1/11 Geschillenkamer Beslissing ten gronde 158/2025 van 7 oktober 2025 Dossiernummer : DOS-2021-05215 Betreft : Gebruik van e-mailaccount en gsm-nummer na beëindiging tewerkstelling De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”1; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager” De verweerder: Y, vertegenwoordigd door Mr. Kristof Zadora en Mr. Dylan Verhulst , hierna “de verweerder” 1 Zoals gewijzigd door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit Beslissing ten gronde 158/2025 — 2/11 I. 1. Feiten en procedure Op 21 juli 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerder. 2. Het voorwerp van de klacht betreft het vermeend niet afsluiten van het professionele emailaccount en gsm-nummer na het vertrek van de klager bij het bedrijf van verweerder, waar de klager voorheen actief was als gedelegeerd bestuurder. Op de vraag van de klager om zijn e-mailaccount en gsm-nummer af te sluiten en persoonlijke berichten van de afgelopen 5 maanden te vernietigen antwoordde de verweerder dat de mailbox van de klager spoedig zou worden afgesloten en dat het gsm-nummer aan de verweerder toebehoort. 3. Op 4 augustus 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 16 augustus 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 5. Op 12 januari 2021 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). 6. Op 28 november 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd daarbij vastgelegd op 8 januari 2025, deze voor de conclusie van repliek van de klager op 29 januari 2025 en deze voor de conclusie van repliek van de verweerder op 19 februari 2025. 7. Op 28 november 2024 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak en vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem werd overgemaakt op 10 december 2024. 8. Op 13 december 2024 geeft de verweerder te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 9. Op 8 januari 2025 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. Beslissing ten gronde 158/2025 — 3/11 10. Op 27 januari 2025 ontvangt de Geschillenkamer de conclusie van repliek van de klager. 11. Op 17 februari 2025 ontvangt de Geschillenkamer de conclusie van repliek van de verweerder. 12. Op 16 april 2025 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 10 juni 2025. 13. Op 10 juni 2025 worden de partijen gehoord door de Geschillenkamer. 14. Op 25 augustus 2025 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 15. De Geschillenkamer ontvangt noch vanwege de klager, noch vanwege de verweerder opmerkingen met betrekking tot het proces-verbaal. II. Motivering Doelbindingsbeginsel als bedoeld in artikel 5.1 b), in combinatie met de niet-naleving van artikel 5.1.
- c)(minimale gegevensverwerking) en 5.1
- e)AVG (opslagbeperking ) 16. Als verwerkingsverantwoordelijke is de verweerder verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsplicht - artikel 5.2 AVG). 17. Bovendien moet hij, eveneens in zijn hoedanigheid van verwerkingsverantwoordelijke, alle nodige maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd (artikel 24 AVG). 18. Artikel 5.1.
- b)AVG vereist dat persoonsgegevens worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. 19. Op basis van het doeleinde zijn ook andere beginselen die in artikel 5 AVG zijn vastgelegd, van toepassing: het beginsel van minimale gegevensverwerking - krachtens hetwelk alleen gegevens mogen worden verwerkt die toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is ten aanzien van het doeleinde (artikel 5.1.
- c)AVG) - en het principe van opslagbeperking - krachtens hetwelk de gegevens niet mogen worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren en niet langer mogen worden bewaard dan noodzakelijk ten aanzien van de doeleinden waarvoor zij worden verwerkt (artikel 5.1.
- e)AVG). 20. Deze beginselen en de daaruit voortvloeiende verplichtingen voor de verwerkingsverantwoordelijke zijn ook van toepassing op de rechten van de betrokkene, aangezien de betrokkene overeenkomstig artikel 17.1.
- a)AVG het recht heeft om van de Beslissing ten gronde 158/2025 — 4/11 verwerkingsverantwoordelijke de verwijdering van de hem betreffende gegevens te verkrijgen indien deze gegevens niet langer noodzakelijk zijn in het licht van de doeleinden waarvoor zij werden verzameld of verwerkt. 21. Het e-mailadres dat het voorwerp uitmaakt van de klacht en de informatie in de daaraan gekoppelde mailbox vormen persoonsgegevens in de zin van artikel 4.1) AVG, aangezien het betrekking heeft op informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. 22. Dit mailadres en de daaraan gekoppelde mailbox, die voor beroepsdoeleinden in het kader van de activiteiten van de verweerder werden gecreëerd, waren bedoeld om de klager in staat te stellen e-mails te ontvangen en te verzenden in het kader van zijn activiteiten voor de verweerder2. 23. Zoals de Geschillenkamer in eerdere beslissingen reeds heeft geoordeeld 3, is het om te voldoen aan het doelbindingsbeginsel (artikel 5.1.
