Beslissing ten gronde nr. 15/2023

1/35 Geschillenkamer Beslissing ten gronde 15/2023 van 21 februari 2023 Dossiernummer : DOS-2021-03522 Betreft : Klacht wegens het gebruik van een geolokalisatiesysteem De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Frank De Smet, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; De verweerder: Y, hierna “de verweerder”. Beslissing ten gronde 15/2023/2023 - 2/35 I. Feiten en procedure 1. Op 31 maart 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. De klager was werknemer bij de verweerder en in die hoedanigheid hoofdbestuurder van een dienstwagen. In dit kader ontving hij een persoonlijke nota waarin geregistreerde priktijden werden vergeleken met de ritverslagen van het voertuig. De nota stelde dat hij zowel zijn privéadres, als dat van zijn moeder, een bepaald café en enkele willekeurige straten bezocht had, waardoor er sprake zou zijn van prikfraude. De klager stelt dat hij niet op de hoogte was van het geolokalisatiesysteem (GPS-tracking) in de dienstwagens, tot hij de nota ontving. Dit geolokalisatiesysteem wordt volgens de klager ook niet vermeld in het arbeidsreglement. De klager richtte vervolgens een verzoek tot seponering van deze persoonlijke nota aan de burgemeester, maar dit werd afgewezen. Bijgevolg heeft de klager deze klacht ingediend. 2. Op 30 september 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 27 oktober 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 4. Op 10 januari 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en stelt de volgende inbreuken vast: a. inbreuk op artikel 5, lid 1,

1. a)en lid 2 en artikel 6, lid 1 van de AVG; en b. inbreuk op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, de volgende inbreuken vast: a. inbreuk op artikel 4, 11), artikel 5, lid 1,
2. a)en lid 2 artikel 6, lid 1,
3. a)en artikel 7, lid 1 en lid 3 van de AVG voor het gebruik van niet strikt noodzakelijke cookies; b. inbreuk op artikel 12, lid 1 en lid 6, artikel 13, lid 1 en lid 2 en artikel 14, lid 1 en lid, artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 van de AVG; c. inbreuk op artikel 30, lid 1, lid 3 en lid 4 van de AVG; en d. inbreuk op artikel 38, lid 1 en lid 3 en artikel 39 van de AVG. Beslissing ten gronde 15/2023/2023 - 3/35 5. Op 4 februari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 4 februari 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 18 maart 2022, deze voor de conclusie van repliek van de klager op 8 april 2022 en ten slotte deze voor de conclusie van repliek van de verweerder op 29 april 2022. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 18 maart 2022. 7. Op 4 februari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 8. Op 7 februari 2022 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 9. Op 18 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. In zijn conclusies betwist de verweerder de vaststellingen omtrent de onrechtmatigheid van het geolokalisatiesysteem niet. De verweerder betoogt dat zij sindsdien een nieuw geolokalisatiebeleid heeft opgemaakt en goedgekeurd. Dit zal gecommuniceerd worden naar alle betrokken medewerkers. Voor wat betreft de derde en vierde vaststelling voert de verweerder aan een nieuwe privacyverklaring en cookiebeleid uitgewerkt te hebben. Deze nieuwe voorstellen liggen bij de diensten ICT en Communicatie van de verweerder ter nazicht waarbij de streefdatum werd voorzien op 18 maart 2022. Met betrekking tot de vijfde vaststelling gaat de verweerder akkoord dat er onduidelijkheid bestaat over de contactgegevens van de DPO. In de conclusies wordt dit verduidelijkt. Tot slot voert de verweerder aan dat het de bedoeling is dat het jaarverslag ter kennisgeving wordt geagendeerd op het College van Burgemeester en Schepenen en het Vast Bureau nadat het is voorgesteld op het Gezamenlijk Management Team. Verder brengt de functionaris voor gegevensbescherming indien nodig formeel advies uit aan de Gemeenteraad en de Raad voor Maatschappelijk Welzijn en/of aan het college van burgemeester en schepenen / het Vast Bureau. Beslissing ten gronde 15/2023/2023 - 4/35 10. De Geschillenkamer ontvangt geen conclusie van antwoord van de klager voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Vervolgens ontvangt de Geschillenkamer ook geen conclusies van dupliek van de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 11. Op 28 september 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 18 november 2022. 12. Op 18 november 2022 wordt de verschenen partij gehoord door de Geschillenkamer. Tijdens de hoorzitting licht de verweerder toe welke stappen hij reeds genomen heeft op vlak van gegevensbescherming sinds de indiening van de klacht en het Inspectieonderzoek. 13. Op 21 november 2022 wordt het proces-verbaal van de hoorzitting aan de verschenen partij overgemaakt. 14. De Geschillenkamer heeft vanwege de verweerder geen opmerkingen met betrekking tot het proces-verbaal ontvangen. II. Motivering 15. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het verslag van de Inspectiedienst in het licht van de daaromtrent door de verweerder aangevoerde middelen. II.1. Artikel 5, lid 1,
4. a)en lid 2 van de AVG en artikel 6, lid 1 van de AVG II.1.1. Artikel 5, lid 1,
5. a)en artikel 6, lid 1 AVG voor wat betreft de rechtmatigheid 16. De Geschillenkamer herinnert eraan dat ingevolge artikel 5, lid 1,
6. a)AVG persoonsgegevens rechtmatig, behoorlijk en transparant verwerkt moeten worden. Dit betekent dat de verwerking moet gebeuren op basis van de verwerkingsgronden zoals bepaald in artikel 6, lid 1 AVG. Wanneer persoonsgegevens rechtmatig verwerkt worden, dan moet de verwerking ervan vervolgens behoorlijk gebeuren. Ten slotte moet duidelijk zijn voor welke doelen persoonsgegevens worden verwerkt en hoe dat gebeurt. 17. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen worden verwerkt op grond van een van volgende rechtsgronden: “
7. a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
8. b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; Beslissing ten gronde 15/2023/2023 - 5/35
9. c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
10. d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
11. e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
12. f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.” Vaststellingen uit het Inspectieverslag 18. De Inspectiedienst stelt dat de verweerder de verplichtingen opgelegd door artikel 5, lid 1,
13. a)en lid 2 van de AVG en door artikel 6 van de AVG niet heeft nageleefd. Hiertoe laat de Inspectiedienst de volgende overwegingen gelden: a. “In het programma wordt de nummerplaat van het voertuig verwerkt en bijgehouden, alsook het gevolgde traject. In principe worden geen namen van bestuurders bijgehouden, maar een diensthoofd weet in de meeste gevallen wel wie met een voertuig op pad is.” Uit de klacht blijkt duidelijk dat de verweerder de persoonsgegevens van de klager in concreto heeft verwerkt voor het opstellen en bezorgen van een notitie van 14 oktober 2020. b. De verweerder verduidelijkt in zijn antwoord niet op basis van welke rechtsgrond de persoonsgegevens van de bestuurders worden verwerkt, ondanks de uitdrukkelijke vraag hieromtrent van de Inspectiedienst. Standpunt van de verweerder 19. In zijn conclusies betwist de verweerder deze vaststellingen omtrent de onrechtmatige verwerking van persoonsgegevens in het kader van het geolokalisatiesysteem niet. Hij stelt het nodige te doen om dit in de toekomst te vermijden en tot dan het geolokalisatiesysteem niet meer te gebruiken. 20. Tijdens de hoorzitting dd. 18 november 2022 licht de verweerder de stappen toe die gezet werden sinds het indienen van bovenvermelde conclusies. Intussen werd op 21 september 2021 een herwerkt en actueel geolokalisatiebeleid goedgekeurd, waarin de rechtsgrond en Beslissing ten gronde 15/2023/2023 - 6/35 doeleinden voor de litigieuze gegevensverwerking werden opgenomen. Voor wat betreft de rechtsgrond van het geolokalisatiesysteem, baseert de verweerder zich op het gerechtvaardigd belang (artikel 6, lid 1,
