Beslissing ten gronde nr. 183/2022

1/19 Geschillenkamer Beslissing ten gronde 183/2022 van 14 december 2022 Dossiernummer : DOS-2022-00365 Betreft : Verstrekking van persoonlijke informatie aan derden zonder toestemming van de betrokkene De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Frank De Smet en Dirk Van Der Kelen, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: Mevrouw X, hierna “de klaagster”, De verweerster: Y, vertegenwoordigd door Mr. Heidi Waem en Mr. Simon Verschaeve, kantoorhoudende te 1000 Brussel, Wolstraat 70, hierna “de verweerster”. Beslissing ten gronde 183/2022 - 2/19 I. 1. Feiten en procedure Op 19 januari 2022 dient de klaagster een klacht in bij de Gegevensbeschermingsautoriteit tegen verweerster. De klaagster deed beroep op de diensten van de verweerster – bij wie zij een rechtsbijstandverzekering had afgesloten - voor de juridische afhandeling van een verkeersongeval waar zij het slachtoffer van werd. In het kader van de regeling van dit schadegeval, heeft de klaagster een raadsman aangesteld. Tussen de verweerster en de raadsman van de klaagster werd correspondentie gevoerd in het kader van een dispuut omtrent de door de klager verzochte tussenkomst van de verweerster in de erelonen en andere kosten voor deze juridische bijstand. Door een menselijke vergissing stuurde een medewerker op 2 juni 2021 een e-mail met betrekking tot deze bijstand naar een foutief e-mailadres. De e-mail bevatte de volgende gegevens: naam en voornaam van de klaagster, de advocaat van de klaagster, het dossiernummer, betaalde voorschotten, het feit dat de betrokkene een ongeval heeft gehad met letsel tot gevolg, het verloop van het dossier en de betwisting over het feit of Y al dan niet tussen dient te komen als rechtsbijstandsverzekeraar. De e-mail bevatte geen bijlagen. Op vrijdag 4 juni 2021 werd de DPO van de verweerster door de betrokken medewerker gecontacteerd naar aanleiding van het incident en er werd onmiddellijk een intern onderzoek gestart. Op maandag 7 juni 2021 om 14u58 werd de informatie bekomen die nodig was om de aard van het incident voldoende vast te stellen waarna het intern onderzoek door de bevoegde dienst (Data Protection Unit) om 15u38 werd afgerond. De melding aan de GBA vond diezelfde dag om 21u17 plaats. De verweerster contacteerde op maandag 7 juni 2021 eveneens de foutieve bestemmeling met de vraag om de e-mail te vernietigen en de informatie niet verder te delen met derden, door te sturen, op te slaan of op enige wijze te gebruiken. De klaagster werd vervolgens op dinsdag 8 juni 2021 geïnformeerd over het feit dat een gegevenslek had plaatsgevonden. Tot slot contacteerde verweerster eveneens de raadsman van de klaagster op 9 juni 2021. 2. Op 14 februari 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 11 maart 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. Beslissing ten gronde 183/2022 - 3/19 4. Op 14 april 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en besluit : 1. inbreuk op artikel 5, lid 1, a),

1. c)en
2. f)en lid 2, artikel 6, lid 1, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 van de AVG in de kader van de klacht in dit dossier; 2. geen inbreuk in het algemeen op artikel 5, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 AVG; 3. inbreuk op artikel 33 van de AVG en artikel 34 van de AVG. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast: 4. geen inbreuk op artikel 38, lid 1 en artikel 39 AVG. 5. Op 29 april 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 29 april 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster vastgelegd op 10 juni 2022, deze voor de conclusie van repliek van de klaagster op 1 juli 2022 en ten slotte deze voor de conclusie van dupliek van de verweerster op 22 juli 2022. 7. Op 29 april 2022 aanvaardt de klaagster elektronisch alle communicatie omtrent de zaak. 8. Op 29 april 2022 aanvaardt de verweerster elektronisch alle communicatie omtrent de zaak. 9. Op 20 mei 2022 vraagt de verweerster een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 23 mei 2022. 