Beslissing ten gronde nr. 171/2024

1/27 Geschillenkamer Beslissing ten gronde 171/2024 van 19 december 2024 Dossiernummer : DOS-2022-02016 Betreft : Inbreuk in verband met persoonsgegevens inzake een aanmeldsysteem De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De verweerder: Lokaal Overlegplatform Gent Secundair Onderwijs, Koning Albert II-laan 15, 1210 Brussel, hierna “de verweerder”. Beslissing ten gronde 171/2024 — 2/27 I. 1. Feiten en procedure Naar aanleiding van de behandeling door het Algemeen Secretariaat van de GBA van het gegevenslek dat bij de verweerder op 4 mei 2022 plaatsvond, werd het dossier door het Algemeen Secretariaat onderzocht en aan het Directiecomité overgemaakt met het oog op doorverwijzing naar de Inspectiedienst. 2. Op 20 juni 2022 beslist het Directiecomité van de Gegevensbeschermingsautoriteit (hierna “GBA”) om een zaak aanhangig te maken bij de Inspectiedienst van de GBA op basis van artikel 63, 1° WOG1 zoals die van toepassing was op het moment van de feiten die aanleiding hebben gegeven tot onderhavige procedure (hierna WOG genoemd) aangezien het Directiecomité van oordeel was dat er ernstige aanwijzingen zijn die wijzen op een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens. De elementen die het Directiecomité daarbij in aanmerking nam waren onder meer het aantal betrokkenen, het kwetsbare karakter van deze betrokkenen, de verwerking van vrij gevoelige gegevens (zoals onder meer het rijksregisternummer en het gegeven of deze betrokkenen al dan niet als indicatorleerlingen kunnen worden gekwalificeerd), het schijnbaar niet aanwezig zijn van een gegevensbeschermingseffectenbeoordeling (hierna: GEB), het schijnbaar niet aanwezig zijn van een adequate procedure voor het opvolgen van meldingen van een beveiligingsprobleem/gegevensinbreuk, het ontbreken van logs met betrekking tot het downloaden van lijsten van aangemelde kinderen, het niet voldaan zijn aan bepaalde elementen die vereist zijn voor een mededeling van een inbreuk in verband met persoonsgegevens ten aanzien van betrokkenen, en het feit dat er geen transparante privacyverklaring aanwezig is op de website waar men scholieren dient in te schrijven. 3. De aanleiding voor de bovengenoemde aanhangigmaking was een concreet gegevenslek bij een verwerker die het platform MeldJeAan beheert in het kader van de aanmeldingsprocedure voor Gentse secundaire scholen waarbij ouders hun kinderen kunnen aanmelden voor een middelbare school in Gent. Ouders konden hun kind aanmelden gedurende de periode van 21 maart tot 22 april 2022. Nadien worden per school lijsten opgemaakt van de kinderen die zich voor de school aangemeld hebben. Na het inloggen op de backoffice van 'MeldJeAan' door een medewerker van een school kan deze voor zijn school een lijst downloaden met alle persoonsgegevens van de ouders en hun kinderen die zich aanmelden op die school. Door een fout in de onlinetoepassing bleek dat de URL met de link naar die downloadlijst ook rechtstreeks benaderbaar was zonder aan te melden. Iedere secundaire school heeft in het systeem een unieke ID van 30 tekens die is opgenomen in de 1 Artikel 63, 1° (toenmalige) WOG: Art. 63. De aanhangigmaking bij de inspectiedienst kan gebeuren: 1° wanneer het directiecomité ernstige aanwijzingen vaststelt van het bestaan van een praktijk die aanleiding kan geven tot een inbreuk op de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens. Beslissing ten gronde 171/2024 — 3/27 URL. Indien men beschikte over 1) de complexe URL van de downloadlijst en 2) de unieke ID van een andere secundaire school, kon men, zonder eerst aan te melden, een lijst downloaden met persoonsgegevens van de ouders en hun kind die zijn ingeschreven op die school. Iemand heeft deze bovenstaande werkwijze aan de pers gemeld en minstens één (gepseudonimiseerde) lijst is zo in de pers bekend gemaakt. De gepseudonimiseerde lijst die naar de pers gelekt is, behoort toe aan één school verbonden aan de verweerder. 4. Op 10 oktober 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de beslissing van het Directiecomité, alsook vaststellingen die verder gaan dan het voorwerp van de hierboven vernoemde beslissing van het Directiecomité en besluit dat er sprake is van een inbreuk op de volgende artikelen: 1. artikel 5.1,

1. f)en 5.2, artikel 24.1, artikel 25.1, artikel 32.1 en 32.2 van de AVG; 2. artikel 33 en artikel 34 van de AVG; 3. artikel 35.1, 35.2, 35.3 en 35.7 van de AVG; 4. artikel 38.1 en artikel 39 van de AVG; 5. artikel 30.1, artikel 30.3 en artikel 30.4 van de AVG. 5. Op 28 juni 2024 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 28 juni 2024 wordt de betrokken partij per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens wordt hij op grond van artikel 99 WOG in kennis gesteld van de termijnen om zijn verweermiddelen in te dienen.2 De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerder werd vastgelegd op 26 augustus 2024. 7. Op 3 juli 2024 aanvaardt de verweerder elektronisch alle communicatie omtrent de zaak. 8. Op 26 augustus 2024 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerder. De verweerder schetst de context waarbinnen de aanmeldingsprocedure tot stand is gekomen. Vervolgens gaat de verweerder in op de vraag omtrent de onduidelijkheid die bestond over wie de verwerkingsverantwoordelijke is in het kader van de aanmeldingsprocedure. Tot slot gaat de verweerder in op de dichting van het gegevenslek 2 De zending werd verzonden aan de melder van het gegevenslek. De verweerder heeft zijn conclusies overgemaakt aan de Geschillenkamer. Beslissing ten gronde 171/2024 — 4/27 en de gevolgen die werden gegeven aan het incident, welke bijkomende beveiligingsmaatregelen genomen werden en welke acties hij ondernomen heeft om te voldoen aan de bepalingen van de AVG. 9. Op 23 oktober 2024 wordt de verweerder ervan in kennis gesteld dat een ambtshalve hoorzitting zal plaatsvinden op 27 november 2024. 10. Op 27 november 2024 wordt de verweerder gehoord door de Geschillenkamer. 11. Op 5 december 2024 wordt het proces-verbaal van de hoorzitting aan de verweerder voorgelegd. 12. Op 12 december 2024 en 13 december 2024 ontvangt de Geschillenkamer vanwege de verweerder enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. II. Motivering II.1. Identiteit van de verwerkingsverantwoordelijke 13. De vraag rijst of de verweerder als verwerkingsverantwoordelijke moet beschouwd worden in het kader van de aanmeldingsprocedure. Deze vraag is van belang, omdat de verwerkingsverantwoordelijkheden en verplichtingen voortvloeiend uit de AVG verschillend zijn, afhankelijk van de rol waarin de betrokken actoren optreden in het kader van een verwerkingsactiviteit. Om te kunnen voldoen aan deze verplichtingen, is het dus noodzakelijk dat voorafgaand aan de verwerking van persoonsgegevens duidelijkheid bestaat over ieders rol en de bijbehorende verplichtingen. 14. De verweerder stelt dat volgens het Vlaams Agentschap Onderwijsdiensten (hierna: AGODI) de schoolbesturen verwerkingsverantwoordelijke waren in het kader van de aanmeldingsprocedure. Dit standpunt werd echter niet unaniem gedeeld door de verschillende actoren betrokken bij het aanmeldproces. Tijdens de hoorzitting herhaalt de verweerder zijn standpunt dat er verschillende visies bestonden omtrent de verwerkingsverantwoordelijkheid in het kader van het aanmeldsysteem en dat deze vragen bij de ingebruikname ervan niet uitgewerkt waren. De Geschillenkamer stelt bijgevolg vast dat er veel onduidelijkheid bestond over de identiteit van de verwerkingsverantwoordelijke in het kader van de aanmeldingsprocedure voor het secundair onderwijs in Gent waarbij het voormelde gegevenslek heeft plaatsgevonden. 15. Om de identiteit van de verwerkingsverantwoordelijke te bepalen verwijst de Geschillenkamer naar artikel 4.7 AVG waarin de definitie van verwerkingsverantwoordelijke luidt als volgt: de “natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Beslissing ten gronde 171/2024 — 5/27 verwerking van persoonsgegevens vaststelt”. De analyse van de identificatie van een verwerkingsverantwoordelijke vereist een feitelijke beoordeling. 3 16. Bijgevolg dient de Geschillenkamer na te gaan of de verweerder feitelijk het doel en de middelen vaststelt voor de verwerkingen van persoonsgegevens inzake het inschrijvingsrecht (i.e. de aanmeldingsprocedure). 17. De Geschillenkamer stelt vast dat artikel 253/2 van de Codex Secundair Onderwijs van 17 december 20104 de gezamenlijke doelstellingen definieert als volgt: “De gezamenlijke doelstellingen van het inschrijvingsrecht als instrument van een beleid op gelijke onderwijskansen zijn: 18. - het waarborgen van de vrije schoolkeuze van de betrokken personen en leerlingen; - het realiseren van optimale leer- en ontwikkelingskansen voor alle leerlingen; - het bevorderen van sociale cohesie; - het vermijden van uitsluiting, segregatie en discriminatie.” Als algemene regel kunnen de schoolbesturen zelf bepalen of zij al dan niet gebruik maken van de aanmeldingsprocedure zoals voorgeschreven door de Codex Secundair Onderwijs. In afwijking hiervan kan de Vlaamse Regering capaciteitsgebieden afbakenen op basis van dreigende of bestaande capaciteitsproblemen waar de schoolbesturen dan verplicht zijn om voor al hun scholen of vestigingsplaatsen, gelegen in deze gebieden, gezamenlijk een aanmeldingsprocedure capaciteitsgebieden te voorzien organiseren. De Vlaamse regering waaronder het werkingsgebied van heeft twee het Lokaal Onderwijsplatform Gent (LOP Gent).5 In een LOP vergaderen vertegenwoordigers van alle scholen uit een gemeente of regio en hun partners: Centra voor leerlingenbegeleiding (CLB), ouders en leerlingen, lokale partners, organisaties van migranten en armen, integratiecentra, 3 EDPB Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG, 7 juli 2021, https://edpb.europa.eu/system/files/2023-10/edpb guidelines 202007 controllerprocessor final nl.pdf, randnummer 52. 4 B.S.24 juni 2011. 5 Codex Secundair Onderwijs, te onderwijs.vlaanderen.be/edulex/document.aspx?docid=14289#301966. raadplegen via https://data- Art. 253/7: § 1. Een schoolbestuur beslist jaarlijks en uiterlijk op [6315 november63] per school, per vestigingsplaats of per structuuronderdeel, of het voor het daaropvolgende schooljaar leerlingen wil kunnen weigeren omwille van bereikte capaciteit. In bevestigend geval gelden de bepalingen van onderafdeling 3, in het andere geval gelden de bepalingen van onderafdeling 2. Ook indien het schoolbestuur beslist voor het daaropvolgende schooljaar niet te weigeren omwille van capaciteit, kan het zich aansluiten bij een aanmeldingsprocedure. In dat geval zijn de bepalingen van onderafdeling 3 van toepassing. [51...51] § 2. De Vlaamse Regering kan, in afwijking van paragraaf 1, capaciteitsgebieden afbakenen op basis van dreigende of bestaande capaciteitsproblemen [63...63] , waardoor het recht op inschrijving vermeld in artikel 253/3, niet meer kan worden gegarandeerd. In capaciteitsgebieden zijn schoolbesturen verplicht voor al hun scholen en vestigingsplaatsen, gelegen in het capaciteitsgebied, om gezamenlijk een aanmeldingsprocedure te organiseren. Onverminderd het in paragraaf 1 gestelde, zijn vanaf de inschrijvingen voor schooljaar] capaciteitsgebieden: het werkingsgebied van het LOP Antwerpen en van het LOP Gent. Beslissing ten gronde 171/2024 — 6/27 onthaalbureaus voor nieuwkomers en schoolopbouwwerk. 6 Een LOP heeft onder andere als opdracht het maken van afspraken inzake het nastreven van de doelstellingen inzake gelijke kansen, het maken van afspraken over de communicatie over het inschrijvingsbeleid van de scholen en de afstemming ervan op de communicatie door de Vlaamse overheid en het maken van afspraken over de toepassing van de voorrang in het kader van het inschrijvingsbeleid. De Codex Secundair Onderwijs legt de criteria vast op basis waarvan de toewijzing van de school gebeurt, alhoewel een lokaal onderwijsplatform (LOP) of een schoolbestuur een bepaalde voorrang kan toekennen aan bepaalde parameters om aan de hierboven genoemde doelstellingen van de aanmeldingsprocedure te voldoen.7 19. Kortom, binnen het LOP maken de schoolbesturen, samen de lokale (onderwijs)partners, afspraken omtrent de aanmeldingsprocedure, maar de inschrijving of weigering van leerlingen zelf gebeurt door de schoolbesturen zelf op basis van de decretaal bepaalde doelen. 20. Voor wat betreft de middelen licht de verweerder toe dat de persoonsgegevens die worden verzameld en van welke betrokkenen deze gegevens worden verzameld in het kader van het aanmeldingsprocedure decretaal worden bepaald. Daarnaast kiezen de schoolbesturen via welke software of aanmeldsysteem de aanmeldingsprocedure zal verlopen. Zij beslissen dit hetzij individueel, hetzij via afspraken gemaakt binnen het LOP (zoals in casu het geval is). De verweerder heeft besloten om gebruik te maken van het aanmeldsysteem MeldJeAan aangezien dit reeds jarenlang gebruikt werd door LOP Antwerpen en als een robuust systeem beschouwd werd. De financiering van het gebruik van een dergelijke software voor de aanmeldingsprocedure overstijgt echter de financiële middelen van de verweerder. De Vlaamse overheid kent in dit kader een subsidie toe, maar aangezien deze ontoereikend is, heeft de Stad Gent bijkomende middelen toegekend. 21. Gelet op het bovenstaande concludeert de Geschillenkamer dat er ten tijde van het gegevenslek veel onduidelijkheid bestond tussen de betrokken actoren over wie de rol van verwerkingsverantwoordelijke dient op te nemen en dat deze onduidelijkheid al bestond bij de inwerkingtreding van de aanmeldingsprocedure. De Geschillenkamer stelt echter vast dat de verweerder noch het doel noch de essentiële middelen van de verwerking bepaalt. De doelstellingen zijn immers decretaal bepaald en de middelen worden bepaald door de 6 Art. VIII.4 van het Besluit van 29 oktober 2016 van de Vlaamse Regering betreffende codificatie sommige bepalingen voor het onderwijs, B.S. 29 december 2018. 7 Art. 253/15 Codex Secundair Onderwijs: § 1. Een schoolbestuur kan ervoor kiezen om voor een of meer van zijn scholen per bepaalde capaciteit als vermeld in artikel 253/13, voorrang te verlenen aan een of meer ondervertegenwoordigde groepen, zijnde één of meer groepen van leerlingen die, op basis van één of meerdere objectieve kenmerken, [ 76in de school relatief ondervertegenwoordigd zijn ten aanzien van een referentiepopulatie, waarbij in afwijking van dit principe leerlingen met een IAC-verslag of OV4-verslag in een school van het gewoon onderwijs altijd beschouwd mogen worden als een ondervertegenwoordigde groep, ongeacht de referentiepopulatie.76] [63De voorrang wordt toegepast tot maximaal 20% van de bepaalde capaciteit bezet wordt door de leerlingen behorende tot één of meerdere ondervertegenwoordigde groepen. Ook in geval van meerdere ondervertegenwoordigde groepen bedraagt de voorrang maximaal 20% van de bepaalde capaciteit, vermeld in artikel 253/13. Beslissing ten gronde 171/2024 — 7/27 schoolbesturen binnen de contouren van de Codex Secundair Onderwijs. De aanmeldingsprocedure wordt hoofdzakelijk gefinancierd door de Stad Gent en daarnaast door de subsidie van de Vlaamse overheid. De Geschillenkamer meent dan ook dat de verweerder geen essentiële rol speelt in het bepalen van het doel en de middelen van de verwerkingen van persoonsgegevens in het kader van de aanmeldingsprocedure waardoor deze niet als verwerkingsverantwoordelijke beschouwd kan worden. 22. De Geschillenkamer wijst erop dat in het kader van de aanmeldingsprocedure gevoelige persoonsgegevens op grote schaal verwerkt worden. Het dient dan ook op voorhand voor alle actoren duidelijk te zijn wie waarvoor verantwoordelijk is. Overeenkomstig artikel 6.3 AVG dient evenwel “het doel van de verwerking in die rechtsgrond [te worden] vastgesteld of met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk [te zijn] voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend”. Verder kan volgens artikel 6.3 AVG de rechtsgrond tevens “specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures (...)”. 23. De Geschillenkamer wijst er in dit verband op dat overeenkomstig voormeld artikel 6.3 AVG, gelezen in samenhang met artikel 22 van de Grondwet en in het licht van de artikelen 7 en 8 van het Europees Grondrechtenhandvest, een wetgevende norm de essentiële kenmerken van een gegevensverwerking moet vastleggen die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is toevertrouwd.8 De Geschillenkamer benadrukt dat de betrokken verwerking dient te worden omkaderd door een norm die voldoende duidelijk en nauwkeurig is waarvan de toepassing voor de betrokken personen voorzienbaar is. Overeenkomstig artikel 6.3 AVG dienen de precieze doeleinde(
2. n)van de verwerking in de wettelijke norm zelf te worden opgenomen. Verder dienen de volgende elementen voorzienbaar te zijn: de identiteit van de verwerkingsverantwoordelijke(n), de categorieën verwerkte gegevens, met dien verstande dat deze in overeenstemming moeten zijn met artikel 5.1 AVG, "toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt", de categorieën betrokkenen van wie de gegevens zullen worden verwerkt, de bewaartermijn van de gegevens, de ontvangers of 8 Zie ook de adviezen van het Kenniscentrum van de GBA 36/2020, 42/2020, 44/2020, 46/2020, 52/2020 en 64/2020 (https://www.gegevensbeschermingsautoriteit.be/burger/zoeken?q=&search_category%5B%5D=taxonomy%3Apublication s&sear ch_type%5B%5D=advice&s=recent&l=25) Beslissing ten gronde 171/2024 — 8/27 categorieën ontvangers aan wie hun gegevens worden meegedeeld, de omstandigheden waarin en de redenen waarvoor ze zullen worden meegedeeld en de eventuele beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot en met 22 en 34 AVG. 24. De Geschillenkamer wijst er in dit verband evenwel op dat taken van algemeen belang of openbaar gezag waarmee verwerkingsverantwoordelijken zijn belast, dikwijls niet gebaseerd zijn op nauwkeurig omschreven verplichtingen of wetgevende normen die voldoen aan de eisen vermeld onder randnummer 23, meer bepaald het vastleggen van de essentiële kenmerken van de gegevensverwerking. Veeleer vinden verwerkingen plaats op basis van een meer algemene machtiging om te handelen, zoals voor de vervulling van de taak noodzakelijk is. Dit leidt ertoe dat de desbetreffende wettelijke basis in de praktijk veelal geen concreet omschreven bepalingen bevat omtrent de noodzakelijke gegevensverwerkingen. Verwerkingsverantwoordelijken die op basis van dergelijke wettelijke grondslag willen beroep doen op artikel 6.1
3. e)AVG moeten dan zelf een afweging maken tussen de noodzakelijkheid van de verwerking voor de taak van algemeen belang en de belangen van de betrokkenen. De betrokken actoren hadden dus alvorens de aanmeldingsprocedure ten uitvoer te brengen, moeten vaststellen wie de rol van verwerkingsverantwoordelijke heeft zodat deze aan de hierboven vermelde verplichtingen kan voldoen. De Geschillenkamer wijst hierbij nogmaals op het grootschalig karakter van de verwerkingen van persoonsgegevens van (hoofdzakelijk) kinderen. 25. Naar aanleiding van het gegevenslek verwerkingsverantwoordelijkheid voor de in kwestie verwerkingen werd in de het vraag kader inzake van de aanmeldingsprocedure dieper onderzocht. Intussen bestaat er meer duidelijkheid omtrent de verwerkingsverantwoordelijke. Met het onderwijsdecreet XXXIV van 19 april 20249 is in de Codex Secundair Onderwijs vanaf 1 september 2024 voor het gewoon secundair onderwijs opgenomen: “Voor het ordenen, toewijzen en weigeren van aangemelde leerlingen is het schoolbestuur de verwerkingsverantwoordelijke. In geval van een verwerking door een LOP blijft het schoolbestuur of de gemandateerde de verwerkingsverantwoordelijke.” De Vlaamse overheid stelt eveneens een online aanmeldingssysteem ter beschikking van de scholen. Voor dit aanmeldingssysteem geldt dat de schoolbesturen en AGODI gezamenlijke verwerkingsverantwoordelijke zijn. De schoolbesturen en AGODI bepalen samen het doel en de middelen voor de verwerking van persoonsgegevens. Beide zijn in dat geval verantwoordelijk voor het bijhouden en verwerken van persoonsgegevens in het kader van de AVG. 9 B.S. 28 juni 2024 Beslissing ten gronde 171/2024 — 9/27 II.2. Artikel 5.1,
4. f)en 5.2 van de AVG, artikel 24.1 van de AVG, artikel 25.1 van de AVG en artikel 32.1 en 32.2 AVG 26. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 5.1,
5. f)en 5.2 van de AVG, artikel 24.1 van de AVG, artikel 25.1 van de AVG en artikel 32.1 en 32.2 van de AVG. 27. Artikel 5.1.
6. f)van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. 28. In verdere uitwerking van artikel 5.1.
7. f)AVG stelt artikel 32.1 AVG dat de verweerder als verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hierbij moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context, de verwerkingsdoeleinden en de waarschijnlijkheid en ernst van de uiteenlopende risico’s voor de rechten en vrijheden van personen. 29. Artikel 32.2 van de AVG bepaalt dat bij de beoordeling van het passende beveiligingsniveau rekening moet gehouden worden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. 30. De Geschillenkamer wijst er op dat de verantwoordingsplicht ex artikel 5.2 AVG, artikel 24.1 en artikel 25.1 AVG inhoudt dat op de verwerkingsverantwoordelijke de verplichting rust tot, enerzijds, het nemen van proactieve maatregelen teneinde de naleving van de voorschriften van de AVG te waarborgen en, anderzijds, het kunnen aantonen dat hij dergelijke maatregelen heeft getroffen. 31. Kortom, op een verwerkingsverantwoordelijke rust de verplichting tot het nemen van passende technische en organisatorische maatregelen om een passend beveiligingsniveau te waarborgen en dit ook te kunnen aantonen. 32. Zoals reeds aangehaald stelde de Inspectiedienst inbreuken omtrent bovenstaande verplichtingen vast. De Inspectiedienst verwijst naar het Inspectieonderzoek en stelt dat de verweerder volgende punten niet verduidelijkt:
8. a)wanneer precies de maatregelen in het document “bijlage 3 overzicht bijkomende beveiligingsmaatregelen” van de verweerder werden besproken, goedgekeurd en uitgevoerd en wie daarbij betrokken was; Beslissing ten gronde 171/2024 — 10/27
9. b)waarom er geen handtekeningen voor de verweerder staan in de verwerkingsovereenkomst met de verwerker Z3;
10. c)hoe en wanneer de naleving van de verwerkingsovereenkomst met de verwerker Z3 door de verweerder werd gecontroleerd;
11. d)hoe en wanneer de functionaris voor gegevensbescherming van de verweerder betrokken werd in het kader van de beveiliging van de verwerking van persoonsgegevens in het kader van het online inschrijvingssysteem ‘MeldJeAan’. De verweerder stelt in het document “bijlage 3 overzicht bijkomende beveiligingsmaatregelen” enerzijds dat er voor de verweerder als dusdanig geen functionaris voor gegevensbescherming is aangewezen, maar anderzijds dat de verweerder, in overleg met de functionarissen voor gegevensbescherming van de scholen verbonden aan het LOP, heeft beslist om een melding te doen bij de VTC. De verweerder kon dus wel degelijk beroep doen op de informatie en adviezen van een functionaris voor gegevensbescherming, maar heeft dat hier onvoldoende gedaan. 33. In zijn conclusies voert de verweerder aan dat bij de ingebruikname van de applicatie voor het aanmeldsysteem voor het Gentse secundair onderwijs, i.e. de software MeldJeAan, maatregelen werden genomen om de risico’s op inbreuken op de rechten en vrijheden van de betrokkenen te beperken. De applicatie MeldJeAan werd echter reeds enige tijd eerder al ontwikkeld en in gebruik genomen voor de aanmelding voor onderwijs in Antwerpen en het basisonderwijs in Gent. Echter, de omstandigheden ten tijde van de initiële ontwikkeling van de toepassing waren compleet anders. Het onderwerp (cyber)security was toen nog niet zo actueel als nu, zo betoogt de verweerder. 34. Vervolgens reageert de verweerder op de bovenstaande aangehaalde punten van de Inspectiedienst. 35. Voor wat betreft het bovenstaand punt
12. a)voert de verweerder aan dat de schoolbesturen en hun functionarissen voor gegevensbescherming onmiddellijk betrokken werden naar aanleiding van het voormeld gegevenslek. De bijkomende beveiligingsmaatregelen werden consequent intern besproken bij de verweerder, op de voorbereidende vergaderingen en op de voorzetgroepen waarin de schoolbesturen vertegenwoordigd zijn, meer bepaald op de vergadering van 15 september 2022 waarin alle bijkomende maatregelen besproken werden. De verweerder maakte het verslag van deze vergadering over. Ook op de Algemene Vergadering van de verweerder, waarvan de betrokken schoolbesturen lid zijn en/of waarvoor zij worden uitgenodigd, en meer bepaald de vergadering van 20 oktober 2022 werd dit punt besproken. Het verslag van deze vergadering werd eveneens aan de Geschillenkamer overgemaakt door de verweerder. De maatregelen die in bovenstaande vergaderingen werden besproken, werden opgenomen in de GEB die op 20 maart 2023 per mail werd bezorgd aan de vertegenwoordigers aan de schoolbesturen met het oogmerk om Beslissing ten gronde 171/2024 — 11/27 deze aan hun schoolbestuur en de functionaris voor gegevensbescherming voor feedback voor te leggen. Op basis van de ontvangen feedback werd de GEB gefinaliseerd. 36. Voor wat betreft bovenstaand punt
13. b)en de vraag waarom er geen handtekeningen van de verweerder staan in de verwerkersovereenkomst met Z3 verduidelijkt de verweerder dat hij een verwerkersovereenkomst sloot met Z1 Gent (nu District 09), een autonoom gemeentebedrijf belast met beleidsuitvoerende taken van gemeentelijk belang. Deze verwerkersovereenkomst heeft als voorwerp alle aspecten van telematica geconcretiseerd in het kader bij de verwerkersovereenkomst. De verwerkersovereenkomst tussen Z1 en Z3 waar de Inspectiedienst naar verwijst moet beschouwd worden als een subverwerkersovereenkomst bij de verwerkersovereenkomst tussen de verweerder en Z1. Bijgevolg is er op die subverwerkersovereenkomst geen handtekening van de verweerder te vinden. 37. Op het moment van het gegevenslek nam de verweerder initiatief om namens (
14. i)de betrokken schoolbesturen een nieuwe verwerkersovereenkomst af te sluiten met Z1 (nu: Z2) en (
15. ii)de vraag te stellen aan AGODI om duidelijkheid te verschaffen over de identiteit van de verwerkingsverantwoordelijke in het kader van het aanmeldingssysteem. Op basis van de bepaling die recent is opgenomen in de codex secundair onderwijs 10 is duidelijk dat er een verwerkersovereenkomst tussen de schoolbesturen als gezamenlijke verwerkingsverantwoordelijken en de verwerker dient afgesloten te worden. Dit zal, zo stelt de verweerder, op deze manier verder opgenomen worden. 38. Voor wat betreft bovenstaand punt
16. c)en de vraag hoe en wanneer de naleving van de (sub)verwerkersovereenkomst tussen Z1 (nu: District 09) en Z3 door de verweerder werd gecontroleerd, herinnert de verweerder eraan dat de (hoofd)verwerkersovereenkomst werd gesloten tussen hemzelf en Z1. Z1 sloot op zijn beurt een subverwerkersovereenkomst met Z3. Bijgevolg, zo voert de verweerder aan, is Z3, als subverwerker, contractueel verplicht tot een correcte uitvoering van de subverwerkersovereenkomst met Z1. Volgens de clausule "Verwerking door onderaannemers" in de (hoofd)verwerkersovereenkomst mochten alleen nieuwe onderaannemers ingeschakeld worden met voorafgaande schriftelijke toestemming van de aanbestedende overheid, om zo een adequate gegevensbescherming te waarborgen. Na het incident nam Z1, in zijn rol als verwerker, het initiatief om samen met Z3, subverwerker, de beveiliging van de verwerking van persoonsgegevens naar een hoger niveau te tillen. Dit werd gerealiseerd door het uitvoeren van pentests en security audits op de gebruikte systemen, de implementatie van multifactorauthenticatie (MFA) voor een categorie gebruikers, en de invoering van GDPR- 10 Met het onderwijsdecreet XXXIV van 19/04/2024, B.S. 28/06/2024 is in de codex secundair onderwijs vanaf 1 september 2024 voor het gewoon secundair onderwijs opgenomen: “Voor het ordenen, toewijzen en weigeren van aangemelde leerlingen is het schoolbestuur de verwerkingsverantwoordelijke. In geval van een verwerking door een LOP blijft het schoolbestuur of de gemandateerde de verwerkingsverantwoordelijke.” Beslissing ten gronde 171/2024 — 12/27 auditlogging. Z1 heeft deze initiatieven gecontroleerd via periodieke vergaderingen en emailuitwisselingen. De volledige lijst van maatregelen is vastgelegd in de GEB onder het hoofdstuk "Technische en Organisatorische Maatregelen.” 39. Voor wat betreft bovenstaand punt
17. d)en de vraag hoe en wanneer de functionaris voor gegevensbescherming van de verweerder betrokken werd in het kader van de beveiliging van de verwerking van persoonsgegevens in het kader van het online inschrijvingssysteem ‘MeldJeAan’, voert de verweerder aan dat voor hem als dusdanig geen functionaris voor gegevensbescherming werd aangewezen. Dit houdt verband met het ingenomen standpunt dat de schoolbesturen verwerkingsverantwoordelijke zijn voor het aanmeldingssysteem en dus niet het LOP. Naar aanleiding van het incident werden de functionarissen voor gegevensbescherming van de schoolbesturen onmiddellijk betrokken. Zij zijn via de schoolbesturen ook verder betrokken bij de opvolging. 40. Zoals ook erkend door de verweerder is er in casu sprake van een inbreuk in verband met persoonsgegevens (het voornoemd gegevenslek). Voor zoveel als nodig herinnert de Geschillenkamer eraan dat een inbreuk in verband met persoonsgegevens een inbreuk op de beveiliging uitmaakt die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. Door het downloaden van de lijsten konden derden de persoonsgegevens van de betrokkenen ook raadplegen. Er is dan ook sprake van een inbreuk op de vertrouwelijkheid, namelijk een ongeoorloofde of onbedoelde verstrekking van of toegang tot persoonsgegevens. De betrokken persoonsgegevens waren immers onbedoeld toegankelijk voor en blootgesteld aan externe personen gedurende een periode waardoor de vertrouwelijkheid in het gedrang is gekomen. 41. De Geschillenkamer merkt op dat de verweerder ook het gevolg van het gegevenslek voor de betrokkenen niet ontkent. Verder kon het gegevenslek niet accidenteel gebeuren. Er was een doelbewuste actie met de nodige kennis vereist. Zoals de verweerder ook aanhaalt heeft het gegevenslek geleid tot het vrijgeven van informatie, maar in geen geval tot inbreuken op de integriteit of de toegankelijkheid van de informatie. Slechts een aantal personen heeft toegang tot de gegevens en zij worden vanuit hun functie geacht de gegevens uitsluitend te gebruiken voor de uitoefening van hun opdracht en het vertrouwelijke karakter van de persoonsgegevens en de veiligheid ervan te waarborgen. 42. Zoals de verweerder ook aanhaalt, oordeelt de Geschillenkamer dat misbruik, ook onder eigen werknemers, niet uit te sluiten valt. De Geschillenkamer is echter van oordeel dat er te weinig technische en organisatorische maatregelen genomen werden om dat risico op misbruik zo klein mogelijk te maken, zoals een logsysteem en multifactorauthenticatie, of awareness-acties voor personeel waarbij zij bewust worden gemaakt van de Beslissing ten gronde 171/2024 — 13/27 grondbeginselen van gegevensbescherming en de verplichtingen die voortvloeien uit de AVG. 43. Naar aanleiding van het incident werden een aantal bijkomende technische beveiligingsmaatregelen ingevoerd. De Geschillenkamer stelt vast dat verschillende security tests werden uitgevoerd en verschillende softwaremaatregelen, toegangsmaatregelen en omgevingsmaatregelen zoals logging en tweefactorauthenticatie werden ingevoerd. Daarnaast dienen sinds het incident alle medewerkers en directies die instaan voor de verwerking van persoonsgegevens via het aanmeldingssysteem zich expliciet akkoord te verklaren met de geheimhoudingsverklaring en gedragscode in het kader van aanmelden, naast de reeds toepasselijke schooleigen maatregelen. Verder werd er intussen in de Codex Secundair Onderwijs meer duidelijkheid verschaft omtrent de identiteit van de verwerkingsverantwoordelijke (zie supra deel II.1). Intussen werd binnen het LOP Gent de beslissing genomen om te werken met het aanmeldsysteem dat werd ontwikkeld door de Vlaamse overheid (zie supra deel II.1) 44. De door de verweerder aan het dossier toegevoegde documenten hebben de Geschillenkamer in staat gesteld om een inzicht te krijgen in de toekomstgerichte aanpak van de verweerder om een herhaling van de feiten zoals die zich hebben voorgedaan te voorkomen. 45. Dit brengt de Geschillenkamer ertoe te concluderen dat er sprake is van een historische inbreuk op artikel 5.1,
18. f)en 5.2 van de AVG, artikel 24.1 van de AVG, artikel 25.1 van de AVG en artikel 32.1 en 32.2 van de AVG, maar dat deze niet verwijtbaar is aan de verweerder aangezien deze geen verwerkingsverantwoordelijke is voor de litigieuze verwerkingen. II.3. Artikelen 33 en 34 van de AVG 46. De Inspectiedienst stelt in zijn onderzoeksverslag enerzijds een inbreuk op artikel 33 AVG vast omdat de verweerder geen melding van de inbreuk in verband met persoonsgegevens (namelijk het voornoemd gegevenslek) heeft gemeld aan de GBA en anderzijds een inbreuk op artikel 34 AVG omdat de melding van de inbreuk aan betrokkenen in verband met persoonsgegevens niet onverwijld is gebeurd. 47. Een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4, 12° AVG is “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”. 48. Wanneer dergelijke inbreuk in verband met persoonsgegevens zich voordoet, legt de AVG de verwerkingsverantwoordelijke op om dit te melden aan de bevoegde nationale Beslissing ten gronde 171/2024 — 14/27 toezichthoudende autoriteit en, in bepaalde gevallen, om deze inbreuk mee te delen aan de personen op wiens persoonsgegevens de inbreuk betrekking heeft. 49. Voor wat betreft de melding van de inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit verwijst de Geschillenkamer naar artikel 33 AVG dat bepaalt dat “Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.”. 50. Voor wat betreft de melding van het gegevenslek aan de toezichthoudende autoriteit ingevolge artikel 33 AVG voert de verweerder in zijn conclusies aan dat hij op 6 mei 2022 melding deed bij de Vlaamse Toezichtcommissie (VTC) van het gegevenslek. Hij baseert zich hiervoor op de website van de VTC waarop het volgende te lezen is: “De Vlaamse Toezichtcommissie (VTC) is als toezichthoudende autoriteit verantwoordelijk voor het toezicht op de toepassing van de Algemene Verordening Gegevensbescherming (AVG of GDPR) door de Vlaamse bestuursinstanties. Gegevenslek melden Met ingang van 25 mei 2018 geldt een meldplicht voor gegevenslekken. Deze meldplicht houdt in dat Vlaamse instanties binnen de 72 uur en zonder onredelijke vertraging een melding moeten doen bij de Vlaamse Toezichtcommissie zodra er een risico bestaat voor de fundamentele rechten en vrijheden van de betrokkenen (de mensen van wie de persoonsgegevens zijn). Soms moeten zij het gegevenslek ook meedelen aan de betrokkenen zelf.” 51. De verweerder stelt dan ook dat hij meende dat hij door de melding aan de VTC voldaan had aan zijn verplichtingen en neemt akte van de toelichting hieromtrent in het verslag van het onderzoek van de Inspectiedienst. 52. De Geschillenkamer zal eerst nagaan of de inbreuk in verband met persoonsgegevens gemeld had moeten worden aan de GBA of aan de VTC ingevolge artikel 33.1 AVG. 53. Vanuit het perspectief van het recht van de Europese Unie, staat vast dat de Gegevensbeschermingsautoriteit een toezichthoudende autoriteit is in de zin van artikel 8.3 van het Europees Grondrechtenhandvest en in de zin van hoofdstuk VI van de AVG. De Geschillenkamer wijst er voorts op dat de EU-verdragen, alsmede de rechtspraak van het Europees Hof van Justitie, strenge eisen stellen aan de onafhankelijkheid en taakuitvoering van de toezichthouders. Het toezicht is een wezenlijk onderdeel van het recht van mensen Beslissing ten gronde 171/2024 — 15/27 op de bescherming van hun persoonsgegevens. 11 Met andere woorden, personen hebben een aanspraak op de bescherming door een autoriteit. Deel van die aanspraak bestaat eruit dat een klacht op een gepaste manier door de autoriteit wordt behandeld. 12 De Geschillenkamer wijst erop dat het Grondwettelijk Hof het volgende heeft vastgesteld: “Uit geen enkel gegeven blijkt dat de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens is aangemeld bij de bevoegde instellingen van de Europese Unie en dat er een procedure is vastgesteld om ervoor te zorgen dat zij de regels in verband met het in artikel 63 bedoelde coherentiemechanisme naleeft”.13 Hieruit volgt dat, althans ten tijde van het gegevenslek in kwestie, de VTC niet bevoegd was om kennis te nemen van de melding van de inbreuk in verband met persoonsgegevens overeenkomstig artikel 33 AVG. 54. Voor zoveel als nodig verwijst de Geschillenkamer in dit kader naar de Richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/56914 van de European Data Protection Board, waarin een niet-uitputtende lijst is opgenomen van maatregelen die verwerkingsverantwoordelijken kunnen treffen om aan de verantwoordingsverplichting te voldoen in het geval van een gegevenslek: het ten uitvoer leggen van en toezicht houden op controleprocedures om te waarborgen dat alle maatregelen niet alleen op papier bestaan maar ook ten uitvoer worden gelegd en in de praktijk functioneren, het vaststellen van interne procedures, het opstellen van een schriftelijk en bindend beleid betreffende gegevensbescherming, het ontwikkelen van interne procedures voor het doeltreffend beheren en rapporteren van inbreuken op de beveiliging. 55. Gelet op het bovenstaande is de Geschillenkamer van oordeel dat de inbreuk in verband met persoonsgegevens, het gegevenslek in kwestie, gemeld had moeten worden aan de GBA overeenkomstig artikel 33 AVG. Het feit dat het gegevenslek niet gemeld werd aan de GBA maakt bijgevolg een inbreuk uit op artikel 33.1 AVG. Deze inbreuk is niet verwijtbaar aan de verweerder aangezien deze geen verwerkingsverantwoordelijke is in het kader van de aanmeldingsprocedure. 56. Vervolgens gaat de Geschillenkamer na of deze inbreuk met betrekking tot persoonsgegevens tijdig gemeld werd aan de betrokkenen overeenkomstig artikel 34 AVG. 57. Overeenkomstig artikel 34 AVG moet de verwerkingsverantwoordelijke in bepaalde gevallen een inbreuk niet alleen melden aan de toezichthoudende autoriteit, maar moet hij 11 Overweging 117 van de AVG en HvJEU Arrest van 9 maart 2010, Commissie t. Duitsland, C-518/07,, ECLI:EU:C:2010:125 par. 23. 12 HvJEU Arrest van 6 oktober 2015, Schrems t. Data Protection Commissioner, C-362/14, ECLI:EU:C:2015:650, par. 63. 13 GwH, Arrest nr. 26/2023 van 16 februari 2023, Rolnummers : 7494, 7505, 7526 en 7606, randnr. B.30.6, te raadplegen via https://www.const-court.be/public/n/2023/2023-026n.pdf. 14 Artikel 29 Werkgroep, Richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/679, wp250rev.01. Beslissing ten gronde 171/2024 — 16/27 deze ook meedelen aan de getroffen personen. Dit is het geval als het waarschijnlijk is dat een inbreuk resulteert in een hoog risico voor de rechten en vrijheden van natuurlijke personen. 58. De drempel voor het meedelen van een inbreuk aan de betrokkenen ligt dus hoger dan die voor het melden van een inbreuk aan de toezichthoudende autoriteiten, en dus hoeven niet alle inbreuken die wel gemeld moeten worden aan de toezichthoudende autoriteit ook aan de betrokken personen gemeld te worden. 59. De verweerder heeft de inbreuk in verband met persoonsgegevens gemeld aan de betrokkenen. Voor wat betreft de timing van deze melding aan de betrokkenen betoogt de verweerder dat hij, gezien de omstandigheden, de betrokkenen zo snel als mogelijk en wenselijk geïnformeerd heeft. Om correcte informatie te verschaffen aan de betrokkenen, was het volgens de verweerder noodzakelijk om een voorafgaand onderzoek uit te voeren om het gegevenslek in kaart te brengen. Op basis van die onderzoeksresultaten werden onverwijld de nodige communicatieve stappen gezet. 60. Vroegtijdige berichtgeving, zonder transparante informatie over de aard en de omvang van het incident, was volgens de verweerder niet verantwoord. De analyse van het incident en afstemming leidde tot een duidelijk en helder bericht waarin de betrokkenen (ouders) correct geïnformeerd werden, zonder het incident te minimaliseren, binnen een week na het incident in kwestie. Op 4 mei 2022 was de verweerder op de hoogte van het incident, op 9 mei 2022 ontvingen de ouders de nodige informatie. 61. De verweerder voegt hieraan toe dat er geen mogelijk misbruik (verdachte berichten) gesignaleerd was. De verweerder meent dan ook dat hij snel en gepast gereageerd heeft op de vragen van betrokkenen (ouders) die hij ontvangen had naar aanleiding van het bericht. 62. De vraag stelt zich of deze melding aan de betrokkene ‘onverwijld’ gebeurd is, zoals voorgeschreven door artikel 34 AVG. Overweging 86 van de AVG bepaalt dat de verwerkingsverantwoordelijke de betrokkene zonder onredelijke vertraging in kennis moet stellen van de inbreuk in verband met persoonsgegevens wanneer die inbreuk in verband met persoonsgegevens grote risico's voor de rechten en vrijheden van de natuurlijke persoon met zich kan brengen, zodat hij de nodige voorzorgsmaatregelen kan treffen. Dergelijke kennisgevingen aan betrokkenen dienen zo snel als redelijkerwijs mogelijk te worden gedaan. Zo zouden betrokkenen bijvoorbeeld onverwijld in kennis moeten worden gesteld wanneer een onmiddellijk risico op schade moet worden beperkt. Een langere kennisgevingstermijn kan evenwel gerechtvaardigd zijn wanneer er eerst passende maatregelen moeten worden genomen om het beveiligingsprobleem te verhelpen om aldus aanhoudende of soortgelijke inbreuken in verband met persoonsgegevens te vermijden. Beslissing ten gronde 171/2024 — 17/27 63. De Geschillenkamer stelt vast dat, zoals reeds vermeld, de verweerder het gegevenslek ontdekt heeft op 4 mei 2022. Op 4 en 5 mei 2022 werden onderzoeken gevoerd naar het ontstaan van het gegevenslek door de softwareontwikkelaar van het MeldJeAan-platform. Op 5 mei 2022 werden de onbeveiligde URL’s door Z3 beveiligd, waarna zij het gegevenslek gemeld heeft aan de VTC op vrijdag 6 mei 2022. De melding aan de betrokkenen vond plaats op maandag 9 mei 2022 om 18u47. De Geschillenkamer vindt in de conclusie van de verweerder geen elementen terug die deze langere kennisgevingstermijn zouden rechtvaardigen, bijvoorbeeld dat er verdere (essentiële) stappen genomen zijn in het kader van het dichten van het gegevenslek na 5 mei 2022. De verweerder legt geen argumenten of elementen voor waaruit blijkt dat er een beleid bestaat binnen het LOP Gent Secundair inzake het doeltreffend beheren en rapporteren van inbreuken in verband met persoonsgegevens of andere elementen waaruit blijkt dat een langere termijn tot melding aan de betrokkene noodzakelijk was. 64. In dit kader verwijst de Geschillenkamer eveneens naar de hierboven opgenomen nietlimitatieve lijst van maatregelen die genomen kunnen worden door de verwerkingsverantwoordelijke om te voldoen aan de verantwoordingsplicht. 65. De Geschillenkamer is dan ook van oordeel dat de melding aan de betrokkenen niet onverwijld heeft plaatsgevonden waardoor er sprake is van een inbreuk op artikel 34.1 AVG. Deze inbreuk is niet verwijtbaar aan de verweerder aangezien deze geen verwerkingsverantwoordelijke is in het kader van de aanmeldingsprocedure. II.4. Artikel 35.1, 35.2, 35.3 en 35.7 van de AVG 66. De Inspectiedienst stelt vast dat de verweerder een inbreuk heeft begaan op artikel 35.1, 35.2, 35.3 en 35.7 AVG aangezien door de verweerder geen GEB werd uitgevoerd voor de verwerkingen die plaatsvinden met betrekking tot MeldJeAan. 67. De verweerder voert aan dat de applicatie in gebruik werd genomen voorafgaand aan de AVG. De verwerkingen bestonden al op het moment dat de AVG van toepassing werd. Er werden ook geen grondige wijzigingen meer doorgevoerd aan de toepassing of werkwijze sinds de inwerkingtreding van de AVG. Daarom werd geen GEB uitgevoerd. Ondertussen is de gegevensbeschermingseffectbeoordeling uitgevoerd, die de verweerder bij zijn conclusies aan de Geschillenkamer overmaakt. 68. De Geschillenkamer herinnert eraan dat, overeenkomstig artikel 35.1 AVG, de verwerkingsverantwoordelijke vóór de verwerking een beoordeling zal moeten uitvoeren van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens, vooral wanneer de verwerking, in het bijzonder wanneer er nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden Beslissing ten gronde 171/2024 — 18/27 daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een GEB diens advies in (artikel 35.2 AVG). Zoals reeds gesteld in deel II.1 dient de verweerder niet als verwerkingsverantwoordelijke beschouwd te worden voor de verwerkingen van persoonsgegevens in het kader van de aanmeldingsprocedure. 69. De vraag rijst of een GEB had moeten opgesteld worden voor de ingebruikname van MeldJeAan. Zoals de verweerder ook aangeeft in zijn conclusies, werd de beslissing om een gezamenlijke aanmeldingsprocedure op te starten genomen in 2017. Bij gebrek aan financiële middelen om een dergelijk systeem te bekostigen, besloot de verweerder gebruik te maken van MeldJeAan, een applicatie die al enkele jaren werd gebruikt in Antwerpen en in het basisonderwijs in Gent. MeldJeAan werd ontwikkeld en voor het Gents basisonderwijs in gebruik genomen in 2009.. De Geschillenkamer merkt op dat de verweerder op zich niet betwist dat de verwerkingen in het kader van MeldJeAan van die aard zijn dat een GEB nodig zou zijn. De verweerder stelt daarentegen dat hij geen GEB heeft uitgevoerd omdat het aanmeldingssysteem reeds in gebruik genomen was voordat de AVG van toepassing werd. 70. De Geschillenkamer wijst erop dat verschillende omstandigheden sindsdien gewijzigd zijn die het opstellen van een GEB noodzakelijk maken. De Geschillenkamer wijst eerst en vooral op wetgevende wijzigingen sindsdien. Het aanmeldsysteem in het secundair onderwijs werd ingevoerd door het Decreet van het Vlaams Parlement van 17 mei 2019 houdende wijziging van het decreet basisonderwijs van 25 februari 1997, van de Codex Secundair Onderwijs van 17 december 2010 en van de Codificatie van sommige bepalingen voor het onderwijs van 28 oktober 2016, wat het inschrijvingsrecht betreft, dat in werking is getreden op 1 september 2022. Ingevolge de invoering van het aanmeldsysteem voor het Gents secundair onderwijs zijn de leerlingen die zouden starten in het eerste jaar van de eerste graad van het secundair onderwijs verplicht om zich aan te melden via MeldJeAan. De betrokkenen hebben geen keuze om zich aan te melden via een ander systeem, en indien zij zouden wensen om zich buiten het aanmeldsysteem om in te schrijven op een school, vermindert dit aanzienlijk hun kansen op inschrijving op hun voorkeursschool.15 Dit betekent dat er sprake is van een nieuwe categorie van betrokkenen wiens persoonsgegevens verwerkt worden via MeldJeAan, zijnde de leerlingen die zich wensen in te schrijven in het secundair onderwijs. Dit leidt onvermijdelijk tot een aanzienlijke toename van de omvang van de persoonsgegevens die via MeldJeAan verwerkt worden. Het komt dan ook toe aan de verwerkingsverantwoordelijke om na te gaan of de toepasselijke beveiligingsmaatregelen voldoen om de naleving van de AVG te waarborgen in deze gewijzigde omstandigheden. 15 Op de website meldjeaansecundair.stad;gent staat te lezen: “Als je je kind niet aanmeldt, kan je het pas vanaf 14 mei 2024 om 9 uur rechtstreeks inschrijven in een school waar nog vrije plaatsen zijn. Het aantal scholen met vrije plaatsen zal beperkt zijn. De plaatsen worden eerst toegewezen aan de kinderen die zijn aangemeld.” Beslissing ten gronde 171/2024 — 19/27 71. In conclusies geeft de verweerder aan dat de omstandigheden ten tijde van de initiële ontwikkeling van de toepassing compleet anders waren dan vandaag en dat cybersecurity toen nog niet zo actueel was. Aangezien de verweerder besloten heeft om MeldJeAan te gebruiken, een systeem dat al enkele jaren vóór 2017 ontwikkeld werd, had hij zich ervan bewust moeten zijn dat de omstandigheden qua beveiliging van persoonsgegevens gewijzigd waren en dat de toepasselijke maatregelen inzake cybersecurity potentieel niet meer aangepast waren aan het vereiste niveau van gegevensbescherming. In deze context wijst de Geschillenkamer erop dat MeldJeAan sinds 2009 in voege is voor het Gents basisonderwijs. Het opstellen van een GEB had ertoe kunnen leiden dat eventuele problemen omtrent de beveiliging van MeldJeAan in kaart zouden zijn gebracht. 72. Gelet op deze ingevoerde verplichting voor het Gents secundair onderwijs, de hiermee gepaard gaande toename van de te verwerken persoonsgegevens van een nieuwe categorie van betrokkenen, komt de Geschillenkamer tot de conclusie dat er voldoende gewijzigde omstandigheden zijn die het opstellen van een GEB vereisten. 73. Artikel 35.7 AVG stelt vast wat een GEB tenminste moet bevatten:
19. a)een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd;
20. b)een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden;
21. c)een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en
22. d)de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. De Geschillenkamer merkt op dat eerst geen GEB werd opgesteld voor het gebruik van MeldJeAan in het kader van het aanmeldingssysteem voor het Gents secundair onderwijs hoewel dit verplicht was. Intussen werd een GEB opgesteld en werd deze door de verweerder aan de Geschillenkamer overgemaakt. De Geschillenkamer stelt vast dat deze GEB in overeenstemming is met de bovenstaande voorschriften uit artikel 35 AVG. Bijgevolg oordeelt de Geschillenkamer dan ook dat er sprake is van een historische inbreuk op artikel 35.1, 35.2, 35.3 en 35.7 AVG. Deze inbreuken zijn niet verwijtbaar aan de verweerder aangezien deze geen verwerkingsverantwoordelijke is in het kader van de aanmeldingsprocedure. Beslissing ten gronde 171/2024 — 20/27 II.5. Artikel 38.1 en artikel 39 van de AVG 74. De Inspectiedienst merkt in zijn inspectieverslag op dat er sprake is van een inbreuk op artikel 38.1 en 39 AVG omdat de verweerder niet kan aantonen dat de functionaris voor gegevensbescherming effectief en tijdig werd betrokken bij (
23. i)de beveiliging van de verwerking van persoonsgegevens in het kader van MeldJeAan; (
24. ii)het register van verwerkingsactiviteiten; en (iii) de beoordeling van de noodzaak van en in voorkomend geval de uitvoering van een GEB. 75. De Geschillenkamer herinnert eraan dat artikel 38.1 AVG voorschrijft dat de verwerkingsverantwoordelijke er zorg voor draagt dat de functionaris voor gegevensbescherming tijdig en naar behoren wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. 76. Op basis van artikel 39.1 AVG moet de functionaris voor gegevensbescherming (
25. a)de verwerkingsverantwoordelijke informeren en adviseren over diens verplichtingen uit hoofde van de AVG en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en (
26. b)toezien op naleving van de AVG, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits. 77. De verweerder betoogt dat de applicatie in gebruik genomen werd voorafgaand aan de AVG. Op dat moment was de functie van functionaris voor gegevensbescherming nog onbestaande. Zoals eerder aangehaald door de verweerder was er in het verleden onduidelijkheid over de identiteit van de verwerkingsverantwoordelijke en was er geen functionaris voor gegevensbescherming voorzien voor de LOP’s. Volgens AGODI waren altijd de schoolbesturen verwerkingsverantwoordelijke in het kader van het centraal aanmeldingssysteem, hoewel deze visie volgens de verweerder niet door alle betrokken actoren werd gedeeld. 78. De verweerder wijst erop dat zij naar aanleiding van het gegevenslek de schoolbesturen en hun functionarissen voor gegevensbescherming onmiddellijk betrokken heeft. Alle beveiligingsmaatregelen werden besproken op vergaderingen van de verweerder waarbij de schoolbesturen betrokken waren. Zoals reeds vermeld onder II.3 werd een GEB opgesteld die werd voorgelegd aan de schoolbesturen en hun functionarissen voor gegevensbescherming. Op basis van de feedback van dezen werd de GEB gefinaliseerd. Deze GEB, samen met de adviezen van de functionaris voor gegevensbescherming werden aan de Geschillenkamer overgemaakt. Beslissing ten gronde 171/2024 — 21/27 79. De verweerder informeert en sensibiliseert de schoolbesturen om bij toekomstige aanmeldingsprocedures en de verwerking van de gegevens via een aanmeldingssysteem, de registratie van verwerkingsactiviteiten en de gegevensbeschermingseffectbeoordeling hun functionaris voor gegevensbescherming effectief en tijdig te betrekken. De verantwoordelijkheden worden ook vastgelegd in de overeenkomst tussen gezamenlijke verwerkingsverantwoordelijken die de schoolbesturen zullen sluiten. 80. De Geschillenkamer merkt op dat er in de loop van de voorbije jaren door meerdere instanties verschillende standpunten ingenomen en adviezen verstrekt zijn omtrent de verwerkingsverantwoordelijkheid inzake MeldJeAan. Intussen werd duidelijkheid verschaft en worden de schoolbesturen beschouwd als verwerkingsverantwoordelijken in het kader van MeldJeAan. De verweerder geeft aan in deze context een sensibiliserende rol te zullen spelen ten aanzien van de schoolbesturen bij toekomstige verwerkingen. De Geschillenkamer oordeelt dat er onvoldoende aanwijzingen zijn om te besluiten tot een schending van artikel 38.1 en 39.1 AVG in hoofde van de verweerder voor wat betreft de verwerkingen in het kader van MeldJeAan. II.6. Artikel 30.1, artikel 30.3 en artikel 30.4 van de AVG 81. De Inspectiedienst heeft vastgesteld dat de verweerder niet voldoet aan de vereisten van artikel 30.1, 30.3 en 30.4 AVG. 82. Volgens artikel 30 van de AVG is elke verwerkingsverantwoordelijke verplicht om een register bij te houden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid vallen. Artikel 30.1 van de AVG specificeert de informatie die in dit register moet worden opgenomen:
27. a)de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming;
28. b)de verwerkingsdoeleinden;
29. c)een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;
30. d)de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties;
31. e)indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49.1, tweede alinea AVG, bedoelde doorgiften, de documenten inzake de passende waarborgen; Beslissing ten gronde 171/2024 — 22/27
32. f)indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist;
33. g)indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32.1 AVG. 83. Het register van verwerkingsactiviteiten moet schriftelijk worden opgesteld, inclusief in elektronische vorm (artikel 30.3 AVG), en moet desgevraagd beschikbaar worden gesteld aan de toezichthoudende autoriteit (artikel 30.4 AVG). 84. De Inspectiedienst heeft in het kader van bovenstaande verplichtingen de volgende tekortkomingen geconstateerd:
34. a)Een niet goedgekeurd ontwerp van register van de verwerkingsactiviteiten is geen register van de verwerkingsactiviteiten, maar een voorbereidend document. Nochtans moet de verweerder wel degelijk een register van de verwerkingsactiviteiten houden en dat op eenvoudig verzoek bezorgen aan de Inspectiedienst van de GBA;
35. b)De beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens is onvolledig (cf. artikel 30.1,
36. c)van de AVG) aangezien in de tabbladen van het nog niet goedgekeurd ontwerp van register van de verwerkingsactiviteiten van de verweerder de categorieën van betrokkenen en van persoonsgegevens enkel kort worden opgesomd in plaats van worden beschreven. Het is daardoor niet duidelijk wat precies wordt bedoeld;
37. c)De verweerder toont niet aan dat zijn nog niet goedgekeurd ontwerp van register van de verwerkingsactiviteiten actueel is. De Inspectiedienst verwijst in dat verband naar het feit dat er door de verweerder wordt vermeld “Datum laatste wijziging: 26/09/2022” terwijl het antwoord via e-mail aan de Inspectiedienst werd bezorgd op 03/10/2022. Bijgevolg ontving de Inspectiedienst op 03/10/2022 het register van de verwerkingsactiviteiten van de verweerder dat laatst werd aangepast op 26 september 2022. Omtrent deze door de Inspectiedienst vastgestelde inbreuken voert de verweerder aan dat, voor wat betreft het aanmeldingssysteem, de schoolbesturen verwerkingsverantwoordelijke zijn. De verweerder schrapt deze verwerking dan ook uit het register en verduidelijkt hierbij dat ieder schoolbestuur beschikt over zijn eigen register van verwerkingsactiviteiten en dat bepaalde schoolbesturen hebben aangegeven dat deze verwerking al in hun register opgenomen is. De verweerder stelt alle betrokken schoolbesturen te zullen informeren over de noodzaak om de verwerkingsactiviteiten voor het inschrijvingssysteem op te nemen in hun register voor verwerkingsactiviteiten. 85. De verweerder geeft meer context aan de vaststellingen van de Inspectiedienst en legt uit dat voor het aanmeldingssysteem de schoolbesturen de verwerkingsverantwoordelijken Beslissing ten gronde 171/2024 — 23/27 zijn. De verweerder heeft daarom deze verwerking uit het register van verwerkingsactiviteiten verwijderd en zal de schoolbesturen informeren over de noodzaak om hun eigen registers bij te werken. Voor wat betreft punt
38. c)van de Inspectiedienst omtrent de actualiteit van het register van verwerkingsactiviteiten stelt de verweerder dat deze inbreuk onduidelijk is aangezien er slechts 1 week is verstreken tussen de destijds laatste aanpassing van het register en de verzending ervan aan de Inspectiedienst. In deze periode van 1 week drongen zich geen nieuwe aanpassingen op. 86. De Geschillenkamer herinnert aan het doel van het register van verwerkingsactiviteiten. Om de in de AVG vervatte verplichtingen doeltreffend te kunnen toepassen, is het van essentieel belang dat de verwerkingsverantwoordelijke (en de verwerkers) een overzicht hebben van de verwerkingen van persoonsgegevens die zij uitvoeren. Dit register is dan ook in de eerste plaats een instrument om de verwerkingsverantwoordelijke te helpen bij de naleving van de AVG voor de verschillende gegevensverwerkingen die hij uitvoert. Het register maakt de belangrijkste kenmerken ervan zichtbaar. De Geschillenkamer is van oordeel dat dit verwerkingsregister een essentieel instrument is in het kader van de reeds vermelde verantwoordingsplicht (artikel 5.2, en artikel 24 AVG) en dat dit register ten grondslag ligt aan alle verplichtingen die de AVG aan de verwerkingsverantwoordelijke oplegt. In dit kader verwijst de Geschillenkamer naar deel II.1 waarin zij heeft vastgesteld dat de verweerder niet de verwerkingsverantwoordelijke is in het kader van de aanmeldingsprocedure. 87. Voor zoveel als nodig stelt de Geschillenkamer voor wat betreft de door de Inspectiedienst aangehaalde inbreuken het volgende vast. 88. Voor wat betreft punt
39. a)stelt de Geschillenkamer vast dat alle informatie, zoals vereist door artikel 30.1 AVG opgenomen is in het register van verwerkingsactiviteiten zoals overgemaakt door de verweerder aan de Inspectiedienst gedurende het onderzoek, waardoor zij hieromtrent geen inbreuk vaststelt. De Geschillenkamer benadrukt dat een register voor verwerkingsactiviteiten een levend document is dat steeds gewijzigd en geactualiseerd moet worden. 89. Voor wat betreft punt
40. b)van de vaststellingen van de Inspectiedienst stelt de Geschillenkamer vast dat noch de tekst van de AVG, noch de doelstellingen van de AVG verhinderen dat een opsomming van de categorieën van persoonsgegevens en de categorieën van betrokkenen wordt opgenomen in het register van verwerkingsactiviteiten of dat een meer gedetailleerde beschrijving zou nodig zijn. Voor wat betreft de categorieën van ontvangers verwijst de Geschillenkamer naar een aanbeveling van de CBPL 16 en de 16 Beschikbaar op: https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.-06-2017.pdf Beslissing ten gronde 171/2024 — 24/27 doctrine17 waarin wordt uiteengezet dat het weliswaar niet nodig is de individuele ontvangers van de gegevens te vermelden, maar dat deze wel gegroepeerd kunnen worden per categorie van ontvangers. Mutatis mutandis kan deze stelling ook worden toegepast op de categorieën van persoonsgegevens en betrokkenen. De Geschillenkamer wijst er echter op dat de invulling van het register van verwerkingsactiviteiten steeds casuïstisch geëvalueerd moet worden om na te gaan of de hierin opgenomen beschrijving of opsomming voldoende duidelijk en concreet is. In onderhavig geval stelt de Geschillenkamer vast dat de opsommingen opgenomen in het register van verwerkingsactiviteiten voldoende concreet waren. Er kan volgens de Geschillenkamer weinig twijfel bestaan over de betekenis van de opgesomde elementen, zoals leerling en ouders van leerling, identificatiegegevens, financiële bijzonderheden, met verduidelijking “ontvangen van een schooltoeslag”, gegevens betreffende onderwijs met verduidelijking “opleidingsniveau van de moeder, verslag buitengewoon onderwijs, thuistaal”, en het rijksregisternummer in het kader van onderwijs. 90. Punt
41. c)van de vaststellingen van de Inspectiedienst betreft de actualiteit van het register. De Geschillenkamer wijst erop dat het register van verwerkingsactiviteiten moet worden bijgewerkt overeenkomstig de ontwikkeling en evolutie van de activiteiten van de betrokken onderneming of organisatie. Indien de verwerkingsverantwoordelijke een nieuwe verwerkingsactiviteit aanvangt of een bestaande verwerkingsactiviteit wijzigt, dient het register van verwerkingsactiviteiten overeenkomstig aangepast te worden. Aangezien de periode tussen de laatste wijziging van het register van verwerkingsactiviteiten en het overmaken ervan beperkt is tot een week, en aangezien er geen elementen zijn waaruit blijkt dat het register van verwerkingsactiviteiten niet actueel zou geweest zijn, is de Geschillenkamer van oordeel dat er hieromtrent geen inbreuk werd aangetoond. 91. De Geschillenkamer stelt vast dat het (ontwerp van) register van verwerkingsactiviteiten in elektronische en schriftelijke vorm werd opgesteld en dat deze werd overgemaakt aan de Inspectiedienst toen deze daarom verzocht. De Geschillenkamer stelt dan ook vast dat er geen inbreuk is op artikel 30.1, 30.3 en 30.4 AVG. 17 W. Kotschy, "Article 30: records of processing activities", in Ch. Kuner The EU General Data Protection Regulation (GDPR), a commentary, 2020, pag. 621. Beslissing ten gronde 171/2024 — 25/27 III. Sancties 93. Uit de dossierstukken concludeert de Geschillenkamer dat er meerdere overtredingen van de AVG hebben plaatsgevonden. Meer bepaald is er sprake van een schending van de artikelen 5.1(f), 32.1, 32.2, in combinatie met 5.2, 24.1 en 25.1 AVG, alsook overtredingen van de artikelen 33.1, 34.1 AVG, en ten slotte van de artikelen 35.1, 35.2, 35.3, 35.7 AVG, 94. Volgens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° de klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings van Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 95. De Geschillenkamer merkt op dat er bij aanvang van de aanmeldingsprocedure onduidelijkheid was omtrent de identiteit van de verwerkingsverantwoordelijke in deze context. Aangezien de verweerder niet het doel en de essentiële middelen van de verwerkingen in Geschillenkamer het kader van de aanmeldingsprocedure geoordeeld dat hij niet moet vaststelt, beschouwd worden heeft de als de verwerkingsverantwoordelijke. Toch heeft de verweerder naar aanleiding van het gegevenslek de verantwoordelijkheid genomen om de verwerkingen (meer) in regel te stellen met de verplichtingen voortvloeiend uit de AVG, gelet op de verwerkingen van (gevoelige) persoonsgegevens op grote schaal. Gelet op het feit dat de verweerder niet als Beslissing ten gronde 171/2024 — 27/27 verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.19, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 19 Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd.