1/24 Geschillenkamer Beslissing ten gronde 163/2025 van 10 oktober 2025 Dossiernummer : DOS-2024-02077 Betreft : het onrechtmatig verder verwerken van de contactgegevens van een gemeente voor direct marketing doeleinden. De Geschillenkamer van de Gegevensbeschermingsautoriteit; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”;1 Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder 1: Gemeente Y1, vertegenwoordigd door mr. Magali Feys, hierna “de verweerder 1” of “de gemeente”; De verweerder 2: Y2, vertegenwoordigd door mr. Johan Vandelanotte, hierna “de verweerder 2” of “de burgemeester”. 1 De GBA herinnert eraan dat de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG), en het nieuw reglement van interne orde van de GBA, op 1 juni 2024 in werking zijn getreden. De nieuwe bepalingen zijn van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures voor de Geschillenkamer die aanvangen vanaf deze datum. De nieuwe WOG is beschikbaar via deze link: https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=nl&la=N&cn=2017120311&table name=wet, en het reglement van interne orde via deze link: < https://www.gegevensbeschermingsautoriteit.be/publications/reglement-vaninterne-orde-van-de-gegevensbeschermingsautoriteit.pdf>. Dossiers die zijn aangevat vóór 1 juni 2024, waar dit dossier deel van uitmaakt, zijn daarentegen onderworpen aan de bepalingen van de WOG en het reglement van interne orde zoals deze bestonden vóór deze datum. Beslissing ten gronde 163/2025 — 2/24 I. Feiten en procedure 1. Het voorwerp van de klacht betreft het onrechtmatig verder verwerken van de contactgegevens van een gemeente voor direct marketing doeleinden. 2. Op 24 april 2024 diende een klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de gemeente. 3. Op 3 mei 2024 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en werd de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 4 mei 2024, op 9 mei 2024 en op 8 juni 2024 maakte de klager bijkomende informatie over aan de GBA in verband met zijn klacht. 5. Op 10 juni 2024 stelde de Geschillenkamer twee vragen ter verduidelijking aan de klager, die op dezelfde dag door de klager werden beantwoord. 6. Op 11 juli 2024 verzocht de Geschillenkamer de gemeente om verduidelijkingen aangaande de klacht. 7. Op 30 augustus 2024 antwoordde de gemeente op de vraag om verduidelijking van de Geschillenkamer. 8. Op 2 september 2024 reageerde de klager op het antwoord van de gemeente. 9. Op 19 september 2024 reageerde de gemeente op de reactie van de klager. 10. Op 4 december 2024 trok de klager zijn klacht in. 11. Op 11 december 2024 sloot de Geschillenkamer het dossier ten aanzien van de klager af. 12. Op 12 december 2024 besliste de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed was voor behandeling ten gronde, werden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG en werden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Op basis van de stukken in het dossier, met inbegrip van het klachtenformulier, stelde de Geschillenkamer vast dat de reikwijdte van deze zaak betrekking had op de volgende vermeende inbreuken door de gemeente: • Schending van artikel 5.1.
- a)AVG, 12 AVG en 13 AVG vanwege het gebrek aan transparantie naar de correspondenten van de gemeente over het feit dat hun contactgegevens opgenomen werden in mailing-groepen contactgegevens werden doorgegeven aan de burgemeester. en dat hun Beslissing ten gronde 163/2025 — 3/24 • Schending van artikel 5.1.
- a)AVG, 12 AVG en 13 AVG vanwege het ontbreken van enige informatie over de mogelijkheid tot het uitoefenen van de rechten van betrokkene die gelden onder de AVG. • Schending van artikel 37.1.
- a)AVG vanwege het ontbreken van een DPO binnen de gemeente sinds 19 november 2023. • Schending van artikel 38.6 AVG vanwege een belangenconflict tussen de taken van de DPO en deze van deskundige communicatie van de gemeente, indien de betrokken deskundige eveneens nog steeds DPO was. Op basis van de stukken in het dossier, met inbegrip van het klachtenformulier, stelde de Geschillenkamer vast dat de reikwijdte van deze zaak betrekking had op de volgende vermeende inbreuken door de burgemeester: • Schending van artikel 5.1.
- a)AVG, artikel 6.1 AVG en artikel 6.4 AVG vanwege het verwerken van de contactgegevens van de gemeente zonder rechtsgrond. • Schending van artikel 5.1.
- a)AVG, 12 AVG en 14 AVG vanwege het gebrek aan transparantie naar de correspondenten van de gemeente toe over het feit dat hun contactgegevens verwerkt werden door de burgemeester. 13. Op 4 februari 2025 ontving de Geschillenkamer de conclusie van antwoord vanwege beide verweerders. 14. Op 19 mei 2025 werden de partijen ervan in kennis gesteld dat de hoorzitting zou plaatsvinden op 20 juni 2025. 15. Op 20 juni 2025 werden de partijen gehoord door de Geschillenkamer. 16. Op 25 juni 2025 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 17. Op 8 juli 2025 ontving de Geschillenkamer vanwege beide verweerders enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij besloot mee op te nemen in haar beraad. II. Motivering II.1. Intrekken van de klacht 18. Op 4 december 2024 trok de klager zijn klacht in. De klager stelde hierbij dat zijn klacht deels politiek geïnspireerd was en dat hij, nu hij zelf verkozen was als schepen binnen de gemeente, het nut van zijn klacht tegen diezelfde gemeente en haar burgemeester niet meer inzag. Zoals in de uitnodiging tot concluderen reeds werd meegedeeld aan de beide verweerders, is de Geschillenkamer, eens gevat, bevoegd om in volledige onafhankelijkheid de naleving van de AVG te onderzoeken en te waken over de effectieve toepassing ervan. Het toezicht Beslissing ten gronde 163/2025 — 4/24 van de Geschillenkamer als administratieve toezichthouder is niet primair gericht op het beslechten van geschillen tussen partijen, maar is één van de instrumenten van de GBA om toe te zien op de naleving van de regels inzake gegevensbescherming. De Geschillenkamer neemt akte van het intrekken van de klacht, maar oordeelt dat zij als toezichthouder alsnog een oordeel kan vellen over de inhoud van de klacht. II.2. Beschrijving van de verwerking en de vermeende inbreuken 19. De gemeente beheert de contactgegevens van haar interne en externe correspondenten in haar e-mailomgeving, verdeeld over verschillende groepen. Deze contactgegevens staan ter beschikking van haar medewerkers, waaronder ook de burgemeester. De burgemeester heeft al de interne en externe correspondenten waar hij toegang toe had, aangeschreven met het doel hen uit te nodigen op een boekvoorstelling van een boek, waarvan hij medeauteur is. 20. In deze beslissing gaat de Geschillenkamer na in hoeverre de gemeente