10. Op 10 juni 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Deze conclusie bevat eveneens de reactie van de verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. In hoofdorde voert de verweerster aan dat de procedure en de wijze waarop deze gevoerd wordt door de Inspectiedienst en de Geschillenkamer de beginselen van behoorlijk bestuur schendt. In ondergeschikte orde betoogt de verweerster dat deze inbreuk in verband met persoonsgegevens geen inbreuk vormt op de beginselen inzake rechtmatigheid, minimale Beslissing ten gronde 183/2022 - 4/19 gegevensverwerking, integriteit en vertrouwelijkheid van de AVG. Verder heeft de verweerster de AVG niet geschonden naar aanleiding van de melding van het gegevenslek aan de GBA en aan de betrokkene. 11. Op 14 juli 2022 bevestigt de Geschillenkamer aan de verweerster dat geen conclusie van repliek werd ingediend door de klaagster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. 12. Op 20 juli 2022 ontvangt de Geschillenkamer de kennisgeving van de verweerster dat zij geen conclusie van dupliek zal indienen. II. Motivering II.1. Beginselen van behoorlijk bestuur 13. De verweerster laat gelden dat zowel de procedure als de wijze waarop deze gevoerd werd door de Geschillenkamer en de Inspectiedienst de beginselen van behoorlijk bestuur schendt. De verweerster houdt voor dat het zorgvuldigheidsbeginsel werd geschonden door de Inspectiedienst en de Geschillenkamer door de wijze waarop de klacht werd onderzocht. De Geschillenkamer zou dit onder meer gedaan hebben door te beslissen dat er in deze zaak een Inspectieonderzoek vereist was. De Inspectiedienst zou deze beginselen geschonden hebben door te beslissen om het toepassingsgebied van het onderzoek verder uit te breiden buiten het voorwerp van de klacht. De verweerster stelt ook dat het redelijkheidsbeginsel en het proportionaliteitsbeginsel geschonden werden. Deze voornoemde uitbreiding van het toepassingsgebied had betrekking op aspecten die in het kader van een ander onderzoek van de Inspectiedienst recent reeds werden bevraagd en onderzocht en waar de Inspectiedienst tot de vaststelling was gekomen dat er geen inbreuk voorlag. 14. Dienaangaande merkt de Geschillenkamer op dat zij inderdaad besloten heeft om de Inspectiedienst te vatten om een onderzoek uit te voeren op basis van artikel 94, 1 e WOG. De Geschillenkamer evalueert in elk dossier zowel wat de potentiële persoonlijke gevolgen voor een klager als de maatschappelijke gevolgen van de litigieuze verwerking zijn. Onderhavige zaak betreft een inbreuk in verband met persoonsgegevens (gegevenslek). Inbreuken in verband met persoonsgegevens vormen een probleem op zich, maar kunnen ook symptomen zijn van een kwetsbaar, mogelijk verouderd gegevensbeveiligingssysteem. Bovendien kunnen deze inbreuken duiden op zwakke plekken in het systeem, die desgevallend moeten worden aangepakt. 15. De Geschillenkamer herinnert eraan dat een klacht zelden een volledig of objectief beeld geeft van een verwerking of situatie die door de klaagster aan de kaak gesteld wordt. Aangezien de Geschillenkamer op basis van de klacht niet over alle relevante informatie beschikt omtrent de relevante feiten, heeft zij een Inspectieonderzoek gevraagd. In dit kader benadrukt de Geschillenkamer dat een onderzoek door de Inspectiedienst dus niet altijd Beslissing ten gronde 183/2022 - 5/19 wordt gevraagd met de bedoeling om noodzakelijkerwijs een inbreuk vast te stellen, maar wel om een zo juist mogelijk overzicht van de relevante objectieve feiten te verkrijgen. Het onderzoek door de Inspectiedienst kan net zo goed een inbreuk uitsluiten als vaststellen. Het onderzoek wordt dus à charge en à décharge gevoerd. 