1/16 Geschillenkamer Beslissing ten gronde 186/2022 van 19 december 2022 Dossiernummer : DOS-2020-05826 en 2020-05390 Betreft: verzending van e-mails naar een mailinglijst zonder de adressen van de ontvangers te verbergen De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Christophe BoeraeveYves Poullet Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna- AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klagers: X1, en X2, hierna “de klagers”; De verweerder : Autoriteit voor Financiële Diensten en Markten (FSMA), met maatschappelijke zetel Congresstraat 12-14, 1000 Brussel, ingeschreven onder ondernemingsnummer 0544.279.965, vertegenwoordigd door de heer B. Martel en A. Van de Meulebroucke, hierna : "de verweerder.". Beslissing ten gronde 186/2022 - 2/16 I. 1. Feiten en procedure Op 27 november 2020 diende X2 bij de Gegevensbeschermingsautoriteit een klacht in tegen verweerder, waarbij hij de betwiste e-mail en een antwoord van een van de ontvangers ervan in pdf-formaat bijvoegde. Drie dagen later, op 30 november 2020, diende hij dezelfde klacht een tweede keer in, met een iets andere bijlage (dezelfde betwiste e-mail, maar in een ander formaat). Op 1 december 2020 diende X1 bij de Gegevensbeschermingsautoriteit een klacht in tegen verweerder over dezelfde e-mail als deze die X2 heeft ontvangen. Het onderwerp van beide klachten is de verzending van een betalingsherinneringse-mail door verweerder aan klagers op 23 november 2020 en aan enkele honderden andere ontvangers, waarbij de e-mailadressen zichtbaar waren in CC (carbon copy), in plaats van BCC (Blind carbon copy). 2. Op 5 januari 2021 wordt de klacht van X1 door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en overgedragen aan de Geschillenkamer. Op 26 januari 2021 wordt de klacht van X2 door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 van de WOG en overgedragen aan de Geschillenkamer. 3. Op 8 februari 2021 beslist de Geschillenkamer dat het dossier gereed is voor behandeling ten gronde. X1 en verweerder worden per aangetekende zending in kennis gesteld van de bepalingen in artikel 95, §2, en artikel 98 van de WOG. Tevens worden zij op grond van artikel 99 van de WOG in kennis gesteld van de termijnen om hun conclusies in te dienen. Op 22 februari 2021 zijn de link en het wachtwoord naar de kopie van het administratieve dossier aan verweerder toegezonden, nadat deze daarom op 15 februari 2021 had verzocht. Op 2 maart 2021, nadat de Geschillenkamer de klacht van X2 had ontvangen over dezelfde feiten tegen verweerder, deelde de Geschillenkamer de twee klagers mee dat de twee klachten om redenen van spaarzaamheid en efficiëntie van de procedure zouden worden samengevoegd in één dossier, tenzij zij daartegen bezwaar maakten. Op 9 maart 2021 werd verweerder in kennis gesteld van de samenvoeging van een tweede klacht tegen verweerder betreffende dezelfde feiten. Aangezien de twee klagers geen bezwaar hebben gemaakt, werd op 11 maart 2021 een nieuwe uitnodiging tot conclusie aan de partijen gezonden. De uiterste datum voor ontvangst van de conclusie van antwoord van verweerder werd daarbij vastgelegd 23 april 2021, deze voor de conclusie van repliek van de klagers op 14 mei 2021 en deze voor de conclusie van repliek van verweerder op 4 juni 2021.. 4. Op 8 april 2021 aanvaardt de verweerder om alle communicatie omtrent de zaak elektronisch te ontvangen en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 van de WOG. Op 15 april 2021 en op 21 april 2021 heeft verweerder daartoe een herinnering gestuurd. In deze laatste Beslissing ten gronde 186/2022 - 3/16 brief wordt ook verzocht om de termijn van verweerder om te concluderen te verlengen. Verweerder stelt in zijn e-mail waarin hij zijn eerste opmerkingen van 23 april 2021 meedeelt, dat hij geen toegang had tot het administratieve dossier vóór de verzending van zijn eerste opmerkingen, die hij dan ook indient onder voorbehoud van prejudiciële erkenning. De Geschillenkamer zal op 26 april 2021 gevolg geven aan het verzoek om toegang. 5. Op 17 en 21 mei verzocht verweerder de Geschillenkamer te bevestigen dat de klagers geen conclusies hadden ingediend. In zijn brief van 21 mei 2021 verzoekt verweerder tevens om een nieuwe kopie van het administratieve dossier. De Geschillenkamer bevestigt op 25 mei 2021 dat de klagers geen conclusies hebben ingediend en antwoordt met betrekking tot het administratieve dossier dat het op 26 april 2021 is toegezonden, met verwijzing naar de link. Op 31 mei 2021 heeft verweerder de Geschillenkamer opnieuw verzocht te bevestigen dat er sinds zijn conclusies van 23 april 2021 geen nieuwe stukken in het administratieve dossier zijn ingediend, waarop de Kamer niet heeft geantwoord. 6. Op 23 november 2021 ontving de Geschillenkamer de conclusie van repliek vanwege de verweerder. 7. De Geschillenkamer ontving geen conclusies van repliek van de klagers. 8. Op 4 juni 2021 ontving de Geschillenkamer de repliek van verweerder, waarin dezelfde argumenten en rechtsoverwegingen werden aangevoerd als in de eerste conclusies. 9. Op 20 september 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 19 oktober 2022. In dezelfde brief worden de partijen verzocht zich schriftelijk uit te spreken over de artikelen 5.1.
