Beslissing ten gronde nr. 17/2025

1/28 Geschillenkamer Beslissing ten gronde 17/2025 van 27 januari 2025 Dossiernummer: DOS-2018-04762 Betreft: klacht met betrekking tot het gebruik van de dienst "Auvio" van de RTBF De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden, die de zaak in deze samenstelling behandelen; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, hierna "WVG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 20191 ; Gelet op de stukken van het dossier; Gelet op de beslissing 170/2022 van 22 november 2022 van de Geschillenkamer; 1 Het nieuwe reglement van interne orde van de GBA, naar aanleiding van de wijzigingen aangebracht door de wet van 25 december 2023 tot wijziging van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG) is op 01/06/2024 in werking getreden. Overeenkomstig artikel 56 van de wet van 25 december 2023 is het alleen van toepassing op klachten, bemiddelingsdossiers, verzoeken, inspecties en procedures bij de Geschillenkamer die na die datum zijn aangevangen: https://www.gegevensbeschermingsautoriteit.be/publications/reglement-van-interne-orde-van-degegevensbeschermingsautoriteit.pdf. Dossiers die vóór 01/06/2024 zijn opgestart [zoals in het onderhavige geval], vallen onder de bepalingen van de WOG, ongewijzigd door de wet van 25 december 2023, en onder het reglement van interne orde zoals dat vóór die datum bestond. Beslissing ten gronde 17/2025 — 2/28 Heeft de volgende beslissing genomen inzake: De klager: X, hierna "de klager"; De verweerder: Radio Télévision Belge de la Communauté française (RTBF), autonoom overheidsbedrijf van culturele aard, met als raadsheer Meester Peter Craddock, advocaat met kantoor gevestigd Louisalaan 54, 1050 Brussel; hierna “de RTBF" of “de verweerder”. I. 1. Feiten en procedure Op 18 juni 2018 dient de klager bij de Gegevensbeschermingsautoriteit een klacht in tegen de verweerder. 2. In zijn klacht klaagt de klager erover dat de RTBF live-dienst (webstreaming - Auvio) op Belgisch grondgebied alleen toegankelijk is indien de bezoekers hun persoonsgegevens verstrekken (e-mailadres/inloggen via hun Facebook- of Google-accounts). Hij wijst er ook op dat het aanmeldingsproces met de live-dienst niet werkt als de gebruiker de cookies en trackers van derde bedrijven die door de RTBF-website worden gebruikt, uitschakelt. 3. Op 15 oktober 2018 wordt de klacht ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en wordt de klacht op grond van artikel 62, § 1, van de WOG overgemaakt aan de Geschillenkamer. De klager wordt hiervan diezelfde dag op de hoogte gebracht. 4. Op 23 oktober 2018 beslist de Geschillenkamer op grond van de artikelen 63, 2°, en 94, 1°, van de WOG een onderzoek aan de Inspectiedienst te vragen. 5. Op 29 oktober 2018 wordt, overeenkomstig artikel 96, § 1, van de WOG, het verzoek van de Geschillenkamer om een onderzoek in te stellen, overgemaakt aan de Inspectiedienst. De klager wordt hiervan diezelfde dag op de hoogte gebracht. 6. Op 28 januari 2020 wordt het onderzoek door de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en het dossier door de inspecteur-generaal aan de voorzitter van de Geschillenkamer bezorgd (art. 91, § 1 en § 2 van de WOG). Het onderzoeksverslag is gebaseerd op twee technische analyseverslagen van respectievelijk 1 juli 2019 en 9 januari 2020. 7. In zijn verslag doet de Inspectiedienst (ID) de volgende vaststellingen: Beslissing ten gronde 17/2025 — 3/28 - Wat betreft de rechtsgrond voor de verwerking van registratiegegevens enerzijds en van gegevens voor personalisatie (profilering) anderzijds (vaststelling 1): de ID is van mening dat de verweerder zich niet kan beroepen op het gerechtvaardigd belang dat hij aanvoert ter ondersteuning van de verwerking van registratiegegevens (artikel 6.1.

1. f)van de AVG). Wat betreft de bijkomende toestemming die wordt ingeroepen met betrekking tot de rechtmatigheid van de verwerking van gegevens in verband met personalisatie, wijst de ID erop dat de verwerkingsverantwoordelijke een rechtmatigheidsgrond moet hebben vastgesteld voordat hij de gegevens verwerkt (in dit geval de verzameling) en niet van de ene grond op de andere kan overschakelen2. - Wat betreft de rechtmatigheid van de verwerking van persoonsgegevens voor profilering voor reclamedoeleinden en de mogelijkheid om bezwaar te maken (vaststellingen 2, 3 en 4): de ID merkt op dat, hoewel de beheersovereenkomst van de verweerder hem toestaat gebruik te maken van algoritmen voor het aanbevelen van content3, de definitie van deze term geen reclame omvat. De ID concludeert dat de rechtmatigheid van profilering voor reclamedoeleinden door de verweerder (en dus de naleving van artikel 5.1.