14. f)AVG) om zijn dienstvoertuigen te kunnen traceren. Hierbij stelt de verweerder dat hij een uitgebreide belangenafweging heeft gemaakt tussen enerzijds zijn belang om zijn diensten te operationaliseren en te optimaliseren, en anderzijds het belang van de medewerkers om niet te worden onderworpen aan een overmatige verwerking van hun persoonsgegevens. Beoordeling door de Geschillenkamer 21. De Geschillenkamer wijst erop dat de klacht betrekking heeft op de controle van de werk- en priktijden in augustus en september 2020, maar dat het geolokalisatiebeleid reeds sinds 2009 in werking was gesteld, tot het on hold gezet werd ingevolge onderhavige procedure. 22. Uit de stukken die door de verweerder werden overgemaakt, stelt de Geschillenkamer vast dat de verwerking van persoonsgegevens verzameld via geolokalisatie, door de verweerder gestart werd in 2009. Op 20 augustus 2009 werd dit geolokalisatiesysteem besproken tijdens de vergadering van het bijzonder onderhandelingscomité. In het kader hiervan werd op 19 augustus 2009 een informatiedocument inzake het geolokalisatiesysteem opgesteld. Een nota inzake de modaliteiten van het geolokalisatiesysteem en een stappenplan van de implementatie ervan werd eveneens op 19 augustus 2009 opgesteld. Na een collegiale beslissing van het College van Burgemeester en Schepenen werd op 28 september 2009 de interne dienstnota overgemaakt aan het personeel, waarna het geolokalisatiesysteem in werking trad. 23. Het is van belang op te merken dat het informatiedocument dateert van voor de inwerkingtreding van de AVG. Bij de totstandkoming ervan kon aldus geen rekening gehouden worden met de verplichtingen uit de AVG, doch wel met de verplichtingen voortvloeiend uit richtlijn 95/46/EG, de rechtsvoorganger van de AVG. In het informatiedocument wordt dan ook de installatie en het gebruik van het geolokalisatiesysteem getoetst aan de principes van doelbinding, proportionaliteit en transparantie. Hieruit concludeert de Geschillenkamer dat de verweerder een afweging heeft gemaakt om het recht op privacy van de betrokkenen zoveel als mogelijk te beschermen. Eveneens op 28 september 2009 werd een interne dienstnota verspreid binnen de dienst Uitvoering waarin het geolokalisatiesysteem wordt toegelicht. In deze nota staan de verschillende doeleinden omschreven waaronder het bestrijden van ongeoorloofd gebruik van dienstvoertuigen alsook het in kaart brengen van de verplaatsingen zodat de goede en correcte uitvoering van de overeengekomen arbeid kan worden gecontroleerd. De nota licht toe welke gegevens kunnen bekomen worden door het geolokalisatiesysteem (locatie van de wagen in realtime, afgelegde route per dag en per voertuig enz.). In de nota wordt ook vermeld dat enkel de diensthoofden toegang hebben tot de Beslissing ten gronde 15/2023/2023 - 7/35 geolokalisatiegegevens via een licentie en inlogcode. Al de bovenstaande informatie, inclusief voorbeelden van rapporten en een stappenplan over de implementatie, werd overgemaakt aan het personeel. 24. Sinds 25 mei 2018 is de AVG van toepassing. De verwerkingen van persoonsgegevens via het geolokalisatiesysteem dienden aldus gebaseerd te zijn op een grondslag zoals bepaald in artikel 6, lid 1 AVG en de verwerkingen dienden te gebeuren overeenkomstig de grondbeginselen uit artikel 5, lid 1 AVG.1 Het komt toe aan de verwerkingsverantwoordelijke om een rechtmatigheidsgrond voor zijn verwerking aan te geven. 2 Deze vereiste maakt ook deel uit van de beginselen van rechtmatigheid en transparantie die hij moet toepassen (artikel 5, lid 1, punt a), van de AVG - zoals toegelicht in overweging 39 van de AVG). Aangezien uit de ene of de andere rechtsgrondslag verschillende gevolgen voortvloeien, met name wat de rechten van de betrokkenen betreft, dient het voor de betrokkenen duidelijk te zijn op welke rechtsgrond de litigieuze verwerkingen gestoeld zijn. De betrokkenen dienen bijgevolg over de rechtsgrondslag van de verwerking ingelicht worden overeenkomstig de artikelen 13, lid 1,
15. c)en 14, lid 1,
16. c)van de AVG. Zoals vastgesteld door de Inspectiedienst vermeldt het voornoemde informatiedocument van 2009 niet op welke rechtsgrond de persoonsgegevens van de bestuurders worden verwerkt nadat deze via het geolokalisatiesysteem verzameld worden, ondanks de uitdrukkelijke vragen van de Inspectiedienst hieromtrent. De verweerder betwist deze vaststelling niet in zijn conclusies. 25. Gelet op het bovenstaande, te weten het gebrek aan identificatie van de passende rechtmatigheidsgrondslag voor het verzamelen en verwerken van geolokalisatiegegevens van de klager, concludeert de Geschillenkamer dat de verweerder een inbreuk begaan heeft op de artikelen 5, lid 1,
17. a)en artikel 6 AVG voor wat betreft de periode vanaf 25 mei 2018 tot het staken van de verwerkingen in kwestie ingevolge de vaststellingen van de Inspectiedienst. In onderhavige zaak stelt de Geschillenkamer vast dat de verweerder reeds op de hoogte was van de noodzaak om het geolokalisatiebeleid aan te passen, nog voor de klacht in deze zaak werd ingediend, waardoor de verweerder onzorgvuldig gehandeld heeft. De Geschillenkamer is van oordeel dat het behoort tot het normale verwachtingspatroon van een burger wiens gegevens worden verwerkt door de overheid, die tegelijk ook hun werkgever is, dat de verplichtingen ingevolge de AVG en andere wettelijke bepalingen proactief - nageleefd worden. Het uitgangspunt dient immers te zijn dat de verweerder, net zoals elke andere verwerkingsverantwoordelijke, alles in het werk stelt om persoonsgegevens op een correcte manier te verwerken in overeenstemming met de toepasselijke regelgeving en geen afwachtende houding aanneemt en dus niet slechts na 1 Zie beslissing ten gronde 38/2021 van 23 maart 2022, para 43, beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. 2 via de webpagina Zie beslissing ten gronde 47/2022 van 4 april 2022, para 113 en beslissing 48/2022 van 4 april 2022, para 125 en 219, beschikbaar via de webpagina https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. Beslissing ten gronde 15/2023/2023 - 8/35 tussenkomst van de Gegevensbeschermingsautoriteit actie onderneemt om die aanpassing te bewerkstelligen.3 De Geschillenkamer houdt echter ook rekening met het feit dat de verweerder, bij het opstellen van diens geolokalisatiebeleid in 2009 reeds rekening heeft gehouden met de principes van finaliteit, proportionaliteit en de rechten van de betrokkenen. Daarnaast informeert het geolokalisatiebeleid uit 2009 op transparante wijze de betrokkenen van het geïnstalleerd geolokalisatiesysteem. 26. Tijdens de hoorzitting wijst de verweerder erop dat het geolokalisatiebeleid in 2021 werd gewijzigd. In dit nieuwe beleid wordt expliciet toegelicht dat het geolokalisatiesysteem gestoeld is op de rechtsgrond van het gerechtvaardigd belang zoals begrepen in artikel 6, lid 1,
18. f)AVG. Bijgevolg dient de Geschillenkamer na te gaan of het gerechtvaardigd belang ex artikel 6, lid 1,
19. f)AVG als rechtsgrondslag kan dienen voor dergelijke verwerkingen door de verweerder. 27. De laatste zin van artikel 6, lid 1,
20. f)AVG stipuleert dat deze rechtsgrond van het gerechtvaardigd belang niet van toepassing is op de verwerking van persoonsgegevens door overheidsinstanties in het kader van de uitoefening van hun taken. De vraagt rijst dan ook of de verweerder zich op deze rechtsgrond kan beroepen voor het geolokalisatiesysteem. 28. Aangezien de verweerder een overheidsinstantie is, moet bovenstaande beoordeeld worden in het licht van het beginsel van de toekenning van administratieve bevoegdheden, het beginsel van de specialiteit van rechtspersonen en het legaliteitsbeginsel, dat de voorwaarden bepaalt waaronder de administratie zich kan mengen in het recht op bescherming van de persoonlijke levenssfeer, waarvan het recht op bescherming van persoonsgegevens deel uitmaakt.4 Volgens het principe van de toekenning van administratieve bevoegdheden, dat is vastgelegd in artikel 105 van de Grondwet en artikel 78 van de Bijzondere wet tot hervorming der instellingen van 8 augustus 1980 hebben de administratieve autoriteiten geen andere bevoegdheden dan die welke formeel aan hen zijn toegekend door de Grondwet en de wetten en decreten die in het kader daarvan zijn uitgevaardigd. Voorts bepaalt het specialiteitsbeginsel van rechtspersonen dat elke instelling met rechtspersoonlijkheid alleen mag optreden om het doel of de doelen te bereiken waarvoor zij is opgericht, met dien verstande dat alleen een wetgevende norm een rechtspersoon met een opdracht van openbare dienst kan belasten. De Raad van State heeft in zijn advies over het voorontwerp van wet "betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens" opgemerkt dat "het doorgeven van gegevens van een overheidsinstantie aan een andere een vorm van inmenging in het recht op de bescherming van de persoonlijke levenssfeer van de 3 Zie ook beslissing 141/2021 van 16 december 2021, beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. 4 via de webpagina De CBPL heeft hier al op gewezen in haar advies over het voorontwerp van wet dat de WVG is geworden. Zie CBPL, Advies nr. 33/2018, p. 44 Beslissing ten gronde 15/2023/2023 - 9/35 betrokkenen. Krachtens artikel 8 van het Europees Verdrag voor de rechten van de mens en artikel 22 van de Grondwet, zoals dat wordt geïnterpreteerd in de vaste rechtspraak van het Grondwettelijk Hof, moet een dergelijke inmenging inzonderheid een wettelijke grondslag hebben, evenredig zijn ten opzichte van de nagestreefde doelstelling en op voldoende duidelijke wijze georganiseerd zijn opdat ze voorzienbaar is voor de burger"5. 29. Kortom, een overheidsinstantie mag alleen persoonsgegevens verwerken als deze verwerking noodzakelijk is voor de naleving van een verplichting die door of krachtens een wettelijke bepaling aan een van de verwerkingsverantwoordelijken is opgelegd (artikel 6, lid 1,