- b)juncto 6.4 en 6.1. van de AVG alsook over artikel 24 van de AVG. Verweerder heeft van deze mogelijkheid gebruik gemaakt en op 11 oktober 2022 zijn schriftelijke opmerkingen aan de Geschillenkamer en de klagers toegezonden. De klagers reageerden niet op de uitnodiging om hun schriftelijke opmerkingen mee te delen. 10. Op 19 oktober 2022 wordt de verweerder door de Geschillenkamer gehoord. De klagers zijn niet aanwezig op de hoorzitting. 11. Op 5 december 2022 wordt het proces-verbaal van de hoorzitting aan de partijen toegezonden. 12. Op 12 januari 2022 ontvangt de Geschillenkamer enkele opmerkingen van de verweerder met betrekking tot het proces-verbaal. Beslissing ten gronde 186/2022 - 4/16 II. Motivering 13. Het feit dat aan de oorzaak lig van de klacht in deze zaak is de verzending op 23 november 2020 door de verweerder van een betalingsherinneringse-mail aan enkele honderden in zijn registers ingeschreven financiële tussenpersonen, in carbon copy (CC) in plaats van blind carbon copy Invisible (BCC), waardoor alle ontvangers zichtbaar waren. De e-mailadressen van de klagers, die bij de FSMA geregistreerde financiële tussenpersonen zijn, behoren tot de adressen die aldus voor alle ontvangers zichtbaar worden gemaakt. 14. De Geschillenkamer merkt in het bijzonder op dat verweerder in zijn conclusies, in het gedeelte over de feiten, het volgende stelt : - de verzending van de e-mail is een betreurenswaardige individuele fout van een FSMA-medewerker, die uiteraard niet had mogen gebeuren;1 - de betrokken e-mail bevatte geen andere informatie dan de e-mailadressen van de ontvangers, die vaak niet eens persoonsgegevens zijn, en het bericht ter herinnering van de betaling (zonder zelfs maar melding te maken van een verschuldigd bedrag). De verweerder voegde eraan toe dat de e-mail geen gevoelige gegevens bevatte. 15. De verweerder formuleert zijn middelen in twee delen. Zijn eerste middel is gebaseerd op de ontvankelijkheid van de klacht en betreft enerzijds de schending van de rechten van de verdediging (A) en anderzijds de schending van de zorgvuldigheidsplicht en het beginsel van de formele en materiële motivering (B). Het tweede middel van de verweerder betreft het "de gegrondheid van de klacht en het daaraan te geven gevolg". 16. De Geschillenkamer onderzoekt eerst de procedurekwesties die zijn opgeworpen (zowel in het eerste middel van de verweerder als in zijn conclusies), alvorens de zaak ten gronde te behandelen. II.1. Aangaande de procedure II.1.1. Het eerste middel van de verweerder betreffende de schending van de rechten van de verdediging 17. In het eerste onderdeel van zijn eerste middel stelt verweerder schending van de rechten van de verdediging aan de orde door te stellen dat hij "noch uit de klacht noch uit de brieven van de GBA (lees : de brieven van 8/2/2021 en 11/3/2021 waarin de partijen worden uitgenodigd hun conclusies uit te wisselen) kon opmaken welke wettelijke bepalingen zouden zijn geschonden en welke rechten de klager meent te hebben ten opzichte van 1 Blz. 4, eerste conclusies. Beslissing ten gronde 186/2022 - 5/16 verweerder. Verweerder kan dus niet ingaan op de grieven in de klacht van 1 december 2020. (De Geschillenkamer onderlijnt) 18. De Geschillenkamer kan het niet eens zijn met verweerder dat hij niet heeft kunnen reageren op de grieven in de klachten. De Geschillenkamer erkent weliswaar dat het administratieve dossier op de eerste werkdag na de uiterste datum voor de indiening van de eerste conclusies naar verweerder is gezonden, maar wijst erop dat verweerder geen rekening houdt met andere elementen. Zo werd het administratieve dossier meer dan een maand vóór de uiterste datum voor de indiening van de tweede conclusies van de verweerder toegezonden, waarin precies dezelfde rechtsgronden en argumenten werden aangevoerd als in de eerste conclusies, hetgeen erop wijst dat de verweerder door de late toezending van het administratieve dossier (net na de uiterste datum voor de indiening van de eerste conclusies) geen afbreuk heeft gedaan aan zijn mogelijkheden om zich te verdedigen. Bovendien wordt in de twee brieven waarin wordt verzocht om uitwisseling van conclusies (die van 8 februari 2021, vóór de samenvoeging van de klachten, en die van 8 maart 2021, na de samenvoeging) het feit dat aanleiding gaf tot de twee klachten op een duidelijke en eenvoudige wijze herhaald (verzending van de e-mail aan honderden ontvangers in CC in plaats van BCC). Er kan dus geen sprake zijn van verrassing bij verweerder over de mogelijke inbreuken. Dit feit wordt overigens ook in beide klachten vermeld. Bovendien en subsidiair erkent verweerder dit feit en geeft hij toe dat het gaat om een "betreurenswaardige individuele fout van een FSMA-medewerker, die uiteraard niet had mogen gebeuren". 19. Voorts wijst verweerder op het feit dat de klagers hun klacht rechtstreeks bij de GBA 2 hebben ingediend zonder eerst contact op te nemen, terwijl de Geschillenkamer in haar nota over de positie van de klager3 overweegt dat het "nuttig is dat de klager eerst contact zoekt met de verantwoordelijke voor de verwerking alvorens een klacht in te dienen". 