- b)AVG), in combinatie met de beginselen van minimale gegevensverwerking (artikel 5.1.
- c)AVG) en opslagbeperking (artikel 5.1.
- e)AVG), aan de verwerkingsverantwoordelijke om de houder van de mailbox die zijn functie heeft beëindigd, uiterlijk op de dag van zijn feitelijke vertrek te voorzien van een automatisch bericht. De houder moet daaromtrent vooraf verwittigd worden. Dit automatische bericht waarschuwt alle volgende correspondenten dat de betrokkene zijn functie binnen het bedrijf niet meer uitoefent en verstrekt de contactgegevens van de persoon (of het algemene emailadres) die in zijn plaats moet worden gecontacteerd en dit gedurende een redelijke periode (a priori 1 maand). Afhankelijk van de context en met name de mate van verantwoordelijkheid die de betrokkene uitoefent, kan een langere periode worden toegestaan, idealiter niet langer dan drie maanden. De verlenging moet gebeuren met instemming van de betrokken persoon of ten minste nadat deze van de verlenging op de hoogte is gesteld. Bovendien moet er zo snel mogelijk een alternatieve oplossing worden gezocht en ingevoerd zonder dat de uiterste termijn voor deze verlenging hoeft te worden afgewacht. Eén en ander neemt evenwel niet weg dat na de beëindiging van zijn functie de betrokkene alsnog gedurende een bepaalde periode toegang kan hebben tot zijn mailbox indien daaromtrent een akkoord is tussen hem en de verwerkingsverantwoordelijke. Dit stelt de medewerker in de gelegenheid om bijvoorbeeld de lopende dossiers nog af te werken. 2 Zie in dezelfde zin Beslissing ten gronde 64/2020 van 29 september 2020 3 Beslissing ten gronde 133/2021 van 2 december 2021; Beslissing 11/2025 van 22 januari 2025 Beslissing ten gronde 158/2025 — 5/11 24. Na deze periode dient het e-mailadres en de mailbox van de betrokkene te worden verwijderd4. Het doel van de verwerking van deze persoonsgegevens is dan immers irrelevant. 25. Aangezien op 8 februari 2021 de verweerder de samenwerking met de klager als gedelegeerd bestuurder binnen het bedrijf van de verweerder heeft beëindigd, oordeelt de Geschillenkamer dat de verwerking van de persoonsgegevens van de klager aan de hand van het betreffende mailadres en mailbox binnen een redelijke termijn had moeten worden beëindigd en de klager daarover had moeten worden geïnformeerd (artikel 12.1 AVG juncto artikel 13.1 en 2. AVG). Deze periode had kunnen variëren van 1 tot 3 maanden waarbij, zoals gezegd, de verzenders van berichten naar het desbetreffende mailadres automatisch op de hoogte werden gesteld dat de betrokkene niet langer actief was binnen het bedrijf. De Geschillenkamer voegt overeengekomen tussen hieraan beide volledigheidshalve toe dat partijen) het algemeen en in eventueel een (mits zo dergelijke overgangsperiode er ook zou voor kunnen zorgen dat een vertrekkende medewerker zelf nog tijdelijk toegang heeft tot de informatie in de mailbox bij zijn voormalige opdrachtgever. 26. Uit de stukken van dit dossier blijkt dat het e-mailadres van de klager nog steeds actief was binnen de organisatie van verweerder tot 15 juli 2021, terwijl de samenwerking reeds was beëindigd op 8 februari 2021 en de klager geen informatie had gekregen over het verdere gebruik van zijn mailbox en mailadres, laat staan dat er in dit kader iets was overeengekomen. De indicatieve periode van een maand na beëindiging van de werkzaamheden van de klager was dus ruimschoots overschreden op het ogenblik dat de verweerder overging tot het effectief afsluiten van het e-mailaccount van de klager. De verweerder beweert op 14 juli 2021 in zijn antwoord aan de klager, dus voorafgaand aan het indienen van de klacht bij de Geschillenkamer weliswaar dat “gedurende een overgangsperiode” een automatisch bericht werd verzonden aan diegenen die een e-mail richtten aan het e-mailaccount van de klager. Deze bewering werd echter door de 4 In zijn aanbeveling CM/Rec
