← België

Beslissing ten gronde nr. 16/2020

1 Geschillenkamer Beslissing ten gronde 16/2020 van 20 april 2020 Dossiernr. : DOS-2018-04918 Betreft: Klacht tegen een winkel over het gebruik van bewakingscamera's De Geschillenkamer van de Gegevens

van de WOG, dat in de onderhavige zaak van toepassing is. Bovendien, en voor zover nodig, voegt de Geschillenkamer eraan toe dat het Gerechtelijk Wetboek, waarvan artikel 1022 voorziet in de toewijzing van de kosten, niet van toepassing is op de 2 Zie met name het arrest van 12 juni 2019 van het Hof van Beroep van Brussel, 19de kamer, afdeling Marktenhof, gepubliceerd op de website van de GBA: https://www.gegevensbeschermingsautoriteit.be/arresten-marktenhof 6 Beslissing 16/2020 -7 Geschillenkamer in haar hoedanigheid van een geschillenorgaan van een onafhankelijke administratieve autoriteit, behalve in de gevallen waarin, zoals in artikel 57 van het Reglement van interne orde, de toepassing van de bepalingen van het Gerechtelijk Wetboek uitdrukkelijk is voorzien. De Geschillenkamer kan derhalve geen gevolg geven aan het verzoek van verweerster om de klager te verwijzen in de kosten tot een bedrag van 1.440 EUR. Het verzoek van verweerster als verwoord in haar conclusies van 30 juli 2019 (blz. 9) wordt afgewezen. In haar conclusies verklaart verweerster dat zij vaststelt dat de klager geen aanspraak maakt op zijn eigen schadevergoeding op basis van onder meer zijn recht op afbeelding en dat zij in ieder geval van mening is dat de klager geen persoonlijke schade lijdt (punt 2.2.2.

