← België

Beslissing ten gronde nr. 162/2022

1/23 Geschillenkamer Beslissing ten gronde 162/2022 van 16 november 2022 Dossiernummer : DOS-2021-05803 Betreft : Onderzoek inzake het delen van logiesgegevens via het platform Airbnb De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Frank De Smet en Jelle Stassijns, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: Toerisme Vlaanderen, met maatschappelijke zetel te 1000 Brussel, Grasmarkt 61, met ondernemingsnummer 0225.944.375, hierna “de verweerder”. Beslissing ten gronde 162/2022 - 2/23 Feiten en procedure 1. Op 14 januari 2022 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna: “GBA”) om de Inspectiedienst te vatten op grond van artikel 63, 1° WOG omwille van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens. Het voorwerp van de procedure betreft de ruime wijze waarop persoonsgegevens van uitbaters van logies via het platform van Airbnb in het kader van “steekproeven” werden opgevraagd door de verweerder bij verschillende tussenpersonen. Deze praktijk duurde voort na een vonnis van de rechtbank van eerste aanleg waarin werd geoordeeld dat deze steekproeven slechts in zeer limitatieve gevallen kunnen plaatsvinden. Deze procedure heeft ook betrekking op het feit dat hierbij geen advies van de functionaris voor gegevensbescherming werd gevraagd. 2. Op 27 januari 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de beslissing van het Directiecomité en besluit dat er sprake is van : a. een inbreuk op artikel 5, lid 1,

  1. a)en
  2. c)en lid 2 van de AVG, artikel 6, lid 1 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 en lid 2 van de AVG; b. een inbreuk op artikel 12, lid 1 en lid 6 van de AVG, artikel 13, lid 1 en lid 2 van de AVG en artikel 14, lid 1 en lid 2 van de AVG, artikel 5, lid 2 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG; en c. een inbreuk op artikel 38, lid 1 en lid 3 van de AVG. d. een inbreuk op artikel 4, 11) van de AVG, artikel 5, lid 1,
  3. a)en lid 2 van de AVG, artikel 6, lid 1,
  4. a)van de AVG en artikel 7, lid 1 en 3 van de AVG voor het gebruik van niet strikt noodzakelijke cookies. 3. Op 4 februari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 4. Op 4 februari 2022 wordt de verweerder per e-mail in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen binnen en buiten het voorwerp van de beslissing van het Directiecomité werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder vastgelegd op 18 maart 2022. Beslissing ten gronde 162/2022 - 3/23 5. Op 8 februari 2022 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 6. Op 25 februari 2022 vraagt de verweerder een kopie van het dossier (artikel 95, §2, 3° WOG), dewelke hem werd overgemaakt op 25 februari 2022. 7. Op 17 maart 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder voor wat betreft de vaststellingen met betrekking tot het voorwerp van de beslissing van het Directiecomité. Deze conclusie bevat eveneens de reactie van de verweerder omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. De verweerder stelt, ten eerste, dat de verwerking in zijnen hoofde een rechtmatige gegevensverwerking uitmaakt. Ten tweede betoogt de verweerder dat de gegevensverwerking in kwestie een correcte en toegelaten gegevensverwerking uitmaakt, waarbij het grondbeginsel dataminimalisatie uit artikel 5, lid 1,
  5. c)AVG wordt gerespecteerd en dat hij dat ook kan aantonen. Ten derde voert de verweerder aan dat zijn privacyverklaring transparant en begrijpelijk is, dat die juiste en volledige informatie bevat, en dat hij dit ook kan aantonen. Ten vierde stelt de verweerder dat hij er niet toe gehouden was om voorafgaand advies te vragen aan de functionaris voor gegevensbescherming met betrekking tot het Memorandum of Understanding. Tot slot voert de verweerder aan dat op zijn website enkel strikt noodzakelijke of functionele cookies werkzaam zijn waarvoor er geen toestemming vereist is. Er waren volgens hem geen niet-noodzakelijke cookies werkzaam. Bijgevolg was het verschaffen van (transparante) informatie over dergelijke cookies volgens verweerder niet aan de orde. Evenmin betreft dit een wettelijke verplichting, aldus de verweerder. 8. Op 14 september 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 21 oktober 2022. 9. Op 21 oktober 2022 wordt de verschenen partij gehoord door de Geschillenkamer. Tijdens de hoorzitting heeft de verweerder toegelicht welke stappen zij reeds genomen heeft op vlak van gegevensbescherming sinds de indiening van de klacht en het Inspectieonderzoek. Zo zou de Geschillenkamer tijdens de hoorzitting kunnen vaststellen dat zo goed als alle grieven uit de klacht en werkpunten uit het Inspectieverslag door de verweerder werden aangepakt. 10. Op 25 oktober 2022 wordt het proces-verbaal van de hoorzitting aan de partijen overgemaakt. 11. Op 29 oktober 2022 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. Beslissing ten gronde 162/2022 - 4/23 Motivering 12. De Geschillenkamer beoordeelt hierna elk van de vaststellingen opgenomen in het Inspectieverslag in het licht van de daaromtrent door de verweerder aangevoerde middelen. I.1. Artikel 5, lid 1,
  6. a)en
  7. c)en lid 2 AVG, artikel 6, lid 1 AVG, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG. I.1.1. 13. Artikel 5, lid 1
  8. a)en
  9. c)en artikel 6, lid 1 AVG De Geschillenkamer herinnert eraan dat het uitgangspunt van artikel 5, lid 1,
  10. a)AVG is dat persoonsgegevens alleen op rechtmatige wijze mogen worden verwerkt. Dit betekent dat een rechtsgrond voor de verwerking van persoonsgegevens als bedoeld in artikel 6, lid 1 van de AVG aanwezig moet zijn. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen worden verwerkt op grond van één van de in het artikel opgesomde rechtsgronden. 14. Tijdens het Inspectieonderzoek licht de verweerder toe dat hij zich op artikel 6, lid 1
  11. c)van de AVG beroept, voor wat betreft het verzoek aan Airbnb om exploitant- en logiesgegevens aan de verweerder te bezorgen. De Inspectiedienst stelt vast dat de verweerder uitgaat van een te ruime interpretatie van zijn wettelijke verplichting en dat hij niet aantoont waarom het verwerken van persoonsgegevens in het kader van een steekproef noodzakelijk is. Op basis van deze elementen stelt de Inspectiedienst een inbreuk van artikel 5, lid 1,
  12. a)en
  13. c)en artikel 6, lid 1 AVG vast. 15. De Geschillenkamer herinnert eraan dat, om zich rechtmatig te kunnen beroepen op de rechtsgrondslag uit artikel 6, lid 1,
  14. c)AVG, persoonsgegevens enkel verwerkt mogen worden als dit noodzakelijk is voor de vervulling van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. De verwerking moet in deze gevallen altijd een grondslag hebben in het recht van de Europese Unie of dat van de betreffende lidstaat, waarin ook het doel van de verwerking moet staan. Er moet bijgevolg worden nagegaan of in dit geval aan de in dat artikel gestelde voorwaarden is voldaan. 16. Overeenkomstig artikel 6.3 AVG, gelezen in samenhang met artikel 22 van de Grondwet en artikel 7 en 8 van het Handvest, dient een wetgevende norm de essentiële kenmerken van een gegevensverwerking vast te leggen die noodzakelijk is voor de vervulling van een wettelijke verplichting, ongeacht of die in het recht van de Europese Unie dan wel in het recht van de lidstaten is vervat.1 In voormelde bepalingen wordt hierbij benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar is. De AVG schrijft echter niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist 1 Zie o.a. beslissing 149/2022 dd. 18 oktober 2022 en 48/2022 dd. 4 april 2022. Beslissing ten gronde 162/2022 - 5/23 is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. 