Beslissing ten gronde nr. 170/2023

1/9 Geschillenkamer Beslissing ten gronde 170/2023 van 20 december 2023 Dossiernummer : DOS-2019-04346 Betreft: gegevenslek in het kader van een getrouwheidsprogramma De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Christophe Boeraeve, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna "AVG"; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna "WOG"; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: Y, vertegenwoordigd door meester Cédric Burton en meester Laura Brodahl, hierna "de verweerder". Beslissing ten gronde 170/2023 — 2/9 I. Feiten en procedure A. Onderzoek van de Inspectiedienst

1. Op 20 december 2019 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna "GBA") om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° WOG, aangezien er ernstige aanwijzingen bleken te zijn dat de verweerder niet voldeed aan de verplichtingen die voortvloeien uit artikel 32 van de AVG. De elementen die het Directiecomité daarbij in aanmerking nam, waren de omvang van het gegevenslek, met een aantal betrokkenen dat opliep tot 89.429, verspreid over 27 EU-lidstaten, en de aard van de bekendgemaakte gegevens, namelijk het kaartnummer, de naam van de betrokkene, zijn geboortedatum, geslacht, adres, e-mailadres, telefoonnummer, GSMnummer en een uniek identificatienummer.
2. Naar aanleiding van de behandeling door het Algemeen Secretariaat van de GBA van het gegevenslek dat bij de verweerder op 19 augustus 2019 plaatsvond, alsmede de klachten ingediend bij de Eerstelijnsdienst van de GBA door personen in Duitsland in hun hoedanigheid van betrokkenen die door het gegevenslek waren getroffen, werd het dossier door het Algemeen Secretariaat onderzocht en aan het Directiecomité overgemaakt op grond van artikel 63, 1°, van de WOG, met het oog op doorverwijzing naar de Inspectiedienst, en werden de individuele klachten van de Duitse burgers, nadat deze ontvankelijk waren verklaard door de Eerstelijnsdienst, eveneens aan de Inspectiedienst overgemaakt op grond van artikel 96, § 1, van de WOG juncto artikel 63, 2°, van de WOG.
3. De aanleiding voor de bovengenoemde aanhangigmaking was een concreet gegevenslek bij een verwerker van de verweerder. Deze verwerker beheert het platform van het (..) programma waarop kaarthouders zich kunnen registreren voor een getrouwheidsprogramma dat is gebaseerd op punten die zij krijgen als ze hun kaart gebruiken om aankopen te verrichten. Kaarthouders konden via dit platform hun gegevens, waaronder hun puntenbalans, opvragen en de punten vervolgens gebruiken om te profiteren van aanbiedingen die deelnemende handelaars op het platform hadden geplaatst. De verwerker deed op zijn beurt zelf een beroep op een verwerker voor externe hosting/logging.
4. Op 20 juli 2023 wordt het onderzoek van de Inspectiedienst afgerond, het verslag bij het dossier gevoegd en door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 van de WOG), wat aanleiding geeft tot een verwijzing naar de Geschillenkamer overeenkomstig artikel 92, 3°, van de WOG. De Inspectiedienst was in zijn verslag tot de conclusie gekomen dat het grote aantal betrokkenen dat werd getroffen door het gegevenslek, en de naleving van de meldingsplicht aan de GBA op zich niet voldoende waren om te besluiten dat er aanwijzingen waren dat een praktijk bestond Beslissing ten gronde 170/2023 — 3/9 die aanleiding kon geven tot een inbreuk op de grondbeginselen van de bescherming van persoonsgegevens in de zin van artikel 63, 1°, van de WOG. Voor het overige wordt in het inspectieverslag geen vaststelling gedaan over enige inbreuk op de AVG door de verweerder. B. Procedure voor de Geschillenkamer
5. Op 27 september 2023 beslist de Geschillenkamer op grond van artikel 95, § 1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. De verweerder wordt per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, en artikel 98 van de WOG. Tevens wordt hij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om zijn verweermiddelen in te dienen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder wordt vastgelegd op 30 oktober 2023, maar deze wordt verlengd tot 15 november
7. Op 6 maart 2023 vraagt de verweerder een kopie van het dossier (artikel 95, § 2, 3°, WOG), die hem wordt toegestuurd op 18 oktober 2023, en op 25 oktober 2023 wordt vervolledigd. De verweerder aanvaardt tevens om alle communicatie met betrekking tot de zaak elektronisch te ontvangen, overeenkomstig artikel 98 van de WOG.