en haar burgemeester deze contactgegevens rechtmatig en transparant verwerkte en in hoeverre de verwerking van de contactgegevens van de correspondenten van de gemeente voldoende transparant was. 21. Als overheidsinstantie is een gemeente verplicht een functionaris voor de gegevensbescherming (hierna “DPO”) aan te stellen. Documenten in het dossier tonen aan dat de DPO van de gemeente op een bepaald moment voltijds werd aangesteld als expert communicatie van de gemeente. In deze beslissing gaat de Geschillenkamer na in hoeverre de gemeente ten allen tijde voldeed aan haar verplichting om een DPO te hebben en in hoeverre deze DPO zijn functie onafhankelijk kon uitoefenen. II.3. De rechtmatigheid van de verwerking van de contactgegevens van de gemeente II.3.1. Standpunt van de gemeente en de burgemeester aangaande de e-mail met de uitnodiging voor de boekvoorstelling 22. De burgemeester argumenteert dat het verzenden van de e-mail met de uitnodiging voor de boekvoorstelling (hierna ‘de bewuste e-mail’), valt binnen het doel en dus ook binnen de verwerkingsverantwoordelijkheid en onder de rechtsgrond van de gemeente. Zowel de gemeente, haar DPO als de burgemeester zelf verwijzen naar het boek als een “praktische vertaling van de bestuurlijke visie van de gemeente, onder leiding van de [burgemeester]”2. De burgemeester stelt dan ook dat het doel van de verwerking van persoonsgegevens kadert binnen het verder betrekken van de medewerkers van de gemeente “bij de 2 Stuk 35, Conclusie van antwoord (van de burgemeester) van 4 februari 2025, randnummer 4. Beslissing ten gronde 163/2025 — 5/24 gemeentelijke projecten waaraan zij hebben bijgedragen vanuit een inclusief leiderschap”.3 Deze blijk van erkenning zou dan bijdragen aan een efficiënt bestuur, ‘dicht bij de burger’. De gecontacteerde burgers zouden dan weer “via de inhoud van het boek en de boekvoorstelling […] verder betrokken [worden] bij de communicatie over gemeentelijke initiatieven en […] inzicht [krijgen] in de concrete werking van hun gemeente onder leiding van [de burgemeester].”4 23. Tijdens de hoorzitting wees de burgemeester op zijn langdurige afwezigheid en zijn bedoeling om deze heel persoonlijke situatie waarmee heel de gemeente in aanraking was gekomen, te kaderen. Het boek was immers tot stand gekomen na deze periode van afwezigheid en in samenwerking met zijn coach, die medeauteur is van het boek. “Het boek en de voorstelling waren dan ook bedoeld om duidelijkheid te verschaffen over deze situatie die een grote impact had op de gemeente en haar beleid in het kader van haar inclusief beleid ‘voor en door de burger’.”5 24. De gemeente en de burgemeester menen dat de burgemeester zich terecht kon beroepen op het algemeen belang van artikel 6.1.e AVG “om via het gemeentelijk e-mailadres burgers uit te nodigen voor de boekvoorstelling waarin duidelijkheid wordt verschaft over de impact van de toenmalige situatie op de gemeente.” 6 Tijdens de hoorzitting gaf de burgemeester aan dat de wettelijke basis voor dit algemeen belang artikel 32 van de Grondwet 7 betrof. Conform dit artikel is de burgemeester van mening dat “de burger actief moet geïnformeerd worden over het beleid in de gemeente. Als de gemeente door een storm gaat, bijvoorbeeld door de afwezigheid van de burgemeester voor de duur van twee jaar, dan heeft de gemeente de plicht om haar burgers daarover te informeren”.8 25. De burgemeester benadrukt dat hij geen commerciële belangen nastreefde met deze boekvoorstelling en de bijhorende uitnodigingen. De bijdrage die werd gevraagd als inkom op de boekvoorstelling, werd gecompenseerd met enkele gratis consumpties en was daarenboven noodzakelijk om te voldoen aan de bepalingen inzake de sperperiode van de kieswet9, die op dat moment liep. Daarenboven waren de inkomsten van de enkele keynote speeches die hij leverde na de boekvoorstelling niet van dien aard dat het een commercieel winstgevende activiteit zou betreffen. Deze ‘opdrachten’ werden niet via de website, 3 Stuk 35, Conclusie van antwoord (van de burgemeester) van 4 februari 2025, randnummer 19. 4 Stuk 35, Conclusie van antwoord (van de burgemeester) van 4 februari 2025, randnummer 20. 5 Stuk 42, Re_PV Hoorzitting, randnummer 1. 6 Stuk 42, Re_PV Hoorzitting, randnummer 2. 7 Artikel 32 Gw.: “Ieder heeft het recht elk bestuursdocument te raadplegen en er een afschrift van te krijgen, behoudens in de gevallen en onder de voorwaarden bepaald door de wet, het decreet of de regel bedoeld in artikel 134.” 8 9 Stuk 41, PV Hoorzitting, p. 4. Artikel 191 van het Decreet houdende de organisatie van de lokale en provinciale verkiezingen en houdende wijziging van het Gemeentedecreet van 15 juli 2005, het Provinciedecreet van 9 december 2005 en het decreet van 19 december 2008 betreffende de organisatie van de openbare centra voor maatschappelijk welzijn van 8 juli 2011. Beslissing ten gronde 163/2025 — 6/24 verbonden aan het boek, geboekt. De burgemeester besloot dan ook “dat noch de boekvoorstelling, noch het uitbrengen van het boek een commerciële activiteit uitmaakt in hoofde van de burgemeester […].”10 II.3.2. Beoordeling van de rechtsgrond voor de verwerking van de contactgegevens in het kader van het versturen van de uitnodiging tot een boekvoorstelling Doel en rechtsgrond van de verwerking van de contactgegevens door de gemeente en haar burgemeester als ‘medewerker’ 26. De Geschillenkamer stelt vast dat het doel en de rechtsgrond van de verwerking van de contactgegevens van de gemeente, en bijgevolg ook van de burgemeester als medewerker van de gemeente, ruwweg in twee grote onderdelen kan worden opgesplitst: ▪ Verzendlijsten van interne en externe contacten van de gemeente die worden verwerkt op basis van het algemeen belang van artikel 6.1.e AVG met als doel “het faciliteren van communicatie overheen de verschillende diensten van de gemeente […] in het kader van het bestuur en de werking van de gemeente” 11. ▪ De verzendlijst bestaande uit persoonlijke contacten van de burgemeester die enerzijds worden verwerkt op basis van toestemming (artikel 6.1.a AVG) van de betrokken persoon en anderzijds op basis van het algemeen belang (artikel 6.1.e AVG) met als doel: “het mogelijk maken om e-mails te beantwoorden van personen die contact hebben opgenomen met de burgemeester.”12 27. Naast deze twee doelen, worden de medewerkers van de gemeente eveneens gecontacteerd op basis van hun tewerkstellingscontract (artikel 6.1.b AVG) met als doel het beheer van het personeel van de gemeente. 