16. De verweerster werpt op dat het uit de klacht zelf duidelijk blijkt dat de inbreuk in verband met persoonsgegevens het gevolg is van een menselijke vergissing, en dat dit ook achteraf uit het Inspectieverslag blijkt. Ook al blijkt uit het Inspectieverslag dat de inbreuk in verband met persoonsgegevens in casu inderdaad het gevolg was van een menselijke vergissing, wijst de Geschillenkamer erop dat zij dit vooraf niet met volledige zekerheid kon vaststellen en het haar niet verweten kan worden dat zij dus een onderzoek gevraagd heeft om een volledig en juist overzicht te krijgen van de omstandigheden waarin de inbreuk in verband met persoonsgegevens heeft plaatsgevonden. Meer in algemene zin benadrukt de Geschillenkamer dat de beslissing over de opvolging van een dossier overeenkomstig artikel 95, § 1, WOG een noodzakelijke tussenstap is in deze procedure die de Geschillenkamer in alle vrijheid moet kunnen nemen. 17. De verweerster voert eveneens aan dat de Geschillenkamer de klacht had moeten seponeren op basis van haar sepotbeleid, meer bepaald sepotgrond B.3 “Uw klacht is een nevengeschil bij een ruimer geschil dat moet worden beslecht voor hoven en rechtbanken en administratieve rechtscolleges of een andere bevoegde autoriteit”. In dit kader herinnert de Geschillenkamer eraan dat zij niet verplicht is deze klachten te seponeren, maar dat zij de discretionaire bevoegdheid heeft om bij elke klacht individueel te onderzoeken of zij deze zal seponeren of niet. In onderhavige zaak werd besloten om deze klacht niet te seponeren maar heeft de Geschillenkamer beslist om de Inspectiedienst te vatten omwille van de volgende redenen. De verweerster verwerkt in haar hoedanigheid van rechtsbijstandsverzekeraar gevoelige gegevens van betrokkenen. Bovendien verwerkt de verweerster deze gegevens op grote schaal. Het is dus van belang dat voldoende waarborgen, zoals bijvoorbeeld met betrekking tot de vertrouwelijkheid, voorzien worden door de verweerster zodat deze verwerkingen op grote schaal van gevoelige persoonsgegevens overeenkomstig de grondbeginselen van de AVG gebeuren. 18. De Geschillenkamer wenst dit verder te verduidelijken, zonder vooruit te lopen op de beoordeling van de feiten die ten grondslag liggen aan de klacht en de eventuele inbreuken op de AVG die daaruit zouden kunnen voortvloeien. Daartoe verwijst de Geschillenkamer naar artikel 100 WOG1 waarin haar beslissingsbevoegdheid wordt bepaald in het kader van 1 Art. 100. § 1. De geschillenkamer heeft de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° de opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; Beslissing ten gronde 183/2022 - 6/19 een procedure ten gronde. Deze bepaling voorziet uitdrukkelijk dat, naast tal van andere maatregelen, de Geschillenkamer ook in de procedure ten gronde over de mogelijkheid beschikt om een klacht te seponeren (artikel 100, §1, 1° WOG). De Geschillenkamer benadrukt dat het haar vrijstaat om klachten ook in deze fase om technische redenen of om beleidsmatige redenen te seponeren, overeenkomstig de voorwaarden in de rechtspraak van het Marktenhof.2 19. De verweerster stelt ook dat de Inspectiedienst de zorgvuldigheidsplicht geschonden heeft door te beslissen om het toepassingsgebied van het onderzoek verder uit te breiden. Deze uitbreiding van het toepassingsgebied had daarenboven zelfs betrekking op aspecten die in het kader van een ander onderzoek van de Inspectiedienst recent reeds werden bevraagd en onderzocht, en waar de Inspectiedienst tot de vaststelling was gekomen dat er geen inbreuk voorlag. De verweerster voert aan dat om diezelfde redenen ook het redelijkheidsbeginsel en het proportionaliteitsbeginsel geschonden werden. Bovendien is ook het vertrouwensbeginsel ten aanzien van de verweerster geschonden. Het vertrouwensbeginsel of rechtszekerheidsbeginsel houdt immers in dat “het recht voorzienbaar en toegankelijk moet zijn, zodat de rechtzoekende in redelijke mate de gevolgen van een bepaalde handeling kan voorzien op het tijdstip dat de handeling wordt verricht”.3 Daarnaast mag de overheid niet zonder objectieve en redelijke verantwoording van een beleidslijn afwijken, aldus de verweerster.4 Verder stelt de verweerster dat ook het gelijkheidsbeginsel en het non-discriminatiebeginsel zoals begrepen in de artikelen 10 en 11 van de Grondwet geschonden werden. Het valt immers niet redelijk te verantwoorden waarom de GBA wel gevolg geeft aan het gegevenslek in voorliggend geval, terwijl aan gelijkaardige gegevenslekken van derden geen gevolg wordt gegeven. Het feit dat het Algemeen Secretariaat volgens haar beoordelingscriteria kennelijk initieel tot het besluit kwam dat er geen opvolging nodig was en dat de melding van het gegevenslek pas maanden later op initiatief van de Inspectiedienst toch werd opgevolgd, toont eveneens aan dat er van 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven. 2 Arrest van het Marktenhof d.d. 2 september 2020, 9.4. 3 I. OPDEBEEK en S. DE SOMER, « Hoofdstuk III - Beginselen van behoorlijk bestuur » in S. DE SOMER en I. OPDEBEEK (ed.), Algemeen bestuursrecht (tweede editie) - gebonden editie, 2e editie, Brussel, Intersentia, 2019, p. 412-413. 4 I. OPDEBEEK en S. DE SOMER, « Hoofdstuk III - Beginselen van behoorlijk bestuur » in S. DE SOMER en I. OPDEBEEK (ed.), Algemeen bestuursrecht (tweede editie) - gebonden editie, 2e editie, Brussel, Intersentia, 2019, p. 412-413. Beslissing ten gronde 183/2022 - 7/19 een gelijke behandeling van gelijke feitenconstellaties in onderhavig geval geen sprake kan zijn. 20. De Geschillenkamer wijst er vooreerst op dat overeenkomstig artikel 72 WOG de inspecteur-generaal en de inspecteurs mogen “overgaan tot elk onderzoek, elke controle en elk verhoor, alsook alle inlichtingen inwinnen die zij nodig achten om zich ervan te vergewissen dat de grondbeginselen van de bescherming van de persoonsgegevens, in het kader van deze wet en van de wetten die bepalingen bevatten inzake de bescherming van de verwerking van persoonsgegevens, waarop zij toezicht uitoefenen, werkelijk worden nageleefd”. 21. Gelet op het bovenstaande komt het aan de Inspectiedienst toe om, binnen de hem toegewezen bevoegdheden, alle door haar noodzakelijk geachte onderzoekshandelingen te verrichten. De Geschillenkamer zelf als administratief geschillenorgaan dient haar beslissingen te stoelen op onderzoeksdaden die kennelijk ressorteren binnen het wettelijk kader waarin administratieve bestuursorganen dienen te handelen. 5 Er is in deze zaak geen enkele aanleiding om de rechtmatigheid van de onderzoekshandelingen van de Inspectiedienst in vraag te stellen. II.2. Artikel 5, lid 1, a),
3. c)en
4. f)en lid 2, artikel 6, lid 1, artikel 24, lid 1 en artikel 25, lid 1 en lid 2 22. Als verwerkingsverantwoordelijke is de verweerster verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet zij kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsplicht - artikel 5, lid 2 AVG). 23. Bovendien moet zij, eveneens in haar hoedanigheid van verwerkingsverantwoordelijke, alle nodige maatregelen treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd (artikel 24 en 25 AVG). 24. De Geschillenkamer herinnert eraan dat het uitgangspunt van artikel 5, lid 1,
5. a)AVG is dat persoonsgegevens alleen op rechtmatige wijze mogen worden verwerkt. Dit betekent dat een rechtsgrond voor de verwerking van persoonsgegevens als bedoeld in artikel 6, lid 1 van de AVG aanwezig moet zijn. In verdere uitwerking van dit basisprincipe stelt artikel 6, lid 1 AVG dat persoonsgegevens enkel mogen worden verwerkt op grond van één van de in het artikel opgesomde rechtsgronden. Wanneer persoonsgegevens worden verwerkt dan 5 naar analogie met het arrest van het hof van beroep te Brussel (Marktenhof) dd. 7 juli 2021, p. 18: “In het kader van discretionaire bevoegdheden kan de rechter door middel van de beginselen van behoorlijk bestuur nagaan of het bestuur de haar toegemeten bevoegdheid binnen de grenzen van de rechtmatigheid heeft uitgeoefend. Hierbij beschikt de rechter slechts over een marginaal toetsingsrecht. De rechter mag het aangeklaagde gedrag slechts als foutief bestempelen wanneer dit ingaat tegen de opvattingen van elk normaal voorzichtig en redelijk bestuurlijk orgaan. Dit is onder meer het geval wanneer de beslissing niet op concrete gegevens zou berusten en in zou gaan tegen de redelijkheid, en het bestuur bijgevolg een kennelijke beoordelingsfout zou begaan. Het redelijkheidsbeginsel beperkt te discretionaire bevoegdheid enkel doordat het niet duldt dat hetgeen beslist is in kennelijke wanverhouding staat tot de feiten (daarin begrepen alle dossierstukken) waarop de beslissing is gebaseerd. Beslissing ten gronde 183/2022 - 8/19 moeten zij voor het doel toereikend en ter zake dienend zijn. Verder mogen er niet meer persoonsgegevens worden verwerkt dan noodzakelijk voor het doel (artikel 5.1,
6. c)AVG). Artikel 5, 1,
7. f)van de AVG schrijft voor dat “[persoonsgegevens] door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging”. 25. Met betrekking tot de litigieuze verwerking stelt de Inspectiedienst in zijn verslag vast dat de verweerster in het kader van de klacht in dit dossier een inbreuk heeft begaan op artikel 5, lid 1, a), c),
8. f)en lid 2 van de AVG op basis van onderstaande elementen : • het beginsel inzake rechtmatigheid werd geschonden omdat de verzending van persoonsgegevens van de klaagster naar een verkeerde bestemmeling niet was gebaseerd op een rechtsgrond uit artikel 6, lid 1 van de AVG; • het beginsel inzake minimale gegevensverwerking werd geschonden omdat de verweerder meer persoonsgegevens van de klaagster heeft verwerkt dan noodzakelijk was door de verzending ervan naar een verkeerde bestemmeling; • het beginsel inzake integriteit en vertrouwelijkheid werd geschonden omdat de verweerder door de verzending van persoonsgegevens van de klaagster naar een verkeerde bestemmeling de vertrouwelijkheid van die persoonsgegevens heeft in het gedrang gebracht; en • door de verzending van persoonsgegevens van de klaagster naar een verkeerde bestemmeling heeft de verweerster niet de nodige technische en organisatorische maatregelen genomen om te waarborgen en te kunnen aantonen dat de verwerking heeft plaatsgevonden conform de AVG. 26. Ondanks deze inbreuk op bovenvermelde artikelen in het kader van dit dossier, stelt de Inspectiedienst vast dat de verweerster in het algemeen de verplichtingen opgelegd door artikel 5 van de AVG probeert na te leven. De Inspectiedienst merkt echter op dat dit geen afbreuk doet aan de hierboven vermelde concrete inbreuk. 27. De verweerster erkent dat de e-mail dd. 2 juni 2021 gericht was aan de klaagster, maar dat door een gevolg van een eenmalige menselijke vergissing, onbedoeld de persoonsgegevens betreffende de klaagster aan een derde werden verstuurd. Zij licht toe dat dit het gevolg is van het feit dat het e-mailadres van de raadsman van de klaagster gelijkaardig is aan een ander e-mailadres in het mailsysteem van de verweerster. De verweerster stelt dat dergelijke onbedoelde, niet intentionele handeling, geen aanleiding kan geven tot een inbreuk op de AVG. Beslissing ten gronde 183/2022 - 9/19 28. De verweerster voert aan dat zij alle passende maatregelen genomen heeft om haar verplichtingen inzake gegevensbescherming na te komen en zoveel als mogelijk in te perken. Zo heeft zij de volgende maatregelen genomen die in onderhavige zaak relevant zijn: a. Opstellen en uitrollen van een beleid inzake privacy en gegevensbescherming doorheen de onderneming (‘Group Compliance Rule Data Protection’) die de AVGvereisten en de invulling ervan voor de entiteiten binnen de Y-groep verduidelijkt; b. Classificatiesysteem van interne en externe e-mails (in categorieën van public, internal, confidential en strictly confidential); c. Implementatie van een waarschuwingsbericht in het e-mailsysteem