21. c)AVG) of als deze mededeling noodzakelijk is voor de uitvoering van een taak van algemeen belang die aan een van de verwerkingsverantwoordelijken is toegewezen door of krachtens een wet (artikel 6, lid 1,
22. e)AVG). Voor zoveel als nodig wijst de Geschillenkamer erop dat het niet uitgesloten is dat in beperkte gevallen een overheidsinstantie beroep kan doen op artikel 6, lid 1,
23. f)maar dat dit voor het geolokalisatiesysteem zoals beschreven door de verweerder niet mogelijk is. De rechtsgrond uit artikel 6, lid 1,
24. f)AVG (gerechtvaardigd belang) kan niet van toepassing zijn op de litigieuze verwerking. 30. Opdat een verwerkingsverantwoordelijke zich op artikel 6, lid 1,
25. e)van de AVG zou kunnen beroepen om persoonsgegevens te verwerken, moet deze verwerking noodzakelijk zijn voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. 31. De Geschillenkamer merkt op dat de AVG geen aanknopingspunt biedt voor de beantwoording van de vraag in hoeverre begrip "verwerking die noodzakelijk is voor de uitvoering van een taak van algemeen belang" ook het personeelsbeheer zou omvatten. 32. Een duidelijk aanknopingspunt voor een ruime interpretatie van dit begrip kan echter gevonden worden in de Verordening (EU) nr. 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en het vrije verkeer van deze gegevens, en tot intrekking van Verordening (EG)nr. 45/2001 en Besluitnr. 1247/2002/EG, waarvan overweging 22 luidt: "[...]. De verwerking van persoonsgegevens voor de vervulling van de taken die door de instellingen of organen van de Unie in het algemeen belang worden verricht, omvat de verwerking van de voor het beheer en de werking van die instellingen en organen benodigde persoonsgegevens [...]". 33. Uit deze overweging leidt de Geschillenkamer af dat artikel 6, lid,
26. e)AVG niet alleen betrekking heeft op verwerkingen die noodzakelijk zijn voor de vervulling van 5 Advies van de Raad van State nr. 63.192/2 van 19 april 2018, in Parl. St., K., gewone zitting, 2017-2018, nr. 54-3126/001, p. 421-422 Beslissing ten gronde 15/2023/2023 - 10/35 de taak van algemeen belang in strikte zin, maar ook op verwerkingen die noodzakelijk zijn voor de vervulling van taken die rechtstreeks verband houden met die taak van algemeen belang, met inbegrip van die welke noodzakelijk zijn voor het beheer en de werking van de organen die met die taak van algemeen belang zijn belast. 34. Het Kenniscentrum van de GBA heeft ook reeds bevestigd dat de verwerking van persoonsgegevens door een overheid in het kader van het beheer van haar personele middelen kan plaatsvinden op basis van 6, lid 1,
27. e)AVG op voorwaarde dat de genomen maatregelen daadwerkelijk noodzakelijk zijn.6 35. Gelet op het bovenstaande concludeert de Geschillenkamer dat het begrip "verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang" ruim dient geïnterpreteerd te worden. Bijgevolg heeft het begrip ‘verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang” betrekking op verwerkingen die noodzakelijk zijn voor de vervulling van de taak van algemeen belang in strikte zin, maar ook op verwerkingen die noodzakelijk zijn voor de vervulling van taken die rechtstreeks verband houden met die taak van algemeen belang, met inbegrip van die welke noodzakelijk zijn voor het beheer en de werking van de organen die met die taak van algemeen belang zijn belast. Aangezien de verweerder zonder personeel en bijhorend beheer van de personele middelen zijn taken van algemeen belang niet zou kunnen uitvoeren, dienen verwerkingen van persoonsgegevens in het kader van het personele beheer ook gebaseerd te worden op artikel 6, lid 1,
28. e)AVG. 7 36. Om zich rechtmatig te kunnen beroepen op de rechtsgrondslag uit artikel 6, lid 1,
29. e)AVG mogen persoonsgegevens dus enkel verwerkt worden als dit noodzakelijk is voor de vervulling van een taak in het algemeen belang of als het noodzakelijk is voor de uitoefening van het openbaar gezag dat aan de verantwoordelijke is opgedragen. De verwerking moet in deze gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de betreffende lidstaat, waarin ook het doel van de verwerking moet staan. Er moet bijgevolg worden nagegaan of in dit geval aan deze voorwaarden is voldaan. 37. Krachtens artikel 6, lid 3 en Overweging 45 van de AVG moet een verwerking op grond van artikel 6, lid 1,
30. e)AVG aan de volgende voorwaarden voldoen: a. De verwerkingsverantwoordelijke moet belast zijn met de vervulling van een opdracht van algemeen belang of een opdracht die deel uitmaakt van de uitoefening van het openbaar gezag op grond van een rechtsgrondslag, ongeacht 6 Zie o.a. GBA, aanbeveling 02/2020 van 31 januari 2020 betreffende de draagwijdte van de verplichting om een protocol te sluiten om de mededelingen van persoonsgegevens door de federale publieke sector de formaliseren https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-02-2020.pdf. 7 GBA, aanbeveling 02/2020 van 31 januari 2020 betreffende De draagwijdte van de verplichting om een protocol te sluiten om de mededelingen van persoonsgegevens door de federale publieke sector de formaliseren https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-02-2020.pdf. Beslissing ten gronde 15/2023/2023 - 11/35 of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is vervat; b. De doeleinden van de verwerking worden in de rechtsgrond vastgesteld of moeten noodzakelijk zijn voor de uitvoering van de opdracht van algemeen belang of de uitoefening van het openbaar gezag. 38. De Geschillenkamer zal de voorwaarden van algemeen belang, wettelijke basis en noodzakelijkheid hieronder beoordelen. Taak van algemeen belang 39. In deze zaak heeft de verweerder het geolokalisatiebeleid aangenomen om enerzijds het professioneel gebruik van de dienstvoertuigen en de behoorlijke uitvoering van het toegewezen werk binnen het voorziene werkrooster te controleren en anderzijds het personeel in de uitvoering van hun taken te controleren. De Geschillenkamer is bijgevolg van oordeel dat het algemeen belang erin staat om schaarse overheidsmiddelen, in casu het wagenpark en personeel, efficiënt in te zetten en fraude en misbruik van diensten te voorkomen, zodat deze middelen gebruikt kunnen worden voor de uitvoering van de taken die aan de gemeente werden toegewezen.8 Een duidelijke, precieze en voorspelbare rechtsgrondslag 40. Volgens overweging 41 van de AVG moet deze rechtsgrondslag of wetgevingsmaatregel duidelijk en nauwkeurig zijn en moet de toepassing ervan voor de rechtzoekenden voorspelbaar zijn, overeenkomstig de jurisprudentie van het Hof van Justitie van de Europese Unie(hierna: Hof van Justitie) en het EVRM. Het Europees Hof voor de Rechten van de Mens (hierna: EHRM) heeft in het Rotaru-arrest9 het begrip voorspelbaarheid van de rechtsgrondslag nader bepaald. Aangezien die zaak betrekking had op bewakingssystemen van het veiligheidsapparaat van een staat, verschilt de context van de onderhavige zaak. In andere gevallen heeft het EHRM weliswaar aangegeven dat het zich door deze beginselen kan laten leiden, maar het is van oordeel dat deze criteria, die in de specifieke context van die concrete zaak zijn vastgesteld en gevolgd dus niet als zodanig op alle gevallen van toepassing zijn10. 41. Ingevolge artikel 186, §1 van het Decreet Lokaal Bestuur11 stelt de gemeenteraad van elke gemeente de rechtspositieregeling van het gemeentepersoneel vast. De gemeenteraad en de raad voor maatschappelijk welzijn stellen een gezamenlijke deontologische code vast voor het personeel. Die concretiseert de bepalingen opgenomen in het Decreet Lokaal 8 Zie naar analogie overweging 47 van de AVG. 9 EHRM, 4 mei 2000, Rotaru t. Roemenië. 10 EHRM, 2 september 2010, Uzun t. Duitsland, § 66. 11 Decreet over het Lokaal Bestuur van 22 december 2017, BS 15 februari 2018. Beslissing ten gronde 15/2023/2023 - 12/35 Bestuur en kan bijkomende deontologische rechten en verplichtingen opnemen, overeenkomstig het organisatiebeheersingssysteem, zoals bepaald in de artikelen 217 en 220 van het Decreet Lokaal Bestuur12 Het organisatiesysteem dat dient te worden aangenomen door iedere gemeente wordt omschreven als het geheel van maatregelen en procedures die ontwerpen zijn om een redelijke zekerheid te verschaffen dat men: 1° de vastgelegde doelstellingen bereikt en de risico’s om deze te bereiken kent en beheerst; 2° wetgeving en procedures naleeft; 3° over betrouwbare financiële en beheersrapportering beschikt; 4° op een effectieve en efficiënte wijze werkt en de beschikbare middelen economisch inzet; 5° de activa beschermt en fraude voorkomt.13 42. Gelet op het bovenstaande rust op de verweerder de decretale verplichting om maatregelen en procedures in te richten betrekking tot zijn organisatie om een ervoor te zorgen dat zij op een efficiënte wijze werkt met een economische inzet van middelen en fraude voorkomt, zonder expliciet te bepalen hoe dit concreet dient te gebeuren. 43. De Geschillenkamer heeft er in dit verband al op gewezen in beslissing 149/2022 dd. 18 oktober 202214 dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen, die de essentiële kenmerken van de gegevensverwerking vastleggen. Veeleer vinden verwerkingen plaats op basis van een meer algemene machtiging om te handelen, zoals voor de vervulling van de taak die noodzakelijk is, zoals ook in casu het geval is. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag willen beroep doen op artikel 6, lid 1