28. Tenslotte stelt de Geschillenkamer in de interne privacyverklaring 13 vast dat de gemeente toestaat aan haar medewerkers “om elektronische contactgegevens van andere medewerkers te gebruiken voor het delen van bijzondere gebeurtenissen, zowel werk gerelateerd als van persoonlijke aard. […] Deze verwerking van uw persoonsgegevens is gebaseerd op het gerechtvaardigd belang [artikel 6.1.f AVG] van de gemeente […]”14. 29. Het adressenbestand van de gemeente is opgedeeld in verschillende contactgroepen. Het betreffen: 10 Stuk 42, Re_PV Hoorzitting, randnummer 3. 11 Bijlage Antwoorden op bijkomende vragen GBA van stuk 25, Aanvullende informatie van de gemeente […] van 30 augustus 2024, randnummer 13. 12 Bijlage Antwoorden op bijkomende vragen GBA van stuk 25, Aanvullende informatie van de gemeente […] van 30 augustus 2024, randnummer 13. 13 Bijlage 6 aan stuk 36, Conclusie van antwoord (van de gemeente) van 4 februari 2025 14 Bijlage 6 aan stuk 36, Conclusie van antwoord (van de gemeente) van 4 februari 2025, p. 12-13. Beslissing ten gronde 163/2025 — 7/24 • interne contactpersonen, bestaande uit de leden van het college en van het management van de gemeente en de medewerkers van de gemeente, in totaal 155 correspondenten; • externe contactpersonen, bestaande uit gemeenteraadsleden, ereburgers, ereraadsleden enz, in totaal 95 correspondenten; • functionele e-mailgroepen, opgedeeld volgens 32 verschillende thema’s (OCMW, directeur scholen, palliatief zorgteam, politie overleg, lijsten huwelijken enz.), in totaal 301 correspondenten; • persoonlijke contacten, een lijst die bestaat uit enerzijds personen met een persoonlijke band met de burgemeester, maar anderzijds ook uit inwoners van de gemeente die de burgemeester tijdens de legislatuur hebben aangeschreven met een probleem of bezorgdheid, in totaal 441 correspondenten. Doel van het verzenden van de bewuste e-mail naar de contacten van de gemeente 30. Op basis van de bijlagen in de initiële klacht stelt de Geschillenkamer vast dat vanop het emailadres van de burgemeester de bewuste e-mail werd verstuurd met als onderwerp: “Officiële uitnodiging voorstelling van ons boek: ‘<boektitel>.” 15 Het betreft een uitnodiging voor een boekvoorstelling van een boek waarvan de burgemeester medeauteur is. De Geschillenkamer stelt vast dat in deze uitnodiging geen enkele link wordt gelegd met de gemeente of het beleid in de gemeente. Uit de inhoud van de bewuste e-mail valt af te leiden dat de focus van het evenement op leiderschap en netwerken ligt. Deelname aan het evenement kostte 10 EUR. 31. De Geschillenkamer stelt vast dat, alhoewel de uitnodiging voor de boekvoorstelling werd verstuurd vanop het e-mailadres van de burgemeester, deze louter ondertekend was met de voornamen van de burgemeester en de medeauteur van het boek. In de handtekening van de mail werd daarenboven verwezen naar een project met een website en drie e-mail adressen: een info@ adres en twee e-mail adressen op basis van de voornaam van de burgemeester en van de medeauteur van het boek. Deze drie e-mail adressen verwijzen naar de domeinnaam van het project. 32. De Geschillenkamer stelt na eenvoudige consultatie van deze website 16 vast dat het boek kadert in een groter, commercieel project: ▪ Onder de tab ‘home’: “We doen dat aan de hand van ons boek dat een goede opstart is voor individuele coaching.” 15 Bijlage aan stuk 2, Klachtenformulier tegen gemeente […] van 24 april 2024, p. 1-3. 16 Consultatie van de website [website boek] op datum van 21 mei 2025 en op datum van 4 september 2025. Beslissing ten gronde 163/2025 — 8/24 Onder de tab ‘wie zijn we?’: “Zo kwam er eerst ons boek en volgt er weldra een extra ▪ waaier aan lezingen, workshops en mentoring, als aanvulling op een bestaand coachingaanbod.” Onder de tab ‘Ons boek’: “Het boek bevat […] concrete opdrachten waarmee jij als ▪ lezer aan de slag kan en die een mooie opstart kunnen zijn naar individuele coaching en naar ons verdere aanbod” Onder de tab ‘Ons aanbod’: “onze missie? […] Dat doen we via inspirerende lezingen, ▪ coaching & mentoring, interactieve workshops, consultancy. Je kan bij ons terecht als individuele leidinggevende of als organisatie.” 17 33. Dit groter project is ook ondergebracht in een aparte rechtspersoon in de vorm van een commanditaire vennootschap, waarvan de klager in zijn communicatie van 3 september 2024 de oprichtingsakte toevoegde 18. De oprichtingsakte werd neergelegd op 24 juni 2024 en vermeldde de burgemeester als enige bestuurder en zaakvoerder van de rechtspersoon. De specifieke activiteiten omvatten onder andere: ▪ schrijven, verkoop en distributie van eigen werk; ▪ consultancy; ▪ (interactieve) workshops ▪ lesgeven en beheer van een opleidingsinstituut voor onder andere beginnende politici en/of schooldirecteurs. 34. ▪ individuele monitoringsessies en teamcoaching ▪ lezingen Het bestaan en onderhouden van de bewuste website en de oprichting van de rechtspersoon door de burgemeester wijzen overduidelijk op een commerciële activiteit van de burgemeester en weerleggen het argument dat ‘noch de boekvoorstelling, noch het uitbrengen van het boek een commerciële activiteit uitmaakt in hoofde van de burgemeester’19. Het loutere feit dat de burgemeester na de boekvoorstelling slechts beperkte inkomsten had uit keynote speeches betekent niet dat in de toekomst, bijvoorbeeld wanneer de burgemeester zijn ambt zou neerleggen, wel meer winstgevende activiteiten kunnen worden ontplooid. 35. De Geschillenkamer oordeelt dat het uitbrengen van het boek en de bijbehorende boekvoorstelling rechtstreeks bijdragen aan het private, zakelijke project van de 17 Van de website ‘[…].be’, geconsulteerd op 16 juni 2025. 18 Bijlage aan stuk 26, Reactienota van 3 september 2024. 19 Zie hiervoor randnummer 25 van deze beslissing. Beslissing ten gronde 163/2025 — 9/24 burgemeester die voor dit project een eigen website heeft gecreëerd en daarenboven een maand na de boekvoorstelling een rechtspersoon heeft opgericht met als doel onder andere ‘schrijven, verkoop en distributie van eigen werk’. 36. Het argument van de burgemeester dat de boekvoorstelling enkel de bedoeling had een inclusief beleid te voeren naar de medewerkers en de inwoners van de gemeente toe, overtuigt niet aangezien slechts een zeer beperkt aantal leden van de gemeente werden bereikt via de e-mailcampagne. Daarenboven heeft de burgemeester voor dergelijke communicaties andere kanalen ter beschikking, zoals de website van de gemeente en het gemeenteblad, die gebruikelijk zijn voor dergelijke communicaties, die kosteloos zijn, die wel alle inwoners zouden kunnen bereiken en die de inwoners meteen kunnen informeren over de bestaande situatie, in tegenstelling tot een boek, dat een zekere tijd na de feiten pas wordt gepubliceerd. 