2. b)van de AVG) in twijfel kan worden getrokken. Aangezien de gebruiker profilering voor reclamedoeleinden niet kan weigeren op het moment van registratie en het platform het niet mogelijk lijkt te maken om zich daar na registratie gemakkelijk tegen te verzetten, concludeert de ID dat niet lijkt te zijn voldaan aan de bepalingen van de artikelen 12.2, 21 en 25 van de AVG. Ten slotte merkt de ID op dat de update van de doeleinden in het registratieformulier door opname van de profilering voor reclamedoeleinden per 9 januari 2020 niet is uitgevoerd, hoewel de verweerder had toegezegd dit te zullen doen. De ID concludeert dat dit onverenigbaar lijkt met de bepalingen van de artikelen 12.1, 13 en 14 van de AVG. - Wat betreft het gebruik van sociale netwerkgegevens voor aanmeldings- /registratiedoeleinden (vaststellingen 5 en 6): de ID concludeert dat het verschil tussen het aanmeldings- en het registratiemechanisme voor het platform via sociale netwerken (Facebook, Google) onvoldoende duidelijk en onvoldoende toegelicht is, hetgeen in strijd is met de artikelen 12.1, 13 en 14 van de AVG. De ID voegt eraan toe dat het mechanisme 2 De ID verwijst in dit verband naar de richtsnoeren inzake toestemming overeenkomstig de AVG die op 28 november 2017 door de Groep artikel 29 zijn vastgesteld en op 10 april 2018 zijn herzien en goedgekeurd. Ter informatie voegt de Geschillenkamer hieraan toe dat dit verbod om van de ene rechtmatigheidsgrond naar de andere over te stappen, is bevestigd door het Europees Comité voor gegevensbescherming (EDPB) in zijn richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening (EU) 2016/679. Zie punt 123: https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf 3 De Geschillenkamer wijst erop dat artikel 27/1 van de Digital Services Act (DSA) (Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG (digitaledienstenverordening)) hierover het volgende bepaalt: "Aanbieders van onlineplatforms die gebruikmaken van aanbevelingssystemen, vermelden in hun algemene voorwaarden in duidelijke en begrijpelijke taal de belangrijkste parameters die in hun aanbevelingssystemen worden gebruikt, alsook eventuele opties voor de afnemers van de dienst om deze belangrijkste parameters te wijzigen of te beïnvloeden." Deze vermelding is informatief, aangezien deze vaststellingen geen deel uitmaken van de zaak die aan de Geschillenkamer is voorgelegd (zie hieronder). Beslissing ten gronde 17/2025 — 4/28 dat onder het mom van aanmelden via een Facebook-account wordt gebruikt, in feite neerkomt op het aanmaken van een RTBF-account waarbij de Facebook-gegevens van de gebruiker worden verstrekt, zonder dat de gebruiker daarvan op de hoogte wordt gesteld. De ID concludeert dat deze procedure in strijd is met artikel 5.1, punten a),
3. b)en c), van de AVG en met de artikelen 12.1, 13 en 14 van de AVG. 8. Op 17 maart 2020 beslist de Geschillenkamer op grond van art. 95, § 1, 1°, en art. 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 9. Op dezelfde datum worden de betrokken partijen per aangetekende brief in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en artikel 98 van de WOG. Tevens worden zij overeenkomstig artikel 99 van de WOG in kennis gesteld van de termijnen voor het indienen van hun conclusies, namelijk 14 april (conclusie van antwoord) en 14 mei 2020 (conclusie van repliek) voor de verweerder, en 29 april 2020 (conclusie van repliek) voor de klager. 10. Op 19 maart 2020 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem werd toegestuurd op 25 maart 2020. Hij geeft ook te kennen door de Geschillenkamer te willen worden gehoord overeenkomstig artikel 51 van het Reglement van interne orde van de GBA. 11. Op 14 april 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. Op 14 mei 2020 ontvangt zij diens syntheseconclusie. Zijn argumenten kunnen als volgt worden samengevat; de details van zijn verweer worden uiteengezet in de motivering van de onderhavige beslissing (zie hieronder). - Het eerste deel van de conclusie van de verweerder strekt ertoe aan te tonen dat de vaststellingen van het ID-onderzoek buiten beschouwing moeten worden gelaten, aangezien het opstellen van dit verslag en van de technische analyseverslagen ten grondslag hieraan, niet in overeenstemming met de beginselen van behoorlijk bestuur heeft plaatsgevonden. - Ten gronde betwist de verweerder dat er sprake is van enige schending van de AVG van zijn kant. 12. Op 28 april 2020 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. In het algemeen hekelt de klager de houding van de verweerder en wijst hij met name op de praktijk van cookies, het gebrek aan transparantie en de vraag naar de relevantie van het verzamelen van persoonsgegevens als verplichte stap om toegang te krijgen tot online-content. 13. Op 22 november 2022 neemt de Geschillenkamer beslissing 170/2022 waarin zij de klacht op grond van artikel 100.1.1° van de WOG seponeert voor zover deze betrekking Beslissing ten gronde 17/2025 — 5/28 heeft op de grieven die zijn behandeld in schikkingsbeslissing 168/2022 van de Geschillenkamer. 14. Deze schikkingsbeslissing 168/2022 was gericht aan de verweerder van de onderhavige beslissing, namelijk de RTBF. Zij volgde op een onderzoek op eigen initiatief van de ID naar een aantal grieven die ook in de onderhavige klacht aan de orde waren. 