  1. van de conclusies van verweerster van 30 juli 2019, blz. 8). In het dispositief van haar conclusies vraagt verweerster dat in ieder geval door de Geschillenkamer wordt erkend dat de klager geen eigen schadeclaim indient en dat wordt vastgesteld dat de klager geen persoonlijke schade lijdt (blz. 9 van de conclusies van verweerder van 30 juli 2019). De Geschillenkamer is niet bevoegd om een schadevergoeding toe te kennen. Zij is a fortiori evenmin bevoegd om vast te stellen of de klager al dan niet schade heeft geleden. Het bestaan van een geleden schade door de klager is overigens niet nodig om de bevoegdheid van de Geschillenkamer vast te stellen. VII. Over de redenen voor de beslissing Over de niet-nakoming door verweerster van haar verplichtingen krachtens de Camerawet en de AVG. Als verwerkingsverantwoordelijke is de verweerster verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet zij kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsplichtbeginsel - artikel 5.2 van de AVG) en alle daartoe noodzakelijke maatregelen ten uitvoer te leggen (artikel 24 van de AVG). De verwerking van door bewakingscamera's gefilmde beelden is inderdaad, aangezien deze gegevens persoonlijke gegevens vormen, onderworpen aan de AVG die parallel aan de Camerawet moet worden toegepast. Naast de AVG is verweerster in feite ook verplicht om te voldoen aan de verplichtingen die haar worden opgelegd door de Camerawet, die overigens in 2017 werd herzien, om rekening te houden met de inwerkingtreding en de toekomstige toepassing van de AVG. De Kamer van Beroep kwalificeert de door de verweerster aangebrachte camera's als bewakingscamera's van een gesloten en voor het publiek toegankelijke plaats in de zin van artikel 2, 7 Beslissing 16/2020 -8 2° en 4° van de Camerawet3; daarbij wordt rekening gehouden met het doel van de bewaking van de gebouwen die door de installatie van deze camera's wordt nagestreefd.  Wat betreft de aangifte van de bewakingscamera's (artikel 6, § 2, eerste lid, van de Camerawet) In het verslag van de Inspecteur-generaal van 14 mei 2019 wordt erop gewezen dat de bewakingscamera's van verweerster niet als zodanig zijn aangegeven bij de Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL) voordat zij in gebruik werden genomen. Op grond van artikel 6, § 2, van de Camerawet, zoals die tot 25 mei 2018 van kracht was, moest de verwerkingsverantwoordelijke zijn besluit om bewakingscamera's te installeren op een gesloten plaats die toegankelijk is voor het publiek, melden aan de Commissie voor de bescherming van de persoonlijke levenssfeer en aan de korpschef van de politiezone waar de plaats is gelegen
  2. Dat er geen aangifte is, wordt door verweerster niet betwist, noch in haar betoog van 30 juli 2019 (zie hieronder), noch in haar verklaringen op de hoorzitting van 13 maart
  3. Op pagina 8 van zijn conclusies van 30 juli 2019 geeft verweerster toe dat "de enige inbreuk die aan de concluant [lees de verweerster] kan worden toegeschreven, is dat zij onbedoeld heeft geoordeeld dat de aan de GBA versterkte aangifte het bewijs van een aangifte was". De Geschillenkamer merkt op dat het aangifteformulier in ontwerp dateert van 24 april 2018 (blz. 2 van het inspectieverslag van 14 mei 2019), in tempore non suspecto was ingevuld, en dat de feiten die de klager aangaf dateerden van 4 september
  4. In zijn inspectierapport zegt de inspeceur hierover "dat het aangifteformulier dat de gerant van de winkel heeft doen toekomen op de Commissie voor de bescherming van de persoonlijke levenssfeer geen bewijs is van de aangifte als zodanig (zoals dat wordt uitgelegd in het voorwoord van het formulier). Uit een controle van de archieven van de aangiftes bij de Commissie voor de bescherming voor de persoonlijke levenssfeer is gebleken dat het formulier niet aan de Commissie voor de 3 Art. 2 Voor de toepassing van deze wet wordt verstaan onder: 2° Besloten plaats toegankelijk voor het publiek elk gebouw of elke door een omsluiting afgebakende plaats bestemd voor het gebruik door het publiek waar diensten aan het publiek kunnen worden verstrekt. 4 Artikel 6 van de Camerawet van 21 maart 2007 : §
  5. De beslissing tot het plaatsen van een of meer bewakingscamera's in een voor het publiek toegankelijke besloten plaats wordt genomen door de verwerkingsverantwoordelijke. §
  6. De verwerkingsverantwoordelijke deelt de in § 1 bedoelde beslissing mee aan de Commissie voor de bescherming van4 de persoonlijke levenssfeer en aan de korpschef van de politiezone waar de plaats gelegen is. Hij doet dat uiterlijk de dag vóór die waarop de bewakingscamera of -camera's in gebruik worden genomen. 8 Beslissing 16/2020 -9 bescherming voor de persoonlijke levenssfeer is toegezonden. De aangifte is dus niet volledig (...)" (blz. 3 van het inspectieverslag van 14 mei 2019). De Geschillenkamer is niet bevoegd om inbreuken te behandelen die zichhebben voorgedaan vóór 25 mei 2018, datum van inwerkingtreding van de wet tot oprichting van de Gegevensbeschermingsautoriteit. In het inspectieverslag staat verder dat deze camera's sinds 10 mei 2019 bij de politie zijn geregistreerd. Deze aangifte werd verricht door de verweerster (blz. 4 van het inspectieverslag van 14 mei 2019). Krachtens artikel 6 § 2, lid 1 van de Camerawet van 21 maart 2007, licht de verwerkingsverantwoordelijke de politiediensten in van zijn beslissing om een of meerdere bewakingscamera's te plaatsen in een gesloten plaats die toegankelijk is voor het publiek. Deze kennisgeving moet ten laatste gebeuren op de dag voor de bewakingscamera in werking treedt. De Geschillenkamer merkt op dat op de datum van de aangegeven feiten in de klacht (hetzij op 4 september 2018), deze aangifte bij de politiediensten nog niet was gebeurd. Naar aanleiding van de klacht van de klager en de tussenkomst van de inspectiedienst heeft verweerster de situatie geregulariseerd door op 10 mei 2019 haar bewakingscamera's bij de politie aan te geven. Gelet op het feit dat er vóór 25 mei 2018 geen aangifte is gedaan bij de CBPL, ook al was dat het gevolg van een misverstand van de verweerster over de voltooiing van de procedure door toezending van het voormelde formulier van 24 april 2018, kan de verweerster zich niet beroepen op artikel 89 van de Wet van 21 maart 2018 tot wijziging van de wet op het politieambt, om het gebruik van camera's door de politiediensten te regelen, en tot wijziging van de wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van bewakingscamera's, van de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdiensten en van de wet van 2 oktober 2017 tot regeling van de private en bijzondere veiligheid. Dit artikel 89 preciseert dat vanaf 25 mei 2018, de bewakingscamera's geregeld bij wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van bewakingscamera's, geplaatst en gebruikt overeenkomstig de geldende wetgeving op het ogenblik van hun plaatsing, moeten voldoen aan de verplichte aangifte aan de politiediensten ten laatste binnen de twee jaar. De Geschillenkamer is van mening dat verweerster zich hierop niet kan beroepen, aangezien zij haar bewakingscamera's op 25 mei 2018 niet naar behoren bij de CBPL had aangegeven. 9 Beslissing 16/2020 -10 In het licht van de voorgaande redenering concludeert de Geschillenkamer dat artikel 6, § 2, lid 1, van de wet van 21 maart 2007 niet is nageleefd.  Het op grond van artikel 30 van de AVG vereiste register van verwerkingsactiviteiten en het register van beeldverwerkingsactiviteiten van bewakingscamera's (artikel 6.2, lid 4, van de Camerawet) Het op grond van artikel 30 van de AVG vereiste register van verwerkingsactiviteiten Volgens artikel 30 van de AVG moet elke verwerkingsverantwoordelijke (onder voorbehoud van artikel 30.5, dat hieronder wordt besproken) een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd. Artikel 30.1 a) tot g) van de AVG bepaalt dat informatie betreffende de verwerkingen, verricht als verwerkingsverantwoordelijke beschikbaar zal moeten zijn. 5 De Geschillenkamer wijst erop dat het wel degelijk met betrekking tot de gegevensverwerking is dat bepaalde hoeveelheid informatie vereist is. Het Register van de verwerkingsactiviteiten is zoals zijn naam al zegt, een Register van verwerkingen en geen Register dat verwerkte gegevens bevat. Het register moet de volgende inhoud bevatten: - De naam en de contactgegevens van de verwerkingsverantwoordelijke en in voorkomend geval, van de gezamenlijke verwerkingsverantwoordelijke, alsook van de vertegenwoordiger en de functionaris voor gegevensbescherming (art. 30.1.a) van de AVG). - de doeleinde(n) (art. 30.1 b) van de AVG, moeten duidelijk en nauwkeurig worden vermeld ; - een beschrijving van categorieën van betrokkenen en categorieën van verwerkte persoonsgegevens ten aanzien van elke geïdentificeerd doeleinde (art. 30.1.c van de AVG). De Geschillenkamer herhaalt dat de betrokkenen de geïdentificeerde of identificeerbare natuurlijke personen zijn van wie de gegevens worden verwerkt (art. 4

(1)van de AVG). Aangaande de categorieën gegevens, moet het natuurlijk gaan over persoonsgegevens zoals omschreven in artikel 4
(1)van de AVG. In voorkomend geval moet de verwerking van persoonsgegevens als bedoeld in de artikelen 9 en 10 van de AVG worden geïdentificeerd, zonder dat " categorieën " wordt opgevat als een verwijzing naar de gegevens als bedoeld in de artikelen 9 en 10 van de AVG en naar de gegevens die niet onder deze artikelen vallen;6 5 Zie artikel 30.2 van de AVG voor de inhoud van het register dat de verwerker moet bijhouden en de reeds vermelde aanbeveling 06/2017 van de CBPL. 6 Voorbeelden van categorieën, zie de reeds vermelde Aanbeveling 06/2017 van de 10 CBPL. Beslissing 16/2020 -11 - De categorieën ontvangers aan wie de gegevens verstrekt werden of zullen worden verstrekt, ook de ontvangers in landen die geen lid zijn van de Europese Unie of internationale organisaties, ten aanzien van elk geïdentificeerd doeleinde (art. 30.1.
  1. d)van de AVG). Hier worden dus zowel de eventuele interne als externe ontvangers bedoeld (zoals verwerkers of derden) gevestigd in of buiten de Europese Unie; - de doorgifte van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie. In het geval van doorgifte als bedoeld in artikel 49.1. lid 2 van de AVG, moeten de documenten waaruit blijkt dat er voor elk van de vastgestelde doeleinden passende garanties bestaan (artikel 30.1.
  2. e)van de AVG) ook worden vermeld; - indien mogelijk, moeten de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist (art. 30.1.
  3. f)van de AVG). Dit informatie-element komt tegemoet aan het principe van artikel 5.1.
  4. e)van de AVG volgens hetwelk de gegevens niet mogen worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren en niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Onder bewaartermijn moet niet noodzakelijk worden begrepen een termijn in dagen, maanden, jaren, of anders gezegd geen noodzakelijke kwantitatieve beoordeling. De bewaartermijn kan ook betrekking hebben op parameters zoals de tijd die nodig is om het concreet nagestreefde doeleinde te verwezenlijken of om eventueel de daarmee gepaard gaande geschillen te beheren, de uitdoving van een verjaringstermijn,etc.; - Indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32.1 van de AVG (art. 30.1.
  5. g)van de AVG). Artikel 32.1 van de AVG vereist van de verwerkingsverantwoordelijke en de verwerker dat zij alles in het werk stellen om de gepaste technische en organisatorische maatregelen te treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. De Geschillenkamer is van mening dat dit register van verwerkingsactiviteiten een essentieel accountability-instrument is, hetzij het principe van aansprakelijkheid en responsabilisering van de verwerkingsverantwoordelijke (en indirect van de verwerker9) dat onder alle verplichtingen die de AVG oplegt, schuilgaat Om de gegevensbeschermingsregels uit de AVG doeltreffend te kunnen toepassen en de verplichtingen na te komen, opgelegd aan de verwerkingsverantwoordelijke en verwerker, is het immers noodzakelijk 11 Beslissing 16/2020 -12 dat zij een overzicht hebben van alle persoonsgegevensverwerkingen die zij verrichten. 7 Dit Register is dus in de eerste plaats een instrument als hulp voor de verwerkingsverantwoordelijke (en verwerker) om zich in overeenstemming te brengen met de AVG en dit door het visualiseren van de verschillende gegevensverwerkingen die zij verrichten en de hoofdkenmerken ervan. Krachtens de AVG is dit register niet bestemd voor het publiek. Het kan echter zowel van nut zijn voor de verwerkingsverantwoordelijke als in voorkomend geval, voor de functionaris voor gegevensbescherming wanneer zij bevraagd worden door betrokken personen binnen de context van de uitoefening van hun rechten. De raadpleging van het register moet de toezichthoudende autoriteit in staat stellen om een zicht te krijgen op de verrichte verwerkingen en de informatie over die verwerkingen. In uitvoering van artikel 30.4 van de AVG stellen de verwerkingsverantwoordelijke of de verwerker dit register ter beschikking van de toezichthoudende autoriteit op haar verzoek. De gebruikte taal in het Register moet voor de GBA helder en toegankelijk zijn en het Register leesbaar. Het Register van de verwerkingsactiviteiten is een levend instrument, dat evolueert in functie van de ontwikkeling van de activiteiten van de verwerkingsverantwoordelijke. Het moet voortdurend worden bijgewerkt8. De verplichting om een register van verwerkingsactiviteiten bij te houden is een dynamische verplichting, in die zin dat de verwerkingsverantwoordelijke en de verwerker ervoor zorgen dat dit register wordt bijgehouden door nieuwe verwerkingen toe te voegen, maar ook, met betrekking tot reeds opgesomde verwerkingen, bijvoorbeeld nieuwe ontvangers, nieuwe categorieën van verwerkte gegevens, wijzigingen in de opslagperiode of wijzigingen in andere vereiste informatie. Het register moet vanaf de datum van inwerkingtreding van de AVG, d.w.z. vanaf 25 mei 2018, de vereiste informatie bevatten met betrekking tot de op die datum verrichte verwerkingen, ongeacht of deze van lang geleden dateren of van recente datum zijn. 7 Zie ook Commissie voor de Bescherming van de Persoonlijke Levenssfeer, Aanbeveling 06/2017 van 14 juni 2017 betreffende het Register van de verwerkingsactiviteiten (artikel 30 van de AVG), https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/aanbeveling_06_201 7.pdf Sinds 2017, hetzij tijdens de periode tussen het van kracht zijn van de AVG en de inwerkingtreding ervan, publiceerde de Commissie voor de bescherming van de persoonlijke levenssfeer een aanbeveling waarin werd toegelicht hoe het register dient te worden ingevuld. 8 Commissie voor de Bescherming van de Persoonlijke Levenssfeer, Aanbeveling 06/2017 van 14 juni 2017 betreffende het Register van verwerkingsactiviteiten (artikel 30 van de AVG). 12 Beslissing 16/2020 -13 Deze verplichting is van toepassing op de verweerster. Voor zover nodig specificeert de Geschillenkamer dat artikel 30.5 van de AVG niet van toepassing is op de verweerster indien zij op regelmatige basis verwerkingshandelingen verricht, waardoor zij zich op geen enkele wijze kan beroepen op de uitzonderingen van artikel 30.5 van de AVG. Aangezien de voorziene uitzonderingen niet cumulatief zijn, en één ervan bepaalt dat wanneer de gegevensverwerking niet incidenteel is, de verweerster niet in aanmerking komt voor de vrijstelling als bedoeld in artikel 30.5 van de AVG. Artikel 30.5 van de AVG bepaalt immers het volgende "de bedoelde verplichtingen zijn niet van toepassing op ondernemingen of organisaties die minder 250 personen in dienst hebben, tenzij het waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens, als bedoeld in artikel 9, lid 1, of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10 betreft." Wanneer ze vallen onder een van de hierna opgesomde 4 gevallen - die niet cumulatief zijn - moeten de ondernemingen en organisaties, zelfs als zijn er minder dan 250 werknemers, toch een Register houden: - als de verwerking die zij verrichten risico's kunnen bevatten voor de rechten en vrijheden van de betrokken personen9 ; 9 Considerans 75 van de AVG legt dit als volgt uit: Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit de persoonsgegevensverwerking die kan resulteren in ernstige lichamelijke, materiële of immateriële schade, met name: - waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; - wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; - wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of vakbondslidmaatschap blijkt, en bij de verwerking van genetische gegevens of gegevens over gezondheid of seksueel gedrag of strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen; - wanneer persoonlijke aspecten worden geëvalueerd, om met name beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen te analyseren of te voorspellen, teneinde persoonlijke profielen op te stellen of te gebruiken; 13 Beslissing 16/2020 -14 - als de verwerking die zij verrichten niet incidenteel is. Een incidentele verwerking moet worden opgevat als een verwerking die toevallig en incidenteel is, in tegenstelling tot wat gebruikelijk is. Zijn bijvoorbeeld geen incidentele verwerkingen, de verwerkingen die verband houden met klantenbeheer, personeelsbeheer (human resources) of ook leveranciersbeheer. - De verwerking die zij verrichten hebben betrekking op de bijzondere categorieën gegevens van artikel 9 van de AVG (gevoelige gegevens). - De verwerking die zij verrichten hebben betrekking op de gegevens bedoeld onder artikel 10 van de AVG (gerechtelijke gegevens). In een document over de reikwijdte van deze vrijstelling op grond van artikel 30.5. van de AVG zegt de Groep artikel 29 in dezelfde trant : “Therefore although endowed with less than 250 employees, data controllers or processors who find themselves in the position of either carrying out processing likely to result in a risk [not just a high risk] to the right of the data subjects, or processing personal data on a nonoccasional basis, or processing special categories of data under article 9
(1)or data relating to criminal convictions under article 10 are obliged to maintain the record of processing activities”. ( …) “For example, a small organization is likely to regularly process data regarding its employees. As a result, such processing cannot be considered “occasional” and must therefore be included in the record of processing”. 10 Vertaling "Hoewel er minder dan 250 werknemers zijn , bevinden de verwerkingsverantwoordelijken of verwerkers zich in de situatie dat zij hetzij een verwerking uitvoeren die een risico (niet alleen een groot risico) voor de rechten van de betrokkenen kan inhouden, hetzij op niet-incidentele - wanneer persoonsgegevens van kwetsbare natuurlijke personen, met name van kinderen, worden verwerkt; of wanneer de verwerking een grote hoeveelheid persoonsgegevens betreft en gevolgen heeft voor een groot aantal betrokkenen. 10 Working Party 29 Position paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30
(5), repris à son compte par le Comité européen de la protection des données (EDPB) : https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf . Voy. également: Dr W. Kotschy, Comment on Article 30 (Record of Processing Activities), in C. Kuner, L. A. Bygrave and C. Docksey, The EU General Data Protection Regulation (GDPR): a commentary, Oxford University Press, 2020, p. 623. 14 Beslissing 16/2020 -15 basis persoonsgegevens verwerken, hetzij bijzondere categorieën gegevens als bedoeld in artikel 9
(1)of gegevens in verband met strafrechtelijke veroordelingen als bedoeld in artikel 10 verwerken, en derhalve zijn zij verplicht een register van verwerkingsactiviteiten bij te houden" . ( …) "Bijvoorbeeld, een kleine organisatie zal waarschijnlijk regelmatig gegevens van haar werknemers verwerken. Daarom kan een dergelijke verwerking niet als "incidenteel" worden beschouwd en moet deze daarom worden opgenomen in het register van verwerkingsactiviteiten". In het onderhavige geval moet het door artikel 30 van de AVG vereiste register van de verwerkingsactiviteiten van verweerster informatie bevatten over de verwerkingsactiviteiten van de beelden van de bewakingscamera's, die persoonsgegevens zijn in de zin van artikel 4.1 van de AVG. Het register van de beeldverwerkingsactiviteiten van de bewakingscamera's (artikel 6.2, lid 4, van de Camerawet) Krachtens artikel
  1. 2 lid 4 van de Camerawet, houdt de verwerkingsverantwoordelijke een register bij met de beeldverwerkingsactiviteten van de bewakingcamera's die onder zijn verantwoordelijkheid in werking zijn. Dit register wordt op schrift gesteld, al dan niet in elektronische vorm. Op verzoek stelt de verwerkingsverantwoordelijke dit register ter beschikking van de Gegevensbeschermingsautoriteit en de politiediensten. De inhoud van dit register wordt omschreven in het koninklijk besluit van 8 mei 2018 betreffende de aangiften van de plaatsing en het gebruik van bewakingscamera's en betreffende het register van de beeldverwerkingsactiviteiten van bewakingscamera's
  2. Artikel 7 van dit Koninklijk Besluit bepaalt de inhoud van het register van beeldverwerkingsactiviteiten van bewakingscamera's onder verwijzing naar artikel 30.
  3. van de AVG als hierboven 12 beschreven. Deze inhoud wordt immers als volgt bepaald: 1° de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming; 11 B.S., 23 mei 2018 12Zie in dit verband het advies 24/2018 van 21 maart 2018 van de Commissie voor de bescherming van de persoonlijke levenssfeer (CBPL) Ontwerp van Koninklijk Besluit betreffende aangiften van de plaatsing en gebruik van bewakingscamera’s en betreffende het register van beeldverwerkingsactiviteiten van bewakingscamera’s : https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_24_2018_0.p df 15 Beslissing 16/2020 -16 2° de verwerkingsdoeleinden; 3° een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; 4° de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; 5° indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; 6° de beoogde categorieën van termijnen gegevens, voor het het bijzonder in wissen van de de verschillende bewaartermijn van de gegevens, indien de beelden worden opgenomen; 7° een algemene beveiligingsmaatregelen algemene beschrijving bedoeld verordening in de artikel technische 32, die worden door personen en en paragraaf gegevensbescherming, beveiligingsmaatregelen niet-gemachtigde van organisatorische 1, van de waaronder de genomen om de toegang te verhinderen deze worden genomen in het die kader van de mededeling van gegevens aan derden. De Geschillenkamer herinnert er hier aan dat het door artikel 30 van de AVG vereiste register in elk geval de informatie moet bevatten met betrekking tot de beeldverwerkingsactiviteiten die zijn opgesomd in artikel 7 van het Koninklijk Besluit tot uitvoering van de Camerawet (dat, zoals reeds vermeld, rechtstreeks is geïnspireerd op de elementen opgesomd in artikel 30.
  4. van de AVG)
  5. In haar advies 24/2018 betreffende het voorontwerp van dit koninklijk uitvoeringsbesluit van de Camerawet heeft de Commissie14, erop gewezen "dat de inhoud van het register dat door een verantwoordelijke voor de verwerking dient te worden bijgehouden (…), in het algemeen door artikel 30 van de AVG wordt bepaald en dat de in het voorontwerp voorziene delegatie aan de Koning om deze inhoud nader te bepalen, dus best wordt beperkt tot specifieke aspecten die eigen zijn aan gegevensverwerkingen door middel van bewakingscamera’s". Artikel 8 van datzelfde koninklijk besluit voegt daar bovendien aan toe dat naast de informatie bedoeld in artikel 7 het register met de beeldverwerkingsactiviteiten eveneens bevat: 1° de wettelijke basis van de verwerking; 13 Zie het reeds vermelde advies 24/2018 van 21 maart 2018 van de Commissie voor de bescherming van de persoonlijke levenssfeer. 14 Idem. 16 Beslissing 16/2020 -17 2° de vermelding van het type plaats; 3° de gaat technische om beschrijving vaste van de bewakingscamera's, bewakingscamera's en, indien het hun locatie, in voorkomend geval of mobiele bewakingscamera's, de aangegeven op een plan; 4° indien het beschrijving van gaat de om zones die tijdelijke door deze bewakingscamera's worden bewaakt en de gebruiksperiodes. 5° de informatiewijze met betrekking tot de verwerking; 6° de plaats voor het verwerken van de beelden; 7° het feit dat het bekijken in real time al dan niet wordt georganiseerd en in voorkomend geval, de manier waarop dat wordt georganiseerd. Het is echter niet nodig dat de verweerster twee afzonderlijke registers opstelt. Er kan één enkel register worden ingesteld, op voorwaarde dat dit, met betrekking tot de daarin vermelde verwerkingsactiviteiten, alle verplichte informatie bevat - met inbegrip van de informatie die specifiek vereist is op grond van artikel 8 van het Koninklijk Besluit van 8 mei 2018 tot uitvoering van de Camerawet met betrekking tot de beeldverwerkingsactiviteiten. De bevindingen van het inspectieverslag en de hoorzitting van 13 maart 2020 Het inspectieverslag van 14 mei 2019 concludeert dat het register van de verwerkingsactiviteiten, die de verweerster op verzoek van de Inspecteur-generaal heeft voorgelegd op 4 april 2019, slechts één verwerking bevat op datum van 27/12/
  6. De verwerking van camerabewaking op een gesloten en voor het publiek toegankelijke plaats is niet opgenomen in de register. In haar e-mail van 12 april 2019 aan de inspectiedienst schreef de verweerster in dit verband "U vindt hierbij het register, het is praktisch leeg". Niettegenstaande de vaststelling van de Inspecteur-generaal in zijn verslag van 14 mei 2019 stelt verweerster in haar conclusies van 30 juli 2019 dat zij de Inspecteur-generaal een register van verwerkingsactiviteiten heeft verstrekt dat is opgesteld op basis van het door de GBA vastgestelde model. De Geschillenkamer stelt vast dat het verstrekte document inderdaad gebaseerd is op het modelregister van de verwerkingsactiviteiten, vereist krachtens artikel 30 van de AVG en door de GBA ter beschikking gesteld op haar website.15 15 De Autoriteit heeft inderdaad op haar website een model gepubliceerd - niet verplicht) - van een register van de verwerkingsactiviteiten https://www.gegevensbeschermingsautoriteit.be/model-voor-een-register-van-de-verwerkingsactiviteiten 17 Beslissing 16/2020 -18 Na ondervraagd te zijn over het register van de verwerkingsactiviteiten - zowel het register vereist door artikel 30 van de AVG als deze vereist krachtens artikel
  8. 4de lid van de Camerawet tijdens de hoorzitting van 13 mei 2020, verwees de verweerster naar haar conclusies en het hierboven reeds vermeld document dat werd verstrekt aan de Inspecteur-generaal op 13 april 2019 en dat tot stand kwam met behulp van het model dat de GBA hiertoe ter beschikking stelt. De Geschillenkamer stelt vast dat de verweerster niet beschikt over een register van de verwerkingsactiviteiten als bedoeld in artikel 30 van de AVG en artikel 6 §2, lid 4 van de Camera alsook een zeker onbegrip over wat dit register moet bevatten. In dat verband is geen enkele vermelding ingevuld als vereist krachtens artikel 30.1 van de AVG noch krachtens de artikelen 7 en 8 van het koninklijk besluit van 8 mei 2018 betreffende de aangiften van de plaatsing en het gebruik van bewakingscamera's en betreffende het register van de beeldverwerkingsactiviteiten van bewakingscamera's. Geen enkele andere gegevensverwerking die de verweerster heeft verricht, werd geregistreerd (zoals de gegevens van haar werknemers bijvoorbeeld). De Geschillenkamer concludeert uit het voorgaande dat de verweerster niet beschikt over een volledig register van de verwerkingsactiviteiten die zij verricht - met inbegrip van de beeldverwerkingsactiviteiten - wat in strijd is met de artikelen 30 van de AVG en artikel
  10. 4de lid van de Camerawet. VIII. Over de corrigerende maatregelen en sancties Krachtens

WOG, heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 18 Beslissing 16/2020 -19 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. Wat betreft het achterwege blijven van een aangifte van bewakingscamera's De naleving van de transparantieverplichtingen is van essentieel belang en vormt, indien hieraan niet wordt voldaan, een ernstige inbreuk, met name wanneer het erop gericht is de betrokkenen te informeren over hun rechten. In dit geval, wat betreft het ontbreken van een aangifte van bewakingscamera's die bedoeld zijn om de politiediensten op de hoogte te brengen van hun installatie, merkt de Geschillenkamer op dat verweerster in tempore non suspecto, dat wil zeggen in april 2018, de aangifteprocedure heeft ingeleid bij de Commissie voor de bescherming van de persoonlijke levenssfeer. Zij merkt voorts op dat verweerster, zodra de inspecteur-generaal in april 2019 tussenbeide kwam, de camera's aan de politiediensten heeft gemeld (10 mei 2019) en aldus stappen heeft ondernomen om aan haar verplichting ter zake te voldoen. Wat betreft het ontbreken van een register van de verwerkingsactiviteiten Over het houden van een register van de verwerkingsactiviteiten (artikel 30 van de AVG en artikel 6.2, 4de lid van de Camerawet), merkt de Geschillenkamer op dat dit essentieel accountability-instrument dat voortvloeit uit de de toepassing van de AVG, ontbreekt bij de verweerster. Het ontbreken van een register vormt sinds 25 mei 2018 een ernstige inbreuk, aangezien deze verplichting, zoals hierboven uiteengezet, de bedoeling heeft om de verwerkingsverantwoordelijke bewust te maken van alle verwerkingen die hij verricht en zijn verplichtingen die voortvloeien uit de AVG. Wat het ontbreken van een aangifte betreft, als bedoeld in de voorgaande paragraaf, merkt de Geschillenkamer echter op dat de verweerster voornemens is samen te werken met de Gegevensbeschermingsautoriteit en dat zij zich aan het einde van de hoorzitting van 13 maart 2020 ertoe heeft verbonden het genoemde register op te stellen en zich daarnaar te voegen. De Geschillenkamer merkt op dat de verweerster, zoals vereist in artikel 31 van de AVG, algemeen en vanaf het begin van de inspectie en gedurende de gehele duur van de procedure voor de Geschillenkamer met de Autoriteit heeft samengewerkt Concluderend, in het licht van alle hierboven uiteengezette elementen die eigen zijn aan deze zaak, is de Geschillenkamer van mening dat de vastgestelde feiten en de niet-naleving van artikel 6. 2. 1ste lid van de Camerawet (geen aangifte) en van de artikelen 30.1 van de AVG en 6. 2, 4de lid van de Camerawet van 21 juli 2007 (geen register van de verwerkingsactiviteiten) het opleggen van een berisping (

§ 1

, 5°, 19 van de WOG) aan de Beslissing 16/2020 -20 verweerster rechtvaardigen als een doeltreffende, evenredige en afschrikkende sanctie, zoals bepaald in artikel 83 van de AVG, en ook - met het oog op de naleving op korte termijn - van een bevel om een register van alle verwerkingsactiviteiten op te stellen (artikel 30.1 van de AVG) - met inbegrip van haar beeldverwerkingsactiviteiten (art. 6 2, 4de lid van de Camerawet) - die zij verricht en dit binnen een termijn van 3 maanden ter rekenen vanaf de kennisgeving van deze beslissing (

§ 9WOG).

In dit verband herinnert de Geschillenkamer aan de toepassing van de artikelen 30.4 van de AVG en

  2. van de Camerawet, waardoor dit register aan de GBA moet kunnen worden voorgelegd zodra zij daarom verzoekt. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces en de beslissingen van de Geschillenkamer, zal dit besluit worden gepubliceerd op de website van de Gegevensbeschermingsautoriteit, waarbij de directe identificatiegegevens van de genoemde partijen en personen zullen worden verwijderd. OM DIE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, rekening houdend met de inbreuken op artikel
  4. 1ste lid van de Camerawet (geen aangifte) en van de artikelen 30.1 van de AVG en
  6. 4de lid van de Camerawet van 21 juli 2007 (geen register van de verwerkingsactiviteiten), na beraadslaging, om de verweerster een berisping op te leggen op grond van

§ 1, 5° WOG.

Deze berisping is vergezeld van: - een bevel om een register van alle verwerkingsactiviteiten op te stellen - met inbegrip van haar beeldverwerkingsactiviteiten - die zij verricht binnen een termijn van 3 maanden te rekenen vanaf de kennisgeving van deze beslissing (

§ WOG), - en een bevel om de Geschillenkamer in te lichten over het gevolg dat werd gegeven aan het bevel om een register op te stellen (hierboven) binnen dezelfde termijn. Tegen deze beslissing kan op grond van art. 108, §1 WOG, beroep worden aangetekend binnen een termijn van dertig dagen , vanaf de betekening van de kennisgeving, bij het Marktenhof, met de Gegevensbeschermingsautoriteit als verweerster. (get.) Hielke Hijmans Voorzitter van de Geschillenkamer 20

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.