Beslissing ten gronde nr. 175/2022

1/20 Geschillenkamer Beslissing ten gronde 175/2022 van 28 november 2022 Dossiernummer: DOS-2021-00684 Betreft: klacht met betrekking tot het versturen van e-mails naar een lijst met studenten en de bekendmaking van schoolresultaten met vermelding van de geboortedatum van de studenten - aanwijzing van de verwerkingsverantwoordelijke beginselen van doelbinding en evenredigheid De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Yves Poullet en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: mevrouw X, vertegenwoordigd door meester Florent Loriaux, advocaat, met kantoor gevestigd te 5100 Jambes, avenue de Luxembourg 152. . . . Beslissing ten gronde 175/2022 - 2/20 hierna: "de klager”; De verweerders: Y1, hierna "de eerste verweerder"; Y2, hierna “de tweede verweerder”; hierna samen genoemd "de verweerders". Beiden worden vertegenwoordigd door meester Carine Doutrelepont en meester Inès Yahayaoui, met kantoor gevestigd te 1030 Brussel, Vergoteplein 20. I. Feiten en procedure 1. Op 5 februari 2021 dient de klager bij de Gegevensbeschermingsautoriteit (GBA) een klacht (hierna "klacht nr. 1") in tegen de eerste verweerder Y1. 2. De klager was student bij de eerste verweerder van september 2016 tot en met academisch jaar 2020-2021. Zij volgde daar een wetenschappelijke bacheloropleiding. Zij verliet Y1 nadat zij in oktober 2020 was geschorst. 3. De eerste verweerder is een door de tweede verweerder georganiseerde onderwijsinstelling voor sociale promotie. Hij biedt verschillende onderwijsprogramma's aan voor secundair en hoger onderwijs van het korte type, waaronder de door de klager gevolgde bacheloropleiding. 4. Het voorwerp van de klacht van de klager betreft: a. Enerzijds de verzending in september 2020 van een groeps-e-mail door een docent van de eerste verweerder (docent V) aan zijn studenten; een groeps-e-mail waarin de e-mailadressen van alle ontvangers zichtbaar waren, waaronder het persoonlijke e-mailadres van de klager. Het wordt niet betwist dat deze docent aan het begin van het jaar de e-mailadressen van zijn studenten rechtstreeks bij hen heeft verzameld om met hen te communiceren in het kader van zijn cursus. b. Anderzijds de openbare bekendmaking at valvas van de instelling, in oktober 2020, van de resultaten van de studenten met vermelding van hun geboortedatum, waaronder die van de klager. 5. Diezelfde dag, op 5 februari 2021, stuurt de klager een brief naar de directrice van de eerste verweerder (mevrouw Z) met een verzoek tot (

1. i)inzage van haar persoonsgegevens in het bezit Beslissing ten gronde 175/2022 - 3/20 van Y1, (
2. ii)een kopie van die gegevens, en (iii) wissing van deze gegevens. Deze brief is bij de klacht gevoegd. 6. Op 10 februari 2021 stuurt de tweede verweerder, in antwoord op deze verzoeken, een aangetekende brief naar de klager met het verzoek een bewijs van haar identiteit te leveren. Aangezien deze aangetekende brief niet werd afgehaald, is hetzelfde verzoek per gewone post aan de klager toegezonden met de vermelding dat de termijn van artikel 12, lid 3, van de AVG zal ingaan vanaf de ontvangst van de gevraagde documenten. Op 12 maart 2021 bevestigt de functionaris voor gegevensverwerking (DPO) van de tweede verweerder de ontvangst van het antwoord van de klager. Op 6 april 2021 worden de door de klager gevraagde gegevens meegedeeld via een beveiligde usb-stick met een toegangscode die per afzonderlijke e-mail van 15 april 2021 wordt toegestuurd. In dezelfde brief van 6 april 2021 herinnert de tweede verweerder eraan dat overeenkomstig artikel 9, lid 7, van de bijlage bij het Reglement van interne orde van de onderwijsinstellingen voor sociale promotie van Y2 getiteld "Modaliteiten met betrekking tot de toepassing van de algemene verordening gegevensbescherming" d.d. 2019 (hierna "bijlage bij het RIO"), gegevens langer mogen worden bewaard dan de duur van de inschrijving van de student in geval van een geschil tussen de onderwijsinstelling en de student zelf, zoals hier het geval. Op 17 juni 2021 verzoekt de klager om annulering van haar verzoek tot wissing. 7. De Geschillenkamer merkt eerst en vooral op dat deze antwoorden (punt 6) in de loop van de procedure voor de Geschillenkamer zijn gegeven. De klager heeft haar verzoeken tot uitoefening van rechten immers op dezelfde datum ingediend als haar klacht en niet daaraan voorafgaand. De verweerders hadden derhalve geen andere keuze dan parallel aan de lopende procedure te antwoorden. 8. Op 10 februari 2021 wordt klacht nr. 1 door de Eerstelijnsdienst (ELD) van de GBA ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG, en wordt de klacht op grond van artikel 62, §1, van de WOG aan de Geschillenkamer doorgegeven. 9. Op 5 maart 2021 beslist de Geschillenkamer op grond van art. 95, §1, 1°, en artikel 98 van de WOG dat het dossier gereed is voor behandeling ten gronde. 10. Op 1 april 2021 worden de klager en de eerste verweerder per aangetekende zending in kennis gesteld van de bepalingen in artikel 95, §2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. De uiterste data voor de ontvangst van de conclusies van antwoord en repliek van de eerste verweerder zijn vastgelegd op respectievelijk 13 mei en 28 juni 2021. De uiterste datum voor het neerleggen van de conclusies van de klager zijn vastgelegd op 4 juni 2021. Beslissing ten gronde 175/2022 - 4/20 11. Op 13 en 29 april 29 aanvaarden de klager en de eerste verweerder alle communicatie omtrent de zaak elektronisch te ontvangen, en geven zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. 