31. e)AVG moeten dan zelf nagaan of de verwerking noodzakelijk is voor de taak van algemeen belang en de belangen van de betrokkenen. Noodzakelijkheid 44. Ingevolge artikel 6, lid 1,
32. e)AVG geldt dat de verwerking alleen rechtmatig is indien en voor zover de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Zoals 12 Artikel 193, §1, tweede lid Decreet Lokaal Bestuur. 13 Artikel 217 Decreet Lokaal Bestuur. 14 Zie ook o.a. beslissing 124/2021 dd. 10 november 2021. hierboven uiteengezet bevat Beslissing ten gronde 15/2023/2023 - 13/35 wetgeving vaak geen concreet omschreven bepalingen omtrent de noodzakelijke gegevensverwerkingen. 45. Het Hof van Justitie heeft zich in het arrest Huber15 uitgesproken over deze voorwaarde van noodzakelijkheid: “Gelet op het doel, een gelijkwaardige bescherming te bieden in alle lidstaten, kan het begrip noodzakelijkheid zoals dit naar voren komt uit artikel 7, sub e, van richtlijn 95/46, dat een nauwkeurige afbakening wil geven voor een van de gevallen waarin de verwerking van persoonsgegevens geoorloofd is, dus niet een inhoud hebben die verschilt van lidstaat tot lidstaat. Het gaat bijgevolg om een autonoom begrip van het gemeenschapsrecht, dat moet worden uitgelegd op een wijze die volledig beantwoordt aan het doel van de richtlijn zoals omschreven in artikel 1, lid 1.”16 46. De advocaat-generaal heeft eveneens gesteld in zijn conclusies dat “[h]et noodzakelijkheidsbegrip een lange geschiedenis [heeft] in het gemeenschapsrecht en een vast onderdeel [vormt] van het evenredigheidscriterium. Het houdt in dat de autoriteit die ter bereiking van een legitiem doel een maatregel vaststelt die een door het gemeenschapsrecht gewaarborgd recht aantast, moet aantonen dat deze maatregel de minst beperkende is ter bereiking van dit doel. Wanneer bovendien de verwerking van persoonsgegevens kan leiden tot een inbreuk op het grondrecht op eerbiediging van de persoonlijke levenssfeer, moet tevens rekening worden gehouden met artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), dat het recht op eerbiediging van het privé- en gezinsleven waarborgt. Zoals het Hof heeft verklaard in het arrest Österreichischer Rundfunk e.a., kan een nationale regeling die niet strookt met artikel 8 EVRM, evenmin voldoen aan het in artikel 7, sub e, van richtlijn 95/46 neergelegde vereiste. Artikel 8, lid 2, EVRM bepaalt dat inmenging in het privéleven is toegestaan voor zover hiermee een van de hierin opgesomde doelstellingen wordt nagestreefd en deze „in een democratische samenleving noodzakelijk is”. Volgens het Europees Hof voor de Rechten van de Mens houdt het bijvoeglijk naamwoord „noodzakelijk” in dat een „dwingende maatschappelijke behoefte” aan een bepaald optreden van de overheid bestaat en dat de maatregel evenredig is aan het nagestreefde legitieme doel. 47. Deze met betrekking tot artikel 7, e), van Richtlijn 95/46/EG geformuleerde rechtspraak blijft tot op vandaag relevant,. Artikel 6, lid 1, van de AVG neemt de bewoordingen over van artikel 7 van Richtlijn 95/46/EG. 15 HvJ, Heinz Huber t. Bundesrepublik Deutschland, 16 december 2008, C-524/06. 16 HvJ, Heinz Huber t. Bundesrepublik Deutschland, 16 december 2008, C-524/06, para. 52. Beslissing ten gronde 15/2023/2023 - 14/35 48. Het Hof van Jusititie heeft eveneens verduidelijkt dat als er realistische en minder ingrijpende alternatieven zijn, de behandeling niet "noodzakelijk" is.17 49. De Geschillenkamer dient dus te beoordelen of het installeren van het geolokalisatiesysteem noodzakelijk was voor het voornoemd algemeen belang en of er andere minder invasieve mogelijkheden waren om het voornoemd algemeen belang na te streven. De noodzakelijkheid van een geolokalisatiesysteem blijkt uit het feit dat het verslag van de vergadering van het bijzonder onderhandelingscomité van de verweerder waarin het geolokalisatiesysteem toegelicht en besproken werd, vermeldt dat de organisatie van het wagenpark van de A beter moet worden opgevolgd aangezien er in het verleden heel wat voorvallen geweest zijn die niet door de beugel konden. Aangezien deze incidenten betrekking hebben op verplaatsingen buiten de gebouwen of domeinen van de verweerder, stelt deze dat het voor hem onmogelijk is om op een andere manier te verifiëren of het wagenpark optimaal gebruikt wordt en om eventuele fraude op te sporen en tegen te gaan. Met het geolokalisatiesysteem wordt getracht een einde te stellen aan deze praktijken. 50. Recent heeft het EHRM in het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal 18 zich uitgesproken over het gebruik van geolokalisatiesystemen om professionele verplaatsingen op te volgen. Het EHRM stelt dat, door enkel de geolokalisatiegegevens die betrekking hebben op de professionele verplaatsingen, te verwerken, de inmenging op het recht op bescherming van het privéleven beperkt was tot wat noodzakelijk was voor de behartiging van het algemeen belang van de verweerder. De Geschillenkamer stelt dat het verwerken van persoonsgegevens via een geolokalisatiesyteem dan ook enkel mogelijk is in de specifieke omstandigheden zoals uiteengezet in dit arrest. In onderhavige zaak zijn de vaststellingen van het EHRM naar analogie van toepassing. De verwerkte persoonsgegevens hebben ook enkel betrekking op professionele verplaatsingen, met een dienstwagen19, hetgeen noodzakelijk is voor de behartiging voor het algemeen belang, te weten het voorkomen van fraude en het goed beheer van overheidsmiddelen. 51. Gelet op het bovenstaande vormt het geolokalisatiesysteem inderdaad een inmenging op het recht op bescherming van het privéleven van de betrokkenen, maar deze is eerder beperkt. De Geschillenkamer merkt op dat, indien de verwerking van geolokalisatiegegevens gebeurt onder de gestelde voorwaarden20, te weten met betrekking tot professionele verplaatsingen binnen de werktijd met een dienstwagen en beperkt tot de gegevens die 17 CJUE, Volker & Markus Schecke GbR en Hartmut Eifert t. Land Hessen, 9 november 2010, samengevoegde zaken C‑92/09 et C‑93/09 18 EHRM, 13 december 2022, Florindo de Almeida Vasconcelos Gramaxo t. Portugal, para 120-122. 19 In het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal betrof het een bedrijfswagen die gebruikt mocht worden voor privé- en professionele verplaatsingen, doch enkel de geolokalisatiegegevens van de professionele verplaatsingen mochten verwerkt worden door de werkgever. 20 In het arrest Florindo de Almeida Vasconcelos Gramaxo t. Portugal betrof het een bedrijfswagen die gebruikt mocht worden voor privé- en professionele verplaatsingen, doch enkel de geolokalisatiegegevens van de professionele verplaatsingen mochten verwerkt worden door de werkgever. Beslissing ten gronde 15/2023/2023 - 15/35 noodzakelijk zijn, met de nodige garanties dat de verwerking van de verzamelde gegevens gebeurt in overstemming met de grondbeginselen uit artikel 5, lid 1 AVG, die bovendien transparant worden toegelicht, dit systeem een minder invasieve inmenging uitmaakt dan andere methodes van surveillance. Bovendien is er voor de verweerder geen andere haalbare methode om de wagens en de dienstverplaatsingen te monitoren in het kader van de bovenvermelde doelen. Bovendien zal er enkel raadpleging mogelijk zijn door een beperkt aantal personen die in het geolokalisatiebeleid omschreven zijn en indien daar een concrete aanleiding toe bestaat. II.1.2. Artikel 5, lid 1,