17. De Geschillenkamer zal de voorwaarden van wettelijke basis en noodzakelijkheid hieronder beoordelen. Een duidelijke, precieze en voorspelbare rechtsgrondslag 18. Volgens Overweging 41 van de AVG moet deze rechtsgrondslag of wetgevingsmaatregel duidelijk en nauwkeurig zijn en moet de toepassing ervan voor de rechtzoekenden voorspelbaar zijn, overeenkomstig de jurisprudentie van het Hof van Justitie van de Europese Unie en het Europees Hof voor de Rechten van de Mens. 19. Overweging 41 AVG preciseert in dit verband: “Wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie („Hof van Justitie”) en het Europees Hof voor de Rechten van de Mens”. Overeenkomstig artikel 22 van de Belgische Grondwet dienen de wezenlijke elementen van de verwerking bovendien door middel van een formele wettelijke norm (wet, decreet of ordonnantie) te worden vastgesteld.2 20. De Geschillenkamer verwijst in dit verband meer bepaald naar het arrest Privacy International3 van het Hof van Justitie d.d. 6 oktober 2020, waarin het Hof stelt dat de betrokken wetgeving duidelijke en precieze regels dient te bevatten “over de reikwijdte en de toepassing van de betrokken maatregel, zodat degenen van wie de persoonsgegevens aan de orde zijn, over voldoende waarborgen beschikken dat die gegevens doeltreffend worden beschermd tegen het risico van misbruik”. Het Hof voegt hieraan toe: “Die regeling moet wettelijk verbindend zijn naar intern recht en in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. (...) Deze overwegingen gelden in het bijzonder 2 “Ieder heeft recht op eerbiediging van zijn privé-leven en zijn gezinsleven, behoudens in de gevallen en onder de voorwaarden door de wet bepaald. De wet, het decreet of de in artikel 134 bedoelde regel waarborgen de bescherming van dat recht.” 3 HvJ, C-623/17, 6 oktober 2020, Privacy International t. Secretary of State for Foreign and Commonwealth Affairs e.a. Beslissing ten gronde 162/2022 - 6/23 wanneer het gaat om de bescherming van een bijzondere categorie persoonsgegevens, te weten gevoelige gegevens” 21. De verweerder heeft onder andere als missie het verhogen van de aantrekkelijkheid van Vlaanderen als bestemming.4 Om deze missie waar te maken legt artikel 5 van het decreet tot oprichting van het intern verzelfstandigd agentschap met rechtspersoonlijkheid “Toerisme Vlaanderen”5 taken op aan de verweerder die hij moet vervullen, waaronder taken inzake integrale kwaliteitszorg. Hieronder wordt begrepen: het instaan voor de uitbouw en de bevordering van de integrale kwaliteitszorg in het kader van de bevoegdheden die zijn toegekend door de vigerende en toekomstige wettelijke en reglementaire bepalingen inzake de volgende materies: (
  15. a)toeristische infrastructuur, subsidies, participaties en andere initiatieven en (
  16. b)informatieverstrekking, dienstverlening, vorming en labeling. In uitvoering van het bovenstaande bepaalt het decreet betreffende het toeristische logies van 5 februari 2016 (hierna: Logiesdecreet) 6 (en de uitvoeringsbesluiten ervan) verschillende voorwaarden waaraan elk toeristisch logies in het Vlaams Gewest moet voldoen opdat het erkend kan worden als toeristisch logies en vervolge aldus uitgebaat mag worden. De verweerder is belast met de uitvoering van dit Logiesdecreet, waaronder de erkenning als toeristisch logies en de controle op de naleving van deze erkenningsvoorwaarden. 22. Om erkend te worden als toeristisch logies dient het logies dus te voldoen aan de voorwaarden zoals bepaald in artikel 6 van het Logiesdecreet. Het onderzoek naar het voldoen van de erkenningsvoorwaarden wordt geregeld in hoofdstuk 5 van het Logiesdecreet. Artikel 10 van het Logiesdecreet schrijft voor dat de Vlaamse Regering personen kan aanwijzen die gemachtigd zijn om toezicht en controle uit te oefenen op de naleving van de bepalingen van het Logiesdecreet (i.e. inspecteurs bij Toerisme Vlaanderen die door de Vlaamse Regering kunnen worden aangewezen). 23. In het kader van deze toezichts- en controlebevoegdheid luidt artikel 11 van het Logiesdecreet als volgt: “Art. 11. De tussenpersonen, vermeld in artikel 2, 5°, moeten voor de toeristische logiezen die gelegen zijn in het Vlaamse Gewest waarvoor ze bemiddelen of promotie maken, op schriftelijk verzoek, de gegevens van de exploitant en de adresgegevens van de toeristische logiezen meedelen aan de agenten van de federale en lokale politie en aan de gemachtigde personen, vermeld in artikel 10. Deze gegevens kunnen worden opgevraagd in het kader van een steekproef, bij twijfel op de toeristische logiezen voldoen aan de 4 Artikel 4 van het decreet tot oprichting van het intern verzelfstandigd agentschap met rechtspersoonlijkheid “Toerisme Vlaanderen”, BS 29 april 2004 (hierna: Oprichtingsdecreet). 5 BS 29 april 2004. 6 BS 8 maart 2016. Beslissing ten gronde 162/2022 - 7/23 voorwaarden van dit decreet of zijn uitvoeringsbesluiten, of in het kader van een klacht over een toeristisch logies.” 24. Artikel 11 van het Logiesdecreet schrijft dus voor dat tussenpersonen 7, zoals in casu Airbnb, de gegevens van de exploitant en de adresgegevens van de toeristische logiezen moeten meedelen aan de door de Vlaamse Regering gemachtigde ambtenaren wanneer zij daartoe verzocht worden. Gelet op het bovenstaande voert de verweerder aan dat hij, via de voormelde gemachtigde ambtenaren, gegevens doelgericht kan opvragen bij een tussenpersoon zoals Airbnb in minstens drie gevallen: - in het kader van een duidelijk afgelijnde steekproef; - bij twijfel of de toeristische logiezen voldoen aan de voorwaarden van het Logiesdecreet en zijn uitvoeringsbesluiten; 25. in het kader van een klacht over toeristische logiezen. In tegenstelling tot de vaststelling van de Inspectiedienst meent de verweerder dat hij artikel 11 niet te ruim interpreteert. De verweerder verwijst hieromtrent naar de parlementaire voorbereiding van het Logiesdecreet die hieromtrent stelt: “ [h]et schriftelijk verzoek waarvan sprake dient met redelijkheid en proportionaliteit te worden gehanteerd. De gegevens dienen doelgericht te worden opgevraagd, het is te zeggen in het kader van een duidelijk afgebakende steekproef (bijvoorbeeld een of meer logies in dezelfde stad, gemeente of regio), bij twijfel of deze toeristische logiezen voldoen aan de voorwaarden van dit decreet en zijn uitvoeringsbesluiten of in het kader van een klacht over deze toeristische logiezen.” 26. Dit standpunt is volgens de verweerder eveneens in overeenstemming met het verslag namens de Commissie voor Buitenlands Beleid, Europese aangelegenheden, Internationale Samenwerking, Toerisme en Onroerend Erfgoed dat luidt als volgt: “[…] Elk toeristisch logies kan te allen tijde gecontroleerd worden op de basisnormen. Controle gebeurt op vraag van een logiesuitbater (met mogelijkheid tot erkenning) of op initiatief van de overheid (steekproefgewijs, bij twijfel of bij klacht)[…]”. In een advies heeft de Commissie voor de Bescherming van de Persoonlijke Levenssfeer (CBPL) hetzelfde standpunt ingenomen: “De gegevens dienen doelgericht te worden opgevraagd, in het kader van een duidelijk afgebakende steekproef, bij twijfel of bij een klacht”. 7 Artikel 2, 5° Logiesdecreet: “5° tussenpersoon: elke natuurlijke of rechtspersoon die op eender welke wijze tegen betaling bemiddelt bij het aanbieden van een toeristisch logies op de toeristische markt, promotie makt voor een toeristisch logies of diensten aanbiedt via dewelke exploitanten en toeristen rechtstreeks met elkaar in contact kunnen treden.”. Beslissing ten gronde 162/2022 - 8/23 27. De Inspectiedienst stelt echter dat dit een onjuiste lezing is van artikel 11 Logiesdecreet en verwijst hieromtrent naar een vonnis van de rechtbank van eerste aanleg te Brussel 8. In dit vonnis concludeerde de rechtbank er slechts twee gevallen zijn waarin de gegevens kunnen worden opgevraagd aan de tussenpersonen:

(1)in het geval van twijfel of de logies voldoen aan de voorwaarden van het decreet, en
(2)in het geval van een klacht over een toeristisch logies. De steekproef is volgens de rechtbank geen inhoudelijke situatie aan de voorwaarden waarvan al dan niet voldaan kan zijn, maar louter een bepaalde methode of werkwijze die door de decreetgever wordt voorgeschreven om in één van beide hypotheses te worden gehanteerd bij het opvragen van informatie.