37. De Geschillenkamer neemt akte van het feit dat er een advies van de DPO is, maar stelt vast dat dit advies enkel is gebaseerd op informatie die rechtstreeks bij de burgemeester werd ingewonnen. Dit blijkt uit verschillende toevoegingen van de DPO: “Ik heb begrepen, toen ik hiervoor bij de burgemeester informatie inwon […]”; “Het boek zou volgens de burgemeester handelen over […]”, “Verder stel ik, op grond van de informatie die mij door de burgemeester werd aangeleverd, vast dat […] en “Op grond van bovenstaande informatie, zoals mij ter beschikking gesteld, ben ik van oordeel dat […]” 20. De Geschillenkamer oordeelt dat het advies van de DPO gebaseerd is op onvoldoende onafhankelijke informatie om het oordeel van de Geschillenkamer te weerleggen. Daarenboven werd in dit advies geen rekening gehouden met de bijkomende informatie uit de klacht en uit de consultatie van de website van het project. De gemeente bevestigt zelf deze analyse tijdens de hoorzitting wanneer zij stelde dat de DPO “pragmatisch” 21 wou omgaan met de vraag om zijn advies. 38. Aangezien het boek en de boekvoorstelling overduidelijk kaderen in het nieuwe, private zakelijke project van de burgemeester, aangezien slechts een zeer beperkt aantal inwoners van de gemeente werden bereikt met de bewuste e-mail, aangezien het verband tussen het boek en de gemeente nergens werd opgenomen in de uitnodiging voor de boekvoorstelling en aangezien noch de boekvoorstelling, noch het boek kosteloos waren, oordeelt de Geschillenkamer dat het primaire doel van het gebruik van de contactgegevens van de gemeente voor de bewuste e-mail direct marketing22 betrof. 20 Bijlage aan stuk 23, Antwoord aan GK van 30 augustus 2024. 21 Stuk 41, PV Hoorzitting, p. 5. 22 Voor een verduidelijking van het begrip direct marketing verwijst de Geschillenkamer naar aanbeveling 01/2025 over de verwerking van persoonsgegevens bij direct marketing van de GBA: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-01-2025-over-de-verwerking-vanpersoonsgegevens-bij-direct-marketing.pdf . Beslissing ten gronde 163/2025 — 10/24 Rechtsgrond voor de verwerking van contactgegevens voor een ander doel dan waarvoor ze werden verzameld 39. De Geschillenkamer stelt vast dat de doelstelling direct marketing niet is opgenomen in de doelstellingen waarom de gemeente persoonsgegevens, en meer in het bijzonder haar contactgegevens, verwerkt. Overeenkomstig artikel 6.4 AVG en overweging 50 AVG, dient de verwerkingsverantwoordelijke, indien deze voornemens is persoonsgegevens te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, in beginsel voorafgaand te beoordelen in welke mate het nieuwe doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk verzameld zijn om onder dezelfde rechtsgrond te kunnen worden verwerkt. 40. De Geschillenkamer beoordeelt hierna de voorwaarden die zijn opgenomen in artikel 6.4 AVG: • Ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verdere verwerking 41. De Geschillenkamer oordeelt dat er geen direct verband bestaat tussen het voeren van een direct marketing campagne voor een boek in het kader van een nieuw zakelijk project van de burgemeester als privépersoon en het uitoefenen van zijn openbare functie als hoofd van de gemeente waarbij het noodzakelijk is een goede interne en externe communicatie te kunnen voeren. 42. Hierboven23 heeft de Geschillenkamer reeds geoordeeld dat het voeren van een inclusief beleid door de burgemeester niet overtuigt als argument dat de boekvoorstelling kadert binnen het algemeen belang van een goede interne en externe communicatie. 43. Het feit dat het boek passages zou bevatten die rechtstreeks van toepassing zouden zijn op de gemeente en haar hervormingen, wat nergens wordt aangetoond, overtuigt evenmin als argument dat er een direct verband zou bestaan tussen de noodzakelijke communicatie in het kader van het algemeen belang van de gemeente en een boek dat een zekere tijd na de feiten uitkomt. • Het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft 44. De burgemeester is als hoofd van de gemeente hiërarchisch overste van de medewerkers van de gemeente en politiek vertegenwoordiger van alle burgers van de gemeente. Wanneer hij bijgevolg zijn functioneel e-mail adres (burgemeester@[gemeente].
- be)gebruikt voor een communicatie, oordeelt de Geschillenkamer dat het niet binnen de redelijke verwachtingen van de correspondenten valt dat het een private e-mail in het 23 Zie hiervoor randnummer 36 van deze beslissing. Beslissing ten gronde 163/2025 — 11/24 kader van direct marketing voor een persoonlijk, zakelijk project betreft. Voor dergelijke direct marketing communicatie valt eerder te verwachten dat deze wordt verzonden vanuit de zakelijke omgeving van het private project van de burgemeester. Deze beoordeling wordt bevestigd door het feit dat de burgemeester de e-mail niet ondertekende met zijn functionele handtekening maar wel met zijn voornaam (en de voornaam van de medeauteur van het boek) en de contactgegevens van zijn zakelijke project. 45. Inzake de correspondenten die zijn opgenomen in de functionele e-mail groepen, oordeelt de Geschillenkamer dat het niet binnen de redelijke verwachtingen valt van deze correspondenten om direct marketing aangaande het private zakelijke project van de burgemeester te krijgen. Deze e-mail groepen zijn immers gecreëerd rond een duidelijk concreet thema, waarvan ‘persoonlijke, zakelijke projecten’ geen deel uitmaken. Om een concreet voorbeeld te noemen: de correspondenten van de groep ‘palliatief supportteam’ of de groep ‘lokale integrale veiligheidscel inzake radicalisme, extremisme en terrorisme’ verwachten berichten omtrent deze respectievelijke onderwerpen, maar geen direct marketing die niets te maken heeft met het respectievelijke thema. 46. Inzake de externe contactpersonen oordeelt de Geschillenkamer eveneens dat een private direct marketing e-mail van de burgemeester niet binnen de redelijke verwachtingen van deze correspondenten valt. Deze contactpersonen zijn opgenomen omdat ze een nauwe band hebben met de gemeente, maar niet noodzakelijk met de burgemeester en zijn private, zakelijke project. 47. Inzake de persoonlijke contacten van de burgemeester, bestaat deze nauwe band met de burgemeester wel voor een deel van deze groep. Voor een ander deel van deze groep, namelijk de burgers die de burgemeester tijdens de legislatuur hebben aangeschreven met een probleem of bezorgdheid, oordeelt de Geschillenkamer dat het ontvangen van een direct marketing e-mail van de burgemeester over zijn persoonlijk zakelijk project niet binnen de redelijke verwachtingen van deze betrokkenen valt. Hun contact met de burgemeester kadert immers volledig binnen zijn functionele positie en het beleid van of problematieken in de gemeente. 