33. a)AVG voor wat betreft de transparantie 52. Wanneer de verwerkingsverantwoordelijke een verwerking baseert op het algemeen belang, dan moet hij hierover transparant zijn door onder andere het nagestreefd algemeen belang te benoemen, duidelijk te maken voor welke doelen de persoonsgegevens worden verwerkt, welke persoonsgegevens er worden verwerkt, of de gegevens worden gedeeld met andere partijen en hoe lang de persoonsgegevens worden bewaard. 53. Zoals reeds vermeld heeft de verweerder een nieuw geolokalisatiebeleid opgesteld. Tijdens de hoorzitting maakt de verweerder een ontwerp over van dit aangepast geolokalisatiebeleid. Hierin zet de verweerder de rechtsgrond en doeleinden uiteen en licht hij toe hoe het geolokalisatiesysteem werkt en op welke manier de betrokkenen voorafgaand aan de verplaatsing met een voertuig dat is uitgerust met een dergelijk systeem de aanwezigheid ervan kunnen nagaan. Daarnaast bepaalt het beleid welke gegevens er wel en niet verwerkt worden en voor welke doeleinden deze gegevens verwerkt worden en voor welke doeleinden dat niet het geval is (zoals naleving snelheidslimiet controleren, een medewerker permanent controleren enz.). Vervolgens verduidelijkt het geolokalisatiebeleid wie toegang heeft tot de persoonsgegevens, op welke wijze er toegang verkregen kan worden door deze personen (zoals via inlogcode) en de bewaartermijn van de gegevens. De verweerder merkt hierbij op dat het nieuwe geolokalisatiebeleid nog dient goedgekeurd te worden – begin 2023 – waarna het geolokalisatiesysteem kan opgestart worden. In dit kader zal de verweerder een traject uitwerken om dit nieuw beleid toe te lichten aan alle betrokkenen waarbij een handtekening ter kennisname vereist zal zijn. 54. De Geschillenkamer is van oordeel dat het enkele feit dat verweerder niet de juiste rechtmatigheidsgrondslag heeft gehanteerd in het verleden de verwerking in de toekomst niet per definitie ongeldig maakt. De Geschillenkamer merkt op dat het zoals hierboven omschreven verzamelen en verwerken van geolokalisatiegegevens wel rechtmatig kan zijn, indien de passende rechtsgrond correct bepaald wordt en de bovenvermelde transparantieverplichtingen hieromtrent nageleefd worden door de verweerder ten aanzien van diens personeel. Hierbij verwijst de Geschillenkamer naar het ontwerp van het nieuw geolokalisatiebeleid dat werd goedgekeurd door de gemeenteraad op 21 september 2021. Beslissing ten gronde 15/2023/2023 - 16/35 Aangezien enkel de gegevens in verband met de verplaatsingen uitgevoerd in het kader van de uitoefening van (bepaalde aspecten van) de job, is de mate van de inmenging op het recht op gegevensbescherming beperkt tot wat noodzakelijk is om het algemeen belang na te streven, te weten de behoorlijke organisatie en beheer van overheidsmiddelen van de verweerder anderzijds. De Geschillenkamer stelt bijgevolg dat de verwerking van persoonsgegevens verzameld via een geolokalisatiesysteem kan gebeuren door de verweerder mits de voorwaarden van artikel 6, lid 1,
34. e)nageleefd worden. II.2. Artikel 5 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en lid 2 van de AVG II.2.1. Artikel 5, lid 2 AVG, artikel 24, lid 1 en artikel 25, lid 1 55. De Geschillenkamer herinnert eraan dat elke verwerkingsverantwoordelijke de grondbeginselen inzake de bescherming van persoonsgegevens zoals begrepen in artikel 5, lid 1 AVG moet naleven en dat moet kunnen aantonen. Dat vloeit voort uit de verantwoordingsplicht in artikel 5, lid 2 van de AVG juncto artikel 24, lid 1 van de AVG zoals bevestigd door de Geschillenkamer 21. 56. Op basis van de artikelen 24 en 25 van de AVG moet de verweerder passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt conform de AVG. De verweerder moet daarbij de gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel van de verwerking. 57. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de verweerder de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan deze beginselen uit artikel 5, lid 1 AVG en in het bijzonder het beginsel van rechtmatigheid en transparantie (zie II.1). Hieromtrent besluit de Inspectiedienst dat de verweerder niet afdoende heeft aangetoond dat hij de nodige maatregelen genomen heeft opdat de litigieuze verwerking plaatsvindt in overeenstemming met artikel 5, lid 1
35. a)en artikel 6, lid 1 AVG, aangezien de Inspectiedienst tot de conclusie is gekomen dat de verwerkingen niet in overeenstemming waren met deze principes. 58. Tijdens de hoorzitting heeft de verweerder toegelicht dat intussen een nieuw geolokalisatiebeleid opgemaakt en goedgekeurd werd. De volgende stap in het proces is dit te communiceren naar alle betrokken medewerkers, zo stelt de verweerder. Op deze manier wil de verweerder voldoen aan de richtlijnen inzake het transparant maken van de manier van werken naar de medewerkers toe. 21 Beslissing ten gronde 34/2020 van 23 juni 2020 beschikbaar https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. via de webpagina Beslissing ten gronde 15/2023/2023 - 17/35 59. De Geschillenkamer heeft in deel II.1 geoordeeld dat er inderdaad sprake was van een inbreuk op artikel 5, lid 1,
36. a)AVG voor wat betreft de rechtmatigheid voor de periode tussen 25 mei 2018 en het moment waarop de verweerder de litigieuze verwerkingen gestaakt heeft. Voor wat betreft het transparantiebeginsel stelt de Geschillenkamer vast dat in het geolokalisatiebeleid uit 2009 en de ermee gepaard gaande interne nota blijkt dat de medewerkers op de hoogte gebracht zijn, maar de verweerder toont niet aan dat zij hieromtrent voldoet aan de verantwoordingsplicht sinds de inwerkingtreding van de AVG, bijvoorbeeld door het geolokalisatiebeleid te actualiseren, opnieuw onder de aandacht te brengen en de bevestiging van ontvangst van de betrokken medewerkers te vragen. Zoals reeds hierboven uiteengezet diende de verweerder immers op eigen initiatief na te gaan of hij vanaf 25 mei 2018 de verplichtingen uit de AVG naleeft. De Geschillenkamer stelt dan ook vast dat de verweerder niet kon aantonen dat hij de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan het rechtmatigheidsbeginsel en het transparantiebeginsel zoals begrepen in artikel 5, lid 1,
37. a)AVG sinds 25 mei 2018. Derhalve oordeelt de Geschillenkamer dat er in dit kader sprake is van een inbreuk op artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG. II.2.2. Artikel 5, lid 1 AVG 60. Hoewel artikel 5, lid 1 en lid 2 AVG nauw met elkaar verbonden zijn, betekent een eventuele schending van de verantwoordingsplicht van artikel 5, lid 2 AVG niet automatisch ook een schending van artikel 5, lid 1 AVG. De verantwoordingsplicht is immers de formele veruitwendiging om door middel van documenten de naleving van de materiële grondbeginselen van de AVG aan te tonen. 61. Voor wat betreft de naleving van artikel 5, lid 1,
38. a)verwijst de Geschillenkamer naar deel II.1 van deze beslissing. Voor wat betreft de grondbeginselen zoals opgenomen in artikel 5, lid 1,
39. b)t.e.m.
40. f)beschikt de Geschillenkamer over onvoldoende elementen om tot een beoordeling over te gaan. II.3. Artikel 4, 11) van de AVG, artikel 5, lid 1,
41. a)en lid 2 van de AVG, artikel 6, lid 1,
42. a)van de AVG en artikel 7, lid 1 en lid 3 van de AVG voor het gebruik van niet strikt noodzakelijke 62. Op basis van artikel 4, 11), artikel 5, lid 1,
43. a)en lid 2, artikel 6, lid 1,
44. a)en artikel 7, lid 1 en lid 3 AVG is het noodzakelijk dat de verwerkingsverantwoordelijke, die de toestemming inroept als rechtsgrond voor de verwerking, kan aantonen dat de betrokkene effectief toestemming heeft gegeven. Artikel 7, lid 3 AVG stelt strenge voorwaarden aan het intrekken van een geldige toestemming. II.3.1. Vaststellingen uit het Inspectieverslag Beslissing ten gronde 15/2023/2023 - 18/35 63. De Inspectiedienst heeft ten eerste vastgesteld dat er geen sprake kon zijn van een geldige toestemming inzake de plaatsing van niet strikt noodzakelijke cookies gelet op enerzijds het interface-ontwerp van de cookiebanner en anderzijds de gebrekkige informatie in het de voorwaarden inzake de intrekking van een geldige toestemming. 64. Voor wat betreft het toestemmingsproces en meer bepaald de interface van de keuzemogelijkheden had voor het gebruik van niet strikt noodzakelijke cookies, namelijk enerzijds ‘ga verder’ en anderzijds ‘meer info’ Deze werden niet op een even gelijkwaardige manier weergegeven. Daarnaast ontbrak de keuzemogelijkheid in de cookiebanner die bij het openen van de website betrokkenen toelaat om het gebruik van niet strikt noodzakelijke 65. Voor wat betreft de transparantieverplichtingen in het kader van een geïnformeerde toestemming, heeft de Inspectiedienst vastgesteld dat de betrokkenen van de verweerder geen transparante informatie ontvingen over de gevolgen voor hun persoonsgegevens bij het gebruik van cookies. Er werd immers door de verweerder aan betrokkenen in het van de verweerder verstrekte slechts vage informatie over de gevolgen voor hun persoonsgegevens door het gebruik van cookies door de verweerder, zoals welke niet strikt noodzakelijke cookies de verweerder precies gebruikt op zijn website en wat de doeleinden zijn van de verwerking van de persoonsgegevens van de betrokkenen voor ieder van die strikt noodzakelijke cookies op de website van de verweerder worden opgeslagen of welke de criteria zijn ter bepaling van die termijn; welke stappen betrokkenen concreet moesten zetten als zij via hun internetbrowser de cookie-instellingen wilden aanpassen. 66. Tot slot werd er in het cookievenster geen uitleg gegeven aan de betrokkenen over hoe een gegeven toestemming kan worden ingetrokken. 67. Gelet op het bovenstaande heeft de Inspectiedienst vastgesteld dat er geen rechtsgeldige toestemming in de zin van artikel 5, artikel 6, lid 1,