  1. Ingevolge dit vonnis van de rechtbank van eerste aanleg te Brussel, heeft de verweerder met Airbnb een overeenkomst (“Memorandum of Understanding”, hierna: “MoU”) afgesloten waarbij zij op basis van vrijwilligheid en in goede wil tot een werkbare toepassing van deze bepaling komt. Het MoU regelt een aantal modaliteiten over het bezorgen van exploitant- en logiesgegevens in het kader van een verzoek door de verweerder op grond van artikel 11 van het Logiesdecreet. Zo worden onder meer de gegevens die de verweerder zal opvragen concreet benoemd, alsook het aantal aanvragen en de geografische afbakening van een verzoek worden nader bepaald.
  2. De Geschillenkamer stelt vast dat de tekst van artikel 11 Logiesdecreet op zo’n manier is opgesteld dat er onduidelijkheid kan bestaan over de gevallen waarin de persoonsgegevens door de verweerder kunnen worden opgevraagd aan tussenpersonen. Dit wordt geïllustreerd door het feit dat de verweerder een andere interpretatie geeft aan artikel 11 van het Logiesdecreet dan de rechtbank van eerste aanleg te Brussel in het hierboven vermeld vonnis. Om de bedoeling van de decreetgever te achterhalen, verwijst de Geschillenkamer naar de voorbereidende werken van het Logiesdecreet.
  3. De voorbereidende werken van het Logiesdecreet stellen hieromtrent dat in de praktijk wordt vastgesteld dat steeds meer tussenpersonen zoals toeristische verhuurkantoren en internetplatformen, zoals Airbnb, toeristische logiezen aanbieden op de markt zonder vermelding van de concrete (adres)gegevens van het toeristische logies of contactgegevens van de uitbater ervan. Dit bemoeilijkt (of verhindert zelfs) het lokaliseren of controleren van deze logiezen, zelfs in het geval van klachten. Artikel 11 van het Logiesdecreet tracht tegemoet te komen aan deze problematiek en biedt de bevoegde personen die instaan voor het toezicht en de controle op het logiesdecreet (naast de hierboven genoemde gemachtigde ambtenaren, ook de agenten van de federale en lokale politie) de mogelijkheid om via een schriftelijk verzoek de exploitantgegevens en de adresgegevens van toeristische logiezen die gelegen zijn in het Vlaamse Gewest op te vragen bij deze tussenpersonen zoals Airbnb. Het schriftelijke verzoek waarvan sprake dient 8 Rechtbank eerste aanleg te Brussel, zaak A.R. 2018/3527/A. Beslissing ten gronde 162/2022 - 9/23 met redelijkheid en proportionaliteit te worden gehanteerd. De gegevens dienen doelgericht te worden opgevraagd, het is te zeggen, in het kader van een afgebakende steekproef (bijvoorbeeld een of meer logies in dezelfde stad, gemeente of regio), bij twijfel of deze toeristische logiezen voldoen aan de voorwaarden van het logiesdecreet en zijn uitvoeringsbesluiten of in het kader van een klacht over deze toeristische logiezen. 9
  4. Gelet op het bovenstaande concludeert de Geschillenkamer dat de intentie van de decreetgever was om minstens drie onderscheiden gevallen te voorzien waarin de persoonsgegevens doelgericht konden worden opgevraagd bij een tussenpersoon:
  5. - in het kader van een duidelijk afgebakende steekproef; - bij twijfel of deze logies voldoen aan de voorwaarden van het logiesdecreet; - in het kader van een klacht over de toeristische logies. Deze interpretatie voldoet ook aan de vereiste van de voorzienbaarheid zoals omschreven in artikel 6.3 AVG. Zoals reeds uiteengezet bepaalt artikel 6 van het Logiesdecreet de erkenningsvoorwaarden van een toeristisch logies. Deze voorwaarden hebben onder andere betrekking op de veiligheid van de gebruikers van de logies, zoals brandveiligheid. Van zodra niet meer aan deze voorwaarden voldaan is, kan overeenkomstig artikel 12 van het Logiesdecreet een administratieve boete opgelegd worden. Daarnaast kan ook bevolen worden tot stopzetting van de exploitatie van de toeristisch logies (artikel van het decreet). Op grond van het bovenstaande is het bijgevolg voorspelbaar voor de betrokkenen dat de naleving van de inschrijvingsvoorwaarden gecontroleerd moeten kunnen worden door de gemachtigde ambtenaren, zowel bij de erkenning als erna.
  6. De Geschillenkamer stelt vast dat deze interpretatie ook de verweerder toelaat om proactief op te treden in het kader van zijn handhavingsactiviteit door duidelijk afgebakende steekproeven. Indien de verweerder enkel zou kunnen optreden in het geval van een klacht of twijfel, zou de verweerder niet beschikken over de nodige instrumenten om zijn decretale controleplicht behoorlijk uit te voeren. Steekproeven zijn dus wel degelijk noodzakelijk voor verweerder om een degelijk handhavingsbeleid te kunnen voeren en dus om te voldoen aan zijn wettelijke verplichting.
  7. Voor zoveel als nodig, en ook zoals aangehaald door de verweerder, wijst de Geschillenkamer erop dat op 9 februari 2021 het Wijzigingsdecreet10 werd aangenomen dat bovenvermeld artikel 11 van het Logiesdecreet wijzigt als volgt: 9 Voorstel van decreet houdende het toeristische logies, Vl. Parl. 2015-16 499/1 p.
  8. 10 Voluit: decreet tot wijziging van het decreet van 5 februari 2016 houdende het toeristische logies en tot opheffing van het decreet van 18 juli 2003 betreffende de verblijven en verenigingen die een wekr uitoefenen in het kader van Toerisme voor Allen, Parl.St. Vl. Parl., 2021-22, nr. 1028/6, p.
