1/6 Geschillenkamer Beslissing ten gronde 163/2024 van 13 december 2024 Dossiernummer : DOS-2020-04373 Betreft : Verwijdering van e-mailadres na materiële vergissing De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, alleenzetelend; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager” De verweerder: Y1 met ondernemingsnummer […], en Y2, met ondernemingsnummer […], beiden gevestigd te […], vertegenwoordigd door Mr. Guy Schiepers, ’hierna “de verweerder” Beslissing ten gronde 163/2024 — 2/6 I. 1. Feiten en procedure Op 21 september 2020 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerder. Het voorwerp van de klacht betreft het gebrek aan passend gevolg vanwege de verweerder op het verzoek van de klager tot het wissen van zijn persoonsgegevens, meer bepaald zijn mailadres, hetwelk door de verweerder wordt aangewend om de klager ongevraagde reclame toe te sturen. De klager geeft aan dat hij meermaals heeft verzocht om tot gegevenswissing over te gaan. De verweerder heeft daarop pas na enige tijd gereageerd door aan te geven dat de gegevens van de klager nooit in diens systeem zouden zijn opgenomen geweest en dat de fout die aanleiding gaf tot de verzonden e-mails was gevonden, waarvoor excuses werden aangeboden. Niettegenstaande deze verklaring blijft de klager evenwel vanwege de verweerder ongewenste direct marketing e-mails ontvangen. 2. Op 7 oktober 2020 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 21 november 2022 worden de partijen door de Geschillenkamer in kennis gesteld van Beslissing 166/2022 van 18 november 2022, waarin op grond van artikel 58.2,
- c)AVG en artikel 95, §1, 5° WOG het bevel wordt gegeven aan de verweerder om te voldoen aan het verzoek van de klager zijn rechten uit te oefenen, meer bepaald het recht op gegevenswissing (artikel 17.1 AVG), en over te gaan tot wissing van de betreffende persoonsgegevens, en dit binnen de termijn van 30 dagen te rekenen vanaf de kennisgeving van deze beslissing, onder voorbehoud van de indiening van een verzoek door de verweerder tot behandeling ten gronde overeenkomstig artikel 98 e.v. WOG. 4. Op 24 november 2022 vraagt verweerder een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem dezelfde dag werd overgemaakt, nl. op 24 november 2022. 5. Op 14 december 2022 ontvangt de Geschillenkamer vanwege de verweerder het verzoek tot behandeling ten gronde overeenkomstig artikel 98 e.v. WOG., naar aanleiding van beslissing 166/2022 van 18 november 2022. De verweerder laat daarbij in essentie gelden dat de klager ingevolge een materiële vergissing in de schrijfwijze van het e-mailadres berichten ontving die bestemd waren voor een klant van de verweerder. Concreet had de materiële vergissing betrekking op één letter in de familienaam van de klager aan wie het emailadres […] toebehoort en hem onderscheidt van de werkelijke klant van verweerder die beschikt over het e-mailadres […]. 6. Op 23 december 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde en worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in Beslissing ten gronde 163/2024 — 3/6 artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de klager werd daarbij vastgelegd op 3 februari 2023, deze voor de conclusie van repliek van de verweerder op 3 maart 2023. 7. Op 30 januari 2023 ontvangt de Geschillenkamer het bericht van de klager dat hij niets heeft toe te voegen aan het dossier dat alle feiten in juiste volgorde vermeldt en dat volgens de klager de Geschillenkamer toelaat een beslissing te nemen. 8. Ingevolge het uitblijven van een conclusie van antwoord vanwege de klager wordt door de verweerder ook geen conclusie van repliek ingediend. 