45. a)en artikel 4.11) juncto artikel 7 AVG gevraagd werd aan de websitebezoekers voor het gebruik van niet strikt noodzakelijke II.3.2. Standpunt van de verweerder 68. Vooreerst benadrukt de verweerder dat het proces van het actualiseren van zijn cookie- en van de Inspectiedienst en kort nadien werden het nieuwe cookie- en cookiebeleid geïmplementeerd op de website en werd het toestemmingsbeleid omtrent het gebruik van Beslissing ten gronde 15/2023/2023 - 19/35 niet meer in een bepaalde richting gestuurd wordt voor wat betreft de plaatsing van analytische en andere niet strikt noodzakelijke cookies. Alsook kan de betrokkene bij elk bezoek aan de website op eenvoudige wijze zijn voorkeuren opnieuw aanpassen via een link ‘cookie instellingen’ onderaan de website. Ter illustratie maakt de verweerder verschillende schermafbeeldingen over. 69. Voor wat betreft deze vaststellingen voert de verweerder aan dat een nieuw cookiebeleid werd uitgewerkt. Ten tijde van het opstellen van de conclusie, lag het voorstel bij zijn diensten ICT en Communicatie ter nazicht en was de implementatie voorzien op 18 maart 2022. Tijdens de hoorzitting licht de verweerder toe dat het nieuw cookiebeleid nu op transparante wijze uiteenzet welke cookies worden gebruikt, voor welke doeleinden dit gebeurt, wat er met de verzamelde gegevens gebeurt, hoe de betrokkene het gebruik ervan kan beheren, wanneer de verweerder de cookies aan derde partijen doorgeeft en onder welke voorwaarden dit zou gebeuren. De verweerder wijst er ook op dat in het nieuw cookiebeleid is aangegeven hoe de betrokkene via de browserinstellingen kan bepalen hoe de webbrowser omspringt met cookies. Voorts informeert het nieuw cookiebeleid de betrokkene over zijn rechten en over de mogelijkheid om contact op te nemen met de verweerder als verwerkingsverantwoordelijke, dan wel met de functionaris voor gegevensbescherming, en hoe de bezoeker het gebruik ervan kan beheren, wanneer de Tot slot informeert het nieuw cookiebeleid de gebruikers ook over hun rechten en de mogelijkheid om contact op te nemen met de verweerder als verwerkingsverantwoordelijke, dan wel met de functionaris voor gegevensbescherming. II.3.3. Beoordeling door de Geschillenkamer. 70. Voor wat betreft de rechtsgeldige toestemming in de zin van de bovenvermelde artikelen, stelt de Geschillenkamer vast dat de interface van de cookiebanner en het cookiebeleid inderdaad werden aangepast sinds het Inspectieverslag, zoals aangegeven door de verweerder tijdens de hoorzitting. Hoewel de aanpassingen pas zijn gepleegd na de tussenkomst van de Inspectiedienst, hetgeen geen afbreuk doet aan de eerdere vaststellingen van de Inspectiedienst, zal de Geschillenkamer hieronder enkel de nieuwe vastgestelde inbreuken waren immers duidelijk en werden niet betwist door de verweerder. 71. De Geschillenkamer zal eerst het toestemmingsproces beoordelen, met name de interface van de cookiebanner en de informatieverplichtingen inzake de cookies in het cookiebeleid. Vervolgens zal de Geschillenkamer nagaan of de voorwaarden inzake de intrekking van de geldige toestemming gerespecteerd werden. Beslissing ten gronde 15/2023/2023 - 20/35 1. Rechtmatig gegeven toestemming 72. Alvorens te onderzoeken of er in onderhavige zaak sprake is van een geldige toestemming, brengt de Geschillenkamer in herinnering aan welke voorwaarden voldaan moet zijn om een rechtsgeldige toestemming te kunnen vaststellen. Artikel 5.3 van de ePrivacy Richtlijn22, zoals omgezet in artikel 10/2 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna: Gegevensbeschermingswet).23 bepaalt dat de toestemming van de betrokkenen vereist is voor het plaatsen van de cookies, behalve wanneer het gaat om strikt noodzakelijke cookies. 73. Overweging 17 van de ePrivacy Richtlijn verduidelijkt dat voor de toepassing ervan het begrip “toestemming” dezelfde betekenis moet hebben als “toestemming van de betrokkene” zoals gedefinieerd en nader bepaald in de Gegevensbeschermingsrichtlijn 95/46/EG (welke nu door de AVG vervangen is). Dit werd ook verduidelijkt in richtlijnen omtrent toestemming door de Groep Gegevensbescherming.24 74. Artikel 4, 11) AVG definieert “toestemming” van de betrokkene als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”. 75. Artikel 7 AVG stipuleert de voorwaarden die van toepassing zijn op de toestemming: 1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. 2. Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. Wanneer een gedeelte van een dergelijke verklaring een inbreuk vormt op deze verordening, is dit gedeelte niet bindend. 3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan. 22 Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), OJ L 201, 31.7.2002 23 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, B.S., 5 september 2018. 24 EDPB, Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening 2016/679, 4 mei 2020, o.m. para.7. Beslissing ten gronde 15/2023/2023 - 21/35 4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst. 1.1 Rechtmatig gegeven toestemming: cookiebanner 76. Bij de nieuwe cookiebanner krijgt de bezoeker van de website de keuze om enerzijds de noodzakelijke cookies aanvaarden = knop voor globale opt-in). Bij een klik op de keuzemogelijkheid ‘cookievoorkeuren beheren’, verschijnt er meer info over de cookies die zijn opgedeeld in de volgende drie categorieën: “noodzakelijke”, “analytische cookies” en “cookies met je voorkeuren” waarbij telkens info in begrijpelijke taal gegeven wordt omtrent het doel van deze cookies. De betrokkene kan dus, voor wat betreft de niet strikt noodzakelijke cookies, de toestemming geven per bovenstaande categorie. Er is dus geen knop aanwezig op hetzelfde niveau als de knop voor globale opt-in waar men de toestemming voor alle niet strikt noodzakelijke cookies kan weigeren. Verwijzend naar het rapport van de Task Force Cookie Banner van de European Data Protection Board (EDPB)25, stelt de Geschillenkamer vast dat deze aanpassingen in de nieuwe cookiebanner al een stap in de juiste richting zijn ten opzichte van de vaststellingen van de Inspectiedienst met betrekking tot de oude cookiebanner. 77. De Geschillenkamer merkt voor de volledigheid wel nog volgende zaken op. Ten eerste verduidelijkt het voormeld rapport van de Task Force Cookie Banner de regels omtrent een rechtsgeldig gegeven toestemming. Er dient een knop voor weigering van alle niet-strikt noodzakelijke cookies beschikbaar te zijn op hetzelfde informatieniveau als de globale optin op de eerste informatielaag 26, bijvoorbeeld door knoppen met de titel "alles aanvaarden” en “alles afwijzen”. Op dit moment voorziet de nieuwe cookiebanner enkel een opt-in knop maar geen globale knop om toestemming te weigeren. Gelet op de publicatie van dit rapport na het sluiten van de debatten, formuleert de Geschillenkamer het bovenstaande als aanbeveling. 78. ten tweede stelt de Geschillenkamer ook vast dat in de nieuwe cookiebanner de knop “mijn keuze beheren” wit is, zoals de achtergrond van de cookiebanner, terwijl de knop “alle achtergrond, en dus de betrokkene stuurt richting alle cookies aanvaarden. Voor zoveel als 25 EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf. 2023, 26 2023, EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf januari Beslissing ten gronde 15/2023/2023 - 22/35 nodig wijst de Geschillenkamer erop dat het voormeld rapport van het Cookie Banner Task Force van de EDPB stelt dat dit een ongeldige toestemming kan uitmaken, maar dat dit geval per geval beoordeeld moet worden.27 Gelet op de publicatie van dit rapport na het sluiten van de debatten, formuleert de Geschillenkamer het bovenstaande als aanbeveling. 1.2 Rechtmatig gegeven toestemming: cookiebeleid 79. De Geschillenkamer stelt vast dat het cookiebeleid werd aangepast overeenkomstig het merendeel van de opmerkingen van de Inspectiedienst. De Geschillenkamer neemt hiervan akte en bespreekt nu verder enkel het nieuw cookiebeleid. Hoewel het nieuwe cookiebeleid ook al stappen in de juiste richting zet ten opzichte van het oude cookiebeleid dat onderzocht werd door de Inspectiedienst, strekt het tot aanbeveling om de volgende elementen eveneens te voorzien in het nieuwe cookiebeleid. Ten eerste stelt de Geschillenkamer vast dat de aanwezige cookies worden verdeeld in de volgende drie categorieën: noodzakelijk, analytisch en cookies met voorkeuren. De Geschillenkamer stelt vast dat in de categorie ‘cookies met je voorkeuren’ cookies bevat met verschillende doeleinden. Zo zouden de verbeteren, beter geplaatst worden in de categorie analytische cookies, terwijl de cookies met het doel ‘het vastleggen van uw interesses om op maat gemaakte inhoud en aanbiedingen te kunnen bieden' marketing als doeleinde hebben. Gelet op het principe van granulariteit, formuleert de Geschillenkamer de aanbeveling om de cookies in de categorie ‘cookies met je voorkeuren’ ook nog per doelstelling in te delen. Dit laat de betrokkene toe om een meer genuanceerde keuze te maken. Ten tweede merkt de Geschillenkamer op dat het uit het cookiebeleid niet blijkt aan wie de gegevens die verzameld worden via de cookies wordt gestuurd. De Geschillenkamer beveelt eveneens aan om deze ontvangers ook op te nemen in het cookiebeleid. Tot slot wijst de Geschillenkamer erop dat met de browserinstellingen geen geldige toestemming kan worden verzameld ten aanzien van de AVG. Enerzijds omdat de gebruikers immers (nog) geen toestemming kunnen geven volgens de doeleinden die de verschillende soorten cookies nastreven. De toestemming die via de browserinstellingen wordt verzameld is daarom niet voldoende specifiek ten aanzien van de vereisten van de AVG.28 Anderzijds omdat de browserinstellingen standaard kunnen voorzien in het aanvaarden van de cookies, zonder dat de betrokkene hiervan op de hoogte is, waardoor de toestemming geen uitdrukkelijke actieve handeling uitmaakt en dus niet rechtsgeldig gegeven is in de zin van de AVG. 27 EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari 2023, https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf, p. 6 en 7. 28 Zie ook thema op de website van de https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies. GBA, te raadplegen via Beslissing ten gronde 15/2023/2023 - 23/35 80. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake was van een inbreuk op artikel 4, 11), artikel 5, lid 1,