van de verweerster wanneer medewerkers een e-mail naar een extern e-mailadres sturen; d. Encryptie en wachtwoordbeveiliging van bijlagen bij externe e-mails met (strikt) vertrouwelijke inhoud; e. Maatregelen inzake toegangscontrole tot de systemen van de verweerster; f. Maatregelen inzake afscherming van informatie in de interne systemen van de verweerster; g. Om de departementen proactief te informeren over de zaken waarmee zij rekening moeten houden, werd een “Compliance Checklist” uitgerold met een uitdrukkelijk onderdeel voor Data Protection; h. Opstellen en implementatie van een ‘Health Data Framework’, dat het beleid en de strategie van de verweerster inzake het verwerken van gezondheidsgegevens omvat. Dit Health Data Framework wordt jaarlijks gereviseerd door vertegenwoordigers van verschillende (risico)functies (Compliance (waar de DPO deel van uitmaakt), Legal, Risk, CC Privacy, Schadebeleid, medische community, …). Het Framework voorziet concrete richtlijnen en bepaalt de vereisten voor de verwerking van medische gegevens binnen Y Verzekeringen, waaronder (
9. i)regels met betrekking tot de communicatie van gezondheidsgegevens en het gebruik van veilige communicatiekanalen, zowel intern als extern, (
10. ii)specifieke regels rond de verwerking door derden, externe partijen en (iii) specifieke regels rond het bewaren van gezondheidsgegevens; i. Vanuit het domein Information Security geldt een omvattend kader van groepstandaarden die rechtstreeks of onrechtstreeks regels bevatten inzake Data Protection en Privacy, zoals welke communicatiemiddelen gebruikt mogen worden voor welke soort gegevens; j. Training en bewustmaking: de verweerster zorgt ervoor dat haar medewerkers weten hoe zij op een correcte en veilige wijze met persoonsgegevens moeten Beslissing ten gronde 183/2022 - 10/19 omgaan. Alle medewerkers dienen een verplichte basistraining over AVG te volgen. Daarnaast heeft de verweerster een e-learning gelanceerd voor al haar medewerkers die met gezondheidsgegevens omgaan. Deze e-learning focust meer in detail op het verwerken van gezondheidsgegevens en neemt belangrijke delen op zoals onder andere duidelijke richtlijnen inzake het gebruik van beveiligde communicatiekanalen. Een update van deze training werd uitgevoerd en de nieuwe versie werd geïmplementeerd op 24 januari 2022. De trainingen moeten verplicht op geregelde tijdstippen opnieuw gebeuren. De deelname aan deze trainingen wordt geregistreerd en opgevolgd en de opgedane kennis wordt achteraf getoetst door een verplichte test; k. Naast de verplichte trainingen, worden er maandelijks berichten gepost over diverse AVG-onderwerpen via het interne communicatieplatform “Y Connect”; l. Naast de interne governance procedures zijn er binnen de verweerster verschillende ondersteunende diensten op dagelijkse basis bezig met adviesverlening en ondersteuning omtrent AVG, met name: (
11. i)het centrale Competence Center Privacy (hierna “CC Privacy”) in eerste lijn, (
12. ii)ondersteund door de Compliance Risk Managers (CORMs) die decentraal zijn aangesteld in eerste lijn en (iii) de Group Compliance Data Protection Unit, waar de DPO van Y Verzekeringen deel van uitmaakt, in de tweede lijn. 29. De verweerster voert aan dat zij verkiest om via veiligere kanalen dan mails te communiceren (zoals bepaalde apps), maar dit is niet altijd mogelijk. Deze zaak betreft communicatie met de raadsman van een klant waardoor e-mail het enige elektronische communicatiekanaal was waarover de verweerster beschikt. Tot slot benadrukt de verweerster dat zij vele inspanningen geleverd heeft om dergelijke risico’s te beperken, maar dat een menselijke vergissing steeds een residueel risico zal blijven. 30. De Geschillenkamer vestigt er de aandacht op dat de al dan niet aanwezigheid van een intentie geen criterium vormt voor de al dan niet aanwezigheid van een verwerking van persoonsgegevens in de zin van artikel 4