12. Op 12 mei 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de eerste verweerder. Hierin is de eerste verweerder van mening dat de tegen hem ingediende klacht niet ontvankelijk is, omdat hij met name geen entiteit met rechtspersoonlijkheid is, en derhalve niet de verwerkingsverantwoordelijke van de gegevens van de klager kan zijn. De klacht had volgens de eerste verweerder moeten worden ingediend bij een entiteit met rechtspersoonlijkheid, namelijk de tweede verweerder. De eerste verweerder merkt in dit verband op dat de tweede verweerder overigens als verwerkingsverantwoordelijke wordt aangewezen bij artikel 1 van de bijlage bij het bovengenoemde RIO. 13. Subsidiair, indien de Geschillenkamer ondanks het voorgaande de klacht ontvankelijk zou verklaren, ontwikkelt de eerste verweerder een argumentatie ten gronde die de Geschillenkamer in punt 19 nader toelicht, waarbij deze eerste conclusie wordt gevolgd door een syntheseconclusie. 14. Op 2 juni 2021, als reactie op de conclusie van de eerste verweerder, dient de klager een nieuwe klacht in bij de GBA, deze keer tegen de tweede verweerder. Deze klacht nr. 2 betreft dezelfde schendingen als die welke in de eerste op 5 februari 2021 ingediende klacht aan de kaak zijn gesteld. 15. Op 23 juli 2021 wordt deze tweede klacht door de ELD ontvankelijk verklaard en doorverwezen naar de Geschillenkamer. 16. Op 30 juli 2021 voegt de Geschillenkamer de klachten nrs. 1 en 2 samen, aangezien zij deze zo nauw verbonden acht dat zij samen moeten worden behandeld, en zendt zij de partijen een nieuwe kalender voor de conclusies. 17. Op 23 september 2021 ontvangt de Geschillenkamer de conclusies van antwoord van de verweerders (punt 19 infra). 18. Op 15 oktober 2021 ontvangt de Geschillenkamer de conclusie van antwoord van de klager waarin deze, samengevat, het volgende betoogt: - Wat klacht nr. 1 betreft ten aanzien van de eerste verweerder, geeft de klager aan niet het ontbreken van rechtspersoonlijkheid van laatstgenoemde te betwisten, noch de nietontvankelijkheid van de tegen hem ingediende klacht. De klager wijst er echter op dat het bijzonder moeilijk blijft de verwerkingsverantwoordelijke voor de door de eerste verweerder uitgevoerde gegevensverwerkingen te identificeren. Artikel 1 van de bijlage bij het reeds vernoemde RIO (punt 6) vermeldt namelijk "(...) [d.w.z. de tweede verweerder] die aan de directie van de betrokken onderwijsinstelling delegatie verleent" onder de titel "verwerkingsverantwoordelijke". Beslissing ten gronde 175/2022 - 5/20 - Wat de grond van de zaak betreft, is de klager van mening dat het verspreiden van haar persoonlijke e-mailadres in strijd was met het beginsel van minimale gegevensverwerking van de AVG (artikel 5, lid 1, punt c)), aangezien het verzamelen ervan door docent V overbodig was, omdat leerkrachten andere communicatiekanalen met studenten ter beschikking hebben waarvoor het gebruik van hun e-mailadres niet nodig is. Het doel van deze verzameling lijkt haar bovendien in strijd met de doel dat in de bijlage bij het ROI wordt genoemd (volgens haar trouwens te vaag geformuleerd) en volgens hetwelk, zoals reeds hierboven vermeld, de identificatiegegevens worden gebruikt voor de inschrijving en het opstellen van officiële documenten (diploma's). - Wat de verspreiding van haar geboortedatum betreft, neemt de klager nota van de door de tweede verweerder toegegeven fout, terwijl zij haar verbazing uitspreekt over de standaardconfiguratie van de software (met vermelding van geboortedatum) (zie infra, punt 19) die de oorzaak ervan zou zijn. Volgens de klager vormt deze situatie een schending van artikel 25 van de AVG (privacy by design). - Wat de gevolgen van de aan de kaak gestelde schendingen betreft, pleit de klager voor een tussenkomst van de GBA die deze schendingen niet onbestraft laat - ook al heeft de tweede verweerder maatregelen getroffen om deze te verhelpen zonder de onderhavige beslissing af te wachten -. Anders zou een dergelijke houding een indruk van straffeloosheid kunnen wekken, wat zeker niet aanvaardbaar is. - Wat ten slotte het gevolg betreft dat aan haar verzoek tot inzage en wissing (punten 5-6) werd gegeven, betwist de klager de snelle reactie van de verweerders niet. 19. Op 8 november 2021 ontvangt de Geschillenkamer de conclusies van repliek en synthese van de verweerders. De argumenten van laatstgenoemden kunnen als volgt worden samengevat: a. De verweerders pleiten, net zoals de eerste verweerder dat deed (punt 12), de nietontvankelijkheid van klacht nr. 1 ten aanzien van laatstgenoemde. b. De tweede verweerder beroept zich op een menselijke fout bij de verzending van de mail waarbij de adressen van de ontvangers zichtbaar waren, waaronder het adres van de klager. Hij voegt hieraan toe dat docenten voortaan uitsluitend het emailadres mogen gebruiken [...](d.w.z. een e-mailadres dat bestaat uit de naam van de student gevolgd door de naam van de organisator van het onderwijs) dat aan iedere student wordt verstrekt om met hen te communiceren. De "Praktische terug-naar-school gids" voor docenten bepaalt nu ook (punt 5.7.) dat docenten verplicht zijn uitsluitend bovenstaand e-mailadres [...] te gebruiken om met studenten te communiceren. Het persoonlijke e-mailadres van deze laatsten wordt niet meer gevraagd. Beslissing ten gronde 175/2022 - 6/20 c. De tweede verweerder verklaart dat de verspreiding van de geboortedatum van de klager te wijten is aan een materiële fout wegens de extra administratieve werklast ten gevolge van de COVID-19-crisis, meer bepaald door het gebruik van een computer die geen dienst deed voor dat soort handelingen en waarbij in het gebruikte programma het vakje "met vermelding van de geboortedatum" standaard aangevinkt was. De verweerder benadrukt dat na de in de klacht aangeklaagde gebeurtenis, dit vakje uitgevinkt werd om de fout in de toekomst uit te sluiten. Alleen het inschrijvingsnummer van de student wordt voortaan bij de resultaten getoond. d. Wat de verzoeken tot inzage en wissing van de klager betreft (punten 5-6), benadrukt de tweede verweerder dat hij ervoor had gezorgd had dat er snel gevolg aan was gegeven. 