46. a)en artikel 6, lid 1 AVG, en dat deze deels geremedieerd werd. 2. Intrekking van een gegeven toestemming 81. Voor wat betreft de transparante informatie over het intrekken van een gegeven toestemming voor het gebruik van niet strikt noodzakelijke cookies, herinnert de Geschillenkamer eraan dat de betrokkene krachtens artikel 7, lid 3 AVG het recht heeft om zijn toestemming ten allen tijde in te trekken, en dat het intrekken van de toestemming even eenvoudig moet zijn als het geven ervan. Daarbij moet de betrokkene krachtens dezelfde bepaling in kennis van dit recht gesteld worden, dit, alvorens hij zijn toestemming geeft. 82. In dit kader stelt de Geschillenkamer vast dat onderaan de website een link ‘cookie instellingen’ beschikbaar is, waarbij de betrokkene weer terechtkomt op het bovenvermeld keuzemenu uit de cookie-banner omtrent de toestemming van de categorieën van cookies. Volgens het voormelde rapport van de Cookie Banner Task force, moet de website gemakkelijk beschikbare mogelijkheden aanbieden om de toestemming in te trekken, op elk moment, zoals door het plaatsen van een link op een zichtbare en duidelijke plaats.29 De link ‘cookie-instellingen’ bevindt zich onderaan de website van de verweerder, waar gebruikelijk de links naar het privacybeleid en het cookiebeleid staan, en de link is op elk moment toegankelijk. De Geschillenkamer stelt bijgevolg vast dat de verweerder transparante informatie en functionaliteit geeft over het intrekken van een gegeven toestemming voor het gebruik van niet strikt noodzakelijke cookies overeenkomstig artikel 7, lid 3 van de AVG. 83. Gelet op het bovenstaande concludeert dat er geen sprake meer is van een inbreuk op artikel 7, lid 3 AVG. Dit neemt niet weg dat er een historische inbreuk was die intussen werd geremedieerd. II.4. Artikel 12, lid 1 en lid 6 van de AVG, artikel 13, lid 1 en lid 2 van de AVG en artikel 14, lid 1 en lid 2 van de AVG, artikel 5, lid 2 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG 84. Op basis van artikel 12, lid 1 van de AVG, artikel 13, lid 1 en lid 2 van de AVG en artikel 14, lid 1 en lid 2 van de AVG is het noodzakelijk dat de verweerder als verwerkingsverantwoordelijke aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. De voormelde transparantieverplichtingen vormen een concretisering van de algemene transparantieverplichting van artikel 5, lid 1,
47. a)van de AVG. Zoals reeds uiteengezet moet de verweerder de passende technische en 29 EDPB, Report of the work undertaken by the Cookie Banner Taskforce, 17 januari https://edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf, p. 8. 2023, Beslissing ten gronde 15/2023/2023 - 24/35 organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt conform de AVG. De verweerder moet daarbij de gegevensbeschermingsbeginselen doeltreffend uitvoeren, de rechten van de betrokkenen beschermen alsook alleen persoonsgegevens verwerken die noodzakelijk zijn voor elk specifiek doel van de verwerking. II.4.1. Vaststellingen in het Inspectieverslag 85. Op basis van zijn onderzoek komt de Inspectiedienst tot de vaststelling dat de privacyverklaring van de verweerder niet transparant en begrijpelijk was voor de betrokkenen zoals opgelegd door artikel 12, lid 1 AVG en vanuit het oogpunt van gegevensbescherming irrelevante en onjuiste informatie bevatte. Verschillende elementen in de privacyverklaring waren overbodig omdat deze niet over de bescherming van persoonsgegevens gingen. Ten tweede creëerde de privacyverklaring van de verweerder ten onrechte tegenover de betrokkene de perceptie dat de verweerder de AVG volledig naleefde, quod non, aldus de Inspectiedienst. Ten derde stelde de privacyverklaring ten onrechte dat de betrokkene steeds diens identiteit moest aantonen voor het uitoefenen van de rechten van de betrokkenen in de AVG. Dit was onjuist omdat de verweerder conform artikel 12, lid 6 AVG enkel aanvullende informatie mag vragen aan de betrokkene wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 t.e.m. 21 AVG. Ten vierde vermeldde de privacyverklaring van de verweerder ten onrechte niet de mogelijkheid voor de betrokkenen om een klacht in te dienen bij de Gegevensbeschermingsautoriteit. Tot slot was de privacyverklaring van de verweerder niet duidelijk en bijgevolg niet transparant voor de betrokkenen voor wat betreft het door elkaar gebruiken van de begrippen “persoonsgegevens” en “gegevens”, de doeleinden en rechtsgronden van de verwerking, de doorgifte van persoonsgegevens en de aanpassingen die werden aangebracht. 86. Bovendien was de privacyverklaring van de verweerder, volgens de vaststellingen van de Inspectiedienst, onvolledig omdat niet alle volgens artikelen 13 en 14 van de AVG verplicht te vermelden informatie effectief werd vermeld. Er was immers geen informatie opgenomen over de contactgegevens van de functionaris voor gegevensbescherming, de verwerkingsdoeleinden en de rechtsgrond voor de verwerking, de ontvangers of de categorieën van ontvangers van de persoonsgegevens, de opslagtermijn of de criteria ter bepaling van die termijn, het recht van de betrokkenen om beperking van de hem betreffende verwerking te verzoeken alsmede het recht op gegevensoverdraagbaarheid, het recht op de intrekking van een gegeven toestemming en het recht om klacht in te dienen bij de Gegevensbeschermingsautoriteit. Beslissing ten gronde 15/2023/2023 - 25/35 II.4.2. Standpunt van de verweerder 87. . Voor wat betreft deze vaststellingen voert de verweerder aan dat een nieuw privacybeleid werd uitgewerkt. Ten tijde van het opstellen van de conclusie, lag het voorstel bij de diensten ICT en Communicatie ter nazicht. De implementatie heeft plaatsgevonden op 18 maart 2022. Voor wat betreft de privacyverklaring voert de verweerder aan dat deze geactualiseerd wordt om te voldoen aan de vaststellingen van de Inspectiedienst. Zo werden irrelevante passages weggelaten, zodat de verklaring enkel nog de relevante bepalingen overeenkomstig de AVG bevat (beginselen van verwerking, doeleinden, rechtsgrond, doorgifte van gegevens, rechten van betrokkenen en contact- en klachtmogelijkheden voor de betrokkenen). De verweerder eist niet langer automatisch een bewijs van identiteit voorafgaand aan de uitoefening van de rechten van de betrokkene. Dit zal enkel nog verzocht worden wanneer op geen andere manier de identiteit van de betrokkene kan worden verzekerd. De privacyverklaring werd eveneens aangevuld met de diverse mogelijkheden die de betrokkene heeft om klacht neer te leggen ingeval van een mogelijke schending van de bescherming van diens persoonsgegevens. De privacyverklaring maakt nu ook gebruik van consistente bewoordingen en ter verduidelijking van de verwerkingsgronden werden concrete voorbeelden opgenomen, zo stelt de verweerder. Daarnaast vermeldt de privacyverklaring onder de titel “Historiek aanpassingen” naast de datum van herwerking ook de onderwerpen die effectief zijn aangepast. Tot slot wijst de verweerder erop dat volgende informatie werd toegevoegd aan de privacyverklaring: contactgegevens van de functionaris voor gegevensbescherming, doeleinden voor de verwerking, rechtsgrond voor de verwerking, vermelding dat enkel de verweerder als verantwoordelijke optreedt en de gegevens ontvangt, de vermelding dat de verweerder de gegevens in principe niet langer bijhoudt dan nodig voor het doel waarvoor deze verzameld werden, de rechten van de betrokkenen en de klachtmogelijkheden van de betrokkenen. De verweerder is bijgevolg van mening dat de informatie die hij aan de betrokkenen verstrekt voldoet aan de vereisten van de artikelen 12, 13 en 14 van de AVG II.4.3. Beoordeling door de Geschillenkamer 88. De Geschillenkamer wijst erop dat de AVG bepaalt welke informatie verplicht moet worden opgenomen in de privacyverklaring, en meer bepaald in de artikelen 13 en 14 AVG. Deze vereisten inzake transparantie zijn nader uitgelegd in de Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679 van de Groep Gegevensbescherming. 