48. Inzake de interne contactpersonen stelt de Geschillenkamer vast dat de privacyverklaring van de gemeente een mogelijkheid had voorzien om bijzondere gebeurtenissen binnen het leven van een medewerker te delen met de andere medewerkers: “Belangrijk: De Gemeente staat haar medewerkers toe om elektronische contactgegevens van andere medewerkers te gebruiken voor het delen van bijzondere gebeurtenissen, zowel werkgerelateerd als van persoonlijke aard (bijvoorbeeld geboortes, huwelijken, pensioneringen of andere belangrijke mijlpalen of verwezenlijkingen). Deze communicatie draagt bij aan de onderlinge verbondenheid en een positieve werksfeer binnen de Gemeente, zolang deze Beslissing ten gronde 163/2025 — 12/24 gebeurt volgens de ethische code van de Gemeente inzake (waarbij deze verwerkingen niet zodanig mogen doorwegen dat ze een inmenging in de persoonlijke levenssfeer worden).”24 49. De Geschillenkamer oordeelt dat het uitbrengen van een boek beschouwd kan worden als een belangrijke gebeurtenis die men wil delen met naaste medewerkers en bijgevolg, mede doordat dit is opgenomen in de privacyverklaring, binnen de redelijke verwachtingen valt van de interne correspondenten van de gemeente. De Geschillenkamer doet hierbij uitdrukkelijk geen uitspraak over de manier waarop de gemeente deze verwerking van persoonsgegevens organiseert of verantwoordt, aangezien dit niet binnen de scope van de initiële klacht valt en aangezien de Geschillenkamer geen informatie heeft over de ethische code van de gemeente. 50. De Geschillenkamer oordeelt dat het verzenden van direct marketing voor de private zakelijke belangen van de burgemeester aan in totaal 992 bestemmelingen 25 niet binnen de redelijke verwachtingen valt van een overgroot deel van deze correspondenten, te meer omdat het e-mailadres verbonden aan zijn publieke, hiërarchische functie als afzender werd gebruikt en niet zijn privé of zakelijk e-mail adres. • 51. De aard van de persoonsgegevens De Geschillenkamer stelt vast dat er geen gevoelige persoonsgegevens werden verwerkt. • De mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen 52. De burgemeester stelt dat er slechts beperkte gevolgen waren voor de betrokkenen die de bewuste e-mail hebben ontvangen gezien zij allemaal reeds eerder contact hadden gehad met de gemeente en/of de burgemeester. De Geschillenkamer volgt dit argument en oordeelt dat er slechts beperkte gevolgen voor de betrokkenen waren naar aanleiding van het verder verwerken van hun contactgegevens. De Geschillenkamer laat hier de andere emails die werden verzonden vanop hetzelfde functioneel e-mail adres van de burgemeester en die in de initiële klacht ook werden opgenomen, buiten beschouwing, aangezien ze geen deel uitmaken van deze beslissing. • 53. Het bestaan van passende waarborgen De Geschillenkamer velt geen oordeel over deze voorwaarde aangezien de bewuste verwerking geschiedde vanuit de originele e-mail omgeving van de gemeente en deze email omgeving niet binnen de scope van deze beslissing valt. 24 25 Bijlage stuk 6, Interne privacyverklaring Y1 bij stuk 36, conclusie van antwoord gemeente van 4 april 2025, p. 12-13. Bijlage Antwoorden op bijkomende vragen GBA aan stuk 25, Aanvullende informatie van de gemeente, waarin de verschillende verzendlijsten staan opgesomd, inclusief het aantal effectieve bestemmelingen. Beslissing ten gronde 163/2025 — 13/24 Gevolgen gezien de onverenigbaarheid van doelstellingen volgens artikel 6.4 AVG 54. Gezien er geen verband is tussen het initiële doel van de verwerking van de contactgegevens door de gemeente en de huidige verwerking door de burgemeester, aangezien er een politieke en/of functionele hiërarchische verhouding bestaat tussen de burgemeester en zijn medewerkers of burgers en aangezien de verwerking niet binnen de redelijke verwachtingen van het overgrote deel van de bestemmelingen valt, oordeelt de Geschillenkamer dat het verwerken van de contactgegevens van de gemeente met als doel direct marketing ten voordele van de private zakelijke belangen van de burgemeester niet verenigbaar is met het doel waarvoor de contactgegevens aanvankelijk werden verzameld. De gemeente bevestigde dit in haar antwoord op de vraag naar de verenigbaarheid van de doelstellingen in haar schrijven van 30 augustus 2024 wanneer ze stelde: “Tenslotte moet opgemerkt worden dat de verwerking van het hierboven beschreven adressenbestand voor dit nieuwe verwerkingsdoeleinde slechts geringe gevolgen heeft gehad voor de relevante betrokkenen […]”.26 Analyse van de verwerkingsverantwoordelijkheid van de burgemeester 55. Overeenkomstig artikel 4.7 AVG dient als verwerkingsverantwoordelijke te worden beschouwd: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Het Hof van Justitie van de Europese Unie (hierna ‘HvJEU’) heeft in zijn rechtspraak het begrip “verwerkingsverantwoordelijke” meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren.27 56. Overeenkomstig richtsnoer 7/2020 van de European Data Protection Board (hierna ‘EDPB’) dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(
- n)in concreto te worden beoordeeld.28 Overeenkomstig hetzelfde richtsnoer dienen de concepten “het doel” en “de middelen” onlosmakelijk samen te worden behandeld en dient hierbij te worden vastgesteld wie het ‘waarom’ (het doel) en het ‘hoe’ (de middelen) van de verwerking bepaalt.29 57. Gelet op het bovenstaande komt de Geschillenkamer tot de conclusie dat de verwerking van de contactgegevens voor de bewuste e-mail niet kadert in de algemene werking van de gemeente en dus heeft plaatsgevonden buiten het toepassingsgebied van de rechtsgronden van de gemeente. Aangezien het doel van deze verwerking enkel de 26 Stuk 23, Antwoord aan de GK van 30 augustus 2024, p. 9. 27 Zie o.a. HvJEU, Arrest van 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, randnummer 2729. 28 EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, versie 2.0, Vastgesteld op 7 juli 2021, randnummer 12. 29 Ibid, randnummer 36. Beslissing ten gronde 163/2025 — 14/24 persoonlijke, commerciële belangen van de burgemeester dient en niet het algemeen belang op basis waarvan een gemeente als overheid handelt, oordeelt de Geschillenkamer dat de burgemeester het doel van deze verwerking autonoom heeft bepaald. Als middel heeft de burgemeester de mailomgeving van de gemeente gebruikt. 58. De Geschillenkamer oordeelt bijgevolg dat de burgemeester heeft opgetreden als verwerkingsverantwoordelijke van de contactgegevens van de gemeente, waartoe hij vanuit zijn functie toegang had, maar die hij voor een eigen, persoonlijk doel heeft aangewend. 