8. Op 10 november 2023 worden de partijen ik kennis gesteld van het feit dat de hoorzitting op 1 december 2023 zal plaatsvinden.
9. Op 15 november 2023 ontvangt de Geschillenkamer de conclusie van antwoord van de verweerder. Naast het verweer ten gronde, dat voornamelijk betrekking heeft op het technische verslag van de Inspectiedienst, bevat deze conclusie ook enkele procedurele verweermiddelen met betrekking tot de manier waarop de Inspectiedienst is ingeschakeld en het onderzoek heeft gevoerd.
10. Op 1 december 2023 wordt de verweerder gehoord door de Geschillenkamer. Hij krijgt de gelegenheid om zijn argumenten uiteen te zetten. Vervolgens wordt de zaak door de Geschillenkamer in beraad genomen.
11. Op 8 december 2023 wordt het proces-verbaal van de hoorzitting aan de verweerder overgemaakt overeenkomstig artikel 54 van het reglement van interne orde. De verweerder krijgt hierbij de gelegenheid om zijn eventuele opmerkingen daaromtrent te laten toevoegen als bijlage bij het proces-verbaal, zonder dat dit een heropening van de debatten inhoudt. Beslissing ten gronde 170/2023 — 4/9
12. Op 15 december 2023 ontvangt de Geschillenkamer enkele opmerkingen met betrekking tot het proces-verbaal die zij beslist mee op te nemen in haar beraad. II. Motivering A. Procedure
13. De verweerder voert aan dat een onderzoek van het Directiecomité of de Inspectiedienst enkel op eigen initiatief kan worden ingesteld als er ernstige aanwijzigingen van nietnaleving zijn. Volgens de verweerder heeft geen van deze twee instanties het bestaan van dergelijke aanwijzingen aangetoond. Zij zouden dus beiden op onrechtmatige wijze een onderzoek hebben uitgevoerd met betrekking tot de verwerkingsactiviteiten van de verweerder.
14. In dit verband moet de Geschillenkamer erop wijzen dat in de nota die het Algemeen Secretariaat aan het Directiecomité heeft gericht naar aanleiding van de melding van het gegevenslek door de verweerder, en die als basis heeft gediend voor de beslissing van het Directiecomité om het dossier over te maken aan de Inspectiedienst, duidelijk wordt gesteld dat voldoende elementen in de nota wijzen op een praktijk die een inbreuk vormt op de grondbeginselen van de bescherming van persoonsgegevens (artikel 63, 1°, van de WOG). In de betreffende nota wordt uitdrukkelijk gewezen op het grote aantal betrokkenen dat door dit gegevenslek wordt getroffen, verspreid over 27 EU-lidstaten. In de nota wordt ook aangegeven dat de GBA reeds 7 klachten had ontvangen van Duitse burgers en dat de toezichthoudende autoriteit in de Duitse deelstaat Hessen zelf een driehonderdtal klachten over dit gegevenslek had ontvangen, die mogelijk nog zouden worden doorgegeven aan de GBA.
15. De Geschillenkamer stelt vast dat op basis van de nota er wel degelijk ernstige aanwijzingen aanwezig waren die konden wijzen op een praktijk die aanleiding gaf tot inbreuken op gegevensbescherming. Daarbij diende niet alleen rekening te worden gehouden met de impact van het gegevenslek op het grote aantal betrokkenen, maar ook met de aard van de gegevens die mogelijk uit financiële gegevens bestonden. Volgens de Geschillenkamer vormden deze aanwijzingen op zijn minst voldoende grond om te onderzoeken of de verklaring van de verweerder, zoals vermeld in de nota, volgens welke het betalingsnetwerk gescheiden is van het platform waar de persoonsgegevens van klanten worden verzameld in het kader van het (...) programma, correct was.
16. Uiteraard kan pas na een onderzoek door de Inspectiedienst worden vastgesteld dat er, in voorkomend geval, geen sprake is van een praktijk in de zin van artikel 63, 1°, van de WOG. Deze vaststelling van de Inspectiedienst doet geen afbreuk aan de rechtmatigheid van de beslissing van het Directiecomité dat er op basis van de op dat ogenblik beschikbare Beslissing ten gronde 170/2023 — 5/9 elementen en dus vóór het onderzoek van de Inspectiedienst, wel ernstige aanwijzingen waren die een onderzoek door de Inspectiedienst vereisten. De Geschillenkamer is dan ook van oordeel dat de Inspectiedienst werd ingeschakeld in overeenstemming met artikel 63, 1°, van de WOG en op geldige wijze onderzoek heeft verricht.