89. Aangezien de verweerder een groot aantal gegevensverwerkingen uitvoert, waardoor een grote hoeveelheid informatie aan de betrokkenen moet worden verstrekt, is de Beslissing ten gronde 15/2023/2023 - 26/35 Geschillenkamer van oordeel dat een verwerkingsverantwoordelijke zoals verweerder een meerlagige aanpak moet hanteren: 30 - Enerzijds moet de betrokkene van meet af aan beschikken over duidelijke en toegankelijke informatie over het feit dat er informatie over de verwerking van zijn persoonsgegevens bestaat (privacybeleid) en waar hij die volledig zal kunnen vinden. - Anderzijds moet de betrokkene, onverminderd de toegankelijkheid van het privacybeleid in zijn geheel, vanaf de eerste communicatie van de verwerkingsverantwoordelijke met hem op de hoogte worden gebracht van de details van het doel van de betreffende verwerking, de identiteit van de verwerkingsverantwoordelijke en de rechten die hem ter beschikking staan. 90. Het belang van het verstrekken van deze meerlagige informatie zorgt voor toegankelijke en begrijpelijke informatie voor de betrokkenen, een verplichting die voortvloeit met name uit overweging 39 van de AVG. Alle aanvullende informatie in de zin van artikel 13 en 14 AVG die nodig is om de betrokkene in staat te stellen op basis van de op dit eerste niveau verstrekte informatie te begrijpen wat de gevolgen van de betrokken verwerking voor hem zullen zijn, moet worden toegevoegd. 91. De Geschillenkamer consulteerde de huidige privacyverklaring van de verweerder en stelde daarbij inderdaad vast dat deze laatste op zodanige wijze werd bijgewerkt dat rekening wordt gehouden met het merendeel van de opmerkingen van de Inspectiedienst en de privacyverklaring bijgevolg bijna volledig in overeenstemming werd gebracht met de desbetreffende bepalingen van de AVG. De Geschillenkamer neemt hiervan akte. 92. Er wordt evenwel opgemerkt dat in de nieuwe privacyverklaring nog niet tegemoet wordt gekomen aan alle vaststellingen van de Inspectiedienst. 93. Vooreerst stelt de Geschillenkamer vast dat de privacyverklaring niet duidelijk melding maakt van de bewaartermijnen van de betrokken persoonsgegevens dan wel de criteria ter bepaling hiervan, zoals vereist door artikel 13, lid 2
48. a)AVG. De privacyverklaring vermeldt hieromtrent het volgende: “[w]ij bewaren uw gegevens in principe niet langer dan noodzakelijk is voor het doel waarvoor deze verzameld werden. Als overheidsinstantie zijn we echter dikwijls wettelijk verplicht om uw persoonsgegevens langer te bewaren, onder meer op basis van de archiefwetgeving. Het is daarnaast mogelijk dat uw persoonsgegevens verder worden verwerkt voor wetenschappelijk en historisch onderzoek of statistische doeleinden”. Uit de Richtsnoeren van de Groep Gegevensbescherming blijkt evenwel dat 30 In dezelfde zin: beslissing nr. 81/2020 van de Geschillenkamer (punten 53 en volgende) en beslissing 76/2021 (punten 58 e.v.), beschikbaar via de webpagina https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. Beslissing ten gronde 15/2023/2023 - 27/35 dergelijke formulering niet volstaat. De Groep Gegevensbescherming wijst er in dit verband op dat de (vermelding van
49. de)bewaartermijn verband houdt met het beginsel van minimale gegevensverwerking vervat in artikel 5, lid 1,
50. c)AVG alsook de vereiste van opslagbeperking van artikel 5, lid 1,
51. e)AVG. Deze preciseert dat “de opslagperiode (of de criteria om die te bepalen) kan (kunnen) worden gedicteerd door factoren als wettelijke vereisten of sectorale richtsnoeren, maar altijd zodanig moeten worden geformuleerd dat de betrokkene, op basis van zijn of haar eigen situatie, kan beoordelen wat de bewaringstermijn voor specifieke gegevens/doeleinden is”.31 De Geschillenkamer is van oordeel dat zulks een schending inhoudt van artikel 13, lid 1
52. c)en 14, lid 2,
53. c)AVG. 94. Ten tweede stelt de Geschillenkamer in dit verband vast dat de privacyverklaring niet op voldoende gedetailleerde wijze melding maakt van de precieze rechtsgrond(
54. en)en doeleinden van de verwerking en welke persoonsgegevens hiervoor gebruikt worden van de betrokken persoonsgegevens, zoals vereist door artikel 13 en 14 AVG. De Geschillenkamer stelt vast dat de privacyverklaring wel deze elementen vermeldt, maar dat de wijze waarop niet begrijpelijk en transparant is voor de betrokkenen, aangezien niet duidelijk is voor de betrokkene welke gegevens voor welk doeleinde worden verwerkt en op basis van welke rechtsgrond dit gebeurt. Idealiter voorziet de verwerkingsverantwoordelijke een oplijsting van de verschillende doeleinden waarvoor hij persoonsgegevens verwerkt, met telkens de aanduiding welke (categorieën van) persoonsgegevens hiervoor worden verwerkt, via welke bron zij werden verkregen, voor hoelang zij worden bewaard en met welke (categorieën van) ontvangers ze (kunnen) worden gedeeld. 95. De Geschillenkamer stelt vast dat aan de overige vaststellingen van de Inspectiedienst intussen werd tegemoet gekomen door de door de verweerder aangebrachte wijzigingen aan de privacyverklaring, doch stelt evenwel vast dat deze vaststellingen ten tijde van de uitvoering van het inspectieonderzoek onbetwistbaar zijn. De Geschillenkamer wijst er daarbij wel op dat de verweerder inspanningen heeft geleverd om de uit hoofde van de artikelen 12, 13 en 14 AVG te verstrekken informatie bij te stellen, weliswaar na ontvangst van de opmerkingen van de Inspectiedienst. 96. De Geschillenkamer leidt uit de hierboven opgesomde vaststellingen van inbreuken af dat de verweerder zijn transparantieverplichtingen uit artikel 12 AVG en zijn informatieverplichting uit artikel 13 en 14 AVG niet is nagekomen. Daarmee heeft verweerder onzorgvuldig gehandeld in strijd met zijn verantwoordingsplicht zoals bepaald in artikel 5, lid 2 en 24 van de AVG. 31 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP260rev1 vastgesteld op 29 november 2017, p 25. Beslissing ten gronde 15/2023/2023 - 28/35 II.5. Artikel 30, lid 1, lid 3 en lid 4 van de AVG 97. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende gegevensverwerkingen die zij uitvoert omdat het register de belangrijkste kenmerken ervan zichtbaar maakt. De verplichtingen inzake dit register van verwerkingsactiviteiten worden bepaald in artikel 30 AVG. 98. Krachtens artikel 30 AVG moet elke verwerkingsverantwoordelijke een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd. Artikel 30, lid 1,
55. a)tot en met
56. g)AVG bepaalt dat, met betrekking tot de in de hoedanigheid van verwerkingsverantwoordelijke verrichte verwerkingen, de volgende informatie beschikbaar moet zijn:
57. a)de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
58. b)de verwerkingsdoeleinden;
59. c)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
60. d)de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
61. e)indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea AVG, bedoelde doorgiften, de documenten inzake de passende waarborgen;
62. f)indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist;
63. g)indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1 AVG. 99. Het verwerkingsregister moet in schriftelijke vorm, waaronder in elektronische vorm, worden opgesteld (artikel 30, lid 3 AVG). Overeenkomstig artikel 30, lid 4 AVG stelt de verwerkingsverantwoordelijke het verwerkingsregister toezichthoudende overheid op diens verzoek. ter beschikking aan de Beslissing ten gronde 15/2023/2023 - 29/35 100. Voor wat betreft het register van verwerkingsactiviteiten stelt de Inspectiedienst vast dat de verweerder de verplichtingen opgelegd door artikel 30, lid 1, lid 3 en lid 4 AVG niet heeft nageleefd. De Inspectiedienst heeft immers enkel een deel van het register van verwerkingsactiviteiten ontvangen, te weten het deel over het onderhoud van gebouwen. Het deel dat werd overgemaakt voldoet volgens de vaststellingen van de Inspectiedienst niet aan de minimumvereisten uit artikel 30 lid 1 AVG aangezien volgende verplichte vermeldingen ontbreken: a. De contactgegevens van de verweerder (artikel 30, lid 1,
64. a)AVG). b. Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens (artikel 30, lid 1,
65. c)AVG). Er is een korte algemene opsomming voorzien, maar dat is geen beschrijving, aldus de Inspectiedienst. 101. De Geschillenkamer dient zich uit te spreken over de vraag of artikel 30, lid 1,
66. c)AVG vereist dat een beschrijving wordt gegeven van de categorieën van persoonsgegevens en de categorieën van betrokkenen in het register van verwerkingsactiviteiten, dan wel of een opsomming kan volstaan. 102. Voor wat betreft het ontbreken van de bescherming van de categorieën van betrokkenen en persoonsgegevens vraagt de verweerder in zijn conclusies om verduidelijking. Er zijn inderdaad algemene voorbeelden opgenomen hieromtrent, maar de verweerder stelt dat deze wel een beeld geven van het soort gegevens dat bedoeld wordt. In de AVG kan de verweerder geen definitie terugvinden van wat een beschrijving hoort te zijn. 103. De Geschillenkamer stelt vast dat artikel 30, lid 1,
67. c)AVG vereist dat een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens wordt opgenomen in het register van verwerkingsactiviteiten. De betrokkenen zijn de geïdentificeerde of identificeerbare natuurlijke personen van wie de gegevens worden verwerkt (artikel 4