20. Voor het overige erkennen de verweerders de door de klager in de twee klachten aangevoerde feiten (ongeacht het gebrek aan aansprakelijkheid van de eerste verweerder). De tweede verweerder voegt eraan toe via zijn DPO een AVG-opleiding te hebben gegeven aan de AVGcorrespondenten van de met onderwijs belaste administratie. Over het algemeen geven deze correspondenten de verstrekte informatie door - geïnspireerd op het door de GBA ontwikkelde 7-stappenplan1 - aan de onderwijsinstellingen, waaronder de eerste verweerder, met name over het beginsel van minimale gegevensverwerking, de noodzaak van voorafgaande toestemming, en gevoelige gegevens. 21. Op 26 augustus 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 13 september 2022. 22. Op 13 september 2022 worden de partijen door de Geschillenkamer gehoord. Tijdens deze hoorzitting stellen de partijen elk hun argumenten voor, in overeenstemming met die welke zij respectievelijk in hun conclusies hebben ontwikkeld. De verweerders benadrukken de nietontvankelijkheid van klacht nr. 1 ten aanzien van de eerste verweerder. Zij betwisten de vermeende schendingen niet, maar wijzen op de maatregelen die sindsdien zijn genomen om dergelijke schendingen in de toekomst te voorkomen. Wat de klager betreft, zij wijst met name op de schending van het beginsel van minimale gegevensverwerking met betrekking tot het verzamelen van haar privé e-mailadres. 23. Op 23 september 2022 wordt het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 1 https://www.gegevensbeschermingsautoriteit.be/publications/stappenplan-in-zeven-stappen-naargegevensbescherming-in-het-onderwijs.pdf Beslissing ten gronde 175/2022 - 7/20 24. De Geschillenkamer heeft geen opmerkingen over het proces-verbaal ontvangen, noch van de klager, noch van de verweerders. II. Motivering II.1. Wat betreft de schendingen van de AVG Identificatie van de verwerkingsverantwoordelijke - niet-ontvankelijkheid van de klacht ten aanzien van de eerste verweerder 25. Zoals hierboven vermeld (punten 1 en 14) zijn door de klager twee klachten ingediend, de ene tegen de eerste verweerder, de andere tegen de tweede verweerder, naar aanleiding van het argument van de eerste verweerder dat hij niet de verwerkingsverantwoordelijke was van de door de klager aangeklaagde gegevensverwerkingen. De Geschillenkamer stelt vast dat de klager ook een docent (de heer V - punt 4) en de directrice van de eerste verweerder (mevrouw Z - punt 5) rechtstreeks in het geding lijkt te brengen. 26. De Geschillenkamer heeft er al eerder2 op gewezen dat het voor de klager vaak moeilijk is om correct te identificeren wie de verwerkingsverantwoordelijke is voor de verwerking(
3. en)waarover hij zich beklaagt, omdat deze begrippen in artikel 4, lid 7, van de AVG, juridisch worden gedefinieerd en ongetwijfeld moeilijk te begrijpen zijn voor iemand die niet thuis is in de materie. 27. De Geschillenkamer herinnert er hier aan dat een verwerkingsverantwoordelijke wordt gedefinieerd als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt" (artikel 4, lid 7, van de AVG. Het is een autonoom begrip3, eigen aan de Europese regelgeving inzake gegevensbescherming, dat moet worden beoordeeld aan de hand van de criteria die daarin zijn vastgesteld: de vaststelling van de doeleinden van de betrokken gegevensverwerking en de vaststelling van de (essentiële) middelen4 hiervoor . 28. Het is aan de Geschillenkamer om de ene of andere partij als verwerkingsverantwoordelijke aan te merken op grond van de criteria in de hierboven aangehaalde definitie in artikel 4, lid 7, van de AVG. Deze criteria omvatten niet de vereiste van een rechtspersoonlijkheid, in tegenstelling tot hetgeen de verweerders aanvoeren. De Geschillenkamer heeft in dit verband reeds geoordeeld dat een feitelijke vereniging (die geen andere rechtspersoonlijkheid heeft dan die 2 Zie bijvoorbeeld de beslissingen 81/2020, 76/2021 en 115/2022 van de Geschillenkamer. 3 Zie bijvoorbeeld beslissing 63/2022 van de Geschillenkamer. 4 Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 “verwerkingsverantwoordelijke” en “verwerker” in de AVG, versie 2.0 van 7 juli 2021, punt 39 e.v. over de begrippen Beslissing ten gronde 175/2022 - 8/20 van haar leden) verwerkingsverantwoordelijke kan zijn 5. De Geschillenkamer herinnert eraan dat artikel 2, §4, van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, een definitie van verwerkingsverantwoordelijke omvat waarin uitdrukkelijk wordt verwezen naar "de feitelijke vereniging"6. Het is niet omdat in de definitie van de AVG deze niet wordt vermeld dat een feitelijke vereniging (of enige andere structuur zonder eigen rechtspersoonlijkheid) niet of niet meer als verwerkingsverantwoordelijke zou kunnen worden aangemerkt. De criteria die de verwerkingsverantwoordelijke kwalificeren blijven namelijk ongewijzigd. Zij zijn zowel terug te vinden in de definitie die van toepassing was vóór de inwerkingtreding van de AVG (artikel 2, §4, van de voornoemde wet van 8 december 1992) als in de definitie in de AVG (artikel 4, lid 7), die beide de criteria voor de vaststelling van de doelstellingen en de (essentiële) middelen van de verwerking bevatten. 29. De Geschillenkamer voegt eraan toe dat het feit dat de klager aanvaardt dat de eerste verweerder geen rechtspersoonlijkheid heeft en de tegen hem ingediende klacht nr. 1 dientengevolge niet-ontvankelijk is (conclusies van de verweerders en van de klager - punten 18 en 19), geen enkele consequentie heeft. Zoals reeds vermeld is het in fine aan de Geschillenkamer om de ene of andere partij als verwerkingsverantwoordelijke aan te merken en, in voorkomend geval, de door de partijen gegeven kwalificatie te valideren. 30. Eerst en vooral herinnert de Geschillenkamer eraan dat in Richtsnoeren 07/2020 van het Europees Comité voor gegevensbescherming "verwerkingsverantwoordelijke" en "verwerker" (EDPB) over de begrippen in AVG 7, de Europese de gegevensbeschermingsautoriteiten erop wijzen dat de verwerkingsverantwoordelijke, volgens de eerder genoemde definitie van artikel 4, lid 7, van de AVG, een natuurlijke persoon kan zijn, maar dat het in de praktijk over het algemeen de organisatie als zodanig is, en niet een persoon binnen de organisatie (zoals de algemeen directeur, een werknemer of een lid van de raad van bestuur), die als verwerkingsverantwoordelijke in de zin van de AVG optreedt. 