17. De verweerder werpt verder op dat de GBA nergens beweert dat er sprake is van nietnaleving. De verweerder verwijst hiervoor naar het inspectieverslag waarin geen enkele inbreuk werd vastgesteld, alsmede naar de brief van de Geschillenkamer waarin de verweerder wordt uitgenodigd om de door hem getroffen maatregelen toe te lichten, overeenkomstig de artikelen 24 en volgende van de AVG.
18. De Geschillenkamer verklaart dat het vaststaat dat een gegevenslek zich heeft voorgedaan in 2019, maar dat zij bij haar beslissing wenst rekening te houden met de ontwikkelingen die zich intussen hebben voorgedaan om een algemeen beeld te krijgen van de huidige situatie en tot een evenwichtig oordeel te komen. Louter vanuit dit perspectief is de Geschillenkamer overgegaan tot het behandelen van deze zaak ten gronde en heeft zij, in het kader van deze procedure, een verzoek gericht aan de verweerder om uitleg te geven bij de genomen technische en organisatorische maatregelen. B. Technische en organisatorische maatregelen
19. Volgens de door hem verstrekte informatie heeft de verweerder, zodra hij op de hoogte was van het gegevenslek, de website van het programma onmiddellijk opgeschort (...) en alle toegang tot de op het platform opgeslagen gegevens ingetrokken. De verweerder heeft de impact van het incident beoordeeld en geconcludeerd dat deze geen hoog risico voor personen betekende. Het incident bleef beperkt tot het programma en had op geen enkele wijze gevolgen voor het betalingsnetwerk van de verweerder. Niettemin heeft de verweerder voorzichtigheidshalve op 22 augustus 2019 ook de betrokkenen geïnformeerd, zodat zij eventuele voorzorgsmaatregelen konden nemen mochten deze nodig blijken.
20. Met betrekking tot het gegevenslek dat aanleiding heeft gegeven tot de onderhavige beslissing, moet de Geschillenkamer dus vaststellen dat de verweerder dit gegevenslek aan de GBA heeft gemeld binnen het door artikel 33 van de AVG voorgeschreven kader, ondanks het feit dat het gegevenslek volgens de verweerder weinig risico betekende voor de betrokkenen. Concreet voor wat betreft de melding van het gegevenslek aan de GBA, heeft de verweerder gehandeld in overeenstemming met de AVG.
21. Bovendien blijkt uit de feitelijke elementen van het dossier dat er zich geen herhaalde gegevenslekken hebben voorgedaan die wijzen op systematische tekortkomingen vanwege de verweerder waardoor deze de door artikel 24 juncto artikel 32 van de AVG Beslissing ten gronde 170/2023 — 6/9 opgelegde verplichtingen niet zou zijn nagekomen. Het gegevenslek is integendeel een volledig op zichzelf staand feit.
22. Bovendien hebben de door de verweerder aan het dossier toegevoegde documenten de Geschillenkamer in staat gesteld om een diepgaand inzicht te krijgen in de toekomstgerichte aanpak van de verweerder om een herhaling van de feiten zoals die zich hebben voorgedaan te voorkomen. Deze maatregelen werden beoordeeld door de Geschillenkamer, die tot de volgende conclusies kwam.
23. De verweerder blijft met succes zijn procedures voor leveranciers ontwikkelen. Deze ontwikkelingen omvatten een aantal initiatieven die verder gaan dan de wettelijke vereisten. In het kader van zijn streven naar voortdurende beveiliging herziet en verbetert de verweerder zijn gegevensbeveiligingsmaatregelen door rekening te houden met de technologische vooruitgang die op de markt beschikbaar is, en door de "stand van de techniek", die voortdurend evolueert, te volgen. Met name heeft de verweerder: - zijn due diligence-vragenlijsten voor leveranciers en zijn beleid en processen voor risicobeoordeling van leveranciers bijgewerkt; - audits uitgevoerd bij leveranciers die actief zijn in Europa; - certificeringen gecontroleerd van leveranciers die actief zijn in Europa; - opleidingen gegeven aan medewerkers van verschillende diensten over rollen en verantwoordelijkheden in het risicobeheer met betrekking tot leveranciers; - het leveranciersbeheerprogramma onmiddellijk opgenomen in de andere processen van het bedrijf; - een nieuw risiconiveau toegevoegd aan zijn risicobeoordelingsmodel; - zijn monitoringtools bijgewerkt om deze controle en monitoring van leveranciers doeltreffender te maken en de tools flexibeler te beheren; - zijn team voor leveranciersevaluatie uitgebreid; - zijn vragenlijst voor herbeoordeling bijgewerkt; - een nieuwe gestandaardiseerde lijst met beveiligingsmaatregelen ingevoerd waaraan alle leveranciers moeten voldoen; - zijn risicobeoordelingsprocedure verfijnd om de middelen effectiever over de afdelingen te verdelen; en - gezorgd voor een voortdurende bewustmaking van het programma ten aanzien van de leveranciers, onder andere door middel van opleiding van leidinggevenden en betrokkenheid van het hoogste managementniveau; en door op grote schaal het e- Beslissing ten gronde 170/2023 — 7/9 mailadres aan Business Owners te communiceren, zodat zij gemakkelijk contact kunnen opnemen met het team voor hulp of in het geval van problemen met leveranciers.
