1/10 Geschillenkamer Beslissing 151/2025 van 22 september 2025 Dossiernummer : DOS-2024-03148 Betreft : Het verwerken van persoonsgegevens voor verkiezingsreclame De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door het directiecomité van de Gegevensbeschermingsautoriteit op 25 april 2024 en gepubliceerd in het Belgisch Staatsblad op 31 mei 2024; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, hierna “de verweerder” Beslissing ten gronde 151/2025 — 2/10 I. Feiten en procedure 1. Op 5 juni 2024 ontvangt de klager een e-mail van de verweerder in het kader van een verkiezingscampagne. Op dezelfde dag stuurt de klager een e-mail naar de verweerder waarin hij zijn recht van inzage uitoefent. Hij vraagt meer bepaald om de bron van de verwerkte persoonsgegevens, het doel van die verwerking en welke gegevens de verweerder met betrekking tot de klager verwerkt. Op 1 juli 2024 stuurt de klager een herinnering. Op 3 juli 2024 antwoordt de verweerder op de e-mail van de klager. Zij deelt de klager mee dat hij de e-mail per vergissing heeft ontvangen en dat zij ervoor zorgt dat hij in de toekomst niet door haar wordt gecontacteerd. Op dezelfde dag antwoordt de klager dat hij ontevreden is met het antwoord van de verweerder. Hij herhaalt zijn verzoek om de bron van de verwerkte gegevens, het doel van de verwerking en welke gegevens de verweerder met betrekking tot hem verwerkt. 2. Op 5 juli 2024 informeert de verweerder de klager als volgt: “1. Bron van de gegevens: Uw persoonsgegevens zijn verkregen wellicht ter gelegenheid van een evenement dat ik georganiseerd heb. 2. Doel van de verwerking: de verwerking van uw persoonsgegevens vindt plaats voor algemene communicatie en deelname aan evenementen. 3. Beschikbare gegevens: de persoonsgegevens die wij over u bezitten, zijn uw e-mail adres, naam en voornaam.” De verweerder verklaart ook dat de gegevens van de klager zijn verwijderd. 3. Op 8 juli 2024 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. Het voorwerp van de klacht betreft de onrechtmatigheid van de verwerking van zijn persoonsgegevens voor het verzenden van verkiezingsreclame en het onvoldoende naleven van zijn recht van inzage. De klager stelt dat de verweerder de bron van zijn persoonsgegevens onvoldoende heeft toegelicht door slechts te stellen dat deze “wellicht” zijn verkregen naar aanleiding van een evenement. Voorts stelt de klager dat de verweerder voorbijgaat aan zijn verwijzing naar zijn aanwezigheid op een mailinglijst van een onafhankelijke politieke incubator. Volgens de klager ontvangt hij sinds 2013 een nieuwsbrief van de verweerder, en sinds 2018 een nieuwsbrief van de politieke incubator. De klager zou nooit enig bericht hebben ontvangen van de verweerder in haar hoedanigheid van Z1 tot de litigieuze e-mail. De klager stelt dat de verweerder gegevens lijkt te hebben verzameld in haar hoedanigheid als initiatiefnemer voor de politieke incubator en Z2 gemeenteraadslid om vervolgens in haar hoedanigheid als Z1 parlementslid en verkiezingskandidaat een e-mail te sturen. Beslissing ten gronde 151/2025 — 3/10 Voorts stelt de klager dat zijn gegevens niet verwijderd werden. Via de link in de oorspronkelijke e-mail zou het mogelijk zijn om na te gaan welke gegevens nog steeds beschikbaar zijn op de betrokken mailinglijst. Daaruit bleek dat op 8 juli 2024, het emailadres van de klager nog steeds bewaard werd door de verweerder. 4. Op 10 juli 2024 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en op dezelfde dag wordt de klager hiervan op de hoogte gesteld overeenkomstig artikel 61 WOG. 5. Op 10 juli 2024 wordt de Geschillenkamer gevat op grond van artikel 92, 1° WOG. 6. Op 12 augustus 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 7. Op 12 augustus 2024 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. 8. Op 12 augustus 2024 aanvaardt de klager elektronisch alle communicatie omtrent de zaak. 9. Op 21 augustus 2024 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 10. Op 21 augustus 2024 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 27 augustus 2024. 11. Op 9 september 2024 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. 12. Op 23 september 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager. 13. Op 7 oktober 2024 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. II. Motivering II.1.1. De beginselen van rechtmatigheid (artikelen 5.1.