(2015)5 over de verwerking van persoonsgegevens in het kader van de arbeidsverhouding stelt het Comité van Ministers van de Raad van Europa in principe 14.5 het volgende : wanneer een werknemer zijn of haar baan verlaat, moet de werkgever technische en organisatorische maatregelen nemen om ervoor te zorgen dat de e-mail van de werknemer automatisch wordt gedeactiveerd. Indien de inhoud van de e-mail moet worden opgevraagd voor het goed functioneren van de organisatie, dient de werkgever passende maatregelen te nemen om de inhoud van de e-mail op te halen voor het vertrek van de werknemer en, indien mogelijk, in diens aanwezigheid. In de toelichting bij de aanbeveling staat verder (punt 122) dat in deze situaties waarin de werknemer de organisatie verlaat, de werkgever het account van de voormalige werknemer dient te deactiveren, zodat er geen toegang meer is tot de communicaties van de voormalige werknemer na zijn vertrek. Indien de werkgever de inhoud van de account van de werknemer wil recupereren, dient de werkgever de nodige stappen te ondernemen voor het vertrek van de werknemer, bij voorkeur in zijn aanwezigheid. Deze sectorale aanbeveling die een vervollediging is van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (STE 108), illustreert op welke manier de beginselen inzake doelbinding, minimale gegevensverwerking en proportionele bewaring, die zowel worden bevestigd in dit Verdrag als in de AVG, moeten worden toegepast Beslissing ten gronde 158/2025 — 6/11 verweerder niet herhaald, noch met enig bewijs gestaafd tijdens de procedure voor de Geschillenkamer. Daarnaast licht de verweerder in zijn antwoord aan de klager ook niet toe welke duurtijd werd toegekend aan de overgangsperiode waarin dit automatisch bericht zou zijn verzonden vanuit de betreffende mailbox, zodat niet kan worden nagegaan of dit de volledige periode bestrijkt vanaf de beëindiging van de tewerkstelling tot het daadwerkelijk afsluiten van het e-mailaccount. Bij gebrek aan bewijs kan de Geschillenkamer niet vaststellen of het beginsel van minimale gegevensverwerking al dan niet werd gerespecteerd door de verweerder. Het verzenden van een automatisch bericht, zoals de verweerder beweerdelijk voorhoudt, is immers te beschouwen als beduidend minder intrusief dan de mogelijkheid voor de verweerder tot het lezen en individueel beantwoorden van de berichten van de klager in diens mailbox na zijn vertrek. 27. Ook dient de Geschillenkamer vast te stellen dat zowel het doelbindingsbeginsel als het beginsel van opslagbeperking geenszins werden gerespecteerd doordat na het vertrek van de klager het doeleinde waarvoor het e-mailaccount was gecreëerd, nl. professionele e-mail communicatie mogelijk maken, is verdwenen. Het account is niettemin blijven bestaan en is niet afgesloten binnen de periode van een maand, bij gebrek aan enige communicatie en overeenstemming tussen klager en verweerder over een mogelijke uitbreiding van deze termijn tot drie maanden alvorens over te gaan tot het afsluiten van het e-mailaccount. De verweerder bevestigt immers pas vijf maanden na de beëindiging van de tewerkstelling van de klager te zijn overgegaan tot het afsluiten van het e-mailaccount. Bovendien heeft de verweerder nagelaten passend gevolg te geven aan het verzoek van de klager tot gegevenswissing overeenkomstig artikel 12.2 en 12.4 juncto artikel 17 AVG. 28. Aangaande het gebruik van het gsm-nummer van de klager dient eveneens te worden vastgesteld dat het doelbindingsbeginsel (artikel 5.1
- b)AVG) en het beginsel van opslagbeperking (artikel 5.1
