Beslissing ten gronde nr. 177/2022

1/9 Geschillenkamer Beslissing ten gronde 177/2022 van 2 december 2022 Dossiernummer : DOS-2021-04789 Betreft : klacht wegens het meedelen van gegevens aan een derde De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden. Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: De heer X, hierna “de klager”; De verweerster: Y, hierna “de verweerster”. Beslissing ten gronde 177/2022 - 2/9 I.

1. Feiten en procedure Op 20 juni 2021 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. Het voorwerp van de klacht betreft het verwerken van persoonsgegevens door de heer Z, een medewerker van het vaccinatiecentrum De Veldmuis te (…) (hierna "het vaccinatiecentrum" genoemd). Naar aanleiding van een incident op de parking van het vaccinatiecentrum tussen de klager als bezoeker van het vaccinatiecentrum en de parkeerwachter als medewerker van het vaccinatiecentrum, heeft de parkeerwachter de gegevens van de klager bij het onthaal opgevraagd. Nadien heeft de parkeerwachter deze persoonsgegevens overgemaakt aan de werkgever van de klager om deze van het incident op de hoogte te brengen. Deze melding heeft geleid tot het ontslag van de klager uit zijn functie als vrijwillig brandweerman bij de stad (…). Hierop heeft de klager klacht ingediend bij de stad (…). Deze klacht werd onontvankelijk verklaard en doorverwezen naar de verweerster. Aangezien de klager geen antwoord mocht ontvangen van de verweerster, heeft hij onderhavige klacht ingediend bij de Gegevensbeschermingsautoriteit (GBA).
2. Op 13 augustus 2021 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
3. Op 2 september 2021 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
4. Op 6 januari 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de voorzitter van de Geschillenkamer (art. 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit dat er sprake is van een inbreuk op artikel 5, lid 1 en lid 2 van de AVG, artikel 6, lid 1 van de AVG, artikel 24, lid 1 van de AVG en artikel 25, lid 1 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat er sprake is van een inbreuk op artikel 38 van de AVG en artikel 24, lid 1 van de AVG.
5. Op 14 januari 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
6. Op 14 januari 2022 worden de betrokken partijen per e-mail in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2 WOG, alsook van deze in artikel 98 WOG. Beslissing ten gronde 177/2022 - 3/9 Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 25 februari 2022, deze voor de conclusie van repliek van de klager op 18 maart 2022 en ten slotte deze voor de conclusie van repliek van de verweerster op 8 april
7. Voor wat betreft de vaststellingen die verder gaan dan het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 25 februari
9. Op 14 januari 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak.
10. Op 15 januari 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak.
11. Op 17 januari 2022 vraagt de verweerster een kopie van het dossier (art. 95, §2, 3° WOG), dewelke haar werd overgemaakt op 18 januari
13. Op 25 februari 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. Vooreerst werpt de verweerster op dat zij niet optreedt als verwerkingsverantwoordelijke voor de verwerking die het voorwerp uitmaakt van de klacht. Vervolgens stelt de verweerster dat, op basis van het inspectieverslag, niet kan worden gesteld dat er persoonsgegevens verwerkt werden. Tot slot voert de verweerster aan dat de medewerkers van het vaccinatiecentrum werden ingelicht over de verplichtingen inzake de AVG. Met betrekking tot de vaststellingen buiten de scope van de klacht onderstreept de verweerster dat er wel degelijk een administratieve regeling bestaat tussen de verweerster en de functionaris voor gegevensbescherming waarin de positie van de functionaris wordt vastgelegd. De functionaris voor gegevensbescherming maakt deel uit van een team van functionarissen voor gegevensbescherming waar elkeen optreedt als adjunct van de ander in geval van afwezigheid om de continuïteit te verzekeren. De verweerster stelt eveneens dat de klager zich in eerste instantie heeft gericht tot de stad (…), en niet tot de verweerster zelf. De klacht werd door de stad (…) onontvankelijk verklaard maar hiervan zou de klager niet op de hoogte gebracht zijn. De klacht werd vervolgens doorgegeven aan de verweerster maar deze heeft de klacht niet verder behandeld omdat zij meende dat het niet haar bevoegdheid was en dat de klacht al afgehandeld was. Beslissing ten gronde 177/2022 - 4/9
14. Op 7 april 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Voorafgaand werpt de klager op dat de conclusies van de verweerster niet tijdig naar hem werden overgemaakt. De uiterste datum voor het gelijktijdig overmaken van de conclusies werd bepaald op 25 februari
15. De klager heeft deze slechts ontvangen op 2 maart
16. Vervolgens werpt de klager op dat er wel persoonsgegevens verwerkt werden. De klager meent eveneens dat de verweerster haar verantwoordelijkheden afschuift op andere partijen door de stellen dat zij niet optreedt als verwerkingsverantwoordelijke. Voor wat betreft de stellingen van de verweerster omtrent de klacht ingediend bij de stad (…), stelt de klager dat deze onjuist zijn. Hij werd wel op de hoogte gebracht van de niet-ontvankelijkheid van de klacht door de stad (…). De klacht bij de stad (…) werd vervolgens doorgegeven aan de verweerster. Op 8 mei 2021 kreeg de klager bericht van de verweerster waarin wordt aangegeven dat hij op de hoogte zal gehouden worden van de afhandeling van de klacht, maar dat is niet gebeurd.
17. Op 8 april 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de verweerster. De verweerster wil zich in eerste instantie verontschuldigen ten aanzien van de klager aangezien de klager niet op de hoogte werd gebracht van het resultaat van het bovenvermeld ontvankelijkheidsonderzoek. Tot slot wil de verweerster nogmaals verduidelijken dat voor de uitbating van het vaccinatiecentrum te (…) de stad (…) samen met de verweerster optreedt als “verwerker”. Het Vlaams Agentschap Zorg en Gezondheid van de Vlaamse Overheid treedt hier op als “verwerkingsverantwoordelijke”, aldus de verweerster. II. Motivering II.
18. Identiteit van de verwerkingsverantwoordelijke
19. De verwerking die in onderhavige zaak door de klager aan de kaak wordt gesteld is de mededeling van zijn persoonsgegevens door de parkeerwachter van het vaccinatiecentrum aan de stad (…), , waar de klager werkzaam was als vrijwillig brandweerman. Deze mededeling vond plaats naar aanleiding van een vermeend incident op de parking.
20. De Geschillenkamer verwijst naar artikel 4.2) AVG waarin ‘verwerking’ wordt gedefinieerd als: “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”. Het meedelen van de persoonsgegevens Beslissing ten gronde 177/2022 - 5/9 door de parkeerwachter dient bijgevolg beschouwd te worden als een verwerking in de zin van artikel 4.2) AVG.
21. Vervolgens rijst de vraag wie als verwerkingsverantwoordelijke voor deze verwerking moet geïdentificeerd worden.
22. Overeenkomstig artikel 4.7) AVG dient als verwerkingsverantwoordelijke te worden beschouwd: “de natuurlijke persoon of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. In zijn klacht geeft de klager aan dat hij niet weet wie de verwerkingsverantwoordelijke is en dat hij dit niet in de communicatie met de verweerster kon terugvinden. De klager stelt dat hij vermoedt dat de verwerkingsverantwoordelijke de coördinator van het vaccinatiecentrum is en vermeldt daarom in zijn klacht de gegevens van de verweerster. De Geschillenkamer is er zich van bewust dat het voor de klager niet altijd evident is om te bepalen wie er precies als verwerkingsverantwoordelijke optreedt. Het komt dan ook toe aan de Geschillenkamer om te bepalen, al dan niet via een onderzoek van de Inspectiedienst, wie als verwerkingsverantwoordelijke gekwalificeerd moet worden.
23. Het Hof van Justitie heeft in zijn rechtspraak het begrip “verwerkingsverantwoordelijke” meermaals ruim uitgelegd teneinde een doeltreffende en volledige bescherming van de betrokkenen te verzekeren.1
24. Overeenkomstig de Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG van de European Data Protection Board (EDPB) dient de hoedanigheid van de betrokken verwerkingsverantwoordelijke(n) in concreto te worden beoordeeld.2 Ook het Hof van Justitie heeft gesteld dat bij de beoordeling van het niveau van de verantwoordelijkheid rekening moet worden gehouden met alle relevante omstandigheden van het concrete geval.3
25. Tijdens het inspectieonderzoek voerde de verweerster aan dat zij niet de verwerkingsverantwoordelijke is voor deze litigieuze verwerking. In het kader van de organisatie van het vaccinatiecentrum verwijst de verweerster naar de verwerkersovereenkomst die werd gesloten tussen het Vlaams Agentschap Zorg en Gezondheid enerzijds, en de verweerster en de stad (…) anderzijds. Deze verwerkersovereenkomst is van toepassing op de verwerkers die in het kader van de 1 Zie o.a. HvJ, 5 juni 2018, C-210/16 - Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388, overwegingen 27-
26. 2 Zie EDPB, Richtsnoeren 07/2020 over de begrippen “verwerkingsverantwoordelijke” en “verwerker” in de AVG”, 7 juli 2021, zoals verduidelijkt door de GBA in een nota “Overzicht van de begrippen verwerkingsverantwoordelijke/verwerker in het licht van de Verordening (EU) nr. 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en enkele specifieke toepassingen voor vrije beroepen zoals advocaten”. 3 HvJEU Arrest van 29 juli 2019, Fashion ID, C-40/17, ECLI:EU:C:2019:629, par.
27. Beslissing ten gronde 177/2022 - 6/9 uitvoering van de opdracht van het Vlaams Agentschap Zorg en Gezondheid persoonsgegevens zullen verwerken bij de werking van het vaccinatiecentrum. In deze verwerkersovereenkomst wordt het Vlaams Agentschap Zorg en Gezondheid aangeduid als verwerkingsverantwoordelijke en de verweerster en de stad (…) beide als verwerkers (in de zin van artikel 4.8) AVG) voor wat betreft de organisatie en de werking van het vaccinatiecentrum.
28. Vooreerst, en verwijzend naar de eerder vermelde verwerkersovereenkomst, moet het Vlaams Agentschap Zorg en Gezondheid geïdentificeerd worden als verwerkingsverantwoordelijke voor activiteiten binnen het toepassingsgebied van deze verwerkersovereenkomst, te weten de verwerking van persoonsgegevens in het kader van de werking van het vaccinatiecentrum.
29. De vraag stelt zich dus of de litigieuze verwerking, i.e. de mededeling van de persoonsgegevens van de klager door de parkeerwachter in het kader van de melding van een vermeend incident op de parking van het vaccinatiecentrum aan de werkgever van de klager, binnen het toepassingsgebied van de verwerkersovereenkomst valt. De Inspectiedienst concludeert in zijn inspectieverslag dat dit niet het geval is.
30. Uit het dossier blijkt niet dat de litigieuze verwerking zou kaderen binnen de goede werking van het vaccinatiecentrum. De Geschillenkamer merkt op dat de verweerster stelt in haar conclusies dat de parkeerwachter wilde informeren bij het onthaal of er geen verdere incidenten hadden plaatsgevonden waarbij de klager betrokken was. Dit zou volgens de verweerster kaderen in het waarborgen van de veiligheid van de bezoekers van het vaccinatiecentrum. De Geschillenkamer is echter van oordeel dat, indien er een concrete bedreiging van de veiligheid van de bezoekers zou geweest zijn – hetgeen niet blijkt uit het dossier - er meer doeltreffende acties voorhanden zijn, zoals bijvoorbeeld het aanspreken van de aanwezige veiligheidsbeambte of de coördinator van het vaccinatiecentrum.
31. Uit het dossier blijkt dat de klager zich naar het vaccinatiecentrum heeft begeven op 16 april 2021; op deze datum heeft het vermeende incident op de parking zich voorgedaan. De mail van de parkeerwachter hierover naar de werkgever van de klager dateert van 19 april
32. De Geschillenkamer merkt op dat het versturen van een mail over een vermeend veiligheidsincident 3 dagen nà het vermeend incident niet beschouwd kan worden als een handeling die de veiligheid van de bezoekers kan garanderen, te meer omdat de klager een bezoeker is van het vaccinatiecentrum en dus na dit vermeende incident op de parking eventueel slechts nog sporadisch aanwezig zou zijn in of rond het vaccinatiecentrum bijvoorbeeld voor eventuele bijkomende vaccins. Ook indien de veiligheid van de bezoekers van het vaccinatiecentrum minder dringend in het gedrang zou gekomen zijn, kon het volstaan voor de parkeerwachter om aan een medewerker binnen het vaccinatiecentrum te vragen een oogje in het zeil te houden, zonder dat de Beslissing ten gronde 177/2022 - 7/9 persoonsgegevens van de klager moeten opgevraagd worden of overgemaakt worden naar de stad (…).
33. Uit de conclusies of andere stukken in het dossier blijkt ook niet dat de klager aanwezig was voor zijn inenting voor de brandweer (bijvoorbeeld in een voorrangsperiode wegens het essentieel beroep als vrijwillig brandweerman), noch kon de klager op enig moment geassocieerd worden met de stad (…). Dit blijkt ook uit de mail in kwestie dd. 19 april 2021 waarin de parkeerwachter zelf stelt dat hij de klager niet herkend had en dus enkel wist dat de klager vrijwillig brandweerman was na opvraging van diens persoonsgegevens bij een onthaalmedewerker.
34. Gelet op het bovenstaande en in overeenstemming met de vaststellingen van de Inspectiedienst, komt de Geschillenkamer tot de conclusie dat de litigieuze verwerking niet kadert in de algemene werking van het vaccinatiecentrum en dus heeft plaatsgevonden buiten het toepassingsgebied van de verwerkersovereenkomst. Bijgevolg kan het Vlaams Agentschap Zorg en Gezondheid niet gekwalificeerd worden als verwerkingsverantwoordelijke in deze zaak.
35. Vervolgens zal de Geschillenkamer onderzoeken of de verweerster als de verwerkingsverantwoordelijke voor de litigieuze verwerking beschouwd moet worden. Hierbij verwijst de Geschillenkamer naar de bovenvermelde verwerkingsovereenkomst waarbij zowel de stad (…) als de verweerster als verwerkers optreden in het kader van de organisatie van het vaccinatiecentrum. De verweerster stelt hieromtrent in haar conclusies dat zij instaat voor de planning en organisatie van het medisch personeel en de stad (…) voor het niet-medisch personeel, zoals de parkeerwachters van het vaccinatiecentrum.
36. De Geschillenkamer stelt vast dat de heer Z een medewerker is van de stad (…) en in die hoedanigheid als parkeerwachter aanwezig was op de parking van het vaccinatiecentrum, en dus deel uitmaakt van het niet-medisch personeel. Ingevolge de hierboven vermelde verwerkersovereenkomst moet de stad (…) erop toezien dat de persoonsgegevens uitsluitend worden verwerkt in het kader van het toepassingsgebied van de verwerkersovereenkomst. De verwerkers waarborgen eveneens dat hun medewerkers op de hoogte worden gesteld van de toepasselijke verplichtingen inzake gegevensbescherming, zo stipuleert de verwerkersovereenkomst. In casu is het de heer Z als parkeerwachter die verantwoordelijk is voor de diverse beoordelingen en keuzes die hij gemaakt heeft, inclusief de hiermee gepaard gaande gegevensverwerkingen. De Geschillenkamer benadrukt dat de heer Z heeft besloten om dit vermeende incident op de parking te melden aan de werkgever van de klager. Bovendien maakte de heer Z ook melding van het vermeende incident met zijn professioneel e-mailadres van de stad (…). De verweerster kan dus niet als verwerkingsverantwoordelijke beschouwd worden voor de litigieuze verwerking. De Geschillenkamer wijst erop dat noch uit het inspectieverslag, noch Beslissing ten gronde 177/2022 - 8/9 uit de stukken van het dossier kan worden bepaald wie binnen het kader van deze klacht als verwerkingsverantwoordelijke moet aangewezen worden aangezien noch de stad (…), noch de heer Z bij deze procedure betrokken werden met het oog op de identificatie van de verwerkingsverantwoordelijke.
37. Kortom: de Geschillenkamer concludeert dat de verweerster noch de jure noch de facto het doel en de middelen bepaalde van de betrokken verwerking van persoonsgegevens. De Geschillenkamer oordeelt dan ook dat de verweerster binnen het kader van deze klacht niet als verwerkingsverantwoordelijke gekwalificeerd kan worden in de zin van artikel 4.7) AVG. Dit sluit echter niet uit dat een klacht omtrent deze feiten kan worden neergelegd tegen een andere verwerkingsverantwoordelijke.
38. Bijgevolg weerhoudt de Geschillenkamer de klacht en de daaropvolgende vaststellingen van de Inspectiedienst binnen en buiten de scope van de klacht niet. De Geschillenkamer beslist daarom om over te gaan tot een technisch sepot overeenkomstig haar sepotbeleid.4 III. Publicatie van de beslissing
39. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze Gegevensbeschermingsautoriteit. beslissing Het is gepubliceerd evenwel niet op de nodig website dat van de daartoe de identificatiegegevens van de partijen rechtstreeks worden bekendgemaakt. OM DEZE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging, om op grond van artikel 100, §1, 1° WOG deze klacht te seponeren. Op grond van artikel 108, § 1 van de WOG, kan binnen een termijn van dertig dagen vanaf de kennisgeving tegen deze beslissing beroep worden aangetekend bij het Marktenhof (hof van beroep Brussel), met de Gegevensbeschermingsautoriteit als verweerster. 4 Zie ook beslissing 117/2021 dd. 22 oktober 2021 en het Sepotbeleid Geschillenkamer van 18 juni 2021 onder 3.1.A , te raadplegen via https://www.gegevensbeschermingsautoriteit.be/publications/sepotbeleid-van-de-geschillenkamer.pdf. Beslissing ten gronde 177/2022 - 9/9 Een dergelijk beroep kan worden aangetekend middels een verzoekschrift op tegenspraak dat de in artikel 1034ter van het Gerechtelijk Wetboek opgesomde vermeldingen dient te bevatten
40. Het verzoekschrift op tegenspraak dient te worden ingediend bij de griffie van het Marktenhof overeenkomstig artikel 1034quinquies van het Ger.W.6, dan wel via het e-Deposit informaticasysteem van Justitie (artikel 32ter van het Ger.W.). (get). Hielke HIJMANS Voorzitter van de Geschillenkamer 5 6 "Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; 2° de naam, voornaam, woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, voornaam, woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat." "Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden aan de griffier van het gerecht of ter griffie neergelegd."