24. Uit al deze elementen blijkt dat i) de verweerder snel het nodige heeft gedaan zodra het gegevenslek zich voordeed; (ii) de Inspectiedienst niet heeft vastgesteld dat de verweerder een overtreding heeft begaan; (iii) de verweerder omstandig heeft aangetoond dat verregaande maatregelen werden genomen en dat deze maatregelen aan voortdurende actualisering zijn onderworpen om dergelijke feiten in de toekomst te voorkomen. Dit brengt de Geschillenkamer ertoe te concluderen dat de verweerder geen inbreuk op de AVG heeft gepleegd. Beslissing ten gronde 170/2023 — 8/9 III. Publicatie van de beslissing
25. Gezien het belang van transparantie met betrekking tot het besluitvormingsproces van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. Overeenkomstig haar Beleid inzake de publicatie van de beslissingen1, publiceert de Geschillenkamer elk van haar beslissingen met het oog op administratieve transparantie, die vereist is zowel uit hoofde van haar taken als toezichthoudende autoriteit voor gegevensbescherming (artikel 57.1.b) en d), gelezen in samenhang met artikel 51 van de AVG), als uit hoofde van haar hoedanigheid als administratieve autoriteit die onderworpen is aan de beginselen van behoorlijk bestuur. Het is in die hoedanigheid dat de onderhavige beslissing wordt gepubliceerd.
26. Het is evenwel niet nodig dat daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt.
27. Bovendien werd bij de beslissing over de publicatie ook rekening gehouden met het feit dat er zeven klachten waren ingediend door Duitse burgers die wilden weten welke beveiligingsmaatregelen door de verweerder waren genomen om gegevenslekken te voorkomen. Deze klachten houden rechtstreeks verband met het gegevenslek dat het voorwerp uitmaakt van de onderhavige beslissing. Niet alleen hebben deze klagers recht op een beslissing van de Geschillenkamer, die noodzakelijkerwijs dezelfde overwegingen moet bevatten als in de onderhavige beslissing, maar ook kan niet worden genegeerd dat de klagers door de aard van de feiten die ten grondslag liggen aan hun klacht en gericht zijn tegen de verweerder in de onderhavige beslissing, op de hoogte zijn van de identiteit van de verweerder. De Geschillenkamer heeft echter niet de bevoegdheid om de klagers te verbieden de door de Geschillenkamer genomen beslissing openbaar te maken en deze te publiceren. Daarom is de Geschillenkamer van oordeel dat niet kan worden ingegaan op het verzoek van de verweerder om niet over te gaan tot publicatie, omdat publicatie van deze beslissing mogelijk een invloed kan hebben op de dagelijkse werking van de verweerder door een toestroom aan vragen van klanten die ten onrechte zouden zijn gealarmeerd.
28. De Geschillenkamer is echter van oordeel dat de onderhavige beslissing daarentegen aantoont dat de verweerder alles in het werk heeft gesteld om de verwerking van de persoonsgegevens van de klanten uit te voeren in overeenstemming met de AVG, met name met betrekking tot gegevensbeveiliging, en een modelvoorbeeld is voor zijn bedrijfstak voor wat betreft gegevensbescherming en de aandacht en de voortdurende 1 Gegevensbeschermingsautoriteit, Geschillenkamer, Beleid van de Geschillenkamer van de Autoriteit betreffende publicaties van de beslissingen : https://www.gegevensbeschermingsautoriteit.be/publications/beleid-van-de-geschillenkamer-inzakede-publicatie-van-de-beslissingen.pdf