  9. Beslissing ten gronde 162/2022 - 10/23 “Art.
  10. De tussenpersonen delen voor de toeristische logiezen in het Vlaamse Gewest waarvoor ze bemiddelen of promotie maken, op schriftelijk verzoek, de gegevens van de exploitant en de adresgegevens van de toeristische logiezen mee aan de agenten van de federale en lokale politie en aan de gemachtigde personen, vermeld in artikel
  11. De gegevens, vermeld in het eerste lid, kunnen worden opgevraagd in de volgende gevallen: 1° in het kader van een steekproef om na te gaan of de toeristische logiezen waarvoor de tussenpersoon bemiddelt of promotie maakt, aangemeld zijn bij Toerisme Vlaanderen. Bij een steekproef worden maximaal de gegevens opgevraagd van alle exploitanten en toeristische logiezen in eenzelfde stad of gemeente. Er kunnen meerdere steekproeven gebeuren bij dezelfde tussen- persoon; 2° bij twijfel of een toeristisch logies waarvoor de tussenpersoon bemiddelt of promotie maakt, voldoet aan de voorwaarden, vermeld in dit decreet, en de uitvoeringsbesluiten ervan; 3° in het kader van een klacht over een toeristisch logies.” De Geschillenkamer merkt in dit verband op dat deze nieuwe wetgeving gepubliceerd werd na de litigieuze gegevensverwerkingen en dus niet van toepassing is op de verwerking in onderhavige zaak. Bijgevolg heeft de Geschillenkamer zich niet gesteund op deze nieuwe wetgeving om tot onderhavige beslissing te komen. Noodzakelijkheid
  12. Ingevolge artikel 6, lid 1, c) AVG geldt dat de verwerking rechtmatig is indien en voor zover de verwerking noodzakelijk is voor de vervulling van de wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Wanneer persoonsgegevens worden verwerkt dan moeten zij voor het doel toereikend en ter zake dienend zijn. Verder mogen er niet meer persoonsgegevens worden verwerkt dan noodzakelijk voor het doel (artikel 5.1, c) AVG).
  13. De verweerder toont volgens het Inspectieverslag niet aan waarom het verwerken van persoonsgegevens in het kader van een steekproef noodzakelijk is zoals opgelegd door artikel 5, lid 1, c), in het kader van zijn toezicht en controleopdracht.
  14. De verweerder voert aan dat de noodzakelijkheid van het opvragen van de gegevens betreffende de toeristische logies blijkt uit het feit dat zonder het opvragen van deze gegevens de verweerder de toeristische logies, die via tussenpersonen op de markt worden aangeboden
(1)niet kan controleren en
(2)hun exploitanten niet kan contacteren. De verweerder stelt enkel het minimum aan gegevens op te vragen dat hij nodig heeft om een toeristisch logies te kunnen identificeren en de exploitant ervan te contacteren opdat de verweerder kan nagaan of de voorwaarden van het logiesdecreet en de uitvoeringsbesluiten worden nageleefd. Zonder deze controle- en contactmogelijkheid kan de verweerder niet Beslissing ten gronde 162/2022 - 11/23 nagaan of de bovenvermelde voorwaarden van het Logiesdecreet en de uitvoeringsbesluiten worden nageleefd. Hierbij wijst de verweerder erop dat dit specifiek in het geval van Airbnb des te meer nodig is. Airbnb deelt immers in regel geen adresgegevens van het logies en geen naam of contactgegevens van de exploitant op haar website mee. 38. Op basis van de conclusie van de verweerder stelt de Geschillenkamer vast dat de volgende gegevens worden opgevraagd: - De naam van het toeristische logies (logiesnaam op Airbnb) - Het adres van het toeristische logies (straat, huisnummer,…) - Capaciteit van het toeristisch logies (in het kader van brandveiligheid); - De naam van de exploitant van het toeristisch logies (de voor- en achternaam van de exploitant, voor zover voor Airbnb beschikbaar) en de online hostnaam; - De contactgegevens van de exploitant van het toeristische logies (het e-mailadres van de exploitant). 39. De Geschillenkamer is van oordeel dat deze gegevens noodzakelijk zijn met het oog op het correct identificeren van toeristisch logies en om de exploitant te contacteren om na te gaan of de voorwaarden van het logiesdecreet en de uitvoeringsbesluiten ervan worden nageleefd. I.1.2. Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en 2 AVG 40. De verwerkingsverantwoordelijke moet de grondbeginselen uit artikel 5 AVG naleven en dat kunnen aantonen. Dat volgt uit de verantwoordingsplicht zoals begrepen in artikel 5, lid 2 j° artikel 24, lid 1 AVG. Op basis van de artikelen 24 en 25 AVG moet elke verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen nemen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt overeenkomstig de AVG. Zoals reeds uiteengezet betreft deze zaak de doorgifte van exploitant- en logiesgegevens door Airbnb (als tussenpersoon) aan de verweerder. Deze doorgifte vond plaats op verzoek van de verweerder. 41. In het kader van zijn onderzoek heeft de Inspectiedienst beoordeeld in welke mate de verweerder de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan het beginsel van rechtmatigheid en dataminimalisatie in het kader van dit verzoek tot doorgifte. Hieromtrent besluit de Inspectiedienst dat de verweerder niet afdoende heeft aangetoond dat hij de nodige maatregelen genomen heeft opdat de litigieuze verwerkingen plaatsvinden in overeenstemming is met artikel 5, lid 1
  1. a)en
  2. c)en artikel 6, lid 1 AVG, aangezien de Inspectiedienst tot de conclusie is gekomen dat de verwerkingen niet in overeenstemming waren met deze principes. Beslissing ten gronde 162/2022 - 12/23 42. De Geschillenkamer heeft in deel I.1.1. geen inbreuken vastgesteld op de artikelen 5, lid 1
  3. a)en
  4. c)en artikel 6, lid 1 AVG. Dientengevolge is er ook geen aanleiding om een inbreuk op de verantwoordingsplicht te onderzoeken. Derhalve oordeelt de Geschillenkamer dat de verweerder afdoende heeft aangetoond dat zij weldegelijk voldoet aan zijn verantwoordingsplicht er dus geen inbreuk is op artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 en 2 AVG werd begaan door de verweerder, in verband met de rechtmatigheid van de verwerking. I.2. Artikel 12, lid 1 en lid 2, artikel 13, lid 1 en lid 2, artikel 14, lid 1 en lid 2, artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG I.2.1. Artikel 12, lid 1 en lid 2, artikel 13, lid 1 en lid 2, artikel 14, lid 1 en lid 2 43. In uitvoering van het transparantiebeginsel uit artikel 5, lid 1,