9. Op 4 december 2024 geven de verweerders via hun raadsman aan de Geschillenkamer te kennen dat zij de beslissing in deze zaak wensen te vernemen . II. Motivering 10. De verweerder licht toe dat de klager op 16 juni 2020 een e-mail ter herinnering voor de betaling van een openstaande factuur ontving. Deze e-mail werd verzonden door een werknemer van de verweerder en werd gevolgd door een nieuwe herinnering per mail verzonden op 30 juni 2020 door de vertegenwoordiger in dienst van de verweerder. Deze communicatie heeft ertoe geleid dat het e-mailadres van de klager in de persoonlijke communicatiegroep van de vertegenwoordiger werd opgenomen en op die wijze in de bestanden van de verweerder is terechtgekomen. Op 30 juni 2020 reageert de klager door te stellen dat er geen verband bestaat tussen hem en de openstaande facturen. Op 31 juli 2020 wordt opnieuw een herinneringsmail gestuurd door de verweerder aan de klager die hierop meteen in dezelfde zin reageert. Op 14 september 2020 ontvangt de klager een promotionele e-mail van de vertegenwoordiger van de verweerder waarop de klager meteen vraagt de ongewenste communicatie te doen stoppen. De verweerder reageert hierop diezelfde dag met verontschuldigingen aan de klager en de melding dat de oorzaak van het probleem is gevonden en deze is te wijten aan een materiële fout bij het noteren van het e-mailadres waardoor correspondentie foutief werd verzonden aan de klager. Op 2 oktober 2020 ontvangt de klager van de vertegenwoordiger van verweerder een e-mail met de promoties voor de komende weken. Naar aanleiding hiervan vraagt de klager aan de vertegenwoordiger om zijn e-mailadres te wissen. Diezelfde dag nog wordt het e-mailadres van de klager verwijderd uit de persoonlijke communicatiegroep van de vertegenwoordiger van de verweerder. 11. Hoewel de verweerder aanvoert dat het e-mailadres van de klager nooit deel heeft uitgemaakt van zijn automatisch marketingbestand, erkent de verweerder wel dat het e- Beslissing ten gronde 163/2024 — 4/6 mailadres in zijn bestanden is terechtgekomen, weliswaar niet met opzet, maar dat dit louter zijn oorsprong vindt in een materiële vergissing die vervolgens aan de basis lag van verzending van correspondentie aan de klager die onbedoeld was en niet voor hem was bestemd. 12. De Geschillenkamer vestigt er de aandacht op dat de al dan niet aanwezigheid van een intentie geen criterium vormt voor de verwerking van persoonsgegevens in de zin van artikel 4. 2) AVG1. Ook al was het niet de bedoeling van verweerder om de e-mail te verzenden aan de klager, is het enkele feit dat de e-mail werd verzonden aan de klager voldoende om deze verzending als verwerking te bestempelen. De verweerder geeft bovendien uitdrukkelijk aan dat het e-mailadres in zijn bestanden is terecht gekomen. De Geschillenkamer stelt dan ook vast dat de verzending van de e-mail valt onder het toepassingsgebied van de AVG zoals bepaald in artikel 2.1 AVG2. 13. Elke gegevensverwerking dient rechtmatig te zijn in de zin van artikel 5.1
- a)AVG juncto artikel 6.1 AVG. De Geschillenkamer wijst er dienaangaande op dat de verweerder er vanuit ging – weliswaar verkeerdelijk – dat de klager de klant was wiens persoonsgegevens, meer bepaald het e-mailadres, werden verwerkt op grond van artikel 6.1
- b)AVG dewelke hij kon aanschrijven tot betaling van de openstaande facturen. De inning van de onbetaalde facturen vormt daarbij het nagestreefde doeleinde (artikel 5.1
- b)AVG). 14. Het staat vast dat ten aanzien van de klager noch het rechtmatigheidsbeginsel (artikel 5.1
- a)AVG), noch het beginsel van doelbinding (artikel 5.1