59. Aangezien er geen verband is tussen het initiële doel van de verwerking door de gemeente en de huidige verwerking door de burgemeester en aangezien de burgemeester voor de bewuste verwerking handelde als aparte verwerkingsverantwoordelijke, oordeelt de Geschillenkamer dat de burgemeester niet kan steunen op de verwerkingsgrond die de gemeente toelaat de persoonsgegevens te verzamelen en te verwerken en bijgevolg een inbreuk pleegt op het rechtmatigheidsbeginsel van artikel 5.1.a AVG juncto artikel 6.1 AVG aangezien de burgemeester de contactgegevens van de gemeente verder verwerkte zonder te kunnen steunen op een geldige rechtsgrond . Onderzoek naar de rechtsgrond in hoofde van de burgemeester als verwerkingsverantwoordelijke 60. Ten overvloede onderzoekt de Geschillenkamer op welke andere, afzonderlijke rechtsgrond de burgemeester zich zou hebben kunnen baseren aangaande het gebruik van de contactgegevens van de gemeente voor het verzenden van de bewuste e-mail. 61. Overweging 47 van de AVG bepaalt dat “De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang”. Dit betekent dat een verwerking die noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de burgemeester a priori rechtmatig is, mits de belangen of de rechten en vrijheden van de betrokkene niet zwaarder doorwegen. 62. In casu verstuurde de burgemeester de uitnodiging voor de boekvoorstelling echter via email. Hierdoor zijn er bijkomende regels van toepassing die gelden voor het versturen van digitale direct marketing, namelijk artikel 13 van de ePrivacy richtlijn 30. In België werd deze bepaling omgezet in artikel XII.13, §1 van het Wetboek van Economisch Recht. Behoudens wettelijke uitzondering, kan het gebruik van e-mail met het oog op direct marketing alleen worden toegestaan indien de betrokkenen hiervoor hun toestemming hebben gegeven.31 30 Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) 31 Aanbeveling 01/2025 van 17 januari 2020 Betreffende de verwerking van persoonsgegevens voor direct marketingdoeleinden (beschikbaar via < https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-012025-over-de-verwerking-van-persoonsgegevens-bij-direct-marketing.pdf >); Artikel 13.1 van Richtlijn 2002/58/EG van het Beslissing ten gronde 163/2025 — 15/24 Dit impliceert dat, ongeacht andere mogelijke rechtsgronden onder artikel 6.1 AVG, in het onderhavige geval uitsluitend toestemming als rechtsgrond in aanmerking kan komen. 63. Ook artikel 6.4 AVG wijst op de mogelijkheid van de toestemming van de betrokkene (artikel 6.1.a AVG) om de persoonsgegevens verder te verwerken voor een ander doel dan het doel waarvoor de persoonsgegevens werden verzameld. 64. In zijn conclusies verwijst de burgemeester naar de toestemming als rechtsgrond voor de verwerking van de contactgegevens van externe contacten van de gemeente. Nergens toont de burgemeester echter aan dat deze toestemming ook gold voor de verwerking van deze contactgegevens voor zijn rekening als verwerkingsverantwoordelijke of voor het doel van direct marketing. 65. Noch de gemeente, noch de burgemeester tonen op enige manier aan dat zij een geldige toestemming hadden voor het verwerken van de contactgegevens van de gemeente voor direct marketing doeleinden. 66. De Geschillenkamer oordeelt dat de burgemeester als verwerkingsverantwoordelijke geen verwerkingsgrond heeft om de contactgegevens van de gemeente te verwerken, los van de verwerkingsgronden van de gemeente. II.4. De transparantie van de verwerking (artikelen 5.1.a AVG, 12 AVG, en 14 AVG) van de bewuste e-mail in hoofde van de burgemeester 67. Op grond van de transparantieverplichting in artikel 5.1.
- a)AVG, zoals nader gepreciseerd in de artikelen 13 en 14 AVG moet elke persoon wiens persoonsgegevens worden verwerkt, naargelang het feit of de gegevens rechtstreeks bij hem of bij derden worden verzameld, op de hoogte worden gesteld van de in die artikelen genoemde elementen. Wanneer de gegevens rechtstreeks bij de betrokkene worden verzameld, wordt deze op de hoogte gebracht van de elementen opgesomd in artikel 13.1 en 13.2 AVG. In artikel 14.1 en 14.2 AVG, worden soortgelijke elementen opgesomd, met dien verstande dat artikel 14 AVG betrekking heeft op gegevens die niet rechtstreeks bij de betrokkene worden verzameld, maar bij derden. Deze informatie moet op grond van artikel 13 of artikel 14 AVG aan de betrokkene worden verstrekt op de wijze als bepaald in artikel 12 AVG. 68. De burgemeester stelt in zijn syntheseconclusie dat “enkel een schending van de artikelen 5.1.a), 12 en 14 AVG [kan] worden weerhouden voor zover Verweerder en de Gemeente als twee afzonderlijke verwerkingsverantwoordelijken worden beschouwd.” 32 Aangezien, volgens de burgemeester, de gemeente de enige verantwoordelijke is voor de verwerking Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie): 32 Stuk 35, Conclusie van antwoord van burgemeester van 4 april 2025, randnummer 30. Beslissing ten gronde 163/2025 — 16/24 van de contactgegevens, kan de burgemeester geen schending tegen het transparantieprincipe worden verweten. 69. Hierboven33 oordeelde de Geschillenkamer echter dat de burgemeester wel degelijk als afzonderlijke verwerkingsverantwoordelijke moet worden beschouwd voor het verzenden van de bewuste e-mail. Formeel gezien is het de gemeente die de contactgegevens heeft verzameld bij de betrokkene en de burgemeester die als aparte verwerkingsverantwoordelijke de contactgegevens van de gemeente heeft gebruikt. Voor de bewuste e-mail moest de burgemeester bijgevolg voldoen aan de voorwaarden van artikel 14 AVG. De Geschillenkamer stelt vast dat er geen enkele verwijzing naar enige transparantie conform artikelen 12 en 14 AVG terug te vinden is in hoofde van de burgemeester in dit dossier. 70. De bewuste e-mail verwijst in de handtekening van de e-mail naar de website van het zakelijke project van de burgemeester. Na eenvoudige consultatie van deze website 34, stelt de Geschillenkamer vast dat deze website een privacyverklaring bevat die de laatste maal werd geüpdatet op 18 maart 2024. Deze privacyverklaring bestaat uit twee volzinnen en nodigt de lezer uit de medeauteur van het boek te contacteren in geval van vragen over gegevensbescherming. Daarnaast kan men ook doorklikken naar de reële privacyverklaring, die opgesteld is door een ‘privacybeleid- en cookiebeleid generator’. De Geschillenkamer stelt vast dat deze privacyverklaring generieke AVG-informatie bevat zonder enige nuttige of concrete informatie aangaande de verwerking van contactgegevens die verkregen zijn bij een derde, in casu de gemeente. 71. Tenslotte stelt de Geschillenkamer vast dat de bewuste e-mail verzonden werd vanop het functioneel e-mailadres van de burgemeester (burgemeester@<gemeente>.