20. In het onderhavige geval betoogt de Geschillenkamer dat, aangezien de betwiste e-mail reeds was verzonden, een contact met verweerder voordat klagers hun klacht indienden, niet zou hebben gewaarborgd dat hun recht op gegevensbescherming werd geëerbiedigd. 21. Bovendien blijkt uit een zorgvuldige lezing van de genoemde nota over de positie van de klager dat het gaat om de uitoefening van een recht in de zin van hoofdstuk 3 van de AVG (artikelen 12 tot en met 22), en niet om de niet-nakoming van een van de verplichtingen van de verwerkingsverantwoordelijke, die deze moet kunnen aantonen 4. Hoewel in een aantal 2 Punt 1.2, blz. 5, repliek van verweerder van 23 april 2021. 3 Nota van de Geschillenkamer over de positie van de klager in de procedure bij de Geschillenkamer, 15/2/2021 4 Nota van de Geschillenkamer over de positie van de klager in de procedure bij de Geschillenkamer, 15/2/2021, blz. 2: "Indien de klacht betrekking heeft op de uitoefening van rechten, vraagt de GBA aan de potentiële klager om eerst zijn rechten uit te oefenen voordat hij een klacht indient. Ook indien zijn klacht over een andere kwestie gaat (bv: de klager vindt dat zijn gegevens zonder zijn toestemming worden verwerkt), dan kan het eveneens nuttig zijn dat hij eerst met de verwerkingsverantwoordelijke contact zoekt, alvorens een klacht in te dienen". Beslissing ten gronde 186/2022 - 6/16 gevallen aanbevolen, is een voorafgaand contact met de verantwoordelijke voor de verwerking geen verplichting voor de klager en niet in alle gevallen nuttig. 22. Verweerder klaagt tevens dat het voor hem in het geheel niet duidelijk is welke vermeende rechten klager meent te hebben jegens verweerder. In de klacht wordt niet gesteld dat verweerder wettelijke bepalingen heeft geschonden. Dezelfde redenering als in punt 19 hierboven geldt echter: de klagers baseren hun klacht niet op een recht in de zin van hoofdstuk 3 van de AVG, maar op de schending door verweerder van een van zijn verplichtingen als verwerkingsverantwoordelijke. Het is aan de verantwoordelijke persoon om overeenkomstig het verantwoordingsbeginsel aan te tonen dat hij zijn verplichtingen is nagekomen. De klagers kunnen derhalve niet worden verweten dat zij in hun klacht de wettelijke bepaling(
- en)betreffende het recht dat zij willen doen gelden, in de zin van hoofdstuk 3 van de AVG, niet hebben vermeld. 23. Voorts is er geen bepaling die een klager verplicht in zijn klacht aan te geven welke rechtsgrondslag hij aanvoert. Artikel 60 van de WOG stelt "een klacht is ontvankelijk als in één van de landstalen opgesteld moet zijn, een uiteenzetting moet bevatten van de feiten, alsook de nodige indicaties voor de identificatie van de verwerking waarop ze betrekking heeft, en moet vallen onder de bevoegdheid van de Gegevensbeschermingsautoriteit". Verweerder stelt dan ook ten onrechte dat klagers in hun klacht hadden moeten aangeven welke wettelijke bepaling volgens hen is geschonden. Een andere aanpak zou in strijd zijn met de aard van de klachten zelf, die zowel in artikel 77 van de AVG als in de WOG zijn vastgelegd. In die geest stelt het beheersplan van de GBA 2022 ook: "Het recht om een klacht in te dienen bij de GBA is een alternatief voor een beroep op de burgerlijke of administratieve rechter en moet voor de burger gemakkelijk blijven. De wetgever heeft bijvoorbeeld niet gewild dat partijen steeds door een advocaat worden bijgestaan. 24. Voorts voert verweerder aan dat de e-mail van de Eerstelijnsdienst (ELD) aan de Geschillenkamer waarin de klacht ontvankelijk wordt verklaard en aan haar wordt overgedragen "geen details bevat over de feiten of de vermeende strafbare feiten waartegen verweerder zich moet verdedigen". Zoals hierboven (punt 32) is aangegeven, kan deze "beslissing" van de ELD echter worden geformaliseerd door een eenvoudige e-mail van de ELD aan de Geschillenkamer, en is het niet vereist dat deze brief enige aanduiding van de feiten of mogelijke inbreuken bevat. 25. Verweerder voert vervolgens aan dat hij uit de brief van de Geschillenkamer aan partijen van 11 maart 2021 (waarin partijen worden uitgenodigd te concluderen) niet kon opmaken "welke vermeende strafbare feiten verweerder worden verweten". De brief bevat geen verwijzing naar enig artikel van de wetgeving inzake gegevensbescherming, noch naar de wijze waarop deze wetgeving door verweerder is geschonden. In de brief wordt ook niet aangegeven "welke mogelijke sancties de verweerder kunnen worden opgelegd". Zoals hierboven (punt Beslissing ten gronde 186/2022 - 7/16 18) is de Geschillenkamer in dit verband van oordeel dat het ontbreken van de vermelding van de mogelijk geschonden bepaling(