- e)AVG) niet werden nageleefd. Het gsm-nummer werd aan de klager ter beschikking gesteld teneinde via dit kanaal bereikbaar te zijn en te communiceren binnen het kader van de professionele activiteiten. De verweerder heeft in zijn antwoord aan de klager bevestigd dat het was toegestaan dat de klager dit nummer ook privé zou aanwenden, maar stelde daarbij dat het gsm-nummer aan hem als verweerder toebehoort, vermits de verweerder het abonnement heeft afgesloten. De verweerder leidt hieruit af dat er geen inbreuk op de privacy van de klager kan zijn. Hoewel de verweerder dit argument niet heeft hernomen in de verweermiddelen en evenmin tijdens de hoorzitting voor de Geschillenkamer, merkt de Geschillenkamer hieromtrent toch op dat zij de redenering van de verweerder niet volgt, aangezien het gebruik van het betreffende gsm-nummer door de betrokkene, zijnde de klager, determinerend is vanuit het oogpunt van de bescherming van persoonsgegevens en tot gevolg heeft dat dit gsm-nummer inherent verbonden is met de klager. Dit geldt eveneens voor alle communicatie die via dat nummer verloopt., waardoor de verwerking van deze informatie, alsook het gsm-nummer als dusdanig, als een Beslissing ten gronde 158/2025 — 7/11 verwerking van persoonsgegevens van klager dienen te worden beschouwd in de zin van artikel 4.2) AVG. Het bewaren van communicatiegegevens, ongeacht of deze van professionele dan wel privé-gerelateerde aard zijn, voor een door de verweerder onbepaalde tijd gedurende dewelke de klager volledig in het ongewisse wordt gelaten wat er met zijn communicatiegegevens gebeurt na zijn tewerkstelling, vormt onmiskenbaar een inbreuk op artikel 5.1
- b)en
- e)AVG. Niet alleen bewaart de verweerder de communicatiegegevens zonder dat hiervoor nog het initiële doeleinde (professionele communicatie mogelijk maken) aanwezig is, vermits de professionele samenwerking is stopgezet. Maar daarnaast houdt de verweerder de communicatiegegevens ook nog voor een voor de klager onbekende duurtijd in zijn bezit. Verder houdt de Geschillenkamer er ook rekening mee dat de klager gedurende meer dan 10 jaar werkzaam was binnen het bedrijf van de verweerder waardoor het als vanzelfsprekend kan worden beschouwd dat de smartphone die de klager ter beschikking had niet alleen voor professionele contacten werd gebruikt, maar ook voor persoonlijke contacten, zoals ook toegestaan door de verweerder. Doordat ook deze persoonlijke communicatie werd bewaard na de beëindiging van de tewerkstelling van de klager, zonder enig doel en zonder nader bepaalde beperking in de tijd, versterkt dit de inbreuk op artikel 5.1
- b)en
- e)AVG. De Geschillenkamer merkt daarbij nog op dat de verwerking van communicatiegegevens, volgens de vaste rechtspraak van het Hof van Justitie van de Europese Unie, wordt beschouwd als een zeer ruime en bijzonder zware inmenging in de door de artikelen 7 en 8 van het Handvest van de Unie gewaarborgde fundamentele rechten.5 29. Het beëindigen van de uitoefening van de functie van de klager brengt met zich mee dat het doeleinde waarvoor het gsm-nummer aan de klager ter beschikking werd gesteld eveneens wegvalt en er vanaf dat ogenblik ook geen verdere bewaring kan zijn van de informatie die is gekoppeld aan dat gsm-nummer. Door dit wel te doen, heeft de verweerder artikel 5.1
- b)en
- e)AVG niet nageleefd. In voorliggend geval heeft de verweerder de via het gsm-nummer beschikbare informatie niet alleen niet onmiddellijk na het beëindigen van de tewerkstelling van de klager verwijderd en heeft hij dit ook niet gedaan toen de klager op 1 juli 2021 uitdrukkelijk om gegevenswissing van alle privé-berichten (voicemails, sms, whatsapp, emails, …) verzocht. De verweerder heeft pas op 12 februari 2025 bevestigd dat alle privéberichten zijn verwijderd zonder evenwel te kunnen aantonen op welke dag precies de verwijdering van die berichten plaatsvond. Uit het geheel van deze feitelijke elementen volgt dat de verweerder niet alleen het doelbindingsbeginsel heeft geschonden, maar ook het beginsel van opslagbeperking door de langdurige bewaring voor een termijn die de verweerder niet nader kan toelichten, alsmede geen passend gevolg heeft gegeven aan het 5 Zie, als eerste, Arrest van het Hof van 8 april 2014, C-293/12 en C-594/12, Digital Rights Ireland Ltd tegen Minister for Communications, Marine and Natural Resources e.a. en Kärntner Landesregierung e.a., pt 37. Beslissing ten gronde 158/2025 — 8/11 verzoek van de klager tot gegevenswissing overeenkomstig artikel 12.2 en 12.4 juncto artikel 17 AVG. 30. Dit brengt de Geschillenkamer tot het besluit dat de verweerder een inbreuk heeft gepleegd op artikel 5.1
- b)en artikel 5.1
- e)AVG, juncto artikel 5.2; artikel 12.1., 12.2, 12.4 , artikel 13.1, 13.2., artikel 17 en artikel 24 AVG zowel voor wat betreft het e-mailaccount van de klager, als diens gsm-nummer na beëindiging van de uitoefening van zijn functie. Rechtmatigheid van de verwerking 31. Artikel 6 AVG schrijft voor dat alle verwerkingen moeten berusten op een rechtsgrondslag. Dit betekent dat de verwerkingsverantwoordelijke niet mag beginnen of, zoals in casu doorgaan met een gegevensverwerking zonder zich te beroepen op één van de in artikel 6.1 AVG6 opgesomde rechtmatigheidscriteria, die de concretisering zijn van het rechtmatigheidsbeginsel als bedoeld in artikel 5.1
- a)AVG. 32. Weliswaar kan de mailbox, met het oog op het gerechtvaardigd belang van de verwerkingsverantwoordelijke in overeenstemming met de voorwaarden van artikel 6.1.
- f)AVG, gedurende een bepaalde periode na het ontslag van de klager nog actief blijven in zoverre dit beperkt blijft tot de automatische verzending van standaardcommunicatie omtrent het vertrek van een medewerker, met het oog op het waarborgen van de goede werking van de onderneming en de continuïteit van haar diensten. Dit kan vanzelfsprekend enkel mits de overige bepalingen van de AVG eveneens worden gerespecteerd, inzonderheid artikel 13. 1
- c)AVG, waaruit volgt dat voordat begonnen wordt met de verwerkingsactiviteiten moet worden bepaald welke rechtsgrondslag van toepassing is, en 6 Artikel 6.1 AVG De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
- a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
- b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
- c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
- d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
- e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
- f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. Beslissing ten gronde 158/2025 — 9/11 in verband met welk specifiek doel7, met de verplichting voor de verwerkingsverantwoordelijke om de betrokkene hiervan in kennis te stellen. 33. Voor de gevallen waarin de medewerker en de opdrachtgever in onderlinge overeenstemming overeenkomen dat de medewerker na zijn vertrek nog gedurende een bepaalde periode toegang kan hebben tot zijn mailbox – bijvoorbeeld om de medewerker de gelegenheid te bieden de lopende dossiers nog af te werken – kan de toestemming (artikel 6.1
- a)AVG) een geldige rechtsgrond zijn om de mailbox nog verder te blijven gebruiken na stopzetting van de samenwerking. 34. Het is evenwel uitgesloten dat het mailadres van de klager door de verweerder onmiddellijk na het ontslag nog wordt aangewend op de wijze zoals in voorliggend geval. De verweerder erkent ook uitdrukkelijk in de neergelegde conclusies dat met betrekking tot “de eerste vier vermeende inbreuken” - waarmee wordt verwezen naar de vermeende inbreuken opgesomd in de brief van de Geschillenkamer d.d. 28 november 2024 –, waaronder het gebrek aan rechtsgrond (artikel 6.1 AVG), niet te hebben voldaan aan alle verplichtingen van de AVG. Bijgevolg voert de verweerder noch in de conclusies, noch tijdens de hoorzitting enige rechtsgrond aan waarop de verwerking van het mailadres van de klager en de daaraan gekoppelde berichten in diens mailbox zou kunnen worden gebaseerd na de beëindiging van de werkzaamheden van de klager. Ter rechtvaardiging van het verdere gebruik van het gsmnummer van de klager na diens vertrek voert de verweerder evenmin enige rechtsgrond aan, niettegenstaande de vaststelling van de Inspectiedienst dat het gsm-nummer nog steeds in gebruik was door de verweerder op 22 oktober 2021 en de aanrekening van september 2021 de naam van de klager vermeldde. Dit werd vastgesteld op basis van de verklaring van de betreffende telecomoperator. 35. De Geschillenkamer stelt vast dat zowel het mailadres en de gegevens in de daaraan gekoppelde mailbox, alsook het gsm-nummer en de aan dat nummer verbonden berichten, persoonsgegevens betreffen in de zin van artikel 4, 1) AVG, dewelke initieel rechtmatig worden verwerkt op grond van artikel 6.1
- b)AVG tijdens de tewerkstelling van de klager. De verwerking vindt dan immers plaats binnen een professionele context en is noodzakelijk voor de uitvoering van de overeenkomst tussen de klager en verweerder. De rechtsgrond bepaald in artikel 6.1
- b)AVG valt echter weg op het ogenblik van beëindiging van de tewerkstelling. De Geschillenkamer merkt hieromtrent op dat op grond van artikel 13.1
- c)AVG het voor de verwerkingsverantwoordelijke niet mogelijk is om een nieuwe rechtsgrond aan te wenden ter rechtvaardiging van de verwerking zodra de initiële rechtsgrond, in casu de uitvoering van de overeenkomst, niet meer kan worden ingeroepen omwille van de beëindiging ervan. Er wordt door de verweerder immers niet aangetoond dat de klager op 7 Zie in dat verband de Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (randnrs. 121-123); https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf Beslissing ten gronde 158/2025 — 10/11 het ogenblik van de beëindiging van de overeenkomst zou zijn geïnformeerd over enige andere rechtsgrond dan de initiële rechtsgrond waarop de verwerking van diens persoonsgegevens na de beëindiging van de overeenkomst zou zijn gebaseerd. 36. De Geschillenkamer benadrukt dat er in casu aldus geen rechtsgrond (artikel 6.1 AVG) is die kan rechtvaardigen dat het e-mailadres van de klager na de stopzetting van diens activiteiten voor de verweerder nog actief is gebleven gedurende een periode van ongeveer vijf maanden. Evenmin was er enige rechtsgrond voorhanden voor het verdere gebruik van het gsm-nummer en de verwerking van de aan dit nummer verbonden berichten voor de periode die volgde op het vertrek van de klager. Aldus komt vast te staan dat de verweerder een inbreuk op artikel 5.1
- a)en 6.1 AVG juncto artikel 13.1
- c)AVG heeft gepleegd. Sanctie 37. Bij de bepaling van de sanctie ingevolge de inbreuken op artikel 5.1, a), 5.1
- b)en 5.1
- e)AVG, juncto artikel 5.2 AVG; artikel 6.1 AVG; artikel. 12.1., 12.2, 12.4 AVG, artikel 13.1, 13.2. AVG, artikel 17 AVG en artikel 24 AVG houdt de Geschillenkamer rekening met het feit dat het tot 27 januari 2025 heeft geduurd vooraleer de verweerder aan de klager kon bevestigen dat zijn privé-berichten (voicemails, sms, whatsapp, e-mails, …) werden verwijderd. 38. Daarnaast gaat de Geschillenkamer niet voorbij aan de erkenning door de verweerder niet aan alle verplichtingen van de AVG te hebben voldaan zowel voor wat betreft het emailaccount, als het gsm-nummer, maar dat er behoudens de voorliggende zaak geen herhaling van deze inbreuken kan worden verwacht, aangezien de verweerder als vennootschap enkel nog bestaat met het oog op de vereffening en als dusdanig geen operationele activiteiten meer uitvoert, geen werknemers op de payroll heeft en geen omzet meer genereert. De Geschillenkamer oordeelt dan ook dat in de gegeven specifieke situatie een berisping volstaat. Een administratieve boete dient in deze specifieke feitelijke context geen doel. III. Publicatie van de beslissing 39. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. van de daartoe de