15. Het voorwerp van deze schikking was "mogelijke schendingen van de AVG, met betrekking tot cookies en, meer in het algemeen, de opslag van en de toestemming voor het plaatsen en verder verwerken van informatie op het apparaat van de gebruiker als betrokkene". De schikking heeft dus betrekking op de grief over "cookies" in zijn geheel, die de klager in zijn klacht (tweede deel) aan de orde stelt, alsmede op de vaststellingen 1 (alleen voor profilering voor reclamedoeleinden), 2, 3 en 4 van het onderzoeksverslag van de ID. 16. Binnen de grenzen van beslissing 168/2022 had de Geschillenkamer dus haar bevoegdheid uitgeput ten aanzien van de door de klager aangevoerde feiten en de daarmee verband houdende grieven over "cookies". Op grond van haar bovengenoemde beslissing 170/2022 heeft de Geschillenkamer de klacht van de klager ten aanzien van deze grieven derhalve om technische redenen geseponeerd, binnen dezelfde materiële en temporele grenzen. 17. Voor de periode vanaf 20 november 2020 (de einddatum van de schikkingsperiode - die overigens later valt dan de afsluitingsdatum van het onderzoek van de ID op 28 januari 2020 in deze zaak), aangezien de Geschillenkamer tot op heden niet over vaststellingen beschikt die de door de klager aangevoerde grieven staven, heeft zij geen enkele tekortkoming van de verweerder kunnen vaststellen en heeft zij de klacht geseponeerd op deze technische grond, evenals op basis van criterium A.I van haar sepotbeleid. 18. In dezelfde beslissing 170/2022 preciseert de Geschillenkamer dat zij anderzijds, wat betreft de verwerking van gegevens in het kader van de verbinding met en de registratie op het Auvio-platform (vaststelling 1 (betreffende de registratie) en vaststellingen 5 en 6 van het inspectieverslag), de procedure zal voortzetten met een onderzoek ten gronde (punt 28 van de beslissing): "Met betrekking tot de klachten over de gegevensverwerking in verband met de aanmelding en registratie op het Auvio-platform (eerste deel van de klacht van klager en de vaststellingen 1 (wat de registratie betreft), 5 en 6 van het inspectieverslag) heeft de Geschillenkamer besloten de behandeling ervan voort te zetten, aangezien deze klachten niet onder haar schikkingsbeslissing 168/2022 vielen. Aangezien verweerder heeft verzocht om in deze zaak te worden gehoord, zal de Geschillenkamer te zijner tijd een hoorzitting in aanwezigheid van partijen plannen." Beslissing ten gronde 17/2025 — 6/28 19. Op 30 november 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 27 januari 2023. In de brief waarin zij de partijen uitnodigt voor de hoorzitting verklaart de Geschillenkamer dat, gelet op haar beslissing 170/2002 betreffende een deel van de in de klacht aangevoerde grieven (zie hierboven), de hoorzitting alleen betrekking zal hebben op de grieven die niet onder beslissing 170/2022 vallen, zoals vermeld door de Geschillenkamer in punt 28 daarvan. 20. Gelet op de tijd die is verstreken sinds de feiten en de vaststellingen van de ID en gelet op de wijzigingen die de verweerder in de loop van de procedure op zijn website heeft aangebracht, verzoekt de Geschillenkamer de verweerder ook om de aan de Geschillenkamer verstrekte informatie bij te werken: (
4. a)met betrekking tot het proces van aanmelden / aanmaken van een account, het registreren voor het Auvio-systeem, in het bijzonder via sociale netwerken enerzijds en (
5. b)met betrekking tot de informatie die tot op heden hierover aan de gebruikers is verstrekt anderzijds. De verweerder wordt verzocht deze feitelijke informatie uiterlijk op 4 januari 2023 aan de Geschillenkamer en aan de klager mee te delen. De Geschillenkamer voegt eraan toe dat klager indien gewenst tot 13 januari 2023 op deze updates kan reageren. De verweerder heeft in fine en in voorkomend geval, een laatste recht van repliek tot 24 januari 2023. 21. Op 4 januari 2023 deelt de verweerder de Geschillenkamer mee dat, aangezien de functionaliteit van het registreren door verbinding te maken met een Facebook- of Googleaccount niet is gewijzigd, maar de interface is geëvolueerd (zowel aan de kant van de RTBF als aan de kant van Facebook/Meta en Google), hij haar een document stuurt met updates voornamelijk in de vorm van nieuwe schermafdrukken. Hij wijst erop dat dit document moet worden gelezen in samenhang met zijn syntheseconclusie van 14 mei 2020. 22. Op 27 januari 2023 wordt enkel de verweerder door de Geschillenkamer gehoord, aangezien de klager aan de Geschillenkamer had meegedeeld dat hij niet aan de zitting zou deelnemen. 23. Op 31 januari 2023 wordt het proces-verbaal van de hoorzitting aan de partijen overgemaakt. 24. Op 14 februari 2023 ontvangt de Geschillenkamer een aantal opmerkingen van de verweerder met betrekking tot dit proces-verbaal, waarmee zij bij haar beraadslagingen rekening houdt. Beslissing ten gronde 17/2025 — 7/28 II. Motivering II.1. Wat betreft de rechtmatigheid van de verwerking van de gegevens die tijdens de registratiefase zijn verzameld II.1.1. Het standpunt van de ID 25. Zoals hierboven vermeld is de ID van mening dat de verweerder zich niet kan beroepen op het gerechtvaardigd belang dat hij zou hebben en dat hij tijdens het onderzoek heeft aangevoerd in zijn brief van 11 juli 2019 in antwoord op vragen van de ID over de rechtmatigheid van de verwerking van de registratiegegevens die de ID identificeert als een naam, een voornaam, een wachtwoord en een geldig e-mailadres. Aangezien de ID niet uitsluit dat de verweerder kan worden aangemerkt als een overheid in de zin van artikel 5 van de WVG, betwist hij de toepasselijkheid van artikel 6.1.
6. f)van de AVG 4 en wijst hij er in ieder geval op dat de verweerder tegenover de ID niet heeft aangetoond dat hij de door artikel 6.1.
7. f)van de AVG vereiste belangenafweging heeft uitgevoerd. 26. De ID is van mening dat de verweerder zich niet kan beroepen op zijn gerechtvaardigd belang en/of op de toestemming van de gebruikers wat betreft de verwerking van gegevens die in de registratiefase voor personalisatiedoeleinden zijn verzameld. De rechtmatigheidsgrond moet voorafgaand aan de verwerking worden geïdentificeerd en de verwerkingsverantwoordelijke kan niet van de ene naar de andere grond overschakelen. II.1.2. Het standpunt van de partijen De klager 27. De klager hekelt dat het onmogelijk is om een programma live op Auvio te bekijken (in dit geval een voetbalwedstrijd van de Rode Duivels) zonder bepaalde persoonsgegevens aan de verweerder te verstrekken (het aanmaken van een account met verplichte mededeling van bepaalde gegevens). Hij verklaart dat hij niet kan instemmen met de manier waarop de verweerder de Auvio-dienst heeft ontworpen - waarvan de toegevoegde waarde die van een gepersonaliseerde dienst zou zijn: zie hieronder - omdat hij van mening is "dat hij online naar de site van de verweerder moet kunnen gaan en het programma van zijn keuze live moet kunnen volgen zonder gegevens te moeten verstrekken" (pagina 2 van de conclusie van de klager). De klager is bijgevolg van mening dat "de RTBF niets heeft gedaan om de verwerking van persoonsgegevens te beperken tot essentiële gevallen, die noodzakelijk zijn voor de dienstverlening, en met de vrije en duidelijke toestemming van de betrokkene" (blz. 1 van de conclusie van de klager van 28 april 2020). 4 Zie overweging 47 van de AVG. Beslissing ten gronde 17/2025 — 8/28 28. De klager hekelt ook dat de verweerder, door tijdens het onderzoek te vragen om in dialoog met de diensten van de GBA te kunnen gaan, "herhaalde pogingen deed om het onderzoek van de Kamer (lees de ID) te verstoren", met name door "om bevoorrechte toegang tot de leden van de Kamer te verzoeken" (lees de leden van de ID) (blz. 2 van de conclusie van de klager).5 De verweerder 29. In zijn “conclusie” en zijn “syntheseconclusie” voert de verweerder in hoofdzaak aan dat de verslagen van de ID onontvankelijk zijn en buiten beschouwing moeten worden gelaten wegens schending van het algemene beginsel van behoorlijk bestuur waaraan de GBA (en haar organen) als bestuursorgaan is gebonden. Meer in het bijzonder is de verweerder van mening dat het beginsel van onpartijdigheid (artikel 41 van het Handvest van de grondrechten van de Europese Unie 6) niet is geëerbiedigd, aangezien het onderzoek veel meer "à charge" dan "à décharge" is gevoerd, met name gelet op de in de verslagen gebruikte formuleringen, de gekozen woordenschat en de gebruikte interpunctie (met name ongepaste uitroeptekens). Bijgevolg wekken deze verslagen volgens de verweerder een schijn van partijdigheid van de Geschillenkamer. 30. De verweerder voegt eraan toe dat ook de zorgvuldigheidsplicht en het beginsel van interne motivering (artikel 41.2.
8. c)van het Handvest van de grondrechten van de Europese Unie) worden geschonden, aangezien het eindverslag blijk geeft van rechtsdwalingen, met name met betrekking tot de uitlegging van Verordening (EU) 2017/1128 "Portabiliteit" van 14 juni 2017 betreffende grensoverschrijdende portabiliteit van online-contentdiensten in de interne markt7. 31. De verweerder voegt er nog aan toe dat de ID de WOG niet heeft nageleefd, in het bijzonder artikel 66, § 18, daarvan, en dat dit de gehele onderzoeksprocedure aantast. Meer in het 5 Er moet meteen worden opgemerkt dat, in tegenstelling tot wat de klager beweert, de verweerder om contact heeft gevraagd met de Inspectiedienst (ID) en niet met de Geschillenkamer. 6 Artikel 41: recht op behoorlijk bestuur 1. Eenieder heeft er recht op dat zijn zaken onpartijdig, billijk en binnen een redelijke termijn door de instellingen, organen en instanties van de Unie worden behandeld. 2. 2. Dit recht behelst met name:
9. a)het recht van eenieder te worden gehoord voordat jegens hem een voor hem nadelige individuele maatregel wordt genomen;
10. b)het recht van eenieder om inzage te krijgen in het hem betreffende dossier, met inachtneming van het gerechtvaardigde belang van de vertrouwelijkheid en het beroeps- en het zakengeheim;
11. c)de plicht van de betrokken diensten, hun beslissingen met redenen te omkleden. 3. Eenieder heeft recht op vergoeding door de Unie van de schade die door haar instellingen of door haar personeelsleden in de uitoefening van hun functies is veroorzaakt, overeenkomstig de algemene beginselen die de rechtsstelsels der lidstaten gemeen hebben. 4. Eenieder kan zich in een van de talen van de Verdragen tot de instellingen van de Unie wenden en moet ook in die taal antwoord krijgen. 7 De verweerder is met name van mening dat de ID ten onrechte de portabiliteitsverordening heeft verworpen. De burger blijft namelijk, wanneer hij in de Europese Unie verblijft, toegang hebben tot bepaalde audiovisuele inhoud. Om deze portabiliteitsverordening na te leven, moet dus worden gecontroleerd of de gebruiker in de Europese Unie woont (zie hieronder). 8 Om het dossier te onderzoeken, kunnen de inspecteur-generaal en de inspecteurs conform de modaliteiten bepaald in deze wet: 1° personen identificeren; 2° personen verhoren; 3° een schriftelijke bevraging houden; Beslissing ten gronde 17/2025 — 9/28 bijzonder neemt de verweerder het de ID kwalijk dat deze weigerde in te gaan op zijn verzoek om een ontmoeting op 17 juni 2019, een verzoek dat hij deed om uitleg te geven met het oog op actieve medewerking in het kader van de bevoegdheid van de ID om te verhoren. 32. Subsidiair stelt de verweerder dat de inhoudelijke beweringen van de ID ongegrond zijn. 33. Met betrekking tot de rechtsgrond voor de verwerking van de registratiegegevens (vaststelling 1 van de ID) stelt de verweerder dat deze kwestie niet kan worden onderzocht zonder rekening te houden met de context waarin deze hem door de ID werd voorgelegd en met de termijn waarbinnen hij diende te antwoorden. De verweerder wijst erop dat hij (
12. te)weinig tijd had om te antwoorden op het tiental vragen dat hem werd gesteld, midden in de zomervakantieperiode, onder de dreiging van een vaststelling van niet-medewerking in strijd met artikel 31 van de AVG, en nadat hem een ontmoeting met de ID was geweigerd (artikel 66 van de WOG - zie hierboven). De termijn die de ID na de herinnering van de verweerder van 21 juni 2019 heeft genomen om op dit verzoek om een ontmoeting te reageren, is bovendien in mindering gebracht op de reeds korte termijn die hem was toegekend om zijn antwoorden te verstrekken, aangezien de ID elke verlenging van de termijn heeft geweigerd. De verweerder wijst erop dat in deze context een ongelukkige fout met betrekking tot de rechtsgrond in zijn antwoordbrief van 11 juli 2019 is geslopen. 34. Volgens de verweerder is deze fout echter onbelangrijk, aangezien hij in overeenstemming met de AVG handelt. 35. De verweerder verklaart dat niettegenstaande de verwijzing naar artikel 6.1.
13. f)van de AVG, zijn brief van 11 juli 2019 alle feitelijke aanwijzingen bevat waaruit blijkt dat de werkelijke rechtsgrond voor de verwerking van de registratiegegevens de met de gebruiker gesloten overeenkomst is (artikel 6.1.
14. b)van de AVG). Hij benadrukt dat de Geschillenkamer zich in dit verband niet kan beperken tot de in de genoemde brief van 11 juli 2019 opgenomen formulering van het gerechtvaardigd belang (artikel 6.1.
15. f)van de AVG), aangezien het aan haar is om de feiten te toetsen in het licht van de wet, los van deze overduidelijke fout van de verweerder. 36. De verweerder legt uit dat volgens zijn Algemene Gebruiksvoorwaarden (AGV) de gebruiker"toegang heeft tot onze [lees: zijn] diensten, hetzij vrijelijk, hetzij na voorafgaande registratie, met name via een formulier waarin de gegevens moeten worden ingevuld die nodig zijn voor een optimaal gebruik" (artikel B.1. AGV). 4° onderzoeken ter plaatse voeren; 5° informaticasystemen raadplegen en de gegevens die ze bevatten kopiëren; 6° informatie elektronisch raadplegen; 7° goederen of informaticasystemen in beslag nemen of verzegelen; 8° de identificatie van de abonnee of de gewoonlijke gebruiker van een elektronische communicatiedienst of van het gebruikte elektronisch communicatiemiddel vorderen. Beslissing ten gronde 17/2025 — 10/28 37. De verweerder beschrijft de Auvio-dienst als meer dan alleen een contentdienst: het is een gepersonaliseerde dienst, zoals blijkt uit de informatie hierover in het registratievenster van de site en in de eerste punten van zijn Gegevensverwerkingsverklaring, waarin het volgende staat: "Wij bieden u nieuwe content aan die zo dicht mogelijk bij uw smaak aansluit" en "Uw ervaring wordt verrijkt; uw informatie wordt uitsluitend gebruikt om uw belangen te dienen”, of dat de verweerder "er in de eerste plaats naar streeft om u toegevoegde waarde te bieden, zowel wat betreft de inhoud als de vorm waarin deze wordt geleverd. Deze toegevoegde waarde kan bijvoorbeeld de vorm aannemen van gepersonaliseerde aanbevelingen of diensten om de toegankelijkheid van onze content te verbeteren". 38. De verweerder verklaart dat wanneer een account wordt aangemaakt (al dan niet via een sociaal-netwerkverbinding zoals Facebook of Google), de abonnee duidelijk wordt gemaakt dat hij de AGV van de verweerder moet aanvaarden voordat hij van de dienst gebruik kan maken. Door de registratie wordt dus een contractuele relatie tussen de gebruiker en de verweerder gecreëerd. 39. Als antwoord op de klager die van mening is dat hij de programma's van de verweerder live op Auvio zou moeten kunnen volgen zonder hem betreffende persoonsgegevens te hoeven verstrekken (dat wil zeggen zonder zich in te schrijven) en op de vraag van de ID over hetzelfde onderwerp, heeft de verweerder zowel op 15 april 2019 in antwoord op de ID als in zijn conclusie verklaard dat "het momenteel niet is toegestaan om toegang te hebben tot de live-uitzenddienst op de site van Auvio zonder registratiegegevens te verstrekken, teneinde een goed gecentraliseerd en veilig beheer te waarborgen van de diensten die de RTBF op zijn verschillende internet- en mobiele platforms aanbiedt, overeenkomstig artikel 43 van de beheersovereenkomst van de RTBF, dat haar alleen een universele dienstverplichting oplegt voor radio- en tv-uitzendingen via de ether of via kabeldistributie voor televisie". 40. Wat betreft de gegevens die tijdens de registratiefase worden verwerkt, stelt de verweerder9 dat wat "noodzakelijk is voor de uitvoering van de overeenkomst" in de zin van artikel 6.1.
16. b)van de AVG niet alleen gegevens omvat waarvan de verstrekking verplicht is. De levering van de dienst kan verschillen naargelang alle gegevens die de abonnee wordt gevraagd te verstrekken, daadwerkelijk worden verstrekt of niet. Met andere woorden, de Auvio-overeenkomst heeft verschillende functionaliteiten waarvan de levering afhangt van het al dan niet verstrekken van optionele persoonsgegevens. Dit neemt echter niet weg dat deze gegevens volgens de verweerder allemaal noodzakelijk zijn voor de uitvoering van de overeenkomst in de zin van artikel 6.1.
17. b)van de AVG. 9 Voor zover nodig, wijst de Geschillenkamer erop dat deze toelichting is gebaseerd op de inhoud van zijn conclusies, zijn feitelijke actualisering, en hetgeen tijdens de hoorzitting naar voren is gebracht. Beslissing ten gronde 17/2025 — 11/28 - Voor- en achternamen worden verwerkt om gepersonaliseerde aanbevelingen te kunnen doen, maar ook voor veiligheidsdoeleinden, met name om fraude tegen te gaan. - Het e-mailadres wordt gebruikt voor verificatiedoeleinden om de registratieprocedure te voltooien. Ofwel is het ingevoerde e-mailadres al bekend bij de verweerder, wat een bewijs is van een bestaande account, ofwel is het adres niet bekend bij de verweerder, die een e-mail stuurt naar het e-mailadres dat door de kandidaat-abonnee is opgegeven, met daarin een hyperlink die moet worden geactiveerd om de registratie te voltooien. - De geboortedatum (die in de loop van de procedure is ingevoerd) wordt verwerkt naar aanleiding van een beslissing van 8 maart 20128 van de Conseil supérieur de l'audiovisuel (CSA), waarin de verweerder wordt verweten niet te hebben voldaan aan de verplichting om een systeem in te voeren voor de bescherming van minderjarigen tegen televisieprogramma's die schadelijk kunnen zijn voor hun fysieke, mentale en zedelijke ontwikkeling, overeenkomstig het Besluit van de Regering van de Franse Gemeenschap van 21 februari 2013 betreffende de bescherming van minderjarigen tegen televisieprogramma's die hun fysieke, mentale of zedelijke ontwikkeling schade kunnen toebrengen, met name artikel 4, § 1, ervan. 10 Om aan deze verplichting te voldoen, verklaart de verweerder dat hij verschillende door de CSA aanbevolen maatregelen heeft ingevoerd, zoals de invoering van standaard ouderlijk toezicht, de mogelijkheid om een toegangscode te creëren voor content vanaf "-12 jaar" en het verbod voor kinderen van jonger dan 13 jaar om een Auvio-profiel aan te maken.11 - Wat het gsm-nummer betreft, stelt de verweerder dat Verordening (EU) 2017/1128 van het Europees Parlement en de Raad van 14 juni 2017 betreffende grensoverschrijdende portabiliteit van online-inhouddiensten in de interne markt, die sinds 20 maart 2018 van toepassing is, vereist dat de aanbieder van deze dienst (dat wil zeggen de verweerder) de woonlidstaat van de abonnee (die een lidstaat van de Europese Unie (EU) moet zijn) controleert aan de hand van een van de verificatiemiddelen die zij opsomt. Een eenvoudig e-mailadres dat eindigt op ".be" is niet opgenomen in de lijst van controlemiddelen in deze verordening. Het gsm-nummer daarentegen is opgenomen. Door het gsm-nummer aan Auvio-gebruikers te vragen die willen profiteren van de grensoverschrijdende portabiliteit wanneer zij bijvoorbeeld op vakantie gaan naar een van de EU-landen, voldoet de verweerder dus aan de AVG, 10 Artikel 4, § 1. "In een niet-lineaire televisiedienst mag een programma van categorie 3, 4 of 5 voor de gebruiker enkel toegankelijk zijn na het invoeren van een code voor ouderlijke toegang." Ministerie van de Franse Gemeenschap, Besluit van de Regering van de Franse Gemeenschap betreffende de bescherming van minderjarigen tegen televisieprogramma's die hun fysieke, mentale of zedelijke ontwikkeling schade kunnen toebrengen, BS, 11 maart 2013. 11 Zoals reeds vermeld, geeft de RTBF in een brief van 11 juli 2019 aan de ID aan dat de verzameling van de geboortedatum momenteel wordt geïmplementeerd om te voldoen aan de beslissing van de CSA om de toegang van minderjarigen tot bepaalde inhoud te beperken. Beslissing ten gronde 17/2025 — 12/28 aangezien het om informatie gaat die noodzakelijk is voor het gebruik van AUVIO in het buitenland. - De verwerking van het adres voldoet aan dezelfde behoefte, maar ook aan die van personalisatie. - Gegevens over gender worden ook verwerkt om de Auvio-dienst te personaliseren. 41. Ten slotte wijst de verweerder erop dat de toestemming (artikel 6.1.
18. a)van de AVG) - die volgens de klager had moeten worden verkregen - niet de enige rechtmatigheidsgrond is die kan worden ingeroepen en dat toestemming dus niet altijd vereist is voordat enige verwerking kan plaatsvinden. II.1.3. Beoordeling door de Geschillenkamer Wat betreft de ontvankelijkheid van de verslagen van de ID 42. Met betrekking tot de door de verweerder geuite grieven inzake partijdigheid en gebrek aan zorgvuldigheid in de inspectieverslagen, is de Geschillenkamer van mening dat, zelfs indien deze gegrond zouden zijn, zij geen afbreuk doen aan de onpartijdigheid ten aanzien van de grief betreffende de rechtmatigheid van de gegevensverwerking tijdens de registratiefase. 43. Wanneer zij ervoor kiest om een klacht door te verwijzen naar de ID, zoals in dit geval, behoudt de Geschillenkamer, zoals erkend door het Marktenhof 12,, een soevereine beoordelingsbevoegdheid ten aanzien van de klacht. Zowel de vaststellingen van de ID als de argumenten in de conclusies en de door de partijen ingediende stukken worden door de Geschillenkamer in aanmerking genomen om tot een beslissing te komen. Als autonoom orgaan behoudt zij echter een beoordelingsbevoegdheid en de vrijheid om, met een relevante en overeenkomstig de vereisten van het Marktenhof 13 versterkte motivering, haar eigen juridische overwegingen te geven over de situatie die haar wordt voorgelegd 14, met inbegrip van het inspectieverslag en de eventuele bezwaren die de partijen daartegen, maken. 12 Marktenhof (Kamer 19A), 7 december 2022, 2022/AR/560 en 2022/AR/564; Marktenhof (Kamer 19A), 7 december 2022, 2022/AR/556. 13 Marktenhof (Kamer 19A), 20 december 2023, 2023/AR/801 (punt 30); https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-20-december-2023-van-het-marktenhof-ar-801beschikbaar-in-het-frans.pdf. 14 Marktenhof (Kamer 19A), 20 december 2023, 2023/AR/801 (punt 30); https://www.gegevensbeschermingsautoriteit.be/publications/arrest-van-20-december-2023-van-het-marktenhof-ar-801beschikbaar-in-het-frans.pdf. Beslissing ten gronde 17/2025 — 13/28 44. In het onderhavige geval merkt de Geschillenkamer op dat het verslag van de ID met betrekking tot de in dit onderdeel besproken grief had geconcludeerd dat het beroep op artikel 6.1.
19. f)van de AVG, ingeroepen door de verweerder zelf, onontvankelijk was. Het staat de Geschillenkamer vrij om, na onderzoek, deze analyse al dan niet te onderschrijven. Deze eigen beoordeling is in dit geval a fortiori noodzakelijk omdat de verweerder in zijn conclusie heeft aangegeven dat hij zich - als gevolg van de omstandigheden waarin hij de ID een antwoord moest geven - ten onrechte heeft beroepen op artikel 6.1.
20. f)van de AVG in plaats van op artikel 6.1.
21. b)van de AVG, en dat de Geschillenkamer hiermee rekening zal houden in de onderhavige beslissing, zoals hieronder nader zal worden toegelicht. 45. Wat betreft de weigering om in te gaan op het verzoek van de verweerder om een ontmoeting met de ID, merkt de Geschillenkamer op dat de ID bij brief van 24 juni 2019 heeft geantwoord dat "het houden van een vergadering met de verwerkingsverantwoordelijke niet binnen zijn onderzoeksbevoegdheden als bedoeld in artikel 66, § 1, van de WOG viel". De ID voegde eraan toe dat hij in deze zaak had gekozen voor een schriftelijk onderzoek. De Geschillenkamer kan haar beoordeling ter zake niet in de plaats stellen van die van de ID. Zij merkt op dat de verweerder in elk geval de gelegenheid heeft gehad om zijn standpunt aan deze laatste kenbaar te maken. Wat betreft de interpretatie van de klager dat de verweerder met zijn verzoek heeft geprobeerd het onderzoek te verstoren, is de Geschillenkamer van mening dat deze interpretatie uitsluitend de klager toekomt en dat zij geen aanwijzingen heeft die deze interpretatie kunnen staven. Wat betreft de verplichting tot identificatie van een rechtmatigheidsgrond 46. Krachtens artikel 5.1.
22. a)en 6.1. van de AVG moet elke gegevensverwerking gebaseerd zijn op een van de rechtmatigheidsgronden die worden opgesomd in artikel 6.1,
23. a)tot en met f), van de AVG. De Geschillenkamer herinnert eraan dat overeenkomstig artikel 6.1 van de AVG de verwerking van persoonsgegevens slechts rechtmatig is wanneer en voor zover zij is gebaseerd op een van de daarin opgesomde rechtmatigheidsgronden. 47. Deze rechtmatigheidsgrond moet voorafgaand aan de verwerking worden geïdentificeerd. Het lijdt geen twijfel dat deze voorafgaande identificatie voortvloeit uit artikel 6.1 van de AVG, ook al wordt dit daarin niet uitdrukkelijk vermeld 15. Zij vloeit voort uit de gecombineerde lezing van artikel 6.1 van de AVG en artikel 13.1.
24. c)van de AVG, op grond waarvan de verwerkingsverantwoordelijke verplicht is de betrokkene, op het moment dat hij de hem betreffende gegevens verkrijgt, alle in artikel 13, leden 1 en 2, van de AVG genoemde informatie te verstrekken, met inbegrip van "de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking" (artikel 13.1.
25. c)15 Zie Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening (EU) 2016/679. Zie punt 121: https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf. Beslissing ten gronde 17/2025 — 14/28 van de AVG). De uitvoering van deze verplichting veronderstelt noodzakelijkerwijs dat de verwerkingsverantwoordelijke deze rechtsgrond vooraf heeft geïdentificeerd 16. Deze identificatie van de rechtmatigheidsgrond voorafgaand aan de verwerking draagt bij aan de inachtneming van de beginselen van behoorlijkheid en transparantie (artikelen 5.1.a), 13.1.
26. c)en 14.1.
27. c)van de AVG) en van het beginsel van verantwoordingsplicht en de verplichtingen die daaruit voortvloeien (artikelen 5.2 en 24 van de AVG). 48. De Geschillenkamer herinnert er tevens aan dat het aan de verwerkingsverantwoordelijke is om één enkele rechtmatigheidsgrond aan te wijzen waarop hij zijn verwerking baseert. Deze vereiste draagt ook bij aan de beginselen van behoorlijkheid en transparantie die hij moet toepassen (artikel 5.1.
28. a)van de AVG). Het feit dat de verschillende rechtmatigheidsgronden verschillende gevolgen hebben, met name wat de rechten van de betrokkenen betreft, betekent niet dat de verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, op de ene of de andere mag beroepen 17. Door zich op verschillende rechtmatigheidsgronden te beroepen, creëert de verwerkingsverantwoordelijke in het algemeen een zekere vaagheid met betrekking tot de uitoefening van de rechten van de betrokkenen. 49. De Geschillenkamer merkt op dat de verweerder in het onderhavige geval (zij het ten onrechte zoals hij beweert) aanvankelijk verklaarde zijn verwerking van de registratiegegevens te baseren op artikel 6.1.
29. f)van de AVG (bij de ID in het kader van het onderzoek, zoals eerder vermeld) en vervolgens in zijn conclusie verklaarde zich op artikel 6.1.
30. b)van de AVG te baseren. De verweerder vond de termijn om een antwoord te geven aan de ID te kort, maar het is niet aan de Geschillenkamer om zich uit te spreken over de lengte van de termijn. Zonder vooruit te lopen op de loyaliteit van de verwerkingsverantwoordelijken die met onderzoektaken worden geconfronteerd, komt het de Geschillenkamer voor dat, aangezien dit een verplichting is waaraan moet worden voldaan voordat de gegevensverwerking wordt uitgevoerd (dus al bij het ontwerp ervan), de informatie over de rechtmatigheidsgrond a priori onmiddellijk beschikbaar had moeten zijn, 16 De Geschillenkamer benadrukt dat artikel 30 van de AVG betreffende het register van de verwerkingsactiviteiten in lid 1 niet vereist dat de rechtmatigheidsgrond van de verwerking een van de elementen is die in het register moet worden opgenomen. Het doel van de verwerking moet wel worden vermeld, wat de verwerkingsverantwoordelijke ertoe zou moeten brengen de overeenkomstige rechtmatigheidsgrond te bepalen. In deze zin had de Commissie voor de bescherming van de persoonlijke levenssfeer destijds, zonder het niet-verplichte karakter ervan ter discussie te stellen, aanbevolen om deze rechtmatigheidsgrond op te nemen in de aanvullende vermeldingen van het register. Aanbeveling nr. 06/2017 van 14 juni 2017 betreffende het Register van de verwerkingsactiviteiten (artikel 30 van de AVG) (pagina 18/36) (https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf). 17 Ter illustratie: de verwerkingsverantwoordelijke kan er zich niet tegelijk op beroepen dat hij de verwerking baseert op de toestemming van de betrokkene (artikel 6.1.
31. a)van de AVG) en op zijn wettelijke verplichting (artikel 6.1.
32. c)van de AVG). De toestemming kan te allen tijde worden ingetrokken, en al laat dit de rechtmatigheid van de verwerking vóór de intrekking daarvan onverlet (artikel 7.3 van de AVG), het staat a priori de verwerkingsverantwoordelijke niet meer toe de verwerking in de toekomst voort te zetten (artikel 17.1.
33. b)van de AVG), althans niet voor hetzelfde doel. Door te verklaren dat hij de verwerking baseert op zijn wettelijke verplichting en niet op een andere grond (artikel 6.1.
34. c)van de AVG) sluit de verwerkingsverantwoordelijke in principe elke mogelijkheid tot bezwaar tegen de verwerking uit, aangezien noch de intrekking van de toestemming noch het recht van bezwaar voor de gevallen in artikel 21.1 van de AVG, kan worden ingeroepen, d.w.z. tegen de verwerking van persoonsgegevens op grond van artikel 6.1.
35. e)of
36. f)en niet van artikel 6.1.
37. c)van de AVG. Beslissing ten gronde 17/2025 — 15/28 aangezien deze had moeten worden geïdentificeerd voordat de Auvio-dienst in werking werd gesteld. 50. De Geschillenkamer merkt op dat de verweerder enerzijds in zijn antwoorden aan de ID in detail en met betrekking tot de verschillende verwerkte gegevens gewag maakt van het gerechtvaardigd belang als grondslag, terwijl hij anderzijds in dezelfde brief aan de ID de nadruk legt op elementen in zijn documenten waaruit volgens hem duidelijk blijkt dat de verwerking valt onder "de uitvoering van de Auvio-overeenkomst". Indien, zoals de verweerder stelt, uit deze tekstuele elementen zou blijken dat er op het moment van de feiten daadwerkelijk een overeenkomst met de gebruiker was gesloten, is het des te onbegrijpelijker dat de verweerder zich daarop heeft gebaseerd in een brief waarin hij zich op zijn gerechtvaardigd belang beroept, terwijl hij vooraf de passende rechtmatigheidsgrond had aangevoerd. 51. Gelet op alle omstandigheden van de zaak, op de argumenten van de partijen en op haar zorgvuldigheidsplicht zal de Geschillenkamer hieronder de relevantie van het beroep op artikel 6.1.
38. b)van de AVG onderzoeken zonder te concluderen dat de verweerder de artikelen 5.1.
39. a)en 6.1 van de AVG heeft geschonden door artikel 6.1.
40. f)van de AVG als rechtmatigheidsgrond aan de ID mee te delen. Volgens de Geschillenkamer geeft deze mededeling, zelfs bij vergissing - welke fout de genoemde schending niet opheft - blijk van een verzuim om vooraf de rechtmatigheidsgrond vast te stellen, die zij niettemin niet wenst te bestraffen (zie hieronder). Wat betreft het inroepen van de rechtmatigheidsgrond van artikel 6.1.
41. b)van de AVG 52. De Geschillenkamer herinnert eraan dat het inroepen van de rechtmatigheidsgrond van artikel 6.1.
42. b)van de AVG aan 3 voorwaarden is onderworpen: -