- en)in de brief met het verzoek om te concluderen geen afbreuk heeft gedaan aan de mogelijkheid van verweerder om zich te verdedigen. In de twee brieven waarin wordt verzocht om een uitwisseling van conclusies (van 8 februari 2021, vóór de samenvoeging van de klachten, en van 8 maart 2021, na de samenvoeging) wordt het feit dat aan de oorsprong ligt van de twee klachten immers duidelijk herhaald (de verzending van de e-mail aan honderden ontvangers in CC in plaats van BCC). Er kan dus geen sprake zijn van verrassing bij verweerder over de mogelijke inbreuken. Ook in beide klachten wordt naar dit feit verwezen. 26. Anderzijds erkent verweerder dit feit en geeft hij toe dat het ging om "een betreurenswaardige individuele fout van een FSMA-medewerker, die uiteraard niet had mogen gebeuren5". Voor zover verweerder de fout erkent (zij het zonder deze te kwalificeren als een schending van de AVG), vraagt de Geschillenkamer zich af welke juridische argumenten de raadsman van verweerder had kunnen aanvoeren om de nietnaleving van de verplichtingen van de verwerkingsverantwoordelijke krachtens de AVG, met name die betreffende de beveiliging van persoonsgegevens, aan te vechten. 27. Wat meer bepaald de bewering van verweerder betreft dat de brief van 11 maart 2021 niet vermeldt "welke sancties verweerder eventueel kunnen worden opgelegd", herinnert de Geschillenkamer eraan dat zij niet verplicht is mee te delen welke sanctie wordt overwogen, behalve - en dit in de laatste fase van de procedure, na de uitwisseling van conclusies en, in voorkomend geval, de hoorzitting - indien het gaat om een administratieve geldboete, wat hier niet het geval is (aangezien verweerder hoe dan ook een overheidsinstantie is). De Geschillenkamer is van mening dat het ook niet logisch zou zijn dat zij de partijen aan het begin van de procedure (a fortiori bij de verzending van de oproep tot concluderen) in kennis stelt van de voorgenomen sanctie, aangezien zij, alvorens over een sanctie te beslissen, de conclusies van partijen moet analyseren en hen moet horen indien om een hoorzitting wordt verzocht. Het Marktenhof heeft ook duidelijk gemaakt dat de Geschillenkamer niet verplicht is de partijen over de voorgenomen sanctie te informeren alvorens hen te horen 6 (behalve in het geval van een geldboete, wat hier niet het geval is). De Geschillenkamer stelt voorts dat de mogelijke sancties waren opgenomen in de brief waarin partijen werden uitgenodigd om conclusies uit te wisselen (in voetnoot 5). Indien de verweerder in het stadium van de inleiding van het dossier wilde weten wat de mogelijke sancties zijn, zoals hij die in zijn conclusies formuleert, dat wil zeggen de verschillende sanctie-instrumenten waarover de Geschillenkamer op basis van de WOG beschikt, stond het hem ten slotte vrij de WOG te raadplegen (met name artikel 100). 5 Blz. 4, eerste conclusies. 6 Arrest Marktenhof 2021/AR/1044 van 1/12/2021, blz. 25. Beslissing ten gronde 186/2022 - 8/16 28. In het tweede onderdeel van zijn eerste middel stelt verweerder schending van de zorgvuldigheidsplicht en van het beginsel van de formele en materiële motivering. 29. Hij stelt dat er sprake is van schending van de zorgvuldigheidsplicht, omdat hij zich in zijn conclusies niet zinvol kon verweren, nu de geschonden wettelijke bepaling(
- en)niet in de brief van 11 maart 2021 worden genoemd. De Geschillenkamer is van mening dat verweerder een cascade redenering toepast, gebaseerd op zijn bovenstaande argument dat hij onvoldoende op de hoogte was van de feiten en de mogelijk geschonden artikelen om zich te kunnen verdedigen. De Geschillenkamer herinnert er ook aan dat de partijen waren uitgenodigd om vóór de hoorzitting 7 hun standpunt over verschillende artikelen van de AVG (waaronder artikel 24) schriftelijk kenbaar te maken, en dat verweerder van deze gelegenheid gebruik heeft gemaakt door op 11 oktober 2022 zijn schriftelijke opmerkingen aan de Geschillenkamer en de klagers toe te zenden. Voor zover de premisse waarop verweerder zich in zijn redenering beroept, hierboven is behandeld (zie punten 18, 22 en 23), concludeert de Geschillenkamer in casu dan ook, met name gelet op het zeer eenvoudige feit dat de in genoemde brief en in de klachten beschreven inbreuk op de AVG vormt, alsmede op het feit dat verweerder de begane fout erkent, dat verweerder de gelegenheid heeft gehad voldoende geïnformeerd te worden om zich in zijn conclusies op nuttige wijze te kunnen verdedigen. De Geschillenkamer concludeert dat er geen sprake is van schending van de zorgvuldigheidsplicht. 30. Voorts vervolgt verweerder zijn cascade-redenering door te stellen dat "bij gebreke van door de klager naar behoren ingediende conclusies en gelet op het feit dat verweerder zijn recht van verdediging niet kan uitoefenen wegens het ontbreken van informatie over de juridische kwalificatie van de hem ten laste gelegde feiten, de Geschillenkamer geen uit materieel en formeel oogpunt toereikend gemotiveerde beslissing kan nemen, aangezien zij niet over alle daartoe noodzakelijke informatie beschikt. Op dezelfde wijze als in het voorgaande punt concludeert de Geschillenkamer dat de premisse waarop verweerder zich beroept, onjuist is, en verwijst zij naar de punten 18, 22 en 23. De Geschillenkamer merkt voorts op dat, anders dan verweerder impliceert, geen van beide partijen verplicht is in het kader van de procedure conclusies in te dienen. II.1.2. 