- b)AVG) werden gerespecteerd bij gebrek aan enige relatie tussen de klager en de verweerder. De klager behoorde immers niet tot het cliënteel van de verweerder, zodanig dat er ook geen onbetaalde facturen waren die met hem in verband konden worden gebracht en dit ook geen aanleiding kon geven tot enige verwerking van persoonsgegevens van de klager. 15. De Geschillenkamer is evenwel van oordeel dat er in casu geen sanctie dient te worden gekoppeld aan deze vaststelling en stelt zij verweerder buiten vervolging, aangezien er geen enkele andere reden aan de basis lag van de verzending van e-mails aan de klager dan louter een foutieve schrijfwijze in de naam van de klager die slechts met één letter verschilde van deze van de daadwerkelijke klant van de verweerder. Zodra dit kwam vast te staan heeft de 1 Art. 4. AVG Voor de toepassing van deze verordening wordt verstaan onder: […] 2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; 2 Artikel 2.1. AVG. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Beslissing ten gronde 163/2024 — 5/6 verweerder onverwijld het nodige gedaan om de materiële vergissing recht te zetten zowel in het adressenbestand van de verweerder waaruit de gegevens van de klager werden verwijderd op 14 september 2020 als in de persoonlijke communicatiegroep van de vertegenwoordiger in dienst als werknemer van de verweerder waaruit het mailadres van de klager werd verwijderd op 2 oktober 2020. De verwijdering uit de persoonlijke communicatiegroep van de verweerder vond plaats op een later tijdstip omdat pas later werd vastgesteld dat ook daar het e-mailadres van de klager foutief werd in opgenomen. De verwijdering van het e-mailadres van de klager vond evenwel meteen plaats op het moment dat ook in de persoonlijke communicatiegroep de fout werd vastgesteld. De verweerder toont hierbij ook aan dat sinds 2 oktober 2020 geen enkele communicatie meer werd verzonden naar de klager. 16. Hoewel de Geschillenkamer in het kader van de procedure voorafgaand aan de beslissing ten gronde de verweerder heeft bevolen te voldoen aan de uitoefening van het recht op gegevenswissing van de klager (Beslissing 166/2022 van 18 november 2022), is in de procedure ten gronde op basis van de omstandige uiteenzetting van de feitelijke elementen gebleken dat er kan worden besloten tot een inbreuk op het beginsel van doelbinding en het rechtmatigheidsbeginsel, maar dat deze uitsluitend is te wijten aan een menselijke fout in de schrijfwijze van het e-mailadres waardoor correspondentie aan de klager werd gericht in plaats van aan de eigenlijke bestemmeling. Menselijke vergissingen zijn nooit volledig uit te sluiten. Belangrijk hierbij is ook dat zodra de menselijke fout kwam vast te staan, de verweerder meteen het nodige heeft gedaan om het e-mailadres van de klager te verwijderen en deze bijgevolg nadien geen enkele communicatie meer heeft ontvangen vanwege de verweerder. Hierdoor is de Geschillenkamer van oordeel dat een beslissing ten gronde strekkende tot buitenvervolginstelling van de verweerder passend is. 17. Volledigheidshalve oordeelt de Geschillenkamer dat de toegang die de klager heeft gekregen tot de persoonsgegevens en de daarbij horende openstaande facturen van de klant van de verweerder geen verband houdt met onvoldoende technische en organisatorische maatregelen die de verweerder zou hebben genomen om de persoonsgegevens van de betreffende klant te beschermen tegen beveiligingsrisico’s. Het feit dat de e-mail bestemd voor de klant van de verweerder werd gericht aan de klager, kan niet in verband worden gebracht met een probleem inzake beveiliging van de persoonsgegevens die worden verwerkt door de verweerder. De Geschillenkamer is van oordeel dat geen enkele beveiligingsmaatregel van aard kan zijn om volledig uit te sluiten dat door een menselijke fout een e-mail aan een niet-bedoelde bestemmeling wordt verzonden. Er kan aldus niet besloten worden dat verweerder door de verzending aan de klager van de e-mail bestemd voor een klant (die niet de klager is), onvoldoende maatregelen zou hebben genomen om de persoonsgegevens van de klant te beschermen tegen beveiligingsrisico’s, zodat er geen inbreuk op artikel 32 en 33 AVG kan worden vastgesteld.