8 In het onderhavige geval beschikken de docent of de directrice van de eerste verweerder wel over een zekere autonomie bij de uitoefening van hun functie, maar zijn zij het als individuen niet die de doelstellingen en de middelen bepalen van de verwerkingen die worden uitgevoerd door de organisatie waar zij werken. Tenzij zij hun boekje te buiten gaan - hetgeen hier niet is aangetoond -, zijn zij geen verwerkingsverantwoordelijken. 5 Zie beslissing 133/2021 van de Geschillenkamer. 6 Artikel 2, §4: Onder “verantwoordelijke voor de verwerking” wordt de natuurlijke persoon of de rechtspersoon, de feitelijke vereniging of het openbaar bestuur verstaan die alleen of samen met anderen het doel en de middelen voor de verwerking van persoonsgegevens bepaalt. 7 8 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-consent-under-regulation-072020_en Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen "verwerkingsverantwoordelijke" en "verwerker" in de AVG, vastgesteld op 7 juli 2021 (versie hieronder na openbare raadpleging), en hier beschikbaar: https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_nl.pdf Beslissing ten gronde 175/2022 - 9/20 31. De Geschillenkamer wijst erop dat volgens de bijlage bij het RIO betreffende de modaliteiten voor de verwerking van gegevens en de tenuitvoerlegging van de AVG, de tweede verweerder als verwerkingsverantwoordelijke wordt gekwalificeerd (artikel 1 - punt 6). In de andere bepalingen van die bijlage wordt nader ingegaan op wat van schoolinstellingen wordt verwacht in verband met de uitvoering van de AVG. De doeleinden van de verwerking worden door de tweede verweerder in artikel 5 vermeld. Hieruit blijkt ook dat de essentiële middelen van de verwerking eveneens door de tweede verweerder worden bepaald, hetgeen niet uitsluit dat instellingen als de eerste verweerder een zekere autonomie hebben bij de vaststelling van de middelen, naast de door de verwerkingsverantwoordelijke vastgestelde essentiële middelen (zoals bijvoorbeeld het feit dat een standaard aangevinkt vakje wordt uitgevinkt ter uitvoering van het beginsel van minimale gegevensverwerking - punt 19.c)). 32. Dit neemt niet weg dat de formele kwalificatie in de genoemde bijlage bij het RIO in de praktijk moet worden bevestigd: de beoordeling van de hoedanigheid van verwerkingsverantwoordelijke moet door de Geschillenkamer worden gedaan in het licht van de concretisering ervan in de praktijk. Met andere woorden, er moet overeenstemming zijn tussen hetgeen op papier staat en hetgeen in de praktijk gebeurt. 33. De Geschillenkamer merkt in dit verband op dat de brief van 6 april 2021 in antwoord op het verzoek tot inzage en wissing van de klager (punten 5-6) afkomstig is van de tweede verweerder. Deze laatste is dus als verwerkingsverantwoordelijke opgetreden. De verweerders hebben ook uitgelegd dat de aanbevelingen van de functionaris voor gegevensbescherming (DPO) van de tweede verweerder, (...), van toepassing zijn op alle instellingen die vallen onder de tweede verweerder. Laatstgenoemde ziet erop toe dat zijn personeel daarover naar behoren wordt geïnformeerd. De tweede verweerder geeft eveneens aan, zowel voor als na de indiening van de klachten, een opleiding te hebben gegeven aan de AVG-correspondenten van de onderwijsadministratie (...), waarbij het door de GBA voor schoolinstellingen ontwikkelde 7-stappenplan werd doorgegeven, en bewijsstukken daarvan te hebben voorgelegd9. Deze correspondenten delen de informatie vervolgens mee aan de onderwijsinstellingen, waaronder de eerste verweerder. De tweede verweerder verklaart ook, naar aanleiding van de klacht, een reeds genoemd (punt 18) studenten-e-mailadres te hebben ingevoerd, en het beleid voor het bekendmaken van resultaten te hebben gewijzigd, en dat deze maatregelen van toepassing zijn in alle onder hem vallende instellingen. 34. Op grond van het voorgaande, concludeert de Geschillenkamer dat enkel de tweede verweerder de hoedanigheid van verwerkingsverantwoordelijke heeft. https://www.gegevensbeschermingsautoriteit.be/publications/stappenplan-in-zeven-stappen-naar-gegevensbescherming-inhet-onderwijs.pdf 9 Beslissing ten gronde 175/2022 - 10/20 35. Wat de verwijzing naar artikel 17 van het Gerechtelijk Wetboek 10 door de verweerders betreft, wijst de Geschillenkamer erop dat zij niet aan deze bepaling is gebonden. De Geschillenkamer heeft reeds geoordeeld dat het Gerechtelijk Wetboek niet van toepassing op haar is, behalve de verwijzing naar analogie die daarin wordt gedaan naar artikel 57 van het Reglement van interne orde van de GBA voor de berekening van de termijnen (argument a contrario). De Geschillenkamer heeft met haar nota met betrekking tot de positie van de klager 11 en een aantal beslissingen12, een beleid en een rechtspraak ontwikkeld over het belang van het indienen van een klacht op grond van artikel 77 van de AVG. Deze vereiste wordt opgelegd aan degene die een klacht indient en niet aan degene die aan de kaak wordt gesteld zoals de eerste en de tweede verweerder in dit geval. Het ontbreken van rechtspersoonlijkheid van de eerste verweerder (of zijn bevoegdheid om in rechte op te treden, waarvan ook sprake) is hier dus ook niet relevant. Het kan dus niet worden ingeroepen tegen de klager, van wie niet wordt betwist dat zij gerechtigd was een klacht in te dienen. 36. De Geschillenkamer kan ten slotte de analyse van de klager niet onderschrijven dat aangezien de tweede verweerder verwerkingsverantwoordelijke is, de eerste verweerder (noodzakelijkerwijs) zijn verwerker is. 37. De Geschillenkamer herinnert er in dit verband aan dat in de zin van artikel 4, lid 8, van de AVG een verwerker wordt gedefinieerd als "een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt". De verwerker is dus, zoals de EDPB benadrukt in zijn reeds aangehaalde richtsnoeren "verwerkingsverantwoordelijke" en "verwerker" in de AVG 13 over de begrippen "een aparte rechtspersoon, die los van de verwerkingsverantwoordelijke staat". De EDPB vermeldt: "De twee centrale voorwaarden om een partij als verwerker te kunnen aanmerken zijn:
4. a)dat ze een aparte rechtspersoon is, die los van de verwerkingsverantwoordelijke staat, en
5. b)dat ze persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt (punt 76). De EDPB voegt eraan toe: "Een aparte rechtspersoon betekent dat de verwerkingsverantwoordelijke beslist de verwerkingsactiviteiten geheel of gedeeltelijk aan een externe organisatie te delegeren." (punt 77) 38. In een geval zoals dat van de verweerders waar beslissingen over doelstellingen en middelen op het niveau van de tweede verweerder worden gecentraliseerd, met toepassing daarvan bij 10 Artikel 17 van het Gerechtelijk Wetboek. De rechtsvordering kan niet worden toegelaten, indien de eiser geen hoedanigheid en geen belang heeft om ze in te dienen. 11 https://www.gegevensbeschermingsautoriteit.be/publications/nota-inzake-de-positie-van-de-klager-in-de-procedure-bij-degeschillenkamer.pdf 12 13 Zie bijvoorbeeld beslissing 24/2022 van de Geschillenkamer en de genoemde referenties. Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 07/2020 over de begrippen "verwerkingsverantwoordelijke" en "verwerker" in de AVG https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_nl.pdf, blz. 4 en punten 76-77. Beslissing ten gronde 175/2022 - 11/20 onderwijsinstellingen zoals de eerste verweerder via personeel (leraren, directie) dat onder de tweede verweerder valt, kan er geen sprake van zijn dat de eerste verweerder verwerker is. De door de tweede verweerder gegeven instructies als verwerkingsverantwoordelijke (via de bijlage bij het RIO) zijn immers niet gericht tot een aparte rechtspersoon - zoals de verwerker moet zijn -, maar tot zijn eigen personeel (ook al werkt dit personeel op operationeel niveau voor een onderwijsinstelling, in dit geval de eerste verweerder). 39. De personeelsleden van de tweede verweerder die bij de eerste verweerder werken zijn daarentegen "personen die werken onder gezag van de verwerkingsverantwoordelijke" in de zin van artikel 29 van de AVG, die wanneer zij toegang tot persoonsgegevens hebben deze, behoudens uitzondering, uitsluitend in opdracht van de verwerkingsverantwoordelijke mogen verwerken, d.w.z. in opdracht van de tweede verweerder. 40. Concluderend stelt de Geschillenkamer vast dat op grond van de voorgaande overwegingen de eerste verweerder geen verwerkingsverantwoordelijke is en dat enkel de tweede verweerder die hoedanigheid heeft. Derhalve seponeert de Geschillenkamer de tegen de eerste verweerder ingediende klacht nr. 1 op grond van artikel 100, 1°, van de WOG. 41. Bij een seponering moet de Geschillenkamer haar beslissing stapsgewijs motiveren en14: - een technisch sepot uitspreken indien het dossier geen of onvoldoende elementen bevat die tot een sanctie kunnen leiden of er een technische belemmering is waardoor geen beslissing kan worden genomen; - of een beleidssepot uitspreken indien, ondanks de aanwezigheid van elementen die tot een sanctie kunnen leiden, verder onderzoek van het dossier haar niet opportuun lijkt in het licht van de prioriteiten van de GBA, zoals uiteengezet en geïllustreerd in het Sepotbeleid van de Geschillenkamer 15. 42. Indien er meerdere gronden zijn voor het sepot (respectievelijk technisch of beleidssepot) dienen de sepotgronden in volgorde van belangrijkheid te worden genoteerd 16. 43. In het onderhavige geval beslist de Geschillenkamer klacht nr. 1 tegen de eerste verweerder op technische gronden te seponeren. Aangezien bij de eerste verweerder de hoedanigheid van verwerkingsverantwoordelijke met betrekking tot de aangeklaagde gegevensverwerkingen niet is aangetoond, is de eerste verweerder in dit geval niet aansprakelijk voor enige schending van de AVG. Het begrip "verwerkingsverantwoordelijke" speelt namelijk een cruciale rol bij de toepassing van de AVG, aangezien het, naast het begrip "verwerker" 14 Marktenhof (hof van beroep te Brussel). 2 september 2020, 2020/AR/329, blz. 18. 15 https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. 16 of "gezamenlijke Sepotbeleid van de Geschillenkamer, 18/06/2021, punt 3 ("In welke gevallen zal mijn klacht waarschijnlijk worden geseponeerd door de Geschillenkamer?"), beschikbaar op https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-degeschillenkamer.pdf Beslissing ten gronde 175/2022 - 12/20 verwerkers", bepaalt wie verantwoordelijk is voor de naleving van de verschillende regels op het gebied van gegevensverwerking. De AVG bepaalt duidelijk onder het verantwoordingsbeginsel (artikel 5, lid 2) dat de verwerkingsverantwoordelijke moet waken over de overeenstemming met de beginselen inzake verwerking van persoonsgegevens bedoeld in artikel 5 van de AVG, en dat hij die overeenstemming moet kunnen aantonen. 44. De Geschillenkamer merkt op, evenals de klager, dat de bewoordingen in de bijlage bij het RIO betreffende de aanwijzing van de verwerkingsverantwoordelijke (artikel 1) duidelijker zouden kunnen zijn, en verzoekt de tweede verweerder de formulering van die bepaling te verbeteren, zowel om deze begrijpelijker te maken voor iedereen als om elke mogelijke verwarring met het begrip "verwerker"- ten onrechte afgeleid door de klager maar begrijpelijk van haar kant - met betrekking tot de kwalificatie van instellingen als de eerste verweerder te vermijden. Het gebruik van de term "delegatie" kan, zoals de klager aangeeft, immers doen vermoeden dat de onderwijsinstellingen voor sociale promotie verwerkers zijn in de zin van artikel 4, lid 8, van de AVG. De Geschillenkamer heeft als bewijs dat de EDPB in zijn hierboven genoemde richtsnoeren precies de term "delegeren" gebruikte om de verwerker te kwalificeren (zie hierboven punt 37): "Een aparte rechtspersoon betekent dat de verwerkingsverantwoordelijke beslist de verwerkingsactiviteiten geheel of gedeeltelijk aan een externe organisatie te delegeren." (punt 77) Wat betreft de mededeling van het e-mailadres van de klager aan alle studenten van de cursus 45. Krachtens artikel 5, lid 1, punt b), van de AVG moeten persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen zij vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt. Elke gegevensverwerking moet ook gebaseerd zijn op een van de rechtmatigheidsgronden in artikel 6 van de AVG. 46. In het onderhavige geval vermeldt artikel 4.1. van de bijlage bij het RIO dat het e-mailadres een van de persoonsgegevens voor de identificatie van studenten is die door onderwijsinstellingen zoals de eerste verweerder worden verwerkt. De Geschillenkamer wijst er hier op dat het gaat om het persoonlijke e-mailadres van iedere student (in tegenstelling tot een studenten-emailadres dat, indien het is ingevoerd sinds de ten laste gelegde feiten, ten tijde daarvan niet bestond). 47. Wat de doeleinden van de door de genoemde onderwijsinstellingen uitgevoerde verwerkingen betreft, preciseert artikel 5 van diezelfde bijlage bij het RIO dat de identificatiegegevens waaronder het e-mailadres - worden verzameld voor het beheer van het dossier van de student (inschrijving, herinschrijving) en om officiële documenten zoals diploma's en getuigschriften op te stellen. 48. De beschrijving van deze doeleinden omvat niet de verwerking van het e-mailadres van studenten in het kader van "het schoolleven/cursussen", bijvoorbeeld voor de communicatie Beslissing ten gronde 175/2022 - 13/20 die in de context van een cursus, zowel tussen de docent en zijn leerlingen als tussen de studenten onderling, zou plaatsvinden. Hoewel deze identificatiegegevens van studenten in verschillende gevallen aan derden mogen worden meegedeeld (artikel 6 van de bijlage), hebben deze gevallen geen betrekking op de mededeling van het e-mailadres van een student aan andere studenten die dezelfde cursus volgen. 49. De Geschillenkamer merkt op dat in het onderhavige geval de verweerder dit gegeven heeft verzameld - via een van de docenten - in het kader van een cursus waaraan de klager deelnam, en zich daarbij baseerde op haar toestemming (artikel 6, lid 1, punt a), van de AVG). 50. De klager betwist niet dat zij haar persoonlijke e-mailadres aan deze docent heeft verstrekt. Zij verklaart daarentegen haar toestemming niet te hebben gegeven om dit gegeven, behalve het gebruik ervan in het kader van de relatie met haar docent, mee te delen aan de andere studenten van de cursus. 51. De Geschillenkamer is van mening dat de verwerking van een e-mailadres, bij gebrek aan communicatiemiddelen die het systematische gebruik van mededelingen via gegroepeerde mails voorkomen, noodzakelijk kan zijn in het kader van de organisatie van een cursus en de communicaties die in die context noodzakelijk zijn. De rechtmatigheidsgrond voor toestemming (artikel 6, lid 1, punt a), van de AVG) lijkt haar niet de rechtmatigheidsgrond waarop men zich kan baseren, met name wegens het vrije karakter van de toestemming. De Geschillenkamer vindt immers niet dat een student zich werkelijk in een positie van vrije toestemming bevindt ten aanzien van de mededeling van zijn e-mailadres aan een docent, gezien de aard van de relatie tussen hen. In het kader van deze relatie kan de student zich namelijk beperkt voelen; het machtsevenwicht kantelt in het voordeel van de docent 17. De in artikel 6, lid 1, punt b), van de AVG geboden rechtmatigheidsgrond (verwerking noodzakelijk voor de uitvoering van een overeenkomst) lijkt passender. Indien gebruikt (met inachtneming van het beginsel van minimale gegevensverwerking), moet het doeleinde van de verwerking ook worden vermeld in het register van de verwerkingsactiviteiten (artikel 30 van de AVG) en in de informatie die aan de studenten wordt verstrekt (artikelen 12 en 13 van de AVG). 52. Bij gebrek aan een passende rechtmatigheidsgrond (de toestemming op grond van artikel 6, lid 1, punt a), van de AVG kan volgens de Geschillenkamer niet worden aanvaard), zal de Geschillenkamer onderzoeken of de verwerking van het persoonlijke e-mailadres, bestaande in het meedelen van dit e-mailadres aan alle studenten van de door de klager gevolgde cursus, als toelaatbare verdere verwerking kan worden gekwalificeerd, waarbij dit persoonlijke emailadres, zoals eerder vermeld, op het moment van de inschrijving van de klager is verzameld. 17 Zie in dat verband Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 5/2020 inzake toestemming overeenkomstig Verordening 2016/679 van 4 mei 2020 (titel 3.1. - punt 16 en volgende): https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_nl.pdf Beslissing ten gronde 175/2022 - 14/20 53. De Geschillenkamer is van mening dat in het onderhavige geval, gezien de beschrijving van de beperkte doeleinden waarvoor het e-mailadres bij de inschrijving is verzameld - d.w.z. het beheer van het dossier van de student (inschrijving, herinschrijving) en het opstellen van officiële documenten zoals diploma's en getuigschriften (punten 14-48 hierboven), deze verwerking niet verenigbaar is in de zin van artikel 6, lid 4, van de AVG. De context blijft wel die van het onderwijs, en het gegeven is geen gevoelig gegeven in de zin van de artikelen 9 en 10 van de AVG. De mededeling van een e-mailadres aan de directie van een onderwijsinstelling voor doeleinden van beheer en afgifte van diploma's gebeurt niettemin in het kader van de relatie van de student/de klager met de instelling als zodanig, die is belast met specifieke en wettelijk geregelde taken. De mededeling van een persoonlijk e-mailadres aan andere personen - met als enige relatie dat zij dezelfde cursus volgen - is heel anders en lijkt niet dezelfde waarborgen te bieden. Zij valt niet binnen de redelijke verwachtingen van de klager, vooral gezien de oorspronkelijke formulering van de doeleinden, die uitsluitend betrekking hadden op het administratieve beheer en de afgifte van diploma's. 54. In absolute zin, en zoals opgemerkt in punt 51 hierboven, vindt de Geschillenkamer het niet buitensporig te denken dat een e-mailadres kan worden gebruikt voor communicatie in het kader van een cursus, ook tussen de studenten onderling. In dit verband lijkt het voor de Geschillenkamer niet uitgesloten dat dergelijke verwerkingen gebaseerd kunnen zijn op een passende rechtmatigheidsgrond, d.w.z. de uitvoering van de overeenkomst met de onderwijsinstelling (zie hierboven). Op dit punt beschikt de Geschillenkamer echter over onvoldoende elementen in deze zaak 18. 