31. Andere door de verweerder opgeworpen procedurekwesties In een punt "1.6 Procedurele voorgeschiedenis " stelt verweerder vervolgens dat de Geschillenkamer hem niet in kennis heeft gesteld van de beslissing van de ELD om de klacht 7 De Geschillenkamer is van oordeel dat dit in overeenstemming is met het arrest van het Marketenhof 2022/8619 van 7 december 2022, blz. 27. Beslissing ten gronde 186/2022 - 9/16 ontvankelijk te verklaren, noch van de beslissing van de Geschillenkamer om over te gaan tot een onderzoek ten gronde. 32. Noch de WOG noch de AVG bepalen echter dat de beslissing vande ELD om de klacht ontvankelijk te verklaren en door te sturen naar de Geschillenkamer aan de partijen moet worden meegedeeld. Deze "beslissing" van de ELD kan worden geformaliseerd door een eenvoudige e-mail van de ELD aan de Geschillenkamer. De Geschillenkamer is evenmin verplicht de partijen in kennis te stellen van haar beslissing om een zaak ten gronde te behandelen. Het Marktenhof zegt hierover immers Een administratieve vaststelling dat het dossier gereed is voor behandeling grieft de betrokkene niet nu deze zich tegen de klacht kan verdedigen. Deze feitelijke grieven zijn overigens hoe dan ook rechtgezet door het beroep/verhaal voor het Marktenhof" 8 33. Verweerder wijst er ook op dat hij, aangezien het administratieve dossier hem ondanks zijn verzoeken pas op de eerste werkdag na de uiterste datum voor de indiening van zijn eerste conclusies door de Geschillenkamer is meegedeeld, deze heeft ingediend.onder voorbehoud en zonder prejudiciële erkenning. Zoals gezegd kon de Geschillenkamer pas op de eerste werkdag na de termijn (dus 26 april 2020) antwoorden op het verzoek om toegang tot het nieuwe administratieve dossier (een eerste dossier was aan verweerder toegezonden voordat de tweede klacht tegen hem voor dezelfde feiten aan het reeds geopende dossier werd toegevoegd). Aangezien de repliek van verweerder echter precies dezelfde argumenten en rechtsoverwegingen bevat als zijn eerste repliek, kan niet worden geconcludeerd dat verweerder daardoor werd benadeeld. II.2. Wat betreft de schendingen van de AVG 34. Verweerder beschikt over de e-mailadressen van klagers in hun hoedanigheid van hypotheek- en consumentenkredietbemiddelaars die bij verweerder zijn geregistreerd. Uit de schriftelijke stukken van verweerder maakt de Geschillenkamer op dat deze zich beroept op de uitvoering van zijn taak van algemeen belang als grondslag voor de rechtmatigheid van de verwerking van de e-mailadressen van klagers, als bij hem geregistreerde financiële tussenpersonen. Aangezien het voorwerp van de klacht geen betrekking heeft op de rechtmatigheid van de eerste verwerking van zijn gegevens, en bij gebreke van een betwisting, zal de Geschillenkamer dit aspect niet onderzoeken en ervan uitgaan dat, zoals verweerder stelt, het verkrijgen van deze gegevens is gebaseerd op artikel 6.1.
- e)van de AVG.. 8 Arrest Marktenhof 2021/AR/1044 van 1/12/2021, blz. 24. Beslissing ten gronde 186/2022 - 10/16 35. Zoals hierboven vermeld, betreft het voorwerp van de klacht de verzending van een e-mail door verweerder aan enkele honderden ontvangers in de CC. Ook erkent verweerder dat de verzending van de betwiste e-mail een "betreurenswaardige individuele fout van een FSMAmedewerker is, die uiteraard niet had mogen gebeuren" 9. Van de maatregelen die vóór de verzending van de betwiste e-mail zijn genomen, verklaart hij ten eerste dat hij een DPO heeft aangesteld, ten tweede dat hij een intern privacybeleid heeft dat door de werknemers kan worden geraadpleegd, ten derde dat zijn werknemers een AVG-fiche hebben, dat het arbeidsreglement voorziet in sancties in geval van niet-naleving van het privacybeleid, ten vierde dat de medewerkers van de betrokken afdeling in mei 2019 een opleiding gegevensbescherming hebben gevolgd, en ten vijfde dat het 4-ogenprincipe vóór het verzenden van massamails al bestond, hoewel het na de ongelukkige verzending in kwestie is aangescherpt). 36. Artikel 24.1 van de AVG verplicht de verwerkingsverantwoordelijke om, rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met AVG wordt uitgevoerd. Deze maatregelen moeten ook worden geëvalueerd en zo nodig bijgewerkt. Dit artikel weerspiegelt het in artikel 5.2 van de AVG neergelegde beginsel van "verantwoordingsplicht", volgens hetwelk "de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van lid 1 (verantwoordingsplicht) en dit moet kunnen aantonen". Artikel 24.2 van de AVG bepaalt dat, wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, de in artikel 24.1 van de AVG genoemde maatregelen, een passend gegevensbeschermingsbeleid omvatten dat door de verwerkingsverantwoordelijke wordt uitgevoerd. 37. Overweging 74 van de AVG voegt hieraan toe: "De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen." 38. Het is ook de overeenkomstig 9 verantwoordelijkheid de artikelen Blz. 4 van de eerste conclusies van de verweerder. 24 van de verwerkingsverantwoordelijke (verantwoordelijkheid) en 25 van de om, AVG Beslissing ten gronde 186/2022 - 11/16 (gegevensbescherming door ontwerp en als standaard), de noodzakelijke naleving van de regels van de AVG op doeltreffende wijze te integreren in het ontwerp van zijn verwerkingsactiviteiten en in zijn procedures (bijvoorbeeld het waarborgen van de doeltreffende toepassing van het 4-ogen-principe alvorens bepaalde e-mails te verzenden, met name gelet op de hoedanigheid van verweerder als administratieve overheid en gelet op de grote hoeveelheid gegevens die hij verwerkt en de aard van die gegevens (met name financiële). 