  5. a)AVG is het op basis van artikel 12, lid 1, artikel 13 lid 1 en artikel 14, lid 1 en lid 2 AVG noodzakelijk dat de verwerkingsverantwoordelijke, in casu de verweerder, aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. In zijn hoedanigheid van verwerkingsverantwoordelijke moet de verweerder de artikelen 12, 13 en 14 van de AVG ten uitvoer leggen. 44. In onderhavige zaak concludeert de Inspectiedienst dat de verweerder een inbreuk heeft begaan op artikel 12, lid 1 en lid 2 AVG, artikel 13, lid 1 en lid 2 AVG, artikel 12, lid 1 en lid 2, artikel 5, lid 2, artikel 24, lid 1 AVG en artikel 25, lid 2 AVG aangezien de privacyverklaring Uitbatersportaal onjuiste informatie zou bevatten en onvolledig zou zijn. 45. Overeenkomstig artikel 12, lid 1 van de AVG is de verweerder verantwoordelijk voor het nemen van passende maatregelen om de in de artikelen 13 en 14 van de AVG bedoelde informatie op beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze in duidelijke taal en schriftelijk of met andere middelen, waaronder elektronische middelen, te verstrekken. 46. Wat de inhoud van deze informatie betreft, dienden aan de betrokkenen de in lid 1 en lid 2 opgesomde punten van zowel de artikelen 13 en 14 te worden meegedeeld omdat niet alle informatie rechtstreeks bij hen werd ingewonnen.11 47. Vooreerst concludeert het Inspectieverslag dat de “privacyverklaring Uitbatersportaal” van de verweerder niet transparant en begrijpelijk is, zoals opgelegd door artikel 12, lid 1 AVG en vanuit het oogpunt van gegevensbescherming onjuiste informatie bevat, omwille van de volgende vaststellingen: 11 Groep van het Artikel 29, Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, WP 260, herziene versie van 11 april 2018 (overgenomen door het Europees Comité voor gegevensbescherming https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227 (punt 23). Beslissing ten gronde 162/2022 - 13/23 a. De privacyverklaring Uitbatersportaal bevat irrelevante en verwarrende informatie, zoals een verwijzing naar de “Privacywet van 1992”, de vermelding van hyperlinks zonder enige toelichting en duidelijk verband met de tekst, en een verwijzing naar ‘deel 9’ van de privacyverklaring Uitbatersportaal dat geen deel 9 bevat. b. De privacyverklaring Uitbatersportaal van de verweerder creëert onterecht de perceptie ten aanzien van de betrokkenen dat de AVG wordt nageleefd. Dit zou misleidend zijn aangezien de Inspectiedienst verschillende inbreuken op de AVG heeft vastgesteld. c. De privacyverklaring Uitbatersportaal van de verweerder maakt ten onrechte geen melding van de mogelijkheid voor de betrokkenen om een klacht in te dienen bij de GBA. Er wordt echter wel melding gemaakt van de mogelijkheid om klacht in te dienen bij de Vlaamse Toezichtcommissie (VTC). d. Ten slotte komt de Inspectiedienst tot de vaststelling dat de Privacyverklaring Uitbatersportaal niet duidelijk en dus niet transparant is voor wat betreft: i. de doeleinden en rechtsgronden van de verwerking: er wordt niet verduidelijkt aan welke wettelijke verplichtingen de verweerder moet voldoen die een verwerking van persoonsgegevens vereisen; ii. de uitoefening van de rechten van de betrokkenen: er wordt niet verduidelijkt wat een betrokkene concreet van de verweerder mag verwachten als hij zijn rechten uitoefent; en iii. de aanpassingen die werden aangebracht: het is niet aangegeven wanneer er aanpassingen werden aangebracht, wat er precies werd aangepast en via welke “courante communicatiekanalen” de betrokkenen daarover geïnformeerd worden. 48. Ten tweede stelt de Inspectiedienst ook vast dat de privacyverklaring Uitbatersportaal van de verweerder onvolledig is omdat niet alle volgens artikel 13 en 14 AVG verplicht te vermelden informatie effectief wordt vermeld, aangezien er geen informatie gegeven wordt over: a. de verwerkingsdoeleinden en de rechtsgrond voor de verwerking; b. het feit dat betrokkenen het recht hebben om een gegeven toestemming te allen tijde in te trekken; c. dat de betrokkenen het recht hebben om een klacht in te dienen bij de GBA; en d. de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen. Beslissing ten gronde 162/2022 - 14/23 49. Aangezien de verweerder een groot aantal gegevensverwerkingen uitvoert, waardoor een grote hoeveelheid informatie aan de betrokkenen moet worden verstrekt, is de Geschillenkamer van oordeel dat een verwerkingsverantwoordelijke zoals verweerder een meerlagige aanpak moet hanteren: 12 - Enerzijds moet de betrokkene van meet af aan beschikken over duidelijke en toegankelijke informatie over het feit dat er informatie over de verwerking van zijn persoonsgegevens bestaat (privacybeleid) en waar hij die volledig zal kunnen vinden. - Anderzijds moet de betrokkene, onverminderd de toegankelijkheid van het privacybeleid in zijn geheel, vanaf de eerste communicatie van de verwerkingsverantwoordelijke met hem op de hoogte worden gebracht van de details van het doel van de betreffende verwerking, de identiteit van de verwerkingsverantwoordelijke en de rechten die hem ter beschikking staan. 50. Het belang van het verstrekken van deze meerlagige informatie vloeit met name voort uit overweging 39 van de AVG. Alle aanvullende informatie die nodig is om de betrokkene in staat te stellen op basis van de op dit eerste niveau verstrekte informatie te begrijpen wat de gevolgen van de betrokken verwerking voor hem zullen zijn, moet worden toegevoegd. 51. De verweerder is van mening dat de informatie die hij aan de betrokken verstrekt voldoet aan de vereisten van de artikelen 12, 13 en 14 van de AVG. In dit verband benadrukt de verweerder dat hij de strikte naleving van de wetgeving betreffende gegevensbescherming nastreeft en hiervoor nauw samenwerkt met zijn functionaris voor gegevensbescherming. De verweerder voert aan hij sinds het opstellen van het Inspectieverslag de privacyverklaring Uitbatersportaal heeft aangepast in overleg met de functionaris voor gegevensbescherming. In zijn conclusies licht de verweerder toe op welke wijze de nieuwe privacyverklaring Uitbatersportaal werd gewijzigd. 52. Voor wat betreft de transparantie en begrijpelijkheid van de privacyverklaring voert de verweerder aan hij de privacyverklaring Uitbatersportaal heeft aangepast sinds het opstellen van het Inspectieverslag waarbij volgende aanpassingen werden gedaan: er is geen verwijzing meer naar de opgeheven Privacywet, enkel naar de AVG. De verwarrende verwijzing naar een onbestaand deel 9 werd ook verwijderd. De verwijzing naar de contactmogelijkheden van de verweerder werden ook aangepast. Voor wat betreft de mogelijke verwarring rond de hyperlinks zonder nadere toelichting, argumenteert de verweerder dat in de passage boven de hyperlinks wel degelijk wordt toegelicht waarom de verweerder 12 de persoonsgegevens verwerkt met expliciete verwijzing naar het In dezelfde zin: beslissing nr. 81/2020 van de Geschillenkamer (punten 53 en volgende) en beslissing 76/2021 (punten 58 e.v.), te raadplegen via https://www.gegevensbeschermingsautoriteit.be/burger/publicaties/beslissingen Beslissing ten gronde 162/2022 - 15/23 Logiesdecreet en het basisregister Vlaams logiesaanbod. Hierbij merkt de verweerder op dat hij nog geen enkele vraag of opmerking hieromtrent heeft mogen ontvangen waardoor hij zich de vraag stelt of er überhaupt wel sprake is van verwarring. Onder de titel “Wat zijn jouw rechten en hoe kan je deze uitoefenen” voorziet de nieuwe privacyverklaring nu ook de vermelding (naast de VTC) van de GBA in het kader van de uitoefening van de rechten van betrokkenen.13 53. Voor zoveel als nodig en overeenkomstig haar eerdere beslissingen verduidelijkt de Geschillenkamer dat de GBA als federale toezichthoudende overheid hoe dan ook bevoegd is om toe te zien op de naleving van de AVG.14 Dit is ook het geval indien de gegevensverwerking betrekking heeft op een materie die onder de bevoegdheid van de gemeenschappen of de gewesten (deelstatelijke overheden) valt en/of indien de verwerkingsverantwoordelijke een overheidsinstantie is die onder de gemeenschappen of de gewesten ressorteert, zelfs al heeft de deelstaat zelf een toezichthoudende autoriteit in de zin van de AVG opgericht. 