55. Concluderend stelt de Geschillenkamer vast dat de tweede verweerder artikel 6, lid 1, van de AVG heeft geschonden door zich voor de betwiste verwerking niet op een toelaatbare rechtmatigheidsgrond te baseren. 56. Wat het buitensporige karakter van de verzameling betreft - via de docent -, in strijd met het beginsel van minimale gegevensverwerking dat door de klager wordt ingeroepen (artikel 5, lid 1, c), van de AVG), wijst de Geschillenkamer erop dat de tweede verweerder zeker al over dat emailadres beschikte en de docent hoogstwaarschijnlijk een reeds lang bestaande praktijk heeft voortgezet, wellicht omdat hij niet op de kwestie was gewezen, hetgeen inmiddels wel het geval is (zie boven). 57. De doeleinden waarvoor de verwerking van het persoonlijke e-mailadres was bedoeld, vermeldden echter niet het gebruik van het e-mailadres in het kader van de cursus. De student/klager kon overigens van mailadres zijn veranderd of een ander e-mailadres in het 18 Deze analyse doet geen afbreuk aan het standpunt van de Geschillenkamer dat de verwerkingsverantwoordelijke zich voor eenzelfde verwerking niet op verschillende rechtmatigheidsgronden mag baseren, of de rechtmatigheid van een verwerking op een andere rechtmatigheidsgrond mag proberen te baseren dan die waarop hij verklaard heeft zich te baseren (zie de verplichting de betrokkene op dat punt te informeren -artikel 13, lid 1, onder c), van de AVG), in geval deze rechtmatigheidsgrond wordt betwist of onaanvaardbaar wordt geacht. Beslissing ten gronde 175/2022 - 15/20 kader van de cursus hebben wilen gebruiken dan het adres dat hij/zij bij de inschrijving aan de directie van de school voor adminstratieve doeleinden had meegedeeld. Onverminderd de in punt 59 door haar gemaakte opmerking - die geenszins een corrigerende maatregel of een sanctie in de zin van artikel 100 van de WOG vormt - stelt de Geschillenkamer op dit punt geen inbreuk op artikel 5, lid 1, punt
6. c)vast. 58. Naast de hierboven besproken kwesties van rechtmatigheid en minimale gegevensverwerking, stelt de Geschillenkamer, zoals reeds vermeld, vast dat het doeleinde van deze verzameling door de tweede verweerder (via zijn docent) niet werd vermeld in de bijlage bij het RIO. De Geschillenkamer stelt dus bovendien en met zekerheid een gebrek aan transparantie vast bij de tweede verwerker, in strijd met artikel 5, lid 1, punt a), en artikel 12, lid 1, van de AVG. 59. De Geschillenkamer benadrukt ten slotte dat het gebruik van een studenten-e-mailadres dat aan iedere student voor de duur van zijn studentenleven wordt toegekend, een goede praktijk is (ingevoerd door de tweede verweerder), die door de GBA wordt aangemoedigd. Hetzelfde geldt voor het opstellen, waartoe de tweede verweerder het initiatief heeft genomen, van een gids voor leerkrachten, om hen bewust te maken van kwesties inzake gegevensbescherming waarmee zij te maken zullen krijgen tijdens het vervullen van hun taak als docent, met inbegrip van vragen over het gebruik van e-mails in het kader van hun lessen. Wat betreft de afgifte van diploma's en andere mededelingen die nodig zijn als de student de onderwijsinstelling eenmaal heeft verlaten en het studenten-e-mailadres niet meer werkt, moet het gebruik van het persoonlijke e-mailadres mogelijk blijven. 60. De Geschillenkamer herinnert er nogmaals aan dat niettegenstaande de door de tweede verweerder in de loop van de procedure ingevoerde maatregelen en waarvan hierboven sprake, artikel 24 van de AVG vereist dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treft (geëvalueerd en indien nodig geactualiseerd) om te waarborgen en te kunnen aantonen dat de verwerkingen in overeenstemming met de AVG worden uitgevoerd. Artikel 32 van de AVG, waaraan de verwerkingsverantwoordelijke ook gebonden is, vereist tevens dat gegevens niet ongeloorloofd mogen worden verstrekt, hetgeen in strijd met de geheimhoudingsplicht zou zijn. 61. De Geschillenkamer zal terugkomen op het feit dat de tweede verweerder een aantal maatregelen heeft getroffen om te vermijden dat de aangeklaagde schendingen zich in de toekomst zouden herhalen. Deze maatregelen maken de schendingen van artikel 6, lid 1, (punt 55), artikel 5, lid 1, punt a), en artikel 12, lid 1, (punt 58) van de AVG niet ongedaan, maar zijn wel elementen waarmee de Geschillenkamer rekening zal houden bij de vaststelling van de passende sanctie of corrigerende maatregel. Wat betreft de verwerking van de geboortedatum van de klager Beslissing ten gronde 175/2022 - 16/20 62. Elke gegevensverwerking moet het beginsel van minimale gegevensverwerking in acht nemen zoals vastgelegd in artikel 5, lid 1, punt c), van de AVG, dat bepaalt dat de verwerkingsverantwoordelijke verplicht is gegevens te verwerken die toereikend, ter zake diendend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. 