39. Het voorval dat de verzending van de betwiste e-mail door een werknemer van verweerder vormt, wijst erop dat de technische en organisatorische maatregelen (waaronder het systeem van vier ogen dat ten tijde van de feiten reeds bestond) vóór de verzending van de betwiste e-mail niet geschikt waren (met name gelet op de grote hoeveelheid gegevens die hij verwerkt en het gevoelige karakter van deze financiële gegevens). Verweerder, als verantwoordelijke voor de verwerking, heeft geen passende technische en organisatorische maatregelen getroffen om te waarborgen en aan te kunnen tonen dat die verwerking in overeenstemming met de AVG is uitgevoerd. Hij is derhalve in strijd met artikel 24 en 25 van de AVG. III. Wat betreft de corrigerende maatregelen en sancties 40. Krachtens artikel 100 van de WOG heeft de Geschillenkamer de bevoegdheid om: 1° een klacht te seponeren; 2° de buitenvervolgingstelling te bevelen; 3° een opschorting van de uitspraak te bevelen; 4° een schikking voor te stellen; 5° waarschuwingen en berispingen te formuleren; 6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen; 7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem; 8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden; 9° te bevelen dat de verwerking in overeenstemming wordt gebracht; Beslissing ten gronde 80/2022 - 10/11 10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de gegevens te bevelen; 11° de intrekking van de erkenning van certificatie-instellingen te bevelen; 12° dwangsommen op te leggen; 13° administratieve geldboeten op te leggen; 14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te bevelen; Beslissing ten gronde 186/2022 - 12/16 15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het gevolg dat aan het dossier wordt gegeven; 16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de Gegevensbeschermingsautoriteit. 41. De verweerder verklaart dat de klachten moeten worden verworpen, de zaak moet worden geseponeerd of de straf moet worden opgeschort, gelet op de verzachtende omstandigheden. Hij vergelijkt dit met een beslissing van de Geschillenkamer van 26 maart 2021, waarbij de zaak werd afgewezen omdat de klager geen bewijsmateriaal had overgelegd en niet had getracht zijn rechten uit te oefenen bij de verantwoordelijke voor de verwerking alvorens zijn klacht in te dienen. Meer bepaald stelt verweerder dat de klager "niet heeft aangetoond dat de wetgeving inzake de bescherming van persoonsgegevens is geschonden (zie hierboven, punt 32) en verweerder niet heeft benaderd alvorens een klacht in te dienen bij de Geschillenkamer (zie hierboven, punt 33). Bijgevolg is verweerder van mening dat de klacht in deze zaak moet worden verworpen. De klagers in deze zaak legden echter bewijs voor dat de betalingsherinneringse-mail van verweerder in CC naar honderden ontvangers werd gestuurd. Verweerder heeft de gemaakte fout ook erkend. Ook zijn de klachten, zoals gezegd, niet gebaseerd op een verzoek tot uitoefening van een recht door de klagers in de zin van hoofdstuk 3 van de AVG (het recht op toegang was niet uitgeoefend voordat de klacht werd ingediend in het besluit van 26 maart 2021), maar op een schending van een verplichting door verweerder in zijn hoedanigheid van verantwoordelijke voor de verwerking. In geval van schending van een verplichting is het aan de verweerder om de naleving ervan aan te tonen 10 (zie over deze redenering onze overwegingen supra nrs. 19 tot en met 21). Dit blijkt duidelijk uit de beslissing die verweerder aanhaalt, en de Geschillenkamer trekt de relevantie van dit argument in de onderhavige zaak in twijfel. 42. In de tweede plaats is verweerder van mening dat de Geschillenkamer ook de verwerping van de zaak moet gelasten of een schorsing van de behandeling moet uitspreken, onder verwijzing naar een "zeer vergelijkbare" zaak waarin dit op 27/1/2021 door het Marktenhof is opgelegd. Hij onderbouwt zijn redenering echter op geen enkele wijze en laat alle procedurele details weg die de relevantie van de vergelijking aangeven. Dit argument kan derhalve niet worden geanalyseerd en kan derhalve niet worden aanvaard. De Geschillenkamer herinnert er daarom aan dat elk dossier individueel wordt beoordeeld, volgens het beginsel van formele en materiële motivering. 10 Beslissing 39/2021 van 26 maart 2021, punt 10: «De uitoefening door de betrokkene van zijn of haar recht op toegang is een belangrijke stap die de klager antwoorden of opheldering had kunnen geven, zonder dat een verwijzing naar de GBA nodig was geweest. Het komt de Geschillenkamer daarom voor dat het niet opportuun is het voorwerp van de klacht verder te onderzoeken, nu de efficiënte werking van de bepalingen in de AVG niet ten volle benut werd". Beslissing ten gronde 186/2022 - 13/16 43. Verweerder stelt ook dat de "omvang van de schade voor de betrokken personen vrij beperkt, zo niet onbestaande is". Klager levert in ieder geval geen bewijs dat hij schade heeft geleden". De Geschillenkamer kan verweerder niet volgen in dit argument Uit de klachten blijkt duidelijk dat de klagers (financiële tussenpersonen die bezorgd zijn over hun reputatie) morele schade hebben geleden, aangezien alle ontvangers van de betwiste email nu op de hoogte zijn van de vertraging in de betaling. 