens betreft en gevolgen heeft voor een groot aantal betrokkenen.” 27 28 Overweging 75 AVG aanziet dit als een factor die een risico kan vormen voor de rechten en vrijheden van natuurlijke personen. 29 Dit werpt bovendien vragen op met betrekking tot de naleving van artikel 32 AVG omtrent de beveiliging van de verwerking. Beslissing ten gronde 15/2020 - 31/31 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om - de verweerster te gelasten overeenkomstig artikel 58, lid 2,
28. f)AVG en artikel 100 WOG de verwerking, dit is het verzamelen en verder verwerken van de persoonsgegevens van de huurders via de belastingaangifte voor de tweede verblijven, te bevriezen tot de nodige waarborgen in stelling worden gebracht opdat de verwerking in overeenstemming met artikelen 5, 6 en 14 AVG verloopt, en totdat de Geschillenkamer hierover is geïnformeerd; - de verweerster te gelasten overeenkomstig artikel 58, lid 2,
29. d)AVG en artikel 100, §1, 9° WOG de informatie die zij omtrent haar verwerkingen verstrekt, in conformiteit met artikelen 12 tot en met 14 AVG te brengen, en dit binnen de drie maanden na de kennisgeving van deze beslissing, en de Geschillenkamer hierover binnen dezelfde termijn te informeren; - de verweerster te waarschuwen overeenkomstig artikel 58, lid 2,
30. a)AVG en artikel 100, §1, 5° WOG om in de toekomst nauwgezet de aanwijzing en positionering van de functionaris voor gegevensbescherming en de uitoefening van de taken door de functionaris voor gegevensbescherming te monitoren zodat dit alles in overeenstemming met artikel 37 tot en met 39 AVG gebeurt. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen, vanaf de Gegevensbeschermingsautoriteit als verweerder. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer kennisgeving, bij het Marktenhof, met de