63. In het onderhavige geval is de Geschillenkamer van mening dat de verwerking van het gegeven "geboortedatum" gekoppeld aan het al dan niet slagen van de klager niet noodzakelijk was. Onafgezien van de vraag of de openbare en algemene bekendmaking van de resultaten van de klas (bekendmaking na de bovengenoemde geautomatiseerde verwerking) in overeenstemming met de AVG was (zie punt 66), was alleen de vermelding van de naam en het resultaat voldoende geweest om de concretisering van het nagestreefde doel mogelijk te maken, namelijk de mededeling van dat resultaat. Het was ook niet nodig dat andere ingeschrevenen, of zelfs iedereen die de openbare aankondiging van de resultaten bekeek, de naam en bovendien de geboortedatum van de deelnemers kende. 64. De Geschillenkamer concludeert dat artikel 5, lid 1, punt c), van de AVG wel degelijk door de tweede verweerder is geschonden. Ook hier merkt de Geschillenkamer op dat de tweede verweerder maatregelen heeft getroffen om te vermijden dat deze schending zich in de toekomst opnieuw zou voordoen door voortaan bij het resultaat enkel het studentennummer te vermelden. De Geschillenkamer zal rekening houden met deze bewustwording bij de vaststelling van de passende sanctie of corrigerende maatregel. Zij maakt de genoemde schending echter niet ongedaan. 65. De door de tweede verweerder naar voren gebrachte rechtvaardiging dat deze koppeling van gegevens vooraf standaard was aangevinkt in een programma van de instelling (eerste verweerder), wijst op een mogelijke schending van artikel 25 van de AVG. Krachtens dat artikel is de verwerkingsverantwoordelijke verplicht passende technische en organisatorische maatregelen te treffen om ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. In het onderhavige geval beschikt de Geschillenkamer niet over voldoende elementen om te kunnen concluderen dat deze bepaling is geschonden. Zij herinnert er echter aan dat artikel 25 van de AVG moet worden nageleefd en dat daarmee rekening moet worden gehouden bij het opzetten van de verwerkingen. 66. Wat de openbare bekendmaking van de resultaten betreft, deze wordt in de klacht niet als zodanig aan de kaak gesteld. Alleen, zoals reeds gezegd, het feit dat de geboortedatum van de klager naast de naam en het behaalde resultaat werd bekendgemaakt. De tweede verweerder verklaart voortaan alleen het studentennummer (gepseudonimiseerd gegeven) naast het resultaat te publiceren. In zijn eigen aanbevelingen stelt de DPO van de tweede verweerder dat een dergelijke bekendmaking alleen kan plaatsvinden met toestemming van alle betrokken studenten (artikel 6, lid 1, punt a), van de AVG). De Geschillenkamer is het eens met deze Beslissing ten gronde 175/2022 - 17/20 analyse. Als een dergelijke toestemming is verkregen, mogen evenwel, afgezien van de rechtmatigheidsgrond waarop die bekendmaking dan kan worden gebaseerd, alleen evenredige gegevens worden verwerkt. De in de tijd beperkte bekendmaking van het studentennummer (gepseudonimiseerd gegeven) in plaats van zijn nominale identiteit is in dat opzicht meer in overeenstemming met de AVG en een goede praktijk, die moet worden aangemoedigd. Wat betreft het gevolg dat door de tweede verweerder is gegeven aan het verzoek tot uitoefening van de rechten van de klager 67. Zoals in de uiteenzetting van de feiten in herinnering wordt gebracht, heeft de tweede verweerder via zijn DPO op het verzoek om inzage en wissing van de klager geantwoord binnen de door artikel 12, lid 3, van de AVG opgelegde termijn van een maand, op een manier die hij veilig achtte. In zijn antwoord heeft hij rekening gehouden met de bewaartermijnen zoals vastgesteld in de bijlage bij het RIO (en met name artikel 9.7. dat voorziet in een bewaartermijn in geval van betwisting) en het op 17 juni 2021 ingediende verzoek tot annulering van het verzoek tot wissing. 68. In haar conclusie van antwoord geeft de klager aan dat zij de snelle reactie van de verweerders in de behandeling van haar verzoeken niet betwist. 69. De Geschillenkamer concludeert hieruit dat de klager deze grief in fine niet langer handhaaft. De klager had ook haar verzoeken tot uitoefening van haar rechten bij klacht nr. 1 gevoegd, nog voordat zij de termijn van 1 maand waarover de tweede verweerder beschikte om te antwoorden overeenkomstig artikel 12, lid 3, van de AVG, had laten verstrijken. 70. Niettegenstaande deze intrekking ziet de Geschillenkamer geen reden om te concluderen dat er sprake is van een schending door het ontbreken of de ontoereikendheid van het door de tweede verweerder verstrekte antwoord, en seponeert zij deze grief op technische gronden op basis van artikel 100, 1°, van de WOG, aangezien er geen schending vanwege de tweede verweerder met betrekking tot de naleving van artikel 12 van de AVG kan worden vastgesteld. 71. Meer in het algemeen benadrukt de Geschillenkamer het feit dat de betrokkenen hun rechten moeten uitoefenen voordat een klacht wordt ingediend, en dat derhalve deze klacht ten vroegste kan worden ingediend nadat de termijn waarbinnen de betrokken verwerkingsverantwoordelijke moet antwoorden, is verstreken. Indien dit niet het geval is, is de Geschillenkamer uiteraard niet in staat om enige schending door de verwerkingsverantwoordelijke vast te stellen, aangezien deze niet eens de mogelijkheid heeft gehad om te reageren (in voorkomend geval door het verzoek in te willigen). De Geschillenkamer kan niet anders dan een dergelijke grief seponeren. 72. Wat betreft de verificatie van de identiteit van de aanvrager van een verzoek tot inzage of wissing zoals in het onderhavige geval (artikelen 15 en 17 van de AVG), wijst de Beslissing ten gronde 175/2022 - 18/20 Geschillenkamer, bij wijze van een eenvoudige herinnering, die in geen geval een corrigerende maatregel of sanctie in de zin van artikel 100 van de WOG vormt, op hetgeen volgt. 73. Overeenkomstig het door de autoriteiten voor gegevensbescherming bij de EDPB ingenomen standpunt “The controller should act upon the requests of data subjects for exercising their individual rights, unless it can demonstrate - through a justification in line with the principle of accountability (Art. 5