44. Bij de beoordeling van de passende sanctie en/of corrigerende maatregel houdt de Geschillenkamer rekening met de erkenning door verweerder van een menselijke fout die de betwiste verwerking heeft veroorzaakt. De Geschillenkamer heeft ook rekening gehouden met de maatregelen die verweerder vóór en na het plaatsvinden van het betwiste feit heeft genomen, waaronder de ontwikkeling in 2022 door de FSMA van een geautomatiseerd computerhulpmiddel voor het verzenden van betalingsherinneringen, waarmee persoonlijke e-mails kunnen worden verzonden en dus massale e-mails kunnen worden vermeden, zoals de raadsman van verweerder ter hoorzitting van 19 oktober 2022 heeft toegelicht. Deze maatregelen getuigen van de goede wil van verweerder om aan de vereisten van de AVG te voldoen. De Geschillenkamer houdt ook rekening met de verzachtende omstandigheden van de betrokken verwerking. In dit verband noemt verweerder als verzachtende omstandigheden ten eerste het feit dat het om een eenmalig menselijk en niet om een technisch incident ging 11, dat het incident door nalatigheid en niet opzettelijk was veroorzaakt (een menselijke fout ondanks de door verweerder ingestelde processen), en ten tweede de maatregelen die verweerder heeft genomen om de door de betrokkenen geleden schade te beperken (verzending van een verontschuldigende e-mail met het verzoek de betwiste e-mail te verwijderen). Ten slotte vermeldt hij de mate van samenwerking met de GBA om het incident te verhelpen en eventuele negatieve gevolgen te beperken (hij heeft de GBA binnen 72 uur van het incident in kennis gesteld) en de maatregelen die zijn genomen om verdere incidenten te voorkomen. 45. Verder somt verweerder de voorzorgsmaatregelen op, zowel vóór het versturen van de email om dit soort incident te voorkomen, als de maatregelen die na het versturen van de email zijn genomen. Verweerder wijst erop dat hij jaarlijks massaal e-mails verstuurt naar een groot aantal ontvangers (alleen al in één jaar zou de betrokken dienst meer dan 20.000 emails hebben verstuurd). Hij betoogt dat het feit dat deze verzendingen al jaren zonder incidenten plaatsvinden, deels te danken is aan de gegevensbeschermingsmaatregelen die hij heeft getroffen. 46. Onder deze algemene maatregelen, die dateren van vóór de verzending van de betwiste email, wijst verweerder op de aanstelling van een functionaris voor gegevensbescherming, 11 Dit is bevestigd door de raadslieden van verweerder in hun brieven van 12 december 2022 met hun opmerkingen over het proces-verbaal van de hoorzitting van 19 oktober 2022. Beslissing ten gronde 186/2022 - 14/16 zijn intern privacybeleid en zijn arbeidsreglement, dat voorziet in tuchtmaatregelen in geval van schending van de beginselen inzake gegevensbescherming. Hij wijst erop dat het vierogenprincipe (d.w.z. de verificatie door twee werknemers vóór het verzenden van een email of deze de verzendingsinstructies volgt) reeds bestond voor massamailings. 47. Met betrekking tot de maatregelen die na de verzending van de betwiste e-mail zijn genomen, verklaart verweerder dat zij alle mogelijke maatregelen heeft genomen om de gevolgen te beperken en herhaling te voorkomen. Als gevolg daarvan werden alle bevoegde diensten (inclusief de raad van bestuur) betrokken bij het onderzoek naar het incident, en werd op dezelfde dag aan alle ontvangers van de e-mail (in BCC) een door een lid van de raad van bestuur ondertekende verontschuldigingsmail gestuurd met het verzoek de e-mail te verwijderen. Voorts heeft verweerder de volgende dag (24 november 2020) de GBA in kennis gesteld van een datalek. Hij heeft sindsdien ook het "vierogenprincipe" geformaliseerd met een specifiek formulier waarop twee werknemers moeten controleren en specifiek moeten aangeven door een speciaal vakje aan te kruisen of de ontvangers allemaal in de BCC zijn geplaatst, voordat de e-mail kan worden verzonden. 48. In deze omstandigheden, gelet op het feit dat verweerder grote hoeveelheden persoonsgegevens van financiële en dus gevoelige aard verwerkt, alsook op het beginsel van verantwoordelijkheid (artikel 24 van de AVG) en van gegevensbescherming door ontwerp en als standaard (artikel 25 van de AVG) waaraan hij is onderworpen, beslist de Geschillenkamer om verweerder een berisping op te leggen overeenkomstig artikel 100 § 1 , 5° van de WOG. IV. Publicatie van de beslissing 49. Gelet op het belang van transparantie met betrekking tot de besluitvorming van de Geschillenkamer, wordt deze beslissing gepubliceerd op de website van de Gegevensbeschermingsautoriteit. 50. De identificatiegegevens van de klagers zijn gepseudonimiseerd, na hun verzoek daartoe en voor zover hun bekendmaking als persoon geen gevolgen heeft voor deze beslissing. Anderzijds is de identiteit van verweerder, als administratieve overheid die een grote hoeveelheid persoonsgegevens van financiële aard en dus gevoelig verwerkt, niet gepseudonimiseerd. Dit wordt gerechtvaardigd door enerzijds het algemeen belang van de onderhavige beslissing in het kader van de voorbeeldfunctie van verweerder als openbare dienst en anderzijds door de onvermijdelijke heridentificatie van verweerder in geval van pseudonimisering. 51. De Kamer verwijst ook naar artikel 9, § 6, van de wet van 16 oktober 2022 tot oprichting van het Centraal register voor de beslissingen van de rechterlijke orde en betreffende de Beslissing ten gronde 186/2022 - 15/16 bekendmaking van de vonnissen en tot wijziging van de assisenprocedure betreffende de wraking van de gezworenen12, op grond waarvan de identificatiegegevens van natuurlijke personen moeten worden gepseudonimiseerd. Die van rechtspersonen daarentegen niet. OM DIE REDENEN, beslist de Geschillenkamer van de Gegevensbeschermingsautoriteit, na beraadslaging: - op grond van art. 100, §1, 5° WOG, een berisping te formuleren; Tegen deze beslissing kan op grond van artikel 108, §1, van de WOG, beroep worden aangetekend bij het Marktenhof (hof van beroep van Brussel), binnen een termijn van dertig dagen vanaf de kennisgeving ervan, met de Gegevensbeschermingsautoriteit als verweerder. Een dergelijk beroep kan worden aangetekend door middel van een interlocutoir verzoekschrift dat de in artikel 1034 ter van het Gerechtelijk Wetboek genoemde inlichtingen moet bevatten 13. Het 12 Artikel 9 § 6 lid 5-6 van de wet van 16 oktober 2022 tot oprichting van het Centraal register voor de beslissingen van de rechterlijke orde en betreffende de bekendmaking van de vonnissen en tot wijziging van de assisenprocedure betreffende de wraking van de gezworenen "In artikel 782 van het Gerechtelijk Wetboek, vervangen bij artikel 8, worden de volgende wijzigingen aangebracht: (…) 5° paragraaf 5, eerste lid, wordt aangevuld met een bepaling onder 4°, luidende: "4° de gepseudonimiseerde vonnissen bedoeld in de artikelen 782bis en 1109 en in de artikelen 163, 176, 190, 209, 337 et 346 van het Wetboek van strafvordering, en elk vonnis waarvan het gerecht dat het heeft gewezen beveelt dat het in gepseudonimiseerde vorm moet worden bekendgemaakt via het Centraal register." 6° in paragraaf 5 worden tussen het tweede en derde lid vijf leden ingevoegd, luidende: "Voorafgaand aan de opname van een vonnis in het Centraal register met het oog op de bewaring ervan als gegeven bedoeld in het eerste lid, 4°, worden de volgende gegevens gepseudonimiseerd in de zin van artikel 4, 5), van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van de Richtlijn 95/46/EG, dit in overeenstemming met de technische en praktische standaarden van kracht op het ogenblik van de pseudonimisering: 1° de identiteitsgegevens van de natuurlijke personen vermeld in het vonnis, met uitzondering van de identiteitsgegevens van de magistraten, de leden van de griffie en de advocaten; 2° elk element in het vonnis dat toelaat natuurlijke personen vermeld in het vonnis, met uitzondering van de magistraten, de leden van de griffie en de advocaten, rechtstreeks of onrechtstreeks te identificeren, binnen de limieten van de leesbaarheid en begrijpelijkheid van het vonnis; 3° in afwijking van de bepalingen onder 1° en 2°, op beslissing van de korpschef van het gerecht na advies van het openbaar ministerie, indien de verspreiding ervan de veiligheid van de magistraten, de leden van de griffie, de advocaten of hun entourage in het gedrang kan brengen, de identiteitsgegevens van deze personen vermeld in het vonnis evenals, binnen de limieten van zijn leesbaarheid en begrijpelijkheid, elk element in het vonnis dat toelaat deze personen rechtstreeks of onrechtstreeks te identificeren; 4° in afwijking van de bepalingen onder 1° en 2°, de identiteitsgegevens van de magistraten, de leden van de griffie en de advocaten vermeld in het vonnis dat betrekking heeft op strafzaken betreffende de misdrijven bedoeld in de artikelen 137 tot 141ter, 324bis en 324ter van het Strafwetboek, evenals, binnen de limieten van zijn leesbaarheid en begrijpelijkheid, elk element in het vonnis dat toelaat deze personen rechtstreeks of onrechtstreeks te identificeren. » 13 Het verzoekschrift vermeldt op straffe van nietigheid: 1° de dag, de maand en het jaar; Beslissing ten gronde 186/2022 - 16/16 interlocutoir verzoekschrift moet bij de griffie van het Marktenhof worden ingediend overeenkomstig artikel 1034 quinquies van het Ger.W. 14, of via het informatiesysteem e-Deposit van het Ministerie van Justitie (artikel 32 ter van het Ger.W.). (get.) Hielke HIJMANS Voorzitter van de Geschillenkamer 2° de naam, de voornaam, de woonplaats van de verzoeker en, in voorkomend geval, zijn hoedanigheid en zijn rijksregister- of ondernemingsnummer; 3° de naam, de voornaam, de woonplaats en, in voorkomend geval, de hoedanigheid van de persoon die moet worden opgeroepen; 4° het voorwerp en de korte samenvatting van de middelen van de vordering; 5° de rechter voor wie de vordering aanhangig wordt gemaakt; 6° de handtekening van de verzoeker of van zijn advocaat. 14 Het verzoekschrift, met de bijlage, wordt in evenveel exemplaren als er partijen zijn, per aangetekende brief aan de griffier van de rechtbank toegezonden of bij de griffie neergelegd.