- be)vanuit de gemeentelijke e-mail omgeving. Aangezien het gebruikelijk is dat ontvangers van een email als eerste controleren van wie de e-mail komt en aangezien het in dit geval een e-mail van het hoofd van de gemeente betrof, zou de ontvanger mogelijk voor transparantie gaan zoeken in de privacyverklaring van de gemeente. De Geschillenkamer stelt vast dat de privacyverklaring van de gemeente geen inhoud bevat die verwijst naar direct marketing of het verder verwerken van contactgegevens door een derde in het kader van zijn persoonlijke zakelijke belangen. 72. De Geschillenkamer oordeelt dat de burgemeester niet voldeed aan de minimum voorwaarden voor een transparante verwerking aangaande de contactgegevens van de ontvangers van de bewuste e-mail en daarmee een inbreuk begaat tegen artikel 5.1.a, 12 en 14 AVG. 33 Zie hiervoor randnummer 58 van deze beslissing. 34 Consultatie van de website [website boek] op datum van 21 mei 2025 en op datum van 4 september 2025. Beslissing ten gronde 163/2025 — 17/24 II.5. De transparantie in hoofde van de gemeente 73. Gezien hierboven werd geoordeeld dat de gegevensverwerking in het kader van de bewuste e-mail onder de verantwoordelijkheid van de burgemeester viel, zal de Geschillenkamer enkel beoordelen of de gemeente als verwerkingsverantwoordelijke voldoende transparant was aangaande het doorgeven van de contactgegevens aan een derde, in casu de burgemeester als privépersoon. 74. De gemeente argumenteert dat de burgemeester deel uitmaakt van de gemeente en dus gebruik kon maken van de contactgegevens die binnen de gemeente bestaan, zonder dat hierover bijkomend moet worden gecommuniceerd. De burgemeester staat immers onder het gezag van de gemeente en verwerkt persoonsgegevens in diens opdracht. 75. De Geschillenkamer volgt de gemeente in deze argumentatie, voor zover de burgemeester binnen de grenzen van de doelstellingen van de gemeente, in wiens opdracht hij werkt, blijft. Het doel van de verwerking van de contactgegevens voor de bewuste e-mail viel echter niet binnen de belangen van de gemeente, maar waren hoofdzakelijk gericht op de private zakelijke belangen van de burgemeester. 76. De Geschillenkamer stelt bijgevolg vast dat de burgemeester niet handelde volgens het gegevensbeschermingsbeleid van de gemeente, waardoor het transparantiebeleid van de gemeente geen soelaas zou brengen. In wezen betreft het hier dus eerder een vraag of de gemeente voldoende technische en organisatorische maatregelen had genomen om dergelijk misbruik van de persoonsgegevens door een medewerker te voorkomen. Aangezien deze beoordeling niet binnen de scope van dit geschil valt, kan de Geschillenkamer hier geen uitspraak over doen. II.6. De functionaris voor gegevensbescherming van de gemeente (artikelen 37 en 38 AVG). 77. Artikel 37.1.a AVG bepaalt dat een verwerkingsverantwoordelijke een functionaris voor gegevensbescherming (hierna ‘DPO’) moet aanduiden in het geval dat de verwerking wordt verricht door een overheidsinstantie. Artikel 9 van het decreet betreffende het elektronische bestuurlijke gegevensverkeer van 18 juli 2008 herhaalt deze verplichting voor de Vlaamse gemeentes. 78. De Geschillenkamer stelt vast dat agendapunt 19 van de vergadering van de gemeenteraad van 27 augustus 2024 de volgende context schetst: “In zitting d.d. 19/11/2023 werd de huidige Data Protection Officer (DPO) <naam betrokkene> aangesteld als voltijds deskundige communicatie. Hierbij zou hij dan ook fulltime binnen de communicatiedienst ingezet worden en niet langer als DPO fungeren. Gezien het toenemende belang van informatieveiligheid is er echter noodzaak om deze functie opnieuw in te vullen. (nadruk Beslissing ten gronde 163/2025 — 18/24 door de Geschillenkamer)”35 Het verslag van deze vergadering werd door de initiële klager overgemaakt aan de Geschillenkamer en beide verweerders op 3 september 2024. 79. De gemeente argumenteert dat de neerslag van de zitting van 27 augustus 2024 ongelukkig was, wat door een correctie werd verholpen in de zitting van 9 september 2024. De Geschillenkamer stelt dan ook vast dat op 9 september 2024 het college van burgemeester en schepenen van de gemeente in punt 5 de volgende context schetst: “Op de gemeenteraadszitting d.d. 27/08/2024 werd gesteld dat, doordat <naam betrokkene>, die nu fungeert als de huidige Data Protection Officer (DPO) van de gemeente, werd bevorderd tot deskundige communicatie, het wenselijk voorhoudt hem op termijn niet langer te belasten met de taken van DPO. […] De stelling zoals geuit in de gemeenteraadszitting d. d. 27/08/2024 dient dan ook in die zin te worden gelezen en begrepen. Op geen enkele manier kan uit deze stelling worden gedistilleerd dat <naam betrokkene> op dit moment niet langer de functie van DPO zou vervullen.” 36 80. Concreet stelt de Geschillenkamer vast dat de DPO sinds 19 november 2023 een voltijdse betrekking deskundige communicatie vervult en daarenboven ook DPO van de gemeente is, zoals de gemeente haar eerdere besluit heeft gecorrigeerd. Artikel 38.2 AVG bepaalt dat de verwerkingsverantwoordelijke de DPO voldoende middelen ter beschikking moet stellen voor het vervullen van zijn taken en het in stand houden van zijn deskundigheid. Een van die middelen is tijd, iets wat de DPO van de gemeente niet had gezien hij een andere voltijdse betrekking had aangevat. Het feit dat beroep werd gedaan op ondersteuning voor de DPO kan hieraan niet verhelpen, aangezien de DPO nog steeds geen tijd zou hebben om het werk van de ondersteuning te controleren en te valideren en zelf taken op te nemen die niet door de ondersteunende dienst gedaan konden worden. 81. De Geschillenkamer oordeelt dat de gemeente de DPO onvoldoende middelen in de vorm van tijd ter beschikking heeft gesteld van de periode van november 2023 tot december 2024, wanneer een nieuwe DPO werd aangesteld en daarmee een inbreuk beging tegen artikel 38.2 AVG. 82. Aangaande het vermeende belangenconflict van de DPO in combinatie met zijn functie als deskundige communicatie, argumenteert de gemeente dat de DPO geen verantwoordelijke functie bekleedde binnen de dienst communicatie en dat er dus van een belangenconflict geen sprake kon zijn. De Geschillenkamer stelt vast dat er geen elementen in het dossier zijn die deze stellingname van de gemeente weerleggen. De Geschillenkamer oordeelt dat de gemeente geen inbreuk heeft gepleegd tegen artikel 38.6 AVG aangezien er geen belangenconflict in hoofde van de DPO is aangetoond. 35 Bijlage dossier gemeenteraad 27 augustus bij stuk 24, reactienota van 3 september 2024, p. 53-54. 36 Bijlage aan stuk 26, antwoord op reactienota van e klager van 19 september 2024. Beslissing ten gronde 163/2025 — 19/24 III. Corrigerende maatregelen en sancties III.1. Corrigerende maatregelen en sancties 83. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. III.2. Ernst van de inbreuk in hoofde van de burgemeester 84. De Geschillenkamer heeft geoordeeld dat de burgemeester geen rechtsgrond conform artikel 5.1.a AVG juncto artikel 6.1 AVG had om de contactgegevens van de gemeente te verwerken in het kader van de bewuste e-mail. Betreffende de aard van de inbreuk neemt Beslissing ten gronde 163/2025 — 20/24 de Geschillenkamer in rekening dat het beginsel van rechtmatigheid een fundamenteel beginsel is van de bescherming die door de AVG gewaarborgd wordt. Het is eveneens opgenomen in artikel 8.2 van het Handvest van de Grondrechten van de Europese Unie. De Geschillenkamer oordeelt dat inbreuken op dit kernbeginsel derhalve zwaarwegende inbreuken vormen. 85. Daarenboven heeft de Geschillenkamer vastgesteld dat de verwerking van de contactgegevens op geen enkele manier transparant was en mogelijk zelfs misleidend was, aangezien de burgemeester zijn functioneel e-mail adres heeft gebruikt om zijn private zakelijke belangen te dienen. De Geschillenkamer houdt hierbij ook rekening met de positie van de burgemeester, die politiek en functioneel hoofd is van de gemeente en haar burgers en medewerkers. 86. De Geschillenkamer neemt echter ook in rekening bij het bepalen van de sanctie dat het slechts één e-mail van direct marketing betrof en geen direct marketing campagne. De Geschillenkamer merkt hierbij echter op dat er in de initiële klacht sprake was van meerdere e-mails van de burgemeester voor meerdere doeleinden, maar deze werden niet opgenomen binnen de omvang van het geschil en worden dus niet mee in rekening genomen in deze beslissing. 87. Tenslotte neemt de Geschillenkamer mee in rekening dat de klacht overduidelijk politiek gemotiveerd was aangezien ze uitging van een politieke tegenstander van de burgemeester en aangezien ze werd ingetrokken wanneer deze politieke tegenstander na de verkiezingen schepen werd onder diezelfde burgemeester. III.3. Corrigerende maatregelen en sancties opgelegd aan de burgemeester III.3.1. Corrigerende maatregelen 88. Nu de Geschillenkamer heeft vastgesteld dat de burgemeester geen rechtsgrond had om de contactgegevens van de gemeente te verwerken voor zijn persoonlijke, zakelijke belangen en niet transparant communiceerde over de verwerking van deze contactgegevens is het aan de orde corrigerende maatregelen te nemen lastens de burgemeester. 89. In het kader van een effectieve rechtsbescherming onder artikel 47 van het Handvest van de Europese Unie en de effectieve handhaving die de wetgever met de AVG nastreeft, is het allereerst aan de orde de burgemeester conform artikel 58.2.f AVG en artikel 100.8° WOG te bevelen de verwerking van de contactgegevens van de gemeente ten voordele van direct marketing onmiddellijk stop te zetten en definitief te verbieden. De Geschillenkamer vermijdt met dit bevel het onrechtmatig verder verwerken van Beslissing ten gronde 163/2025 — 21/24 rechtmatig verkregen en gebruikte contactgegevens van de gemeente door de burgemeester, als politiek en hiërarchisch hoofd van deze gemeente. III.3.2. Sancties 90. In deze omstandigheden en omwille van de vastgestelde inbreuken op artikel 5.1.a AVG juncto 6.1 AVG en op artikelen 5.1.a, 12 en 14 AVG besluit de Geschillenkamer om op grond van artikel 58.2.b AVG en artikel 100.5° WOG een berisping te formuleren ten aanzien van de burgemeester aangezien: • de burgemeester de contactgegevens van de gemeente verder verwerkte zonder te kunnen steunen op een geldige rechtsgrond; • de burgemeester niet voldeed aan de minimum voorwaarden voor een transparante verwerking aangaande de contactgegevens van de ontvangers van de bewuste e-mail. III.4. Ernst van de inbreuk in hoofde van de gemeente 91. De Geschillenkamer heeft geoordeeld dat de DPO onvoldoende middelen, in de vorm van onvoldoende tijd, had gekregen van de gemeente om zijn verantwoordelijkheden als DPO op te kunnen nemen. De gemeente beging daarmee een inbreuk op artikel 38.2 AVG. 92. De Geschillenkamer wijst erop dat de rol van de DPO in het strategisch plan 2020-2025 van de GBA staat vermeld als een prioritair aangemerkt AVG-instrument: “Het is van cruciaal belang dat de [DPO’s] en vooral het topmanagement van particuliere en publieke organisaties een duidelijk inzicht hebben in wat tot de taken van de [DPO] behoort en wat niet. Wij willen de entiteiten identificeren die een [DPO] hebben aangewezen, maar die deze persoon niet de mogelijkheid bieden te handelen in overeenstemming met het wettelijk kader. Een volwaardige [DPO] moet deel uitmaken van het DNA van een volwassen instelling.”37 93. Het is net aan de DPO als eerste adviseur inzake gegevensbescherming om de gemeente en haar burgemeester te wijzen op de onrechtmatige verwerking van persoonsgegevens en op het gebrek aan transparantie aangaande deze verwerking, inbreuken die in dit geval net werden gepleegd tijdens de periode waarin de DPO eveneens voltijds werkte als communicatie-expert. 37 GBA, Strategisch plan 2020-2025, finale versie 28/01/2020, p. 24. Terug https://www.gegevensbeschermingsautoriteit.be/publications/strategisch-plan-2020-2025.pdf te vinden op Beslissing ten gronde 163/2025 — 22/24 III.5. Corrigerende maatregelen en sancties opgelegd aan de gemeente III.5.1. Sancties 94. In deze omstandigheden en omwille van de vastgestelde inbreuk op artikel 38.2 AVG besluit de Geschillenkamer om op grond van artikel 58.2.b AVG en artikel 100.1.5° WOG een berisping te formuleren ten aanzien van de gemeente aangezien de gemeente onvoldoende middelen ter beschikking van haar DPO had gesteld tussen november 2023 en december 2024. Beslissing ten gronde 163/2025 — 24/24 overeenkomstig artikel 1034quinquies van het Ger.W.39, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (Get). Hielke HIJMANS Directeur van de Geschillenkamer 39 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.