- a)AVG en 6.1 AVG) en doelbinding (artikelen 5.1.
- b)AVG) 14. Artikel 5.1.
- a)AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (“rechtmatigheid, behoorlijkheid en transparantie”). Artikel 6.1 AVG preciseert dat de verwerking alleen rechtmatig is indien en voor zover aan ten minste een van de voorwaarden in artikel 6.1.
- a)–
- f)AVG is voldaan. Beslissing ten gronde 151/2025 — 4/10 15. Daarnaast bepaalt artikel 5.1.
- b)AVG dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens niet verder op een met die doeleinden onverenigbare wijze mogen worden verwerkt (“doelbinding”). De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, is op grond van de AVG enkel toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. Standpunt van de verweerder 16. De verweerder stelt dat de e-mail van 5 juni 2024 verstuurd werd ingevolge een menselijke vergissing. De bedoeling was om een nieuwsbrief te versturen om de contactenlijst van de verweerder te herinneren aan haar positie als verkiezingskandidaat en haar standpunten. 17. De verweerder stelt in haar syntheseconclusies dat zij normaal gezien altijd vooraf de toestemming van betrokkenen vraagt om dergelijke nieuwsbrieven te versturen 1. In het onderhavige geval zou een medewerker van de verweerder echter het persoonlijke emailadres van de verweerder hebben gebruikt om in te loggen bij Mailchimp (een dienst voor e-mailmarketing) in plaats van het e-mailadres dat zij gebruikt in haar huidige politieke functie. Als gevolg hiervan ontvingen 5000 personen per vergissing verkiezingspropaganda van de verweerder, waarvoor geen geldige toestemming werd verkregen. 18. De verweerder kwalificeert deze feiten als een gegevenslek in de zin van artikel 4.12 AVG (“een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”). De verweerder motiveert niet expliciet waarom deze verwerking als een “gegevenslek” zou dienen te worden gekwalificeerd, maar uit haar redenering op pagina’s 3 en 10 van haar syntheseconclusies begrijpt de Geschillenkamer dat de verweerder doelt op het feit dat de betrokken werknemer onrechtmatige toegang had tot de persoonsgegevens van 5000 personen. Volgens de verweerder kan er in het kader van een gegevenslek geen sprake zijn van een geldige rechtsgrond, noch van het doelbindingsbeginsel of de informatieplicht. Oordeel van de Geschillenkamer 19. De Geschillenkamer merkt op dat de kwalificatie van een verwerking als een “gegevenslek” geen afbreuk kan doen aan de toepasselijkheid van de verplichtingen in artikelen 5.1.a), 5.1.
- b)en 6.1 AVG. 1 Syntheseconclusies verweerder, pagina 3 Beslissing ten gronde 151/2025 — 5/10 20. De verweerder heeft in haar syntheseconclusies erkend dat de litigieuze e-mail zonder de voorafgaande toestemming van de klager werd verzonden. Derhalve kon zij zich niet beroepen op artikel 6.1.
- a)AVG. 21. De verweerder erkent bovendien zelf expliciet dat zij geen rechtsgrond had om verkiezingspropaganda te versturen naar de klager 2. Aangezien de verweerder zich niet beroept op een van de alternatieve rechtsgronden in artikel 6.1.
- b)-
- f)AVG, acht de Geschillenkamer het niet nodig om de toepasselijkheid van deze rechtsgronden ambtshalve verder te onderzoeken. 22. Ten aanzien van het beginsel van doelbinding (artikel 5.1.
- b)AVG) stelt de verweerder dat de persoonsgegevens verzameld werden voor het verzenden van nieuwsbrieven en uitnodigingen in het kader van de activiteiten van de politieke incubator, en als medelid van Z3. De klager betwist niet dat de verwerking van zijn persoonsgegevens in het kader van deze activiteiten rechtmatig was. De verweerder heeft deze persoonsgegevens echter vervolgens gebruikt voor het verzenden van verkiezingspropaganda in een andere hoedanigheid. Deze verwerking was onverenigbaar met deze oorspronkelijke doeleinden, en kon ook niet worden gebaseerd op een afzonderlijke rechtsgrond 3. 23. De Geschillenkamer oordeelt dat de verweerder inbreuk maakte op het beginsel van rechtmatigheid (artikelen 5.1.
- a)en 6.1 AVG) door politieke propaganda te verzenden naar de klager zonder hiervoor een geldige rechtsgrond te hebben, en inbreuk maakte op het beginsel van doelbinding (artikel 5.1.
- b)AVG) door gegevens te verwerken op een manier die onverenigbaar is met het oorspronkelijke doel van de verzameling van de persoonsgegevens. II.1.2. De transparantie en informatieverplichtingen (artikelen 5.1.a), 12, 13 en 14 AVG) 24. Op grond van de transparantieverplichting in artikel 5.1.
- a)AVG, zoals nader gepreciseerd in de artikelen 12, 13 en 14 AVG, moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van de elementen opgesomd in artikel 13.1 en 13.2 AVG. In artikel 14.1 en 14.2, worden soortgelijke elementen opgesomd, met dien verstande dat artikel 14 AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden verzameld, maar bij derden. Deze informatie moet op grond van artikel 13 of artikel 14 AVG aan de betrokkene worden verstrekt op de wijze als bepaald in artikel 12 AVG. 2 Syntheseconclusies verweerder, pagina 11 3 Zie ook Beslissing ten gronde 35/2020 van 30 juni 2020, randnrs. 24-25 Beslissing ten gronde 151/2025 — 6/10 25. In casu werden de persoonsgegevens van de klager rechtstreeks bij hem verzameld in het kader van zijn deelname aan de activiteiten van de politieke incubator en als medelid van Z3 Hierdoor is artikel 13 AVG van toepassing, en artikel 14 AVG niet. 26. De verweerder stelt dat betrokkenen via de privacyverklaring op Y (haar website) worden geïnformeerd over de verwerking van hun persoonsgegevens. Zij erkent niettemin “bepaalde tekortkomingen” in haar privacyverklaring, en in het bijzonder de manier waarop zij de informatie verstrekt 4. De verweerder verbindt zich ertoe deze situatie te verhelpen. 27. De Geschillenkamer merkt op dat onderaan [website van] Y een hyperlink met de naam “Privacy” staat. Deze hyperlink leidt echter naar [website van] Z1 5, de privacyverklaring van de politieke partij van de verweerder. Deze privacyverklaring is toepasselijk op de verwerkingen waarvoor de partij verwerkingsverantwoordelijke is, en niet op de verwerkingen waarvoor de verweerder verantwoordelijk is. Derhalve worden de betrokkenen niet correct geïnformeerd over de verwerking van hun persoonsgegevens. 28. Gelet op het voorgaande oordeelt de Geschillenkamer dat de verweerder haar transparantie- en informatieverplichtingen overeenkomstig artikel 5.1.a), artikel 12.1, artikel 13.1 en 13.2 van de AVG niet is nagekomen. II.1.3. Het recht van inzage (artikel 15 AVG) 29. Overeenkomstig artikel 15 AVG heeft de betrokkene het recht van inzage in de persoonsgegevens die over hem zijn verzameld. Dit stelt de betrokkene in staat om kennis te nemen van de verwerking en de rechtmatigheid ervan te controleren. 30. Overeenkomstig artikel 12.1 AVG moet de verweerder passende maatregelen nemen opdat de betrokkene de in artikel 15 bedoelde communicatie in een “transparante” en “begrijpelijke” vorm en in “duidelijke” taal ontvangt. 31. De klager maakte op 5 juni 2024 gebruik van zijn recht van inzage om inzage te verzoeken in de bron van de persoonsgegevens (15.1.
- g)AVG), het doel van de gegevensverwerking (15.1.
- a)AVG), en welke persoonsgegevens met betrekking tot hem worden verwerkt (15.1.
- b)AVG). 32. De verweerder stelt echter dat zij er te goeder trouw van uitging dat de klager zijn recht op gegevenswissing uitoefende, en dat zij hier onmiddellijk gevolg aan heeft gegeven. De Geschillenkamer merkt op dat de klager zijn verzoek als volgt verwoordde: “Overeenkomstig de AVG verzoek ik u mij te willen meedelen waar de gebruikte gegevens vandaan komen, het doel van die verwerking en over welke gegevens u over mij bezit.” Dit 4 Syntheseconclusies van de verweerder, pagina 15 5 Geraadpleegd op 2 september 2025 Beslissing ten gronde 151/2025 — 7/10 verzoek is ondubbelzinnig, en de verweerder kon het niet redelijkerwijs interpreteren als een uitoefening van het recht op gegevenswissing. 33. De klager reageerde op 3 juli 2024 dat de verweerder niet voldoende had geantwoord op zijn vragen. 34. Op 5 juli 2024 excuseerde de verweerder zich bij de klager voor het niet gedetailleerd beantwoorden van zijn vragen. Zij informeerde de klager als volgt: “1. Bron van de gegevens: Uw persoonsgegevens zijn verkregen wellicht ter gelegenheid van een evenement dat ik georganiseerd heb. 2. Doel van de verwerking: de verwerking van uw persoonsgegevens vindt plaats voor algemene communicatie en deelname aan evenementen. 3. Beschikbare gegevens: de persoonsgegevens die wij over u bezitten, zijn uw email adres, naam en voornaam.” 35. Betreffende artikel 15.1.
- g)AVG (bron van de gegevens) merkt de Geschillenkamer op dat de verweerder geen definitief antwoord biedt over de bron van de persoonsgegevens door te stellen dat zij “wellicht verkregen werden ter gelegenheid van een evenement” (nadruk toegevoegd). Betreffende artikel 15.1.
- a)AVG (doel van de verwerking) oordeelt de Geschillenkamer dat de verweerder onvoldoende specifiek is in haar antwoord door te verwijzen naar “algemene communicatie” als een van de doeleinden van de gegevensverwerking. Betreffende artikel 15.1.
- b)AVG (beschikbare gegevens) oordeelt de Geschillenkamer dat de verweerder de nodige informatie verstrekte aan de klager. 36. Gelet op het voorgaande besluit de Geschillenkamer dat de verweerder een inbreuk heeft begaan op artikelen 15.1.
- g)AVG en 15.1.
- a)AVG, door onvoldoende informatie te verstrekken aan de klager over de bron van zijn persoonsgegevens en het doeleinde van de verwerking ervan. II.2. Het recht van bezwaar (Artikel 21.2 AVG) 37. In het onderhavige geval blijkt niet uit de stukken in het dossier dat de klager zijn recht op bezwaar heeft uitgeoefend. Aldus oordeelt de Geschillenkamer dat er geen inbreuk op artikel 21.2 AVG kan worden vastgesteld. III. Maatregelen 38. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; Beslissing ten gronde 151/2025 — 8/10 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 39. De verweerder benadrukt in haar syntheseconclusies dat zij reeds een aantal corrigerende maatregelen heeft genomen. Zo heeft de verweerder zich samen met haar medewerkers ingeschreven voor een AVG-training die plaatsvond op 26 september 2024. Verder heeft de verweerder beslist om het gebruik van e-mail voor promotionele activiteiten stop te zetten, en besloot zij om het gebruik van Mailchimp op te zeggen. 40. Met betrekking tot het verzoek om inzage op basis van artikel 15 AVG merkt de Geschillenkamer op dat de klager, door de uitwisseling van de conclusies, inmiddels inzage heeft gekregen in de door hem gevraagde informatie. 41. De Geschillenkamer merkt op dat de inbreuken onopzettelijk waren, dat de verweerder de inbreuken (gedeeltelijk) erkent en dat zij stappen heeft ondernomen om de inbreuken te verhelpen. Daarom beslist de Geschillenkamer dat het volstaat om op basis van artikel 100, § 1, 5° WOG een berisping te formuleren voor de bovenvermelde inbreuken. Onder deze omstandigheden ziet de Geschillenkamer geen aanleiding om het opleggen van een geldboete in overweging te nemen. Beslissing ten gronde 151/2025 — 9/10 IV. Publicatie van de beslissing 42. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd op evenwel nodig niet de website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van artikel 100, § 1, 5° WOG, de verweerder te berispen wegens de inbreuk op artikelen 5.1.
- a)en 6.1 AVG; artikel 5.1.
- b)AVG; artikel 5.1a) AVG juncto artikel 12.1, artikel 13.1 en 13.2 AVG; artikel 15.1.
- a)en 15.1.
- g)AVG. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerder. Beslissing ten gronde 151/2025 — 10/10 Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 6. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W. 7, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get.)Hielke HIJMANS Directeur van de Geschillenkamer 6 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 7 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.