54. Vervolgens zet de verweerder in zijn conclusies de volgende argumenten uiteen om aan te tonen dat de vaststelling van de Inspectiedienst omtrent de vermeende onvolledigheid van de Privacyverklaring onjuist is. 55. Voor wat betreft de vaststelling over de doeleinden en rechtsgronden voor de verwerking verwijst de verweerder dat dit eerder behandeld werd [zie sectie II.1]. Vervolgens stelt de verweerder dat de mogelijkheid om klacht en dus ook bezwaar in te dienen expliciet in de privacyverklaring Uitbatersportaal was opgenomen. In de nieuwe privacyverklaring Uitbatersportaal is volgende passage opgenomen: “Recht op bezwaar: Indien je van mening bent dat jouw persoonsgegevens niet langer verwerkt mogen worden omwille van jouw specifieke situatie, kan je bezwaar maken tegen een dergelijke verwerking, in het kader van onze producten en diensten die wij aanbieden in het algemeen belang.” 56. De Geschillenkamer stelt vast dat onder deel 6 van de vorige privacyverklaring Uitbatersportaal de betrokkene werd geïnformeerd over zijn rechten die hij kan uitoefenen ten aanzien van de verweerder. De Geschillenkamer verwijst naar de relevant passage die luidde als volgt: ‘Met betrekking tot je persoonsgegevens heb je steeds het recht op […] een klacht in te dienen met de betrekking tot de verwerking van jouw persoonsgegevens […]. Alle verzoeken voor de uitoefening van bovenstaande rechten kan je bezorgen via de kanalen die worden vermeld in deel 9 van deze privacyverklaring. Als je samen met ons niet tot een 13 Zie o.a. arrest Marktenhof, 2022/AR/457, dd. 26 oktober 2022, en ook volgende beslissingen van de Geschillenkamer: beslissing 62/2022 van 29 april 2022, beslissing 31/2022 van 4 maart 2022, beslissing 15/2020 van 15 april 2020. 14 Het arrest van het Marktenhof dd. 26 oktober 2022 (2022/AR/457) bevestigt de bevoegdheid van de GBA ten aanzien van Vlaamse instanties. Beslissing ten gronde 162/2022 - 16/23 oplossing komt dan heb je ook het recht om een klacht in te dienen bij de Vlaamse Toezichtcommissie […]”. 57. De Geschillenkamer stelt vast dat de verweerder in de oude privacyverklaring Uitbatersportaal niet de juiste terminologie heeft gehanteerd, hetgeen voor verwarring kan zorgen. Voor zoveel als nodig herinnert de Geschillenkamer eraan dat een klacht en een bezwaar (beide genoemd in de privacyverklaring Uitbatersportaal) niet dezelfde lading dekken onder de AVG en dat elke verwerkingsverantwoordelijke de juiste terminologie moet hanteren. Een betrokkene heeft het recht om aan een verwerkingsverantwoordelijke te vragen om zijn/haar persoonsgegevens niet meer te gebruiken. Dit heet het recht van bezwaar. Het recht van bezwaar kan overeenkomstig artikel 21 AVG uitgeoefend worden wanneer de verwerking steunt op één van de volgende rechtsgronden: het gerechtvaardigde belang en de vervulling van een taak van algemeen belang of het openbaar gezag. In andere gevallen kan de betrokkene geen bezwaar maken omdat voor de overige rechtsgronden alternatieven bestaan om hetzelfde doel bereiken: bij toestemming kan de betrokkene deze intrekken; tegen een verwerking die de wet oplegt kan de betrokkene geen bezwaar maken. Indien de betrokkene het niet eens is met hoe een verwerkingsverantwoordelijke met zijn/haar persoonsgegevens omgaat en er kan met de verwerkingsverantwoordelijke geen oplossing gevonden worden, kan de betrokkene een klacht indienen bij de GBA. In de oorspronkelijke privacyverklaring Uitbatersportaal had dan ook verduidelijkt moeten worden dat de betrokkene het recht heeft om bezwaar in te dienen bij de verweerder, en desgevallend vervolgens het recht heeft om een klacht in te dienen bij de GBA. In de nieuwe privacyverklaring Uitbatersportaal wordt dit onderscheid wel juist gehanteerd, ondanks het feit dat beide termen in de conclusie foutief gebruikt worden. 58. De verweerder meent ook dat de privacyverklaring Uitbatersportaal uitdrukkelijk de bron van de persoonsgegevens vermeldt alsook dat de openbare gegevens beschikbaar worden gesteld via het basisregister Vlaams logiesaanbod met opgave van een link naar het basisregister. De nieuwe privacyverklaring Uitbatersportaal vermeldt uitdrukkelijk onder de titel “Waarom verwerken wij jouw persoonsgegevens” volgende tekst: “Toerisme Vlaanderen kan onderstaande persoonsgegevens verkrijgen op drie
(3)manieren, namelijk: op papier, via het uitbatersportaal of via de webservice Kruispuntbank Vakantiewoningen (CIB Vlaanderen is vrij beschikbaar en toegankelijk via de website van Toerisme Vlaanderen (klik hier).” 59. Concluderend stelt de verweerder tot besluit dan ook dat de nieuwe privacyverklaring Uitbatersportaal transparant en begrijpelijk is, en dat deze juiste en volledige informatie bevat, minstens dat de vaststelling van de Inspectiedienst zonder voorwerp geworden is gelet op de wijzigingen aangebracht in de nieuwe privacyverklaring Uitbatersportaal. Beslissing ten gronde 162/2022 - 17/23 60. De Geschillenkamer is van oordeel dat de nieuwe privacyverklaring Uitbatersportaal de in de artikelen 13 en 14 van de AVG vereiste elementen nu wel bevat. De Geschillenkamer is voorts van mening dat verweerder, zoals artikel 12, lid 1 van de AVG vereist, in zijn privacybeleid hoofdzakelijk eenvoudige, heldere en duidelijke bewoordingen heeft gebruikt om de betrokkenen te informeren over de gegevensverwerkingen die hij uitvoert. 61. Evenwel, de Geschillenkamer stelt ook vast dat de verweerder in het verleden onzorgvuldig heeft gehandeld, zoals ook werd vastgesteld in het Inspectieverslag. Meer bepaald bevatte de privacyverklaring Uitbatersportaal irrelevante en verwarrende informatie, zoals een verwijzing naar een onbestaand deel 9 en een verwijzing naar de Privacywet van 1992. Daarnaast was de privacyverklaring Uitbatersportaal onvolledig en niet transparant, o.a. door het gebrek aan verwijzing naar de mogelijkheid om klacht in te dienen bij de GBA, door onduidelijke verwijzing naar de doeleinden en rechtsgronden van de verwerkingen en uitoefening van de rechten van betrokken, en door het hanteren van foutieve terminologie. 62. De Geschillenkamer wijst er daarbij wel op dat de verweerder inspanningen heeft geleverd om de uit hoofde van de artikelen 12, 13 en 14 AVG te verstrekken informatie bij te stellen, weliswaar na ontvangst van de opmerkingen van de Inspectiedienst. 63. De Geschillenkamer stelt dus vast dat de Privacyverklaring Uitbatersportaal eerst niet voldeed aan de vereisten van artikel 12, 13 en 14 AVG, waardoor er sprake was van een inbreuk op artikel 12, 13 en 14 AVG. Hieraan doet niet af dat dit intussen verholpen werd. I.2.2. Artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG 64. Voor wat betreft de verantwoordingsplicht (zoals hierboven omschreven in deel I.1.2) met betrekking tot de transparantieverplichtingen, stelt de Inspectiedienst vast dat deze niet werd nageleefd door de verweerder voor wat betreft de transparantieverplichtingen van de verweerder. Dit vloeit voort uit de hierboven vermelde inbreuk op de artikelen 12, 13 en 14 AVG. 65. De Geschillenkamer heeft in deel I.2.1 geoordeeld dat er inderdaad sprake was van een inbreuk op de transparantiebeginselen zoals begrepen in deze artikelen. De Geschillenkamer stelt dan ook vast dat de verweerder niet kon aantonen dat hij de nodige technische en organisatorische maatregelen heeft genomen om te voldoen aan de verplichtingen inzake transparantie zoals bepaald in de artikelen 12, 13 en 14 AVG. Bijgevolg besluit de Geschillenkamer dat er sprake was van een inbreuk op de artikelen 12, 13 en 14 AVG. Hieraan doet niet af dat dit intussen verholpen werd. Beslissing ten gronde 162/2022 - 18/23 I.3. Artikel 38, lid 1 AVG en artikel 39, lid 1 AVG 66. Het verslag van de Inspectiedienst stelt vast dat de verweerder de vereisten inzake de positie van de functionaris voor gegevensbescherming onder artikel 38 ,lid 1 AVG en de taken van de functionaris voor gegevensbescherming onder artikel 39, lid 1 AVG niet heeft nageleefd. 67. De Inspectiedienst doet aangaande de functionaris voor gegevensbescherming volgende vaststellingen, zoals hierna samengevat: a. De verweerder vermeldt in zijn antwoord aan de Inspectiedienst tijdens het onderzoek dat hij van zijn functionaris voor gegevensbescherming geen advies heeft ingewonnen over de gegevensverwerking tussen Airbnb en de verweerder. Dit was volgens de verweerder niet nodig omdat de rechtsgrond al vastlag in artikel 11 van het Logiesdecreet. b. De verweerder vermeldt in datzelfde antwoord dat hij van zijn functionaris voor gegevensbescherming geen advies heeft ingewonnen over de interpretatie van de term “steekproef” uit artikel 11 van het Logiesdecreet. 68. De Inspectiedienst besluit dan ook dat de functionaris voor gegevensbescherming niet naar behoren en tijdig betrokken werd in de kader van dit dossier. Het advies van 11 oktober 2021 dat werd verstrekt volgend op de brief van de GBA op 10 september 2020 volstaat niet om te kunnen spreken van een behoorlijke en tijdige (gedocumenteerde) betrokkenheid. Bijgevolg stelt de Inspectiedienst een inbreuk op artikel 38, lid 1 AVG en artikel 39, lid 1 AVG vast. 69. De Geschillenkamer herinnert eraan dat artikel 38, lid 1 AVG voorschrijft dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Op basis van artikel 39, lid 1 AVG moet de functionaris voor gegevensbescherming (
  1. a)de verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en (
  2. b)toezien op naleving van de AVG, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits. 70. De verweerder beklemtoont aangaande de positie van de functionaris voor gegevensbescherming onder artikel 38, lid 1 AVG dat er, volgens hem, geen noodzaak was Beslissing ten gronde 162/2022 - 19/23 om de functionaris voor gegevensbescherming te betrekken bij het sluiten van het MoU. Airbnb is zoals alle andere tussenpersonen gehouden om de exploitant- en logiesgegevens aan de verweerder te bezorgen sinds de inwerkingtreding van het Logiesdecreet op 1 april 2017. De wettelijke grondslag van het mededelen van deze gegevens aan de verweerder is dus gebaseerd op artikel 11 van het Logiesdecreet, en niet op het MoU waar de Inspectiedienst naar verwijst. In ieder geval heeft de verweerder de functionaris voor gegevensbescherming meteen betrokken na de brief dd. 10 september 2020 van de GBA. De functionaris voor gegevensbescherming heeft vervolgens een gunstig advies verleend. Daarnaast stelt de verweerder dat zij de term ‘steekproef’ heeft toegepast op de wijze die strookt met de bedoeling van de decreetgever van artikel 11 van het logiesdecreet. Tot slot stelt de verweerder dat het logiesdecreet dateert van voor de AVG, aangezien het logiesdecreet in werking trad op 1 april 2017, terwijl de AVG van toepassing is met ingang van 25 mei 2018. Bijgevolg kan er volgens de verweerder dan ook geen sprake zijn van een inbreuk op artikel 38, lid 1 AVG en artikel 39, lid 1 AVG. 71. De Geschillenkamer herinnert eraan dat de AVG erkent dat de functionaris voor gegevensbescherming een sleutelfiguur is voor wat betreft de bescherming van persoonsgegevens wiens aanwijzing, positie en taken aan regels onderworpen zijn. Deze regels helpen de verwerkingsverantwoordelijke om te voldoen aan zijn verplichtingen onder de AVG, maar helpen ook de functionaris voor gegevensbescherming om zijn taken naar behoren uit te oefenen. De functionaris voor gegevensbescherming moet betrokken worden bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Het feit dat de rechtsgrond vastgelegd werd in een wettelijke norm vormt hier geen uitzondering op. 72. Op basis van het verweer stelt de Geschillenkamer vast dat het precies de bedoeling is van het MoU om tussen de partijen vast te leggen in welke gevallen de doorgifte van persoonsgegevens kan plaatsvinden en onder welke modaliteiten. Bijgevolg betreft het sluiten van het MoU het beleid van de verweerder omtrent de naleving van de AVG in het kader van zijn handhavingsbevoegdheden. Artikel 11 Logiesdecreet bepaalt dat de gegevens kunnen worden opgevraagd door de verweerder bij Airbnb bij duidelijk afgebakende steekproeven, maar de MoU werkt verder uit wat onder deze duidelijk afgebakende steekproeven begrepen wordt door de partijen. Bijgevolg diende de functionaris voor gegevensbescherming behoorlijk en tijdig betrokken te worden bij het opstellen en goedkeuren van het MoU. Voor wat betreft het feit dat het logiesdecreet reeds van toepassing was sinds 2017, wijst de Geschillenkamer erop dat sinds het van toepassing worden van de AVG, elke verwerkingsverantwoordelijke ertoe gehouden is de hem daarin opgelegde verplichtingen na te leven. Aldus diende de verweerder deze rechtsgrond waarop hij zich wenst te beroepen te toetsen aan de hogere rechtsnorm teneinde na te gaan of de Beslissing ten gronde 162/2022 - 20/23 opvraging van de persoonsgegevens in overeenstemming is met de AVG. Ook dit is een aangelegenheid waarbij de functionaris voor gegevensbescherming betrokken diende te worden. 73. Gelet op bovenstaande, stelt de Geschillenkamer met betrekking tot artikel 38, lid 1 AVG vast dat de functionaris voor gegevensbescherming niet voldoende betrokken werd bij een aantal zaken omtrent gegevensbescherming. Uit de stukken van de verweerder blijkt dat de functionaris voor gegevensbescherming voor wat betreft de in onderhavige zaak onderzochte gegevensverwerkingen pas betrokken werd na het eerste schrijven van de Inspectiedienst. 74. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er een schending is van artikel 38, lid 1 en artikel 39, lid 1 AVG. I.4. Inbreuk op artikel 4, 11, artikel 5, lid 1, a), en lid 2, artikel 6, lid 1,
  3. a)en artikel 7, lid 1 en lid 3 AVG. 75. Het Inspectieverslag stelt vast dat geen rechtsgeldige toestemming in de zin van artikel 4, 11 van de AVG wordt gevraagd aan websitebezoekers voor het gebruik van niet strikt noodzakelijke cookies. De betrokkenen zouden immers geen vrije keuze van de verweerder krijgen over het gebruik van niet strikt noodzakelijke cookies. Het Inspectieverslag bepaalt hieromtrent het volgende: “De twee keuzemogelijkheden voor het gebruik van niet strikt noodzakelijke cookies die door de verweerder aan betrokkenen worden aangeboden in het even gelijkaardige manier weergegeven. De keuzemogelijkheid “ok, ik ga akkoord” zegt niets over meer informatie voor de betrokkenen. Bovendien ontbreekt een keuzemogelijkheid in het cookievenster die betrokkenen toelaat om het gebruik van niet strikt noodzakelijke transparante informatie wordt gegeven over hoe een gegeven toestemming voor het gebruik van niet noodzakelijke cookies moet worden ingetrokken. 76. In zijn conclusies werpt de verweerder op dat de aanvullende vaststelling geen juridische grondslag heeft waardoor deze uit de procedure geweerd moet worden. De Inspectiedienst verwijst immers naar artikel 72 WOG om deze vaststelling te doen. De beslissing van het Directiecomité om overeenkomstig artikel 63, 1° WOG de Inspectiedienst te vatten bepaalt echter het voorwerp van het onderzoek en dus moet de scope van het onderzoek volgens de verweerder beperkt blijven tot de scope voortvloeiend uit de beslissing van het Directiecomité. 77. In ondergeschikte orde gaat de verweerder over tot het weerleggen van de vaststelling van de Inspectiedienst. De verweerder benadrukt dat op zijn website enkel strikt noodzakelijke Beslissing ten gronde 162/2022 - 21/23 Dit wordt ook niet weerlegd door de Inspectiedienst die niet aantoont dat er ook nietnoodzakelijke cookies werkzaam waren op de website ten tijde van de vaststellingen. Op 25 februari 2022 heeft de verweerder zijn nieuwe website gelanceerd met een nieuw gebruikte cookies verleent. Op de nieuwe website worden volgens verweerder met een nieuwe cookieverklaring de betrokkenen transparant geïnformeerd over het gebruik van ten tijde van het onderzoek door de Inspectiedienst, was het verschaffen van informatie over of vragen van toestemming voor dergelijke cookies toen niet aan de orde. 78. In reactie op de stellingen van verweerder verwijst de Geschillenkamer allereerst naar artikel 72 WOG dat luidt als volgt: “Onverminderd de bepalingen van dit hoofdstuk mogen de inspecteur-generaal en de inspecteurs overgaan tot elk onderzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd.” 79. Uit deze bepaling blijkt dat de Inspectiedienst niet gebonden is door de omvang van de klacht noch door de omvang van de beslissingen van het Directiecomité. De Inspectiedienst bepaalt zelf de omvang en de wijze van het onderzoek, rekening houdende met het evenredigheidsen noodzakelijkheidsbeginsel zoals omschreven in het Charter van de Inspectiedienst. 15 80. Op basis van het Inspectieverslag concludeert de Geschillenkamer dat de vaststelling van de Inspectiedienst omtrent het effectief gebruik van niet strikt noodzakelijke cookies niet voldoende gestaafd is door bewijs 16 waardoor het verder behandelen van dit dossier in dit kader onmogelijk is. Bijgevolg gaat de Geschillenkamer over tot een seponering voor wat betreft de vaststelling van de Inspectiedienst omtrent artikel 4, 11, artikel 5, lid 1, a), en lid 2, artikel 6, lid 1,
  4. a)en artikel 7, lid 1 en lid 3 AVG. II. Sancties 81. Op basis van de stukken uit het dossier stelt de Geschillenkamer vast dat er sprake is van twee inbreuken van de AVG: Enerzijds de inbreuk op Artikel 12, lid 1 en lid 2, artikel 13, lid 1 en lid 2, artikel 14, lid 1 en lid 2, artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG, en anderzijds 15 Charter van de Inspectiedienst, augustus 2022, te https://www.gegevensbeschermingsautoriteit.be/publications/charter-van-de-inspectiedienst.pdf. 16 Cf. Sectie A.1 van het sepotbeleid van de Geschillenkamer. raadplegen via Beslissing ten gronde 162/2022 - 22/23 deze op artikel 38, lid 1 en artikel 39, lid 1 AVG. Hoewel de verweerder deze inbreuken verholpen heeft, staat het wel vast dat er inbreuken op het recht op gegevensbescherming plaatsgevonden hebben. Zoals reeds uiteengezet is het beginsel van transparantie één van de fundamentele beginselen van de AVG. Ook de functionaris voor gegevensbescherming speelt een cruciale rol in de gegevensbescherming bij een verwerkingsverantwoordelijke 82. De Geschillenkamer is van oordeel dat er voldoende elementen zijn om een berisping op te leggen, hetgeen een lichte sanctie uitmaakt en volstaat in het licht van de in dit dossier vastgestelde schendingen van de AVG. Bij het bepalen van de sanctie houdt de Geschillenkamer rekening met het feit dat de verweerder deze inbreuken reeds rechtgezet heeft en bewijsstukken hiervan overmaakt. Ten overvloede wijst de Geschillenkamer erop dat zij niet bevoegd is om een administratieve geldboete op te leggen aan overheidsorganen, overeenkomstig artikel 221, § 2 van de Gegevensbeschermingswet.17 83. De Geschillenkamer gaat over tot een sepot voor wat betreft de overige grieven en vaststellingen van de Inspectiedienst omdat zij op basis van de feiten en de stukken uit het dossier niet tot de conclusie kan komen dat er ter zake sprake is van inbreuken op de AVG. Deze grieven en vaststellingen van de Inspectiedienst worden bijgevolg als kennelijk ongegrond beschouwd in de zin van artikel 57, lid 4 van de AVG.18 Publicatie van de beslissing 84. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit, mét vermelding van de identificatiegegevens van de verweerder. Deze vermelding wordt verantwoord door het algemeen belang van onderhavige beslissing in het kader van de voorbeeldfunctie van de verweerder als overheidsdienst, enerzijds, en door de onvermijdelijke heridentificatie van de verweerder in geval van pseudonimisering, anderzijds. 17 Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, B.S., 5 september 2018. 18 Zie punt 3.A.2 van het Sepotbeleid van de Geschillenkamer, dd. 18 juni 2021, te raadplegen via https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf Beslissing ten gronde 162/2022 - 23/23 OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om: - op grond van, artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de verweerder voor wat betreft de inbreuk op artikel 12, lid 1 en lid 2, artikel 13, lid 1 en lid 2, artikel 14, lid 1 en lid 2, artikel 5, lid 2, artikel 24, lid 1 en artikel 25, lid 1 AVG; - op grond van, artikel 100, §1, 5° WOG een berisping te formuleren ten aanzien van de verweerder voor wat betreft de inbreuk op artikel 38, lid 1 en artikel 39, lid 1 AVG; - op grond van artikel 100, §1, 1° WOG voor wat betreft alle andere vaststellingen